Ley de IA en España

La ley española de IA ha caducado. El Reglamento europeo, no.

Qué ha pasado con el proyecto de ley orgánica, quién vigila hoy la IA en España y qué tiene que hacer una empresa mientras tanto.

Actualizado el 8 de noviembre de 2026 · Web creada por Bernabé Hinojosa · Información general y orientativa, no es asesoramiento jurídico.

1. Resumen en tres frases

  1. El Reglamento europeo de IA se aplica directamente en España sin necesidad de ley nacional: prohibiciones, alfabetización, transparencia y (cuando llegue su fecha) alto riesgo obligan ya a las empresas españolas.
  2. La ley española que debía designar autoridades y fijar el régimen sancionador ha caducado por la disolución de las Cortes (elecciones del 29-nov-2026). Habrá que esperar a la nueva legislatura.
  3. La AESIA (A Coruña) existe y funciona como punto de contacto único ante la Comisión, publica guías y ha cerrado el primer sandbox; la AEPD actúa con el RGPD cuando la IA trata datos personales.

2. Proyecto de Ley Orgánica para el buen uso y la gobernanza de la IA

Hito Fecha Fuente
Aprobado por el Consejo de Ministros (remisión a Cortes) 26-may-2026 Nota de prensa MTDFP: https://digital.gob.es/comunicacion/notas-prensa/mtdfp/2026/05/el-gobierno-aprueba-el-proyecto-de-ley-que-garantizara-una-super
Presentado en el Congreso 28-may-2026 Ficha 121/000096, congreso.es
Calificado; encomendado a la Comisión de Economía, Comercio y Transformación Digital 8-jun-2026 Ficha 121/000096
Publicado (BOCG serie A, núm. 97-1) 12-jun-2026 https://www.congreso.es/public_oficiales/L15/CONG/BOCG/A/BOCG-15-A-97-1.PDF
Plazo de enmiendas (con ampliaciones) 12-jun-2026 → 6-oct-2026 Ficha 121/000096
Real Decreto 806/2026, de 5 de octubre, de disolución del Congreso y del Senado y convocatoria de elecciones (29-nov-2026) BOE 6-oct-2026 https://www.boe.es/diario_boe/txt.php?id=BOE-A-2026-20742
Caducidad de la iniciativa 6-oct-2026 (publicada en BOCG serie D, núm. 610, 4-nov-2026) Ficha 121/000096
Sesiones constitutivas de las nuevas Cortes 23-dic-2026 RD 806/2026, art. 5 (según prensa; SIN VERIFICAR en el texto del BOE)

Ficha del Congreso: https://www.congreso.es/es/busqueda-de-iniciativas?p_p_id=iniciativas&p_p_lifecycle=0&p_p_state=normal&p_p_mode=view&_iniciativas_mode=mostrarDetalle&_iniciativas_legislatura=XV&_iniciativas_id=121%2F000096

Estado: CADUCADO. No llegó a votarse en comisión ni en pleno. Al ser ley orgánica, necesitaría mayoría absoluta del Congreso en votación final. En la nueva legislatura el Gobierno que salga de las urnas tendría que aprobar y remitir un nuevo proyecto (puede reutilizar el texto). Fecha de vuelta: SIN VERIFICAR (prensa especula con primavera de 2027).

Qué preveía (texto BOCG-15-A-97-1) — referencia para cuando vuelva

  • Autoridad notificante: Dirección General de Inteligencia Artificial (art. 4); ENAC para acreditación.
  • Autoridades de vigilancia del mercado (art. 5):
    • AESIA: prácticas prohibidas a), b), c), f); biometría III.1.c (emociones) salvo migración/policía/justicia; infraestructuras críticas (III.2); educación (III.3); empleo (III.4); servicios esenciales (III.5) salvo crédito y seguros; equipos radioeléctricos (Anexo I); todo el art. 50 (transparencia) y lo no atribuido a otros; autoridad por defecto para nuevas prohibiciones (art. 5.9); procesos democráticos (DF 3ª, LOREG).
    • AEPD y autoridades autonómicas de protección de datos: prácticas prohibidas e) y g); biometría III.1.a y b (salvo policía, justicia, procesos democráticos); III.1.c en migración; migración y asilo (III.7).
    • CGPJ: prácticas d) y h); biometría en justicia y policía; policía (III.6); justicia (III.8.a).
    • Banco de España y CNMV: solvencia y scoring (III.5.b) en sus entidades supervisadas.
    • DGSFP: seguros de vida y salud (III.5.c).
    • Autoridades sectoriales del Anexo I sección A para sus productos.
  • Reclamaciones (art. 9): cualquier persona ante la autoridad competente; ventanilla única en la AESIA con reenvío en 10 días hábiles. El reclamante no es “interesado” en el procedimiento.
  • Protección del informante (art. 10): Ley 2/2023.
  • Sandboxes (art. 11): AESIA crea el obligatorio; otras autoridades pueden crear adicionales en su ámbito.
  • Sector público estatal (art. 12): inventario público de sistemas de IA interoperable con el registro de la UE; figura del delegado de IA.
  • Sanciones (arts. 13-39): ver sanciones.md.
  • Registro nacional de sistemas de alto riesgo de infraestructuras críticas (DF 7ª).
  • Entrada en vigor: día siguiente a su publicación en el BOE (DF 8ª).

3. Otras iniciativas caducadas relevantes

  • Proyecto de Ley Orgánica para la protección de las personas menores de edad en los entornos digitales (121/000052): presentado 27-mar-2025; incluía delito de deepfakes sexuales y medidas de verificación de edad. Caducado el 6-oct-2026 (BOCG D-610, 4-nov-2026). Fuente: ficha 121/000052 en congreso.es.
  • Reforma de la LO 1/1982 de protección civil del derecho al honor, la intimidad y la propia imagen para regular imágenes y voces generadas con IA: según prensa, también decae. SIN VERIFICAR (no se ha localizado el expediente en congreso.es).

Para las empresas esto significa que no hay normas españolas específicas adicionales sobre deepfakes en vigor; sí aplican el Reglamento de IA (art. 50 y, desde 2-dic-2026, la prohibición del art. 5(1)(ba)), el Código Penal y la LO 1/1982 vigente.

4. AESIA — Agencia Española de Supervisión de Inteligencia Artificial

  • Creación: Ley 28/2022 (de fomento del ecosistema de empresas emergentes), disp. adicional 7ª, y Estatuto aprobado por Real Decreto 729/2023, de 22 de agosto (BOE 2-sep-2023). Entidad de derecho público adscrita a la Secretaría de Estado de Digitalización e IA. Sede en A Coruña. (Confirmado con fuentes secundarias; BOE no reabierto en esta sesión.)
  • Web: https://aesia.digital.gob.es — Consultas: aesia@digital.gob.es.
  • Ante la Comisión: figura como punto de contacto único de España para la vigilancia del mercado, marcada como designación pendiente de adopción final (página de la Comisión de autoridades de vigilancia, actualizada 7-sep-2026: https://digital-strategy.ec.europa.eu/en/policies/market-surveillance-authorities-under-ai-act).
  • Funciones que declara: atención a la sociedad, supervisión y control, formación y capacitación.
  • Guías publicadas (https://aesia.digital.gob.es/es/guias): 16 guías prácticas surgidas del sandbox: introductoria al Reglamento, práctica con ejemplos, evaluación de conformidad, gestión de la calidad, gestión de riesgos, vigilancia humana, datos y gobernanza de datos, transparencia, precisión, solidez, ciberseguridad, registros, vigilancia poscomercialización, gestión de incidentes, documentación técnica y manual de checklists (+ zip de checklists). Sin fecha visible en la web.
  • Potestad sancionadora hoy: depende de la ley caducada. SIN VERIFICAR si puede sancionar con otra base.
  • Canal formal de reclamaciones del art. 85: no se ha localizado en su web. SIN VERIFICAR.

5. Sandbox (espacio controlado de pruebas)

  • Base: Real Decreto 817/2023, de 8 de noviembre (BOE-A-2023-22767), en vigor desde 10-nov-2023 con una vigencia de 36 meses (o hasta que se aplique el Reglamento de IA) → su vigencia terminaría hacia el 10-nov-2026. SIN VERIFICAR si se ha prorrogado.
  • Piloto español: convocatoria publicada el 20-dic-2024; 44 solicitudes, 12 sistemas de alto riesgo seleccionados, 11 completaron. Clausurado el 12-jun-2026 (nota de prensa MTDFP de 12-jun-2026). Resultado: las guías técnicas de la AESIA.
  • Próximos pasos anunciados: nuevas convocatorias de sandboxes “en el marco del proyecto de ley” — que ha caducado. No consta convocatoria nueva a 7-nov-2026.
  • Obligación UE: cada Estado debe tener al menos un sandbox nacional operativo antes del 2-ago-2027 (art. 57(1), plazo ampliado por el Ómnibus; antes 2-ago-2026). El Ómnibus permite además un sandbox a nivel de la UE gestionado por la Oficina de IA con acceso prioritario para pymes y SMC (art. 57(3a)).

6. AEPD — Agencia Española de Protección de Datos

  • Hoy actúa como autoridad de protección de datos: puede supervisar y sancionar con el RGPD tratamientos de datos personales hechos con sistemas de IA, incluidos los prohibidos. La AEPD aclara que esto no es aplicación directa del Reglamento de IA y que no tiene atribuida formalmente la condición de autoridad de vigilancia del mercado a falta de ley nacional (nota de prensa 15-jul-2025: https://www.aepd.es/prensa-y-comunicacion/notas-de-prensa/la-aepd-recuerda-que-ya-puede-actuar-ante-sistemas-de-ia).
  • Coordinación con la AESIA (nota de prensa AEPD, sin fecha verificada).
  • Reclamaciones: sede electrónica de la AEPD (ver derechos-ciudadanos.md).

7. Qué cambia para una empresa española (checklist)

  1. Ya obligatorio (directamente aplicable, con o sin ley española):
    • No usar prácticas prohibidas (art. 5).
    • Medidas de alfabetización en IA del personal (art. 4).
    • Transparencia desde 2-ago-2026: avisar en chatbots, etiquetar deepfakes y textos de interés público sin control editorial, avisar del reconocimiento de emociones; si genera contenido, marcarlo (sistemas anteriores: hasta 2-dic-2026).
    • RGPD y art. 64.4.d) del Estatuto de los Trabajadores (informar al comité de empresa de los parámetros de algoritmos que afectan a condiciones de trabajo).
  2. Desde 2-dic-2026: nueva prohibición de deepfakes sexuales no consentidos y material de abuso infantil.
  3. Preparar para 2-dic-2027 (Anexo III) o 2-ago-2028 (Anexo I) si se usa o vende IA de alto riesgo: inventario, clasificación, contratos con proveedores, supervisión humana, logs, información a trabajadores, FRIA si procede.
  4. Quién sanciona en España: pendiente de la nueva ley. El riesgo de multa por el Reglamento de IA por autoridades españolas es hoy jurídicamente incierto, pero el de RGPD (AEPD) es real, y las obligaciones existen.
  5. Recursos: guías de la AESIA, directrices de la Comisión, Service Desk del AI Act de la Comisión.

Orientación gratuita y automática basada solo en tus respuestas. Puede contener errores u omisiones. No es asesoramiento jurídico ni acredita el cumplimiento de ninguna norma: contrástalo con un profesional y con las fuentes oficiales.

Guía del Reglamento europeo de IA · Mide qué te aplica, gratis