¿Qué es la regulación de la IA en España?
Regulación de la IA: países y regiones
A junio de 2026, la regulación de la IA en España es principalmente el EU AI Act aplicado a través de instituciones españolas. Las normas vinculantes provienen del régimen basado en riesgos de la UE, mientras que España añade supervisión nacional mediante AESIA, un organismo de supervisión de la IA dedicado, y herramientas prácticas de implementación como el entorno de pruebas nacional de IA y guías orientativas. España también está impulsando una ley orgánica nacional para definir la asignación de competencias, las sanciones y la gobernanza del sector público, aunque ese proyecto de ley aún no está plenamente en vigor.
Revisado por Jackie, Head of Learning & Development, Levellers - Última revisión: 8 de junio de 2026
Qué significa esto
España no cuenta actualmente con una "Ley española de IA" independiente y plenamente vigente de carácter general. Las normas jurídicas fundamentales provienen del EU AI Act, que se aplica directamente en España. Eso significa que las preguntas básicas son europeas: ¿está prohibido el uso, es de alto riesgo, genera obligaciones de transparencia y quién en la cadena es el proveedor, el responsable del despliegue, el importador o el distribuidor?
Lo que distingue a España es la capa de gobernanza nacional que rodea esas normas europeas. España creó AESIA antes de que el AI Act se aplique plenamente, utilizó un entorno de pruebas regulatorio para comprobar cómo funciona el cumplimiento en la práctica, y ha publicado guías no vinculantes para ayudar a las organizaciones a prepararse. Además, está tramitando en el Parlamento una ley orgánica nacional para establecer el mapa doméstico de autoridades, sanciones y algunas obligaciones de gobernanza del sector público.
Por qué importa
Para las organizaciones que operan en España, la regulación de la IA ya no es solo un tema de política o ética. Afecta al diseño de productos, las herramientas de contratación, los sistemas biométricos, las decisiones sobre prestaciones públicas, los dispositivos médicos, la contratación pública, la respuesta a incidentes, la formación del personal y la responsabilidad de los órganos de gobierno. El reto práctico no es solo conocer el texto del EU AI Act. También implica saber qué organismo español puede supervisar un uso concreto, qué evidencia hay que conservar y dónde se superpone la normativa de IA con las obligaciones en materia de privacidad, empleo, consumo, seguridad de productos o justicia, incluso cuando el modelo o sistema proviene de un tercero.
Cómo funciona
El marco jurídico de España parte del EU AI Act
En España, el marco vinculante fundamental es el Reglamento (UE) 2024/1689, el EU AI Act. Se aplica directamente, por lo que España no necesita una ley nacional para que existan las principales obligaciones. El Reglamento utiliza un modelo basado en riesgos. Algunas prácticas están prohibidas de forma absoluta. Algunos sistemas se clasifican como de alto riesgo y deben cumplir requisitos detallados. Algunos usos generan obligaciones de transparencia. Los modelos de IA de uso general siguen una vía parcialmente diferenciada, con mayor atención a nivel europeo para los modelos más potentes.
El Reglamento se aplica de forma escalonada. Las prácticas prohibidas y las obligaciones de alfabetización en IA ya están en vigor. Las normas de gobernanza y las obligaciones para los modelos de IA de uso general también han comenzado a aplicarse. El régimen general para la mayoría de las obligaciones restantes entra en vigor el 2 de agosto de 2026, con algunos períodos de transición más largos para determinados sistemas relacionados con productos, aunque esta fecha podría aplazarse para algunos usos de alto riesgo en virtud del paquete de simplificación de la UE (Digital Omnibus), acordado políticamente en 2026 pero aún no finalizado en la legislación de modificación. Para las empresas con operaciones en España, eso significa que la ventana de cumplimiento ya está abierta, aunque un caso de uso específico no haya alcanzado aún su plazo definitivo.
AESIA es el organismo supervisor de IA dedicado de España
AESIA, la Agencia Española de Supervisión de Inteligencia Artificial, fue creada por el Real Decreto 729/2023 y tiene su sede en A Coruña. Su estatuto le otorga una misión amplia: supervisión, asesoramiento, sensibilización, formación, inspección y, cuando la ley así lo establezca, potestad sancionadora. Su propósito declarado no es solo la supervisión del mercado en abstracto. También consiste en reducir los riesgos para la privacidad, la igualdad, la no discriminación y otros derechos fundamentales que pueden verse afectados por los sistemas de IA.
Eso no significa que AESIA sea la única autoridad relevante en España. Su propio estatuto preserva el papel de otros organismos en sus ámbitos especializados. El objetivo de AESIA es proporcionar a España una institución central centrada en la IA y un centro de coordinación, no suprimir a los reguladores sectoriales.
El entorno de pruebas es el motor de implementación práctica de España
El Real Decreto 817/2023 creó un entorno de pruebas controlado para experimentar con el cumplimiento de los requisitos de IA en sistemas que pueden plantear riesgos para la seguridad, la salud y los derechos fundamentales. El entorno de pruebas estuvo abierto a organismos públicos y entidades privadas seleccionadas mediante un proceso formal. La participación no eximía de las obligaciones legales ordinarias. El decreto es explícito en que no desplaza la normativa de protección de datos, las normas de propiedad intelectual ni ninguna vía de conformidad sectorial específica que siga siendo aplicable.
Esto es relevante porque España utilizó el entorno de pruebas para el aprendizaje regulatorio, no solo para la experimentación empresarial. La información recopilada durante el proyecto piloto podría emplearse para perfeccionar las guías públicas. Esas guías son ahora una de las características prácticas más útiles del modelo español. AESIA y el ministerio publicaron 16 guías sobre temas como la evaluación de la conformidad, la gestión de la calidad, la gestión de riesgos, la supervisión humana, la gobernanza de datos, la transparencia, los registros de actividad, el seguimiento poscomercialización, la notificación de incidentes graves y la documentación técnica.
Las guías son prácticas, pero no son la ley. AESIA señala claramente que no son vinculantes y que están destinadas a ayudar a las organizaciones mientras las normas armonizadas y las orientaciones de la Comisión continúan desarrollándose. En otras palabras, el entorno de pruebas español se entiende mejor como un puente entre el texto jurídico del AI Act y la evidencia cotidiana que una organización debe construir.
La supervisión en España es en parte centralizada y en parte sectorial
En virtud del EU AI Act, los Estados miembros deben contar con al menos una autoridad de vigilancia del mercado y al menos una autoridad notificante. A nivel europeo, la Oficina Europea de IA supervisa la aplicación del AI Act y controla los modelos de IA de uso general más potentes. A nivel nacional, se espera que las autoridades supervisen los sistemas de IA comercializados o puestos en servicio en su jurisdicción.
La dirección que sigue España es clara, aunque la asignación doméstica completa aún se está ultimando. AESIA es el organismo central dedicado a la IA y el probable responsable principal de muchos casos no relacionados con productos, de alto riesgo o transversales. Sin embargo, las autoridades sectoriales siguen siendo relevantes. Las finanzas, la protección de datos, la justicia, los dispositivos médicos y otras áreas de productos regulados mantienen su propia lógica supervisora. El proyecto de ley orgánica de España, aprobado por el Consejo de Ministros el 26 de mayo de 2026, preservaría las autoridades existentes para los productos ya regulados y asignaría muchas áreas no relacionadas con productos principalmente a AESIA, con la participación de organismos como la Agencia Española de Protección de Datos, el Banco de España y el Consejo General del Poder Judicial cuando la materia así lo requiera.
Ese proyecto de ley pendiente es importante porque establece el procedimiento doméstico, la arquitectura sancionadora y un mapa más claro de quién supervisa qué. Hasta que complete su tramitación parlamentaria, la arquitectura general es visible, pero algunos detalles pueden aún modificarse.
En la práctica, el trabajo real es la evidencia, la gobernanza y los contratos
Para la mayoría de las organizaciones, el cumplimiento en España se parecerá menos a un ejercicio de licencias y más a una gobernanza disciplinada de sistemas. Primero, clasificar el caso de uso. Luego, identificar el papel en la cadena de valor. Después, construir el expediente de evidencia que corresponda a ese papel. Para los sistemas de alto riesgo, eso suele implicar un proceso de gestión de riesgos, controles de gobernanza de datos, documentación, registros, información a los usuarios, mecanismos de supervisión humana, controles de precisión y robustez, medidas de ciberseguridad, seguimiento poscomercialización y un procedimiento para notificar incidentes graves.
Las guías españolas son especialmente útiles aquí porque convierten los conceptos jurídicos en líneas de trabajo. Impulsan a las organizaciones a documentar el propósito previsto, el alcance, el comportamiento del modelo, las condiciones de operación, los riesgos residuales, los roles de gobernanza y los procesos de actualización. También ayudan a los equipos de contratación. Un comprador en España no solo debería preguntar "¿funciona esta herramienta?", sino también "¿cuál es su categoría en el AI Act, quién es el proveedor, qué documentación existe, qué registros se generan, cómo se gestionan los incidentes, qué controles humanos están integrados y qué apoyo prestará el proveedor si un regulador hace preguntas?"
El AI Act ya convierte la alfabetización en IA en un requisito vigente. Eso significa que el personal que selecciona, opera, supervisa o adquiere IA en España no debe tratarse como usuario pasivo. Las organizaciones necesitan personas capaces de reconocer cuándo un sistema entra en una zona regulatoria de mayor riesgo y que sepan cuándo escalar al equipo jurídico, de privacidad, de producto o de seguridad.
Ejemplos
Las guías oficiales españolas utilizan el control biométrico de asistencia en el trabajo como ejemplo práctico. En la práctica, un sistema de registro horario mediante reconocimiento facial u otro método biométrico no puede tratarse como una herramienta de recursos humanos más. Se encuadra en una categoría de alto riesgo y requiere un propósito previsto justificable, documentación técnica, supervisión humana, registros, controles de riesgo y un análisis de privacidad que se sostenga conforme a las normas de protección de datos españolas y europeas.
Las mismas guías utilizan como ejemplo un sistema de IA que influye en las decisiones de promoción y retribución de los empleados. Esto sirve de recordatorio útil de que la regulación de la IA en España alcanza a los procesos de gestión ordinarios, no solo a los sistemas de frontera más llamativos. Si un sistema influye de forma significativa en las decisiones de promoción o evaluación del desempeño, la organización necesita gobernanza en torno a la calidad de los datos, la supervisión, la documentación y los mecanismos de impugnación. No basta con confiar en la descripción comercial del proveedor.
Un tercer ejemplo oficial es una bomba de insulina inteligente que monitoriza al paciente y administra insulina de forma automática. Esto muestra dónde el modelo español se vuelve genuinamente estratificado. El AI Act es relevante, pero también lo son las normas sobre dispositivos médicos y sanidad. En este tipo de casos, el análisis de IA no puede separarse de la seguridad del paciente, la conformidad del producto y la supervisión sectorial. El marco español no sustituye a esos regímenes. Se superpone a ellos.
Malentendidos frecuentes
España ya cuenta con un código nacional de IA único e independiente en vigor. No es así. El marco vinculante principal es el EU AI Act, mientras que el proyecto de ley nacional de España sigue en tramitación legislativa.
AESIA regula por sí sola todos los usos de IA en España. No es así. AESIA es el organismo central dedicado a la IA, pero los reguladores sectoriales y los organismos a nivel europeo siguen siendo relevantes.
El entorno de pruebas es un puerto seguro frente a otras leyes. No lo es. El entorno de pruebas español nunca suspendió las obligaciones en materia de protección de datos, propiedad intelectual, productos o normativa sectorial específica.
Las guías de AESIA son jurídicamente vinculantes. No lo son. Son documentos de apoyo práctico y AESIA señala que no sustituyen ni desarrollan la normativa aplicable.
Solo los desarrolladores deben preocuparse. No es así. Los responsables del despliegue, los compradores, los empleadores y los organismos públicos pueden tener obligaciones en virtud del AI Act y de la normativa sectorial española.
Riesgos y límites
La regulación de la IA en España no es un programa de ética independiente ni un sistema de autorización universal para cualquier uso de la IA. Es un marco de cumplimiento estratificado. El AI Act solo actúa de formas específicas según cómo se construya, comercialice y utilice el sistema. Gran parte de la confusión proviene de hablar de "IA" como si cada modelo, chatbot o herramienta de análisis se encontrara en la misma categoría jurídica. No es así.
También existen límites claros a lo que el entorno de pruebas y las guías españolas pueden hacer. El entorno de pruebas fue un mecanismo piloto, y las guías son expresamente no vinculantes. Son evidencia útil del pensamiento del regulador, pero no sustituyen al Reglamento en sí, a las normas armonizadas ni a la normativa sectorial. En los ámbitos regulados por normativa de productos, las vías ordinarias de conformidad siguen siendo relevantes. En los usos con gran carga de privacidad, el GDPR y la normativa española de protección de datos siguen siendo relevantes. En el ámbito laboral, las cuestiones de trabajo y antidiscriminación siguen siendo relevantes. En el ámbito de la justicia, la independencia judicial y las normas específicas de los tribunales siguen siendo relevantes.
La principal incertidumbre a corto plazo es institucional más que conceptual. La arquitectura general de España ya es visible, pero la asignación doméstica de autoridades, el procedimiento sancionador y algunas características de gobernanza del sector público aún se están ultimando mediante legislación. El proyecto de Ley Orgánica aprobado por el Consejo de Ministros el 26 de mayo de 2026 es un paso importante, pero el Parlamento aún puede modificarlo. Las organizaciones deben considerar clara la dirección de avance, evitando asumir que todos los detalles procedimentales están fijados.
Qué hacer a continuación
Comenzar con un inventario actualizado de los usos de IA vinculados a España, incluidas las herramientas adquiridas externamente, los componentes de IA integrados y los despliegues piloto. Para cada uso, registrar el propósito previsto, las personas afectadas, los datos utilizados, el responsable interno, el proveedor, el papel en la cadena de valor y la categoría probable en el AI Act. Escalar cualquier sistema que pueda ser prohibido, de alto riesgo, biométrico, relacionado con el empleo, con servicios públicos o con la seguridad crítica.
A continuación, construir un expediente de gobernanza para los usos de mayor riesgo. Ese expediente debe incluir las condiciones contractuales, el acceso a la documentación técnica, la supervisión humana, los registros, la gestión de incidentes, el control de actualizaciones, el seguimiento poscomercialización y la formación del personal. Utilizar las guías de AESIA como manual operativo provisional, pero sin tratarlas como sustituto de la ley. Por último, hacer seguimiento de la ley orgánica española y de las comunicaciones de las autoridades sectoriales pertinentes, de modo que el mapa de autoridades, la vía de escalada y el proceso de notificación estén actualizados antes de que el régimen general del AI Act se aplique plenamente.
¿Tiene alguna pregunta o sugerencia, o desea saber cómo investigamos y revisamos estas guías? Lea sobre nuestros estándares editoriales y cómo contactarnos.
Preguntas frecuentes
¿Tiene España su propio AI Act?
No en el sentido de una ley nacional plenamente vigente que sustituya al EU AI Act. El núcleo vinculante es el EU AI Act. La capa nacional de España se refiere principalmente a los organismos supervisores, el procedimiento, las sanciones y algunas normas del sector público.
¿Es AESIA el único regulador de IA en España?
No. AESIA es el organismo central dedicado a la IA, pero las autoridades sectoriales siguen siendo relevantes. Según el caso de uso, también pueden intervenir las autoridades de protección de datos, financieras, de justicia, de dispositivos médicos u otras autoridades de productos, y la Oficina Europea de IA tiene un papel a nivel europeo para los modelos de IA de uso general más potentes.
¿Está ya en vigor el EU AI Act en España?
Sí. Se aplica directamente en España y se está implementando de forma escalonada. Algunas obligaciones ya están en vigor, incluida la prohibición de prácticas prohibidas y las obligaciones de alfabetización en IA, mientras que el régimen más amplio se aplica a partir del 2 de agosto de 2026 (fecha que puede modificarse para algunos usos de alto riesgo en virtud del paquete de simplificación Digital Omnibus de la UE, aún pendiente), con algunas transiciones más largas para determinados sistemas relacionados con productos.
¿Tienen fuerza legal las guías del entorno de pruebas español?
No. Son oficiales y útiles, pero no vinculantes. Ayudan a las organizaciones a entender cómo implementar el AI Act en la práctica mientras las normas y orientaciones europeas continúan desarrollándose.
Si solo compro IA a un proveedor, ¿tengo igualmente obligaciones en España?
Potencialmente, sí. Los compradores y responsables del despliegue pueden tener obligaciones en virtud del AI Act, especialmente en materia de uso de alto riesgo, transparencia, seguimiento, supervisión humana y gestión de incidentes. La contratación y la gestión de contratos forman, por tanto, parte del cumplimiento en materia de IA.
¿Supervisa AESIA directamente los modelos de IA de uso general, como los modelos fundacionales más grandes?
La supervisión a nivel europeo es determinante aquí. La Oficina Europea de IA es responsable de supervisar los modelos de IA de uso general más potentes. AESIA sigue siendo relevante para muchos sistemas derivados y para la arquitectura supervisora nacional de España.
¿Añadirá España normas adicionales para los organismos públicos?
Probablemente sí, aunque parte de ello está aún pendiente. El proyecto de Ley Orgánica de 2026 propone características adicionales de gobernanza para el sector público, incluido un inventario de sistemas de IA utilizados en procedimientos administrativos y la figura del delegado de IA, pero esas medidas aún no son ley definitiva.