Ley española de IA: qué añade al reglamento europeo y en qué punto está
El Proyecto de Ley Orgánica para el buen uso y la gobernanza de la IA está en el Congreso desde junio de 2026. Qué regula, qué papel tiene la AESIA, qué sanciones prevé para pymes y por qué todavía no obliga a nadie.
España no tiene todavía una ley de IA aprobada. Lo que existe es el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial, aprobado por el Consejo de Ministros el 26 de mayo de 2026 y en tramitación en el Congreso desde el 12 de junio. Designa a la AESIA como autoridad de vigilancia y regula sanciones, sandbox y uso público.
En mayo de 2026 buena parte de la prensa española tituló lo mismo: «España aprueba su ley de inteligencia artificial». El titular es impreciso de una forma que importa.
Lo que se aprobó fue la remisión al Congreso de un proyecto de ley. La distinción no es un matiz de abogado: es la diferencia entre planificar con tiempo y reaccionar tarde.
¿Por qué España necesita una ley si el reglamento ya es aplicable?
Un reglamento europeo es directamente aplicable en todos los Estados miembros y no requiere transposición. Entonces, ¿para qué una ley nacional?
Porque el propio Reglamento (UE) 2024/1689 deja deliberadamente en manos de los Estados un conjunto de decisiones: qué autoridades supervisan, cómo se articula el procedimiento sancionador, cómo se organizan los espacios controlados de pruebas y qué reglas adicionales se aplican al sector público.
Hay además una razón jurídica más fina. Las prohibiciones del artículo 5 son aplicables desde febrero de 2025 y los techos sancionadores del artículo 99 desde agosto de 2025. Pero un régimen sancionador exige, por el principio de lex certa, una tipificación precisa en derecho interno. Entre la aplicabilidad del reglamento y la existencia de esa ley nacional ha quedado un espacio que este proyecto viene a cubrir.
El texto insiste en que no crea una regulación paralela al reglamento europeo: adapta el ordenamiento español a sus exigencias.
¿Qué regula el proyecto de ley? Los cuatro bloques
1. Gobernanza y vigilancia del mercado
El eje del sistema es la AESIA, la Agencia Española de Supervisión de la Inteligencia Artificial, con sede en A Coruña. El proyecto la designa autoridad de vigilancia de mercado para la mayoría de sistemas de IA y punto de contacto único ante la Comisión Europea.
No es la única. Cuando un producto ya está regulado por normativa sectorial, se mantienen las autoridades notificantes y de vigilancia hoy competentes. En la práctica el mapa queda repartido, con intervención también de la AEPD en biometría y protección de datos, del Banco de España, la CNMV, la CNMC o el CGPJ según el ámbito.
Para una empresa la consecuencia es simple: identificar cuál es tu autoridad no siempre es evidente, y depende del sector antes que de la tecnología.
2. Espacios controlados de pruebas (sandbox)
España fue pionera en Europa con su sandbox de IA. El proyecto consolida el marco: entornos supervisados donde desarrolladores y desplegadores validan sistemas —especialmente de alto riesgo— bajo acompañamiento de la autoridad, antes de comercializarlos. Para quien esté construyendo un sistema del Anexo III es una vía razonable de reducir incertidumbre.
3. Buen uso de la IA en el sector público estatal
Obligaciones específicas para la Administración General del Estado: inventario público de sistemas de IA en uso, exigencias de supervisión humana y criterios de transparencia sobre cómo se emplea la IA en la actividad administrativa. Interesa especialmente a quien contrata con el sector público.
4. Régimen sancionador
El proyecto desarrolla la tipificación de infracciones por incumplimiento del reglamento europeo. Dos elementos merecen atención:
- Criterios específicos para pymes, que modulan las sanciones en función del tamaño de la empresa.
- Mecanismos de reducción vinculados a la colaboración y a la corrección de la conducta.
Los techos siguen siendo los europeos: hasta 35 millones de euros o el 7 % del volumen de negocio mundial anual para las prácticas prohibidas, con escalones inferiores para el resto de infracciones. Es una escala muy distinta de las sanciones LISOS por registro horario, con las que conviene no confundirla.
Las prohibiciones que España añade al debate
Uno de los elementos que más atención mediática recibió es la prohibición expresa de determinadas prácticas especialmente lesivas, entre ellas la creación de deepfakes sexuales sin consentimiento y la generación de material de abuso sexual infantil mediante IA.
Conviene entender bien el plano: parte de estas conductas ya tienen encaje penal en España. Lo que aporta el proyecto es articular la respuesta administrativa y de supervisión de mercado sobre los sistemas que las posibilitan. Confundir ambos planos lleva a conclusiones erróneas, como pensar que bastaría con etiquetar esas imágenes como artificiales para cumplir la norma.
¿Qué significa esto para tu empresa?
A corto plazo, poco. Lo que te obliga hoy es el reglamento europeo, no este proyecto. Las prohibiciones, la alfabetización en IA y las obligaciones de transparencia se cumplen con independencia del punto de la tramitación: los plazos concretos están en qué te obliga el reglamento de IA el 2 de agosto de 2026.
A medio plazo, tres cosas:
- Sabrás a quién responder. Cuando la ley se apruebe, el mapa de autoridades quedará fijado y con él los procedimientos de inspección.
- El régimen sancionador ganará precisión, y con ella exigibilidad práctica.
- Habrá una vía formal de validación previa vía sandbox para quien desarrolle sistemas de alto riesgo.
Si gestionas personal, el bloque que más te afecta es el de empleo del Anexo III: lo desarrollamos en IA en RRHH y alto riesgo. Y si te preguntas cómo encaja todo esto con la normativa de fichaje que sí te obliga hoy, empieza por el estado del Real Decreto de registro horario digital.
Lo que conviene hacer ahora es exactamente lo mismo que si la ley ya estuviera en el BOE: inventariar tus sistemas de IA, descartar lo prohibido, formar a tu equipo y documentarlo. Ninguna de esas tareas se ahorra esperando a la tramitación parlamentaria.
Cumplimiento que no depende de la tramitación
Control Horario Legal cubre el registro de jornada conforme al RDL 8/2019 y a los requisitos del Real Decreto de fichaje digital: sellado temporal, hash encadenado, auditoría de cambios y conservación de cuatro años. Sin decisiones automatizadas sobre personas.
Pruébalo gratis 30 días →Preguntas frecuentes
¿España ya tiene una ley de inteligencia artificial?
No. El 26 de mayo de 2026 el Consejo de Ministros aprobó la remisión al Congreso del Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial, publicado en el Boletín Oficial de las Cortes Generales el 12 de junio de 2026. Es un proyecto en tramitación parlamentaria: todavía puede enmendarse, todavía no está en el BOE y todavía no obliga a nadie.
¿Para qué sirve una ley española si el reglamento europeo ya es aplicable?
Porque el Reglamento (UE) 2024/1689 deja en manos de cada Estado un conjunto de decisiones: qué autoridades supervisan, cómo se articula el procedimiento sancionador, cómo se organizan los espacios controlados de pruebas y qué reglas adicionales se aplican al sector público. Además, un régimen sancionador exige una tipificación precisa en derecho interno.
¿Qué es la AESIA?
La Agencia Española de Supervisión de la Inteligencia Artificial, con sede en A Coruña. El proyecto de ley la designa autoridad de vigilancia de mercado para la mayoría de sistemas de IA y punto de contacto único ante la Comisión Europea y el resto de Estados miembros.
¿Qué sanciones prevé la ley española de IA?
El proyecto desarrolla la tipificación de infracciones por incumplimiento del reglamento europeo e incorpora criterios específicos para pymes y mecanismos de reducción de sanciones. Los techos siguen siendo los europeos: hasta 35 millones de euros o el 7 % del volumen de negocio mundial anual para las prácticas prohibidas.
¿Qué es el sandbox de IA?
Un espacio controlado de pruebas: un entorno supervisado por la autoridad donde desarrolladores y desplegadores pueden validar sistemas de IA, especialmente de alto riesgo, antes de su comercialización. España fue pionera en Europa y el proyecto de ley consolida su marco.
Última actualización: 20 de julio de 2026. La tramitación parlamentaria puede modificar el contenido del proyecto. Este artículo tiene fines informativos y no constituye asesoramiento legal.