El 26 de mayo de 2026 el Consejo de Ministros aprobó el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial y acordó su remisión a las Cortes Generales. Es la pieza que faltaba: el Reglamento (UE) 2024/1689 —el AI Act— dice qué hay que cumplir, pero deja en manos de cada Estado miembro decidir quién lo vigila, cómo se sanciona y dónde se puede probar un sistema antes de sacarlo al mercado.
Conviene empezar por lo que no ha pasado, porque en las siguientes semanas vas a leer titulares que lo cuentan mal: España no tiene todavía ley de inteligencia artificial. Lo aprobado es un proyecto de ley que ahora entra en tramitación parlamentaria y que puede cambiar —en su articulado, en sus plazos y en sus cuantías— antes de convertirse en norma. Nada de lo que contiene te obliga hoy por el hecho de haberse aprobado en Consejo de Ministros.
Dicho eso, el proyecto sí te dice una cosa muy útil desde hoy: a qué puerta vas a llamar. Y eso, para una pyme que ya usa IA, vale más que la ley entera.
Este artículo describe un proyecto de ley en tramitación, no una norma vigente. Cualquier afirmación sobre su contenido está sujeta a lo que finalmente aprueben las Cortes. Lo que sí es derecho aplicable hoy es el Reglamento (UE) 2024/1689, y a eso dedicamos la parte práctica.
Qué se aprobó exactamente (y qué no significa)
El acuerdo del Consejo de Ministros del 26 de mayo hace tres cosas concretas:
- Aprueba el texto del Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial.
- Acuerda su remisión a las Cortes Generales, donde seguirá el trámite ordinario: enmiendas, comisión, pleno del Congreso, Senado y, si prospera, publicación en el BOE.
- Designa el reparto de autoridades que ejecutarán en España el Reglamento europeo.
Que sea una ley orgánica no es un detalle menor: implica mayoría absoluta en el Congreso para su aprobación, porque afecta a derechos fundamentales. Traducido a calendario real: esto no se resuelve en un mes.
Lo que no significa: que existan obligaciones nuevas exigibles desde hoy en España, que AESIA pueda sancionarte con un régimen que aún no está en vigor, ni que cambien tus obligaciones europeas —el AI Act se aplica por sí mismo, con su propio calendario, que sigue igual—.
Un reglamento europeo es directamente aplicable sin necesidad de transposición. La ley española no "trae" el AI Act a España: el AI Act ya está aquí. Lo que hace la ley nacional es organizar quién lo supervisa y con qué consecuencias, que es justo lo que un reglamento deja al Estado miembro.
Los cuatro bloques del proyecto
El texto se organiza en cuatro grandes bloques. Merece la pena leerlos por lo que anticipan, no por lo que obligan todavía.
1. Gobernanza y vigilancia de mercado
Designa las autoridades competentes para vigilar el cumplimiento del Reglamento en España y reparte las competencias por sector. Es el bloque más relevante para una empresa privada y lo desarrollamos en la tabla del siguiente apartado.
2. Espacios controlados de pruebas (sandboxes)
Da cobertura legal estable a los entornos donde una empresa puede probar un sistema de IA bajo supervisión de la autoridad, con acompañamiento regulatorio y sin exponerse al riesgo de estar incumpliendo mientras aprende. España ya ha ejecutado una primera convocatoria; volvemos sobre ello más abajo porque es, con diferencia, la parte más aprovechable para una pyme técnica.
3. Buen uso de la IA en el sector público estatal
Aquí es donde el proyecto va más allá del Reglamento europeo. Prevé para la Administración General del Estado:
- Un inventario obligatorio de los sistemas de IA que utiliza.
- La designación de delegados de inteligencia artificial en los organismos públicos, con una función análoga a la que el DPO tiene en protección de datos.
- Un principio destacado expresamente en la referencia oficial del Consejo de Ministros: los sistemas de IA no pueden tomar decisiones relevantes sin intervención o control humano, con mención específica a administración pública, justicia y educación.
4. Régimen sancionador
Tipifica las infracciones y fija las cuantías con las que se ejecutará en España el régimen del Reglamento. Es la parte que más titulares genera y la que con más cuidado hay que leer, por los motivos que explico al final.
Si tu empresa vende software a la administración pública, el bloque 3 es tu bloque, aunque hable del sector público y tú seas proveedor privado. Un inventario obligatorio de sistemas de IA en un organismo significa que tu producto acabará descrito en una ficha: finalidad, categoría de riesgo, datos que trata, mecanismo de supervisión humana. Ir teniendo esa ficha preparada te ahorrará responder a contrarreloj en el siguiente pliego.
El mapa de autoridades: a qué puerta llamas
Este es el contenido con más valor práctico inmediato del proyecto. Hasta ahora, la pregunta "¿quién me supervisa la IA en España?" tenía una respuesta borrosa. El reparto propuesto es este:
| Autoridad | Ámbito que le corresponde | Qué le llevas |
|---|---|---|
| AESIA (Agencia Española de Supervisión de la IA), sede en A Coruña | Vigilancia de mercado para la mayoría de sistemas de IA y punto de contacto único con la Comisión Europea y con el resto de Estados miembros | Clasificación de riesgo de tu sistema, conformidad de sistemas de alto riesgo, incidentes graves, dudas generales sobre el AI Act |
| AEPD (Agencia Española de Protección de Datos) | Datos personales y sistemas biométricos | Todo lo que implique tratamiento de datos personales, identificación o categorización biométrica, brechas de seguridad |
| Banco de España | Sistemas de IA en entidades de crédito bajo su supervisión | Scoring, antifraude o automatización en entidades financieras supervisadas |
| CNMV | Sistemas de IA en el ámbito de los mercados de valores | IA aplicada a servicios de inversión en entidades supervisadas |
| CGPJ (Consejo General del Poder Judicial) | Sistemas de IA en la Administración de Justicia | IA usada en el ámbito judicial |
| Dirección General de IA | Autoridad notificante | Designación y supervisión de los organismos de evaluación de la conformidad |
La lógica del reparto es sencilla: AESIA es la puerta por defecto, y las autoridades sectoriales se quedan lo que ya supervisaban antes de que existiera la IA. Un banco no va a tener dos supervisores para el mismo scoring crediticio; lo lleva quien ya le supervisa el crédito.
Cuándo se solapan AESIA y AEPD (que es casi siempre)
Este es el punto que más confusión genera en la práctica, así que conviene fijarlo. No son competencias alternativas, son competencias acumulativas. Un mismo sistema puede —y normalmente va a— responder ante las dos por cosas distintas:
- Un sistema de cribado de currículums es alto riesgo por el Anexo III del AI Act (empleo) → eso es terreno de AESIA.
- Ese mismo sistema trata datos personales de candidatos y probablemente hace decisiones automatizadas en el sentido del art. 22 del RGPD → eso es terreno de la AEPD.
Cumplir con una no te exime de la otra, y las dos preguntan por cosas parecidas con vocabulario distinto. El AI Act te pedirá la evaluación de impacto en derechos fundamentales (FRIA); el RGPD te pedirá la evaluación de impacto en protección de datos (EIPD/DPIA). Son documentos distintos, con solapamiento real, y lo eficiente es construirlos sobre el mismo inventario en lugar de mantener dos universos paralelos.
Un error frecuente: creer que "como esto es IA, ya lo lleva AESIA y la AEPD queda fuera". Es exactamente al revés. Hoy, en mayo de 2026, la AEPD ya tiene régimen sancionador plenamente operativo y una actividad inspectora intensa; el régimen nacional de IA todavía es un proyecto. Si tu sistema toca datos personales, el riesgo regulatorio más inmediato sigue siendo el RGPD, no el AI Act.
Qué te obliga ya hoy, 27 de mayo de 2026
Con todo el ruido de la ley española, lo importante se pierde: hay obligaciones europeas vigentes desde hace más de un año que la mayoría de pymes no ha tocado. Estas sí son exigibles hoy.
1. Prácticas prohibidas (desde el 2 de febrero de 2025)
El art. 5 del AI Act veta ciertos usos en toda la UE. Los que más aparecen en empresas normales, sin que nadie sea consciente:
- Inferencia de emociones en el lugar de trabajo o en centros educativos, salvo razones médicas o de seguridad. Aparece en software de contact center que "mide el sentimiento del agente", y en herramientas de análisis de videoentrevistas.
- Categorización biométrica para deducir raza, opiniones políticas, afiliación sindical, religión u orientación sexual.
- Social scoring de personas físicas con efectos perjudiciales.
- Raspado masivo no dirigido de imágenes faciales para construir bases de reconocimiento facial.
Si algo de esto está en tu stack, no hay plan de adecuación que valga: hay que retirarlo.
2. Alfabetización en IA (art. 4, desde el 2 de febrero de 2025)
Esta es la obligación más ignorada y, a la vez, la más barata de cumplir de todo el marco. El art. 4 obliga a proveedores y responsables del despliegue a garantizar un nivel suficiente de alfabetización en IA entre su personal y entre quienes operan los sistemas en su nombre.
No exige un máster ni una certificación. Exige que la gente que usa IA en tu empresa entienda qué está usando, qué puede salir mal y cuándo tiene que parar y preguntar. Y aplica a todas las empresas que usen IA profesionalmente, con independencia del nivel de riesgo del sistema.
Un programa mínimo defendible cabe en una tarde:
- Sesión formativa de 60-90 minutos por perfil: qué es un LLM y qué no, qué es una alucinación, qué datos no se pegan nunca en un chat, qué decisiones no puede tomar la máquina sola.
- Un documento interno de una página con las reglas de uso: herramientas autorizadas, datos prohibidos, obligación de revisión humana, a quién se escala una duda.
- Registro de asistencia con fecha, nombres y contenido impartido. Sin registro, ante una autoridad, la formación no ha existido.
- Repetición anual y al incorporarse personal nuevo.
La alfabetización en IA es la única obligación del AI Act que puedes cumplir esta semana, con recursos propios, sin consultoría y sin tocar una línea de código. Es también la primera que una autoridad te va a pedir acreditar, porque es trivial de comprobar: o hay registro de formación, o no lo hay.
3. Modelos de propósito general (GPAI, desde el 2 de agosto de 2025)
Si integras un GPAI de un tercero en tu producto, tienes obligaciones de transparencia y de cooperación con el proveedor. Si proporcionas un GPAI propio —o modificas sustancialmente uno ajeno hasta el punto de asumir el rol de proveedor—, entras en documentación técnica, política de derechos de autor y resumen del contenido de entrenamiento.
4. Lo que llega el 2 de agosto de 2026
Dentro de poco más de dos meses arranca la aplicación general del Reglamento, incluidas las obligaciones para los sistemas de alto riesgo del Anexo III. Si tu empresa hace scoring crediticio, cribado de candidatos, evaluación del desempeño, detección de fraude en seguros o triaje, ese es tu horizonte real, y no la tramitación de la ley española.
El desglose completo de categorías, roles y obligaciones está en nuestra guía anterior: AI Act europeo: checklist para saber si tu empresa está obligada a cumplir.
Los sandboxes: la puerta de entrada práctica
De los cuatro bloques del proyecto, el de los espacios controlados de pruebas es el que más valor directo tiene para una empresa técnica, y el único con recorrido demostrado en España.
La primera convocatoria del sandbox español de IA estuvo abierta del 23 de diciembre de 2024 al 23 de enero de 2025. Se presentaron 44 solicitudes y se seleccionaron 12 sistemas, con un programa de un año estructurado en tres fases. Es un dato que conviene leer con calma: la tasa de admisión rondó una de cada cuatro solicitudes, y el compromiso no es rellenar un formulario, es un año de trabajo con la administración.
Qué obtienes al entrar: acompañamiento regulatorio mientras desarrollas —cómo se aplica el Reglamento a tu caso concreto, en lugar de deducirlo tú y cruzar los dedos—, documentación de conformidad construida sobre la marcha (justo el expediente que después te van a pedir) y señal de credibilidad frente a clientes regulados y en licitaciones públicas.
Qué no obtienes: inmunidad. Un sandbox no suspende el RGPD ni las prácticas prohibidas. Es un entorno supervisado, no un espacio sin ley.
Aunque no vayas a presentarte, merece la pena seguir las publicaciones del sandbox. La documentación que genera —criterios de clasificación, plantillas de evaluación de riesgos, requisitos de supervisión humana— es la interpretación oficial española de un Reglamento que, en muchos puntos, admite lecturas. Es la mejor referencia gratuita disponible sobre qué va a considerar aceptable la autoridad.
Qué conviene ir documentando desde ya
Independientemente de cómo acabe la ley en las Cortes, hay tres artefactos que te van a pedir sí o sí —AESIA, AEPD, tu cliente corporativo o el pliego de una licitación—. Construirlos ahora cuesta días; construirlos con una inspección encima cuesta semanas y credibilidad.
1. Inventario de sistemas de IA en uso
Una sola tabla, viva, con todo lo que use IA en tu empresa, incluido lo embebido en SaaS de terceros y el shadow AI que tus equipos usan sin control central. Columnas mínimas:
- Nombre del sistema, proveedor y versión.
- Finalidad y departamento que lo usa.
- Categoría de riesgo del AI Act y rol de tu empresa (proveedor, responsable del despliegue, importador o distribuidor).
- ¿Trata datos personales? Enlace a la entrada del registro de actividades del RGPD.
- Responsable interno asignado.
- Fecha de la última revisión.
El proyecto de ley obliga a la Administración a mantener un inventario de sus sistemas. Que la obligación formal recaiga hoy sobre el sector público no cambia el hecho de que es el documento del que cuelga todo lo demás, también en una empresa privada.
2. Clasificación de riesgo por sistema
Para cada línea del inventario, una decisión razonada y fechada: prohibido, alto riesgo, riesgo limitado o mínimo, con la referencia al artículo o anexo en el que te apoyas. Lo importante no es acertar a la primera; es que exista un criterio documentado y revisable. Una clasificación argumentada que resulte discutible se defiende. Una ausencia de clasificación, no.
3. Responsable asignado
Alguien con nombre y apellidos a cargo del cumplimiento en materia de IA: DPO, responsable de compliance, CTO o un comité mixto. El proyecto de ley prevé delegados de IA en el sector público estatal, y esa figura tiende a propagarse hacia abajo por la vía contractual —igual que el DPO acabó apareciendo en los pliegos de proveedores que no estaban obligados a tenerlo—.
Si además ya llevas el registro de actividades de tratamiento del RGPD, engánchalo: una entrada del inventario de IA debe poder cruzarse con su entrada de RGPD. Es el trabajo que evita mantener dos verdades distintas sobre el mismo sistema. Sobre por qué la AEPD es hoy el riesgo más tangible, tienes los números en qué dicen 30.931 reclamaciones sobre dónde falla tu empresa.
Sobre las sanciones: leer los titulares con pinzas
El proyecto incluye un régimen sancionador. Las cuantías que están circulando estos días en medios y notas de análisis —del orden de decenas de millones de euros o un porcentaje del volumen de negocio mundial para las infracciones muy graves, y del orden de cientos de miles de euros o una fracción de punto porcentual para las leves— proceden de fuentes secundarias, no de una lectura directa del articulado publicado.
Tres cautelas:
- Son las cuantías previstas en el proyecto, y un proyecto de ley se enmienda. Hasta la publicación en el BOE, cualquier tabla de multas es provisional.
- Los órdenes de magnitud altos son coherentes con los topes del propio Reglamento europeo (art. 99), que ya fija hasta 35 millones de euros o el 7 % del volumen de negocio mundial para las prácticas prohibidas. Es decir: la exposición máxima no la inventa la ley española, la hereda.
- Para pymes y startups, el AI Act prevé que se aplique el menor de los dos importes (art. 99.6). Sigue siendo dinero suficiente para cerrar una empresa mal preparada.
No construyas la presentación interna de tu proyecto de cumplimiento sobre una tabla de multas sacada de un titular. Si alguien en tu comité pregunta "¿cuánto nos pueden multar?", la respuesta honesta hoy es: los topes europeos ya son derecho aplicable; las cuantías nacionales están en tramitación. Lo primero basta de sobra para justificar el trabajo.
Checklist: qué hacer en las próximas cuatro semanas
Ordenado por relación entre esfuerzo y riesgo evitado.
- Revisa las prácticas prohibidas contra tus herramientas actuales, con foco en análisis de emociones en contact center, videoentrevistas y cualquier categorización biométrica. Es lo único que exige retirada inmediata. (1 día)
- Monta el programa de alfabetización en IA: sesión por perfil, documento de una página con las reglas de uso y registro de asistencia firmado. Es la obligación vigente más barata y la más fácil de acreditar. (2-3 días)
- Levanta el inventario de sistemas de IA, incluidos los embebidos en SaaS y el shadow AI. Empieza por RRHH: el cribado de CVs y la evaluación del desempeño caen en alto riesgo por el Anexo III y son los que más pasan desapercibidos. (3-5 días)
- Clasifica el riesgo de cada sistema y anota tu rol respecto al AI Act, con la referencia normativa y la fecha de la decisión. (2 días)
- Asigna un responsable con nombre y apellidos y una fecha de revisión trimestral. (1 hora)
- Cruza el inventario de IA con tu registro RGPD y marca los sistemas donde AESIA y AEPD van a solaparse. Esos son los que necesitan documentación doble. (1 día)
- Revisa los contratos con proveedores de IA: categoría de riesgo del sistema, compromiso de cumplimiento del AI Act, cooperación ante incidentes y acceso a documentación técnica. (según cartera)
- Si tu roadmap incluye un sistema de alto riesgo, evalúa el sandbox como vía de entrada y sigue sus publicaciones aunque no te presentes.
- Pon una alerta sobre la tramitación parlamentaria, pero no paralices nada esperándola. Lo que te obliga hoy no depende de ella.
Si a 2 de agosto de 2026 tienes inventario, clasificación de riesgo, formación registrada y un responsable asignado, llegas a la aplicación general del Reglamento en posición defendible —y con el 80 % del trabajo hecho para cuando la ley española entre en vigor, diga lo que diga su redacción final—. Todo lo de esta lista es útil en los dos escenarios: es trabajo que no se tira.
Fuentes
- Referencia del Consejo de Ministros de 26 de mayo de 2026: lamoncloa.gob.es
- Nota de prensa del Ministerio para la Transformación Digital y de la Función Pública: digital.gob.es
- Reglamento (UE) 2024/1689 (AI Act), en particular arts. 4, 5, 6, 50, 73 y 99, y Anexo III.
Aviso legal: este artículo es informativo y describe un proyecto de ley en tramitación parlamentaria a 27 de mayo de 2026. No sustituye al asesoramiento jurídico personalizado.
¿Necesitas ayuda con la parte técnica?
En Lin-ia ayudamos a empresas asturianas y del resto de España con el lado técnico de esto: inventario real de sistemas de IA (incluido el que nadie ha declarado), clasificación de riesgo, trazabilidad y logs, mecanismos efectivos de supervisión humana y despliegues que ayudan a cumplir el RGPD manteniendo los datos dentro de la UE.
Si quieres una revisión de dónde tienes huecos, escríbenos a info@lin-ia.es. También puedes leer nuestra checklist del AI Act europeo o la guía de IA on-premise sin enviar datos fuera de la UE.
