El AI Act (Reglamento UE 2024/1689) ya es de aplicación directa en España, igual que lo fue el RGPD antes de que existiera la LOPD. Eso significa que la AESIA tiene base legal para actuar hoy, sin esperar a ninguna ley nacional. Pero España, como hicimos con el RGPD, también está tramitando su propia norma de desarrollo: el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la Inteligencia Artificial.
Esa ley añade piezas importantes —quién sanciona exactamente, cuánto, y con qué procedimiento— que el Reglamento europeo deja en manos de cada Estado miembro. Y ahora mismo sigue en el Congreso.
Dónde está ahora mismo
Todavía no es ley. Sigue en fase de tramitación parlamentaria en el Congreso. Nada de lo que describe este artículo —multas exactas, reparto de competencias, plazos de autorización judicial— es exigible todavía en esos términos. Lo que sí es exigible ya es el Reglamento UE 2024/1689 en su totalidad.
Qué añadirá esta ley cuando se apruebe
El Reglamento europeo fija las obligaciones de fondo, pero deja a cada país decidir el "quién" y el "cuánto" de la vigilancia. Esto es lo que resuelve la norma española:
Una autoridad central, con sede en A Coruña
La AESIA queda designada autoridad central de supervisión y punto único de contacto, con potestad sancionadora sobre la mayoría de las prácticas prohibidas y los sistemas de alto riesgo del Anexo III (RRHH, educación, gestión de trabajadores, entre otros).
Competencias repartidas por sector
No toda la supervisión recae en la AESIA. La ley reparte competencias sectoriales entre varios reguladores ya existentes:
- AEPD — protección de datos
- Banco de España y CNMV — scoring crediticio y solvencia
- Dirección General de Seguros — seguros de vida y salud
- CGPJ — sistemas usados en el ámbito de la justicia
- Junta Electoral Central — procesos democráticos
Para una empresa de banca o seguros, esto importa: su interlocutor en una inspección de IA puede no ser la AESIA, sino su regulador sectorial habitual.
Las multas, en cifras concretas de derecho español
7,5–15M€ (alto riesgo)
Con reducciones del 20–25% si hay reconocimiento de responsabilidad o pago voluntario (25% para pymes) — un incentivo directo a colaborar con la inspección en lugar de litigar.
El sector público, exento de multas
Uno de los puntos más discutidos del proyecto: las administraciones públicas quedan exentas de multas administrativas. La consecuencia, si se aprueba tal cual, es solo una amonestación al cargo responsable. Para el sector privado, la exposición económica es real; para el público, de momento, no.
Dos reglas propias de España
- Deepfakes sexuales sin consentimiento: prohibición específica que el Reglamento europeo no recoge con este detalle.
- Autorización judicial para biometría remota en tiempo real: los Juzgados de lo Contencioso-Administrativo tendrían 48 horas para resolver.
Qué significa esto para su empresa, hoy
No espere a que esta ley se apruebe para empezar. El Reglamento UE ya obliga hoy a cualquier empresa que use sistemas de IA de alto riesgo, y la AESIA ya tiene potestad sancionadora vía aplicación directa del Reglamento — sin necesidad de esta norma nacional. Lo que trae la Ley Orgánica es precisión: cifras concretas, procedimiento y quién exactamente llamará a la puerta según el sector.
A fecha de este artículo, no se ha registrado ninguna sanción formal del AI Act ni en España ni en la Unión Europea. Eso no significa ausencia de riesgo: significa que el régimen sancionador todavía se está construyendo, y las empresas que se preparen ahora llegarán con ventaja cuando la maquinaria esté completa. La Comisión Europea, en paralelo, está ampliando su AI Office con 40 nuevos puestos dedicados a inspección — la supervisión europea se refuerza, no se relaja.
