La Ley de Gobernanza de la IA llega al Parlamento: lo que necesitas saber

Por Conrado Moreno Bardisa, socio director

El Consejo de Ministros aprobó el pasado 26 de mayo de 2026 el Proyecto de
Ley Orgánica para el buen uso y la gobernanza de la Inteligencia Artificial para
adaptar al ordenamiento jurídico español el Reglamento (UE) 2024/1689.

El punto de partida: el Reglamento europeo de IA (RIA). El Reglamento de
IA (RIA) es una regulación uniforme y de directa aplicación en toda la UE,
orientada a proteger los derechos fundamentales de la ciudadanía mediante un
enfoque basado en el nivel de riesgo de los sistemas, y cuyo objeto es mejorar
el funcionamiento del mercado interior y promover una IA fiable y centrada en
el ser humano, enfoque que se traduce en prohibiciones de determinadas
prácticas, requisitos específicos para los sistemas de alto riesgo, normas de
transparencia y normas para los modelos de IA de uso general.

Las 5 claves del Proyecto: vigilancia, prohibiciones, régimen sancionador,
novedades para el sector público y sandboxes (espacios seguros).

1. ¿Quién vigila qué? El mapa de autoridades. El Proyecto crea un
sistema descentralizado de supervisión. En síntesis:

 Los productos ya regulados por normas sectoriales —como maquinaria,
juguetes, vehículos o productos sanitarios— mantendrán su misma
autoridad notificante y de vigilancia del mercado.
 El resto de sistemas no regulados por legislación de producto —como
los relativos al empleo, biometría o educación— se atribuyen
principalmente a la AESIA (Agencia Española de Supervisión de
Inteligencia Artificial), así como a la AEPD y el CGPJ, en función del
ámbito a supervisar.
 Se designa a la AESIA como punto de contacto único, ejerciendo la
interlocución institucional y la coordinación general de las actuaciones
de las autoridades de vigilancia del mercado en sus relaciones con la
Comisión Europea.

La norma deberá establecer también mecanismos para garantizar la adecuada
coordinación de las actuaciones de la AESIA con todas aquellas autoridades
nacionales, económicas, laborales o sociales, que tienen competencias en la
materia en sus ámbitos regulatorios específicos.

2. ¿Qué está prohibido? A iniciativa de España, con el apoyo de Francia, el
pasado 7 de mayo la UE acordó añadir dos sistemas prohibidos, entre ellos la
prohibición en todo el territorio comunitario de los sistemas de IA que generen
deepfakes sexuales. Otros ejemplos de sistemas prohibidos son los que:

 Usan técnicas subliminales para manipular decisiones sin
consentimiento, causando un perjuicio considerable a la persona.
 Clasifican con biometría a las personas por raza u orientación política,
religiosa o sexual.
 Puntúan a individuos o grupos basándose en comportamientos sociales
o rasgos personales como método de selección para, por ejemplo,
denegarles la concesión de subvenciones o préstamos.

3. ¿Cuáles son las sanciones? Las infracciones se clasifican en muy graves,
graves y leves, garantizando la proporcionalidad. Los límites máximos son:

• Muy graves (prácticas
  prohibidas): Hasta 35.000.000 € o el 7% del volumen de negocio

mundial

• Muy graves (otras) :Hasta 15.000.000 € o el 3% del volumen de negocio

mundial

• Graves: Hasta 7.500.000 € o el 1% del volumen de negocio

mundial

• Leves: Hasta 500.000 € o el 0,5% del volumen de negocio

mundial

El texto proporciona flexibilidad para las autoridades en la aplicación de las
sanciones, adaptándolas a la gravedad, intencionalidad o reincidencia, e
incorpora mecanismos que priorizan la corrección frente a la penalización,
como las reducciones de sanción por pronto pago, con consideración
específica del tamaño empresarial para proteger a pymes y startups.

Para las entidades públicas, el régimen es diferente: cuando una entidad del
sector público cometiera alguna de las infracciones recogidas en la ley, la
autoridad de vigilancia del mercado dictará resolución declarando la infracción
y apercibiendo a la entidad, excluyendo la imposición de multas
administrativas.

4. Novedades para el sector público. Más allá del RIA, el Proyecto introduce
la creación de un inventario de sistemas de IA utilizados en procedimientos
administrativos —no solo para sistemas de alto riesgo— y establece la figura
del delegado de IA, encargado de coordinar la aplicación normativa y asesorar
en proyectos y contratación pública, ambos a desarrollar por Real Decreto.
Entre las competencias del delegado de IA se incluirá el asesoramiento en la
realización de evaluaciones de impacto que determinen el posible sesgo
discriminatorio, así como las evaluaciones de impacto en derechos
fundamentales recogidas en el artículo 27 del RIA.

5. Los sandboxes: innovar con seguridad. El tercer capítulo de la ley regula
el establecimiento de espacios controlados de pruebas para la IA, fomentando
la innovación y facilitando el desarrollo, las pruebas y la validación de sistemas
de IA innovadores antes de su comercialización.

En la coordinación de estos espacios deberá incluirse a las autoridades
responsables de definir las políticas públicas en los sectores que abarquen y,
en su caso, a las autoridades encargadas de proteger los derechos
fundamentales relacionados.

¿Qué deben hacer las organizaciones ahora? Con el Proyecto en
tramitación parlamentaria, conviene anticiparse. Las prioridades más urgentes
son:

 Mapear riesgos. Inventariar los sistemas de IA en uso y clasificarlos
conforme al RIA.
 Reforzar la supervisión humana. El RIA impone la obligación de
encomendar la supervisión humana del sistema a personas con la
adecuada competencia, formación y autoridad.
 Preparar la gobernanza interna. Políticas, roles y controles de acceso
a datos y modelos.
 Valorar el uso de sandboxes. Especialmente para sistemas de alto
riesgo que aún no han sido desplegados.

Si bien es un punto de partida en la trasposición de la normativa europea,
habrá que estar pendientes del trámite parlamentario, donde seguro se
introducirán novedades de cierto calado, o se incluyen recomendaciones
efectuadas por el Consejo Económico y Social, Órgano Consultivo al
Anteproyecto que ya ha valorado algunas carencias.