Actualización del 13 de octubre de 2026. Este artículo se publicó cuando el proyecto de ley estaba recién remitido a las Cortes. Desde entonces la tramitación ha terminado sin que la norma se apruebe: la ficha del Congreso da el proyecto por concluido y caducado el 6 de octubre de 2026. Hemos revisado el texto entero para que quede claro qué era una previsión del proyecto y qué te obliga de verdad hoy, que es el reglamento europeo. Lo que viene a continuación sigue siendo útil porque la próxima versión de la ley partirá casi con seguridad de este texto.
Definición. No hay ley de IA española. Lo que hubo fue un proyecto de ley orgánica, aprobado en Consejo de Ministros el 26 de mayo de 2026 y caducado en el Congreso el 6 de octubre de 2026, que encargaba la supervisión a la AESIA, con sede en A Coruña, y que habría obligado a quien usa IA a mantener supervisión humana y a etiquetar el contenido generado con IA.
Mientras casi todo el mundo seguía hablando del reglamento europeo, España intentó aprobar su propia ley de IA, y no lo consiguió. El 26 de mayo de 2026, el Consejo de Ministros dio luz verde al proyecto de Ley Orgánica para el buen uso y la gobernanza de la Inteligencia Artificial. Apenas nadie ha explicado esta ley de IA en cristiano para quien dirige una empresa y no es jurista.
Así que vamos al grano, y conviene separar dos planos. El proyecto español traía una autoridad con nombre y sede y unas multas con cifras concretas, y ha caducado sin llegar a ser ley. El reglamento europeo, en cambio, ya te obliga, fabriques o no inteligencia artificial. En este artículo traducimos qué preveía el proyecto, porque volverá, y qué te toca hacer hoy.
Importante: esto es divulgación, no asesoramiento jurídico. Y todo lo que cuenta este artículo sobre la norma española es lo que preveía un proyecto de ley que ha caducado: nada de ello es derecho vigente ni sanciona a nadie hoy.
¿Qué se ha aprobado exactamente (y qué no)?
El Gobierno aprobó el proyecto de ley y lo remitió a las Cortes, que lo tuvieron en fase de enmiendas en la Comisión de Economía, Comercio y Transformación Digital hasta que la iniciativa decayó. A 13 de octubre de 2026 la ficha de tramitación del Congreso la da por concluida y caducada, y no hay nada publicado en el BOE. Dicho de otro modo: no hay ley, no hay régimen sancionador español y conviene no confundir el titular con la realidad jurídica.
La norma no inventa reglas de la nada. Desarrolla y aterriza en España el reglamento europeo de IA, conocido como AI Act. Si quieres el contexto europeo de fondo, lo explicamos en nuestra guía sobre qué es el AI Act de la Unión Europea y a quién aplica. La ley española añade lo que el reglamento dejaba en manos de cada país: quién vigila y cómo se sanciona.
¿Quién vigila el cumplimiento de la ley de IA: AESIA y qué otras autoridades?
La Agencia Española de Supervisión de la Inteligencia Artificial (AESIA) existe desde 2023, tiene sede en A Coruña y España fue el primer país de la Unión Europea en crear una agencia estatal dedicada a esto. Lo que todavía no tiene es el encargo legal de vigilar el mercado y de sancionar: esa designación iba en el proyecto caducado. Hoy la AESIA acompaña y coordina, pero no multa.
Pero AESIA no está sola. El proyecto reparte la vigilancia según el ámbito de cada sistema. Conviene saber quién te puede mirar a ti:
- AESIA: autoridad central y de referencia para la mayoría de sistemas (empleo, educación y supervisión general del mercado, salvo los ámbitos atribuidos a otras autoridades).
- Banco de España: todo lo relacionado con el sistema financiero.
- Agencia Española de Protección de Datos (AEPD): lo relativo a datos personales y a usos biométricos.
- Consejo General del Poder Judicial (CGPJ): lo concerniente al ámbito de la justicia.
La consecuencia práctica de ese reparto, si la próxima ley lo mantiene, es sencilla: según el sector en el que uses IA, tu interlocutor puede no ser la AESIA. Conviene saberlo desde ya, porque hay una vigilancia que no depende de ninguna ley futura: la Agencia Española de Protección de Datos ya supervisa hoy todo lo que toque datos personales, con el Reglamento General de Protección de Datos en la mano.
¿Cuánto puede costarte incumplir la ley de IA? Las sanciones, en claro
Aquí es donde más conviene no confundirse. Las cifras que vienen no son multas vigentes: son las que preveía el proyecto caducado, y las dejamos porque la próxima versión partirá casi con seguridad de ellas. El proyecto graduaba las infracciones en tres niveles y para cada uno fijaba una horquilla:
| Gravedad | Multa | O porcentaje del volumen de negocio mundial |
|---|---|---|
| Muy grave | 7,5 M€ a 35 M€ | 2% a 7% |
| Grave | 500.000 € a 7,5 M€ | 1% a 2% |
| Leve | hasta 500.000 € | hasta 0,5% |
Hay un matiz que importa, y mucho, a las pymes, y este sí es derecho vigente: cuando la sanción puede expresarse como cantidad fija o como porcentaje, el artículo 99, apartado 6, del reglamento europeo manda aplicar a las pymes y a las empresas emergentes la menor de las dos magnitudes, que en una empresa pequeña es siempre el porcentaje. Es proporcionalidad, no exención: la obligación de cumplir sigue ahí.
¿Qué te obliga la ley de IA si la usas (aunque no la fabriques)?
Este es el punto que más empresas pasan por alto. El mito de "yo no desarrollo IA, así que esta ley de IA no va conmigo" es justo el error más caro. Si usas un agente, un asistente o cualquier sistema de IA en tu operativa, eres usuario a efectos legales y tienes deberes. Lo desarrollamos con detalle en qué te obliga el AI Act como «deployer» (y qué no). Dos destacan por encima del resto:
Supervisión humana. El proyecto exigía que hubiera una persona al mando de los sistemas relevantes, y el reglamento europeo la exige ya para los sistemas de alto riesgo. No vale dejar que la IA decida sola en cuestiones que afectan a personas. Por ejemplo, el proyecto contemplaría como infracción grave usar biometría para controlar la presencialidad de los empleados sin supervisión humana. Sobre cómo articular ese control en una pyme escribimos en cómo aplicar la gobernanza de IA en una empresa pequeña.
Etiquetado del contenido sintético. Este no espera a ninguna ley española: el artículo 50, apartado 4, del reglamento europeo ya te obliga, desde el 2 de agosto de 2026, a revelar las ultrasuplantaciones que generes o manipules con IA. El proyecto español añadía que no hacerlo sería infracción grave, y eso es lo que ha decaído, no la obligación. La norma busca cortar de raíz las ultrasuplantaciones, los llamados deepfakes, y obliga a identificar el contenido para que nadie se confunda.
¿Qué es el sandbox regulatorio de IA para pymes?
No todo son obligaciones. El proyecto daba carta permanente al entorno de pruebas controlado, el sandbox regulatorio operado por la AESIA, que España fue pionera en lanzar con el Real Decreto 817/2023 y con una vigencia limitada desde el origen. Esa figura no desaparece con el proyecto: el artículo 57 del reglamento europeo obliga a cada Estado a tener al menos un espacio controlado de pruebas operativo, y el Ómnibus movió esa fecha al 2 de agosto de 2027. Si eres una pyme que quiere ensayar un sistema de riesgo antes de salir al mercado, el sitio donde hacerlo seguirá existiendo; conviene confirmar en la AESIA en qué condiciones está abierto en cada momento.
Para una empresa pequeña esto es una oportunidad real. Te permite validar que cumples sin jugártela en producción, con el acompañamiento del propio supervisor. Si estás dando tus primeros pasos, encaja con lo que recomendamos en nuestra guía para saber qué obligaciones del AI Act siguen vigentes ya pese a los aplazamientos.
¿Qué hacer esta semana para prepararte, sin agobios?
Que la ley española haya caducado no te deja sin deberes: los del reglamento europeo corren desde el 2 de agosto de 2026. Y prepararse ahora sigue siendo barato. Estos tres pasos no requieren un equipo legal y te dejan en buena posición:
- Inventaría tu IA. Haz una lista de dónde usas inteligencia artificial hoy, incluyendo las herramientas que entraron por la puerta de atrás. Te sorprenderá lo que aparece.
- Pon un humano al mando. Define quién supervisa cada sistema que tome o sugiera decisiones sobre personas, y deja constancia de ello.
- Revisa tu contenido generado con IA. Si publicas imágenes, vídeos o textos creados con IA, prepara el etiquetado antes de que sea obligatorio.
Que España acabe teniendo su propia ley de IA no será una amenaza: será una hoja de ruta, y llegará. El reto, como casi siempre, no es legislar sino ejecutar, algo que analizamos en por qué España lidera en intención de IA pero falla en ejecución. Las empresas que entiendan pronto qué les toca llegarán con ventaja. Y como repetimos siempre, la clave no es la herramienta, sino el criterio humano que la gobierna. Para profundizar en el marco europeo del que parte todo, vuelve a nuestra guía sobre el AI Act explicado por niveles de riesgo.
Una norma voluntaria como la ISO 42001 puede ordenar tu gestión, pero no sustituye a la ley: qué pide y cuándo compensa.
Más guías sobre el AI Act y la ley española en toda nuestra cobertura de Normativa IA.