La Ley de Inteligencia Artificial en España todavía no existe como norma aprobada. Hoy está en tramitación en el Congreso el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial. No sustituye al Reglamento europeo: lo aterriza, designando autoridades, concretando sanciones y regulando los entornos de pruebas. Mientras tanto, el reglamento ya obliga.
Lo esencial
- El texto español es el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial, en el Congreso desde junio de 2026.
- No está aprobada todavía. Lo que ya es obligatorio y exigible hoy es el Reglamento europeo, de aplicación directa sin necesidad de ley española.
- Su función es designar autoridades, con la AESIA al frente, concretar el régimen sancionador nacional y regular los entornos controlados de pruebas.
- Las sanciones se fijarán dentro de las horquillas del artículo 99 del reglamento europeo, que llegan hasta 35 millones de euros o el 7 % de la facturación mundial.
- Esperar a que se apruebe para empezar a cumplir es el error de cálculo más caro: las obligaciones vigentes lo son desde 2025.
¿Existe ya una ley de inteligencia artificial en España?
No como ley aprobada. Existe un proyecto de ley orgánica en tramitación parlamentaria y existe, desde antes, el Reglamento europeo de IA, que es de aplicación directa y no necesita que España transponga nada para obligar. Esa distinción es la que decide si tu empresa tiene o no deberes hoy, y la respuesta es que sí los tiene.
La confusión es comprensible. En protección de datos estamos acostumbrados a la pareja RGPD más LOPDGDD, donde la norma europea convive con una ley española que la desarrolla. Aquí pasa lo mismo, con la diferencia de que la ley española aún no ha llegado y el reglamento ya está desplegando obligaciones por fases.
¿En qué punto está la tramitación?
El recorrido, con fechas, es este:
| Hito | Fecha |
|---|---|
| El Consejo de Ministros aprueba el anteproyecto | 11 de marzo de 2025 |
| Dictamen 03/2026 del Consejo Económico y Social | 25 de marzo de 2026 |
| Aprobación del proyecto y paso a fase parlamentaria | 26 de mayo de 2026 |
| Publicación del Proyecto de Ley Orgánica por el Congreso | 12 de junio de 2026 |
| Situación actual | En tramitación, sin aprobación definitiva |
Que sea ley orgánica no es un detalle formal: implica mayoría absoluta en el Congreso, porque afecta a derechos fundamentales. Eso alarga los plazos y hace arriesgado apostar por una fecha concreta de aprobación.
¿Qué va a regular la ley española que no regule ya el reglamento europeo?
Va a regular lo que el reglamento deja expresamente en manos de cada Estado miembro, que son tres bloques. No va a crear obligaciones sustantivas nuevas sobre los sistemas de IA: esas ya están en el reglamento y son las mismas en los veintisiete países.
- Autoridades. Quién vigila qué. La AESIA queda como autoridad de vigilancia del mercado y punto de contacto único, con otros supervisores sectoriales manteniendo competencias en sus ámbitos.
- Régimen sancionador. El reglamento fija techos; el Estado concreta tramos, criterios de graduación y procedimiento. Es lo que convierte una horquilla europea en una multa española concreta.
- Entornos controlados de pruebas. Los llamados sandboxes, donde una empresa puede desarrollar y validar un sistema de IA bajo supervisión de la autoridad y con seguridad jurídica mientras dura la prueba.
¿Qué sanciones contempla?
Las que caben dentro del artículo 99 del reglamento europeo, cuyo tramo más alto llega a 35 millones de euros o el 7 % del volumen de negocio mundial total del ejercicio anterior, la cifra que sea mayor, reservado a las prácticas prohibidas del artículo 5. Por debajo hay tramos menores para incumplimientos de obligaciones concretas y para informar de forma incorrecta a las autoridades.
Conviene leer esas cifras con perspectiva. El titular de los 35 millones corresponde a usos vetados, como la manipulación subliminal o la puntuación social, que no son el escenario de una empresa normal. El escenario realista para la mayoría es el tramo intermedio: no tener el inventario, no haber clasificado los casos de uso, no haber formado a la plantilla o no poder acreditar quién supervisa las decisiones automatizadas.
¿Qué obligaciones tiene tu empresa mientras la ley no se aprueba?
Todas las del reglamento europeo que ya están vigentes, que no son pocas. Este es el punto donde más empresas se equivocan, porque leen «ley en tramitación» y concluyen que no hay nada que hacer.
- Prácticas prohibidas, vigentes desde el 2 de febrero de 2025. Si tu organización usa alguno de los sistemas vetados del artículo 5, el incumplimiento es actual.
- Alfabetización en IA, artículo 4, también desde el 2 de febrero de 2025. Hay que garantizar un nivel suficiente de conocimiento en quien usa estos sistemas. Es la obligación más incumplida del reglamento y la más fácil de acreditar con un plan de formación.
- Transparencia, artículo 50, desde el 2 de agosto de 2026. Hay que informar cuando alguien interactúa con un sistema de IA y etiquetar el contenido sintético.
- Modelos de propósito general, desde el 2 de agosto de 2025, con su propio régimen y supervisión europea.
Lo que sí se aplazó son las obligaciones de alto riesgo, y no por la ley española sino por el Reglamento (UE) 2026/1744, el Ómnibus Digital sobre IA, en vigor desde el 27 de julio de 2026: el Anexo III pasa a diciembre de 2027 y el Anexo I a agosto de 2028. Es una prórroga para prepararse, no una suspensión del reglamento.
¿Cómo conviene prepararse sin esperar al texto final?
Trabajando sobre lo que no va a cambiar. La ley española concretará autoridades, tramos y procedimiento, pero no va a alterar la clasificación por niveles de riesgo ni las obligaciones sustantivas, que son europeas. Todo lo que construyas sobre esa base sigue siendo válido cuando el texto se apruebe.
- Inventario. Qué sistemas de IA usa tu organización, quién los provee y en qué proceso intervienen. Incluyendo los que contrató un departamento sin avisar a nadie, que suelen ser la mitad.
- Clasificación. En qué nivel de riesgo cae cada caso de uso. Es lo que determina qué te aplica y lo que evita gastar en controles que no tocan.
- Formación. Plan de alfabetización con registro de asistencia, porque es obligación vigente y se acredita con documentos, no con intenciones.
- Gobernanza. Una persona responsable, una política de uso corta y ejecutable, y un criterio escrito de supervisión humana de las decisiones automatizadas.
Los cuatro pasos son los mismos que exige el Reglamento de IA y los mismos que pide la ISO 42001 si además quieres certificarlo. Encajan igualmente en el sistema de compliance que ya tengas montado, sin necesidad de crear una estructura paralela.
¿Qué papel tendrá la AESIA cuando la ley se apruebe?
Quedará como autoridad de vigilancia del mercado y punto de contacto único frente a la Comisión Europea y frente a las empresas. Ya ejerce competencias de supervisión e inspección desde 2025, así que la ley no la crea ni le da poderes de la nada: consolida su papel y ordena cómo convive con el resto de supervisores.
Porque no va a estar sola. El modelo previsto reparte competencias con autoridades sectoriales que ya supervisan sus ámbitos: protección de datos, supervisión financiera, mercados de valores, sanidad o seguridad de productos. Un sistema de IA usado por un banco para puntuar solvencia puede acabar mirado por más de una autoridad a la vez, cada una desde su norma. Para la empresa esto significa una cosa práctica: conviene saber de antemano quién es su supervisor natural y no descubrirlo con el primer requerimiento encima de la mesa. El detalle de competencias está en la ficha de la AESIA.
¿Qué son los entornos controlados de pruebas y por qué importan?
Son espacios donde una empresa puede desarrollar y validar un sistema de IA bajo supervisión de la autoridad, con acompañamiento técnico y con seguridad jurídica mientras dura la prueba. España lleva ventaja aquí: puso en marcha su entorno de pruebas antes de que el reglamento europeo lo exigiera, y esa experiencia es la que recoge ahora el proyecto de ley.
Interesan sobre todo a quien desarrolla sistemas que van a caer en alto riesgo y quiere contrastar su enfoque de conformidad antes de salir al mercado, evitando rehacer el trabajo después. Para una empresa que solo usa IA de terceros, el sandbox no es el camino: su ruta es el inventario, la clasificación y la supervisión humana, que no requieren permiso de nadie y sí requieren empezar. Ese trabajo encaja dentro del software para cumplimiento normativo que ya uses, sin montar una estructura aparte.
Preguntas frecuentes sobre la ley de IA en España
¿Cuándo entrará en vigor la ley española de inteligencia artificial?
No hay fecha cerrada. Está en tramitación parlamentaria y, al ser ley orgánica, requiere mayoría absoluta en el Congreso. Cualquier fecha que se dé hoy es una estimación, no un dato.
Si la ley no está aprobada, ¿puede sancionarme alguien?
Sí. El Reglamento europeo es de aplicación directa y la AESIA tiene potestad sancionadora plena desde el 2 de agosto de 2025. La ley española concretará el procedimiento y los tramos, pero la competencia para supervisar y sancionar ya existe.
¿Se llama Ley de IA o Ley de gobernanza de la IA?
Su denominación oficial es Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial. En prensa y en buscadores se la encuentra como ley de inteligencia artificial, que es el nombre corto de uso común.
¿Qué es el sandbox regulatorio de IA y a quién le interesa?
Es un entorno controlado donde desarrollar y validar un sistema de IA bajo supervisión de la autoridad, con acompañamiento y seguridad jurídica durante la prueba. Interesa sobre todo a quien desarrolla sistemas que van a caer en alto riesgo y quiere contrastar su enfoque antes de salir al mercado.
¿La ley española añade obligaciones nuevas a las empresas?
En lo sustantivo, no debería: las obligaciones sobre los sistemas de IA son europeas y uniformes. Lo que añade es la arquitectura nacional de supervisión, el detalle sancionador y los mecanismos de apoyo como los entornos de pruebas.
¿Afecta esto a una pyme que solo usa herramientas de IA de terceros?
Afecta. Usar un sistema de IA bajo tu propia autoridad te convierte en responsable del despliegue, con obligaciones propias de transparencia, supervisión humana y formación. Son más ligeras que las del proveedor, pero son exigibles y verificables.
Fuentes
- Reglamento (UE) 2024/1689, Reglamento de Inteligencia Artificial (EUR-Lex)
- Reglamento (UE) 2026/1744, Ómnibus Digital sobre IA (EUR-Lex)
- Real Decreto 729/2023, Estatuto de la AESIA (BOE)
- Dictamen 03/2026 del Consejo Económico y Social sobre el anteproyecto (CES)
