La AESIA es la agencia estatal que supervisa la inteligencia artificial en España. Su nombre completo es Agencia Española de Supervisión de la Inteligencia Artificial. Es el organismo que vigila, inspecciona y sanciona el uso de la IA en España, y ya tiene potestad sancionadora plena desde agosto de 2025. Si tu empresa usa inteligencia artificial para algo que afecte a personas, la AESIA es la autoridad que puede pedirte explicaciones.
Lo esencial
- La AESIA se creó por el Real Decreto 729/2023, de 22 de agosto, y fue la primera agencia de supervisión de IA de toda la Unión Europea.
- Tiene su sede en A Coruña y está adscrita a la Secretaría de Estado de Digitalización e Inteligencia Artificial.
- Supervisa prácticas prohibidas desde el 2 de febrero de 2025 y ejerce potestad sancionadora desde el 2 de agosto de 2025.
- El Proyecto de Ley Orgánica para el buen uso y la gobernanza de la IA, hoy en el Congreso, la designa autoridad de vigilancia del mercado y punto de contacto único.
- Las sanciones se mueven en las horquillas del artículo 99 del Reglamento de IA, que llegan hasta 35 millones de euros o el 7 % de la facturación mundial.
¿Qué es la AESIA y de dónde sale?
La AESIA es una agencia estatal creada para garantizar un uso ético y seguro de la inteligencia artificial mediante supervisión, inspección, asesoramiento, concienciación y formación. Nace del Real Decreto 729/2023, de 22 de agosto, que aprueba su Estatuto, al amparo de la disposición adicional séptima de la Ley 28/2022 de fomento del ecosistema de las empresas emergentes.
El detalle que suele sorprender es la fecha. España creó su agencia en 2023, antes de que el Reglamento europeo de IA estuviera siquiera publicado, y se convirtió en el primer Estado miembro con un organismo dedicado a supervisar la IA. Cuando el reglamento obligó a cada país a designar autoridades nacionales, España ya la tenía funcionando.
¿Qué competencias tiene la AESIA sobre tu empresa?
Tiene competencias de supervisión, inspección, verificación y sanción, además de las de asesoramiento y formación que suelen citarse primero y que son las menos relevantes cuando llega una inspección. Lo importante para una empresa es que la AESIA cuenta con órgano de inspección propio y que su calendario de poderes ya está completo.
| Hito | Fecha | Qué significa en la práctica |
|---|---|---|
| Creación de la agencia | RD 729/2023, de 22 de agosto | España se adelanta al resto de la UE con un organismo dedicado |
| Supervisión de prácticas prohibidas | 2 de febrero de 2025 | Empieza a vigilar los usos del artículo 5 del reglamento, los que están vetados sin excepción |
| Potestad sancionadora plena | 2 de agosto de 2025 | Ya puede abrir expediente y multar, no solo requerir información |
| Autoridad de vigilancia del mercado | Pendiente de la Ley Orgánica en tramitación | Consolida su papel como ventanilla única frente a Bruselas y frente a las empresas |
¿Qué puede sancionar la AESIA y por cuánto?
Puede sancionar el incumplimiento de las obligaciones del Reglamento de IA dentro de las horquillas que fija su artículo 99, y el tramo más alto llega a 35 millones de euros o el 7 % del volumen de negocio mundial total del ejercicio anterior, la cifra que sea mayor. Ese tramo se reserva a las prácticas prohibidas del artículo 5.
Por debajo hay tramos menores para el incumplimiento de obligaciones concretas y para el suministro de información incorrecta o engañosa a las autoridades. El Proyecto de Ley Orgánica español concreta esas horquillas dentro del margen que deja el reglamento, así que la cuantía exacta aplicable en España dependerá del texto que finalmente se apruebe. Lo que ya no depende de nada es la competencia: la AESIA puede abrir expediente hoy.
Conviene poner la cifra en contexto para no caer en el alarmismo. El tramo de 35 millones aplica a quien usa IA para manipulación subliminal, puntuación social o categorización biométrica prohibida. Una empresa que usa un asistente conversacional o una herramienta de cribado de currículums no está ahí, pero sí está en los tramos de obligaciones concretas, que es donde se juega el 99 % de los casos reales.
¿A quién supervisa exactamente la AESIA?
Supervisa tanto a quien desarrolla y comercializa sistemas de IA, el proveedor, como a quien los utiliza bajo su propia autoridad, el responsable del despliegue. La segunda figura es la que pilla por sorpresa a más empresas, porque mucha gente da por hecho que el reglamento solo va con quien programa modelos.
Si tu empresa contrata una herramienta de IA para filtrar candidaturas, para puntuar riesgo de clientes o para decidir prioridades en un canal de denuncias, eres responsable del despliegue y tienes obligaciones propias. No son las mismas que las del proveedor, pero existen y son verificables. Lo desarrollamos en la guía de qué exige el Reglamento IA a tu empresa.
¿Qué relación tiene la AESIA con la AEPD?
Son autoridades distintas con ámbitos distintos que se solapan en la práctica más de lo que la teoría sugiere. La AESIA supervisa el cumplimiento del Reglamento de IA. La Agencia Española de Protección de Datos supervisa el tratamiento de datos personales. Un mismo sistema puede estar bajo el escrutinio de las dos a la vez.
El ejemplo típico es un sistema de IA que toma decisiones sobre personas a partir de sus datos. El uso del sistema lo mira la AESIA. El tratamiento de los datos que lo alimentan lo mira la AEPD, con el RGPD en la mano y con las obligaciones de evaluación de impacto que ya conoces si tienes delegado. Si tu organización tiene delegado de protección de datos, esa figura es hoy la mejor colocada para coordinar las dos conversaciones, aunque formalmente el AI Act no le asigne ese papel.
¿Qué te va a pedir la AESIA si te inspecciona?
Va a pedir lo que cualquier autoridad de vigilancia del mercado pide: que demuestres lo que dices. Y en materia de IA eso se traduce en cuatro cosas concretas que hoy la mayoría de las empresas españolas no tiene documentadas.
- El inventario. Qué sistemas de IA se usan en la organización, quién los provee y para qué se usan. Sin inventario no hay nada más, porque no puedes clasificar lo que no sabes que tienes.
- La clasificación por riesgo. En qué nivel del reglamento cae cada caso de uso. Es el paso que decide qué obligaciones te aplican, y hacerlo mal se paga dos veces: por exceso, gastando en controles innecesarios, y por defecto, incumpliendo.
- La formación. El artículo 4 del reglamento obliga a garantizar un nivel suficiente de alfabetización en IA del personal que la usa. Está vigente desde febrero de 2025 y es la obligación más incumplida del reglamento.
- La supervisión humana y el registro. Quién revisa las decisiones del sistema, con qué criterio y con qué rastro.
Ninguna de las cuatro exige tecnología complicada. Exigen haberlo hecho y poder enseñarlo, que es exactamente lo que diferencia un programa de cumplimiento real de una política guardada en una carpeta. Es el mismo principio que rige el resto del cumplimiento normativo en España.
¿Cambia algo el aplazamiento del Ómnibus Digital?
Cambia el calendario de las obligaciones más duras, no las competencias de la AESIA. El Reglamento (UE) 2026/1744, de 8 de julio de 2026, conocido como Ómnibus Digital sobre IA, entró en vigor el 27 de julio de 2026 y aplazó las obligaciones de los sistemas de alto riesgo del Anexo III a diciembre de 2027 y las del Anexo I a agosto de 2028.
Lo que no se aplazó es lo que ya estaba en vigor: las prácticas prohibidas, la alfabetización en IA y, desde el 2 de agosto de 2026, las obligaciones de transparencia del artículo 50. La AESIA supervisa todo eso desde ya. Leer el aplazamiento como «el AI Act se ha retrasado» es el error de interpretación más extendido de este verano, y deja a las empresas sin hacer precisamente las tareas que sí son exigibles hoy.
¿Cómo se prepara una empresa para una inspección de la AESIA?
Se prepara construyendo el expediente antes de que lo pidan, que es la única forma de tenerlo. Una inspección no avisa con tiempo suficiente para montar un inventario de sistemas de IA desde cero, y menos para inventar registros de formación con fecha pasada.
El orden que funciona es sencillo y no necesita presupuesto grande. Primero, recorrer los procesos de negocio preguntando dónde hay decisiones apoyadas en automatismos, que es donde aparece la IA que nadie declaró. Segundo, clasificar cada uso encontrado por nivel de riesgo y dejar escrito el porqué, no solo el resultado. Tercero, formar a quien usa esos sistemas y guardar el registro de asistencia. Cuarto, nombrar a una persona responsable con acceso a dirección, para que exista un interlocutor cuando llegue el requerimiento.
Ese expediente es el mismo que sirve para responder a un cliente que pregunta por gobernanza de la IA en un pliego, así que el trabajo no se hace solo para la autoridad. Si quieres apoyarlo en herramienta en lugar de en hojas de cálculo, es lo que resolvemos desde nuestra plataforma de software para cumplimiento normativo.
Preguntas frecuentes sobre la AESIA
¿Dónde está la sede de la AESIA?
En A Coruña. La elección se decidió en un concurso entre ciudades candidatas y forma parte de la política de desconcentración de sedes de organismos estatales. Para efectos prácticos, la relación con la agencia es electrónica.
¿La AESIA puede multar ya o todavía está en fase de despliegue?
Puede multar. Supervisa prácticas prohibidas desde el 2 de febrero de 2025 y tiene potestad sancionadora plena desde el 2 de agosto de 2025. Lo que sigue pendiente es la ley nacional que concreta el detalle del régimen sancionador español.
¿Tengo que registrarme o notificar algo a la AESIA?
Una empresa que solo usa sistemas de IA de terceros no tiene, con carácter general, un deber de registro ante la AESIA. Los registros del reglamento recaen sobre proveedores de sistemas de alto riesgo y sobre determinados despliegues por parte de autoridades públicas. Ahora bien, sí tienes que poder responder si te preguntan.
¿La AESIA supervisa también ChatGPT y herramientas similares?
Supervisa el uso que tu organización hace de ellas. Los modelos de propósito general tienen su propio régimen y una supervisión europea centralizada, pero la decisión de meter una herramienta de esas en un proceso de negocio es tuya, y de esa decisión respondes ante la AESIA.
¿Qué diferencia hay entre la AESIA y el Comité Europeo de IA?
La AESIA es la autoridad nacional española. El Comité Europeo de Inteligencia Artificial es el órgano de coordinación entre los Estados miembros y la Comisión, que armoniza criterios pero no inspecciona empresas. Tu interlocutor si operas en España es la AESIA.
¿Por dónde empiezo si no he hecho nada todavía?
Por el inventario. Listar qué herramientas de IA se están usando ya en la organización, muchas veces sin que compliance lo sepa, y para qué. Con esa lista delante, la clasificación por nivel de riesgo se hace en una sesión y deja de haber incertidumbre sobre qué te aplica.
Fuentes
- Real Decreto 729/2023, por el que se aprueba el Estatuto de la AESIA (BOE)
- Reglamento (UE) 2024/1689, Reglamento de Inteligencia Artificial (EUR-Lex)
- Reglamento (UE) 2026/1744, Ómnibus Digital sobre IA (EUR-Lex)
