¿Puede la AESIA multarte hoy por el AI Act? La respuesta corta es no

TL;DR

• La AESIA existe desde septiembre de 2023, pero hoy no puede imponerte una multa por incumplir el Reglamento de Inteligencia Artificial. Le falta la ley que tipifique las infracciones.
• Esa ley es el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial (expediente 121/000096). Sigue en el Congreso: el plazo de enmiendas terminó el 2 de septiembre de 2026 y todavía no hay dictamen de comisión ni aprobación.
• Lo dice el propio proyecto: «únicamente una norma con rango de ley puede tipificar infracciones, graduar sanciones y atribuir competencias sancionadoras».
• Cuando se apruebe, las multas llegarán a 35 millones de euros o el 7 % de la facturación mundial. Para las pymes se aplicará la menor de las dos cifras, no la mayor.
• Que la AESIA no pueda multarte no significa que estés a salvo. Por los mismos usos de IA te puede sancionar hoy la AEPD (hasta 20 millones o el 4 % por el RGPD), la Inspección de Trabajo o las autoridades de consumo.
• Y el Reglamento europeo ya obliga, con multa española o sin ella: las prácticas prohibidas se aplican desde febrero de 2025 y las obligaciones de transparencia desde el 2 de agosto de 2026.

---

¿De dónde sale la idea de que la AESIA ya sanciona?

Si buscas «sanciones AI Act España» te vas a encontrar decenas de páginas afirmando que la Agencia Española de Supervisión de la Inteligencia Artificial lleva sancionando desde agosto de 2025, con tablas de multas y titulares del tipo «las empresas se enfrentan a 35 millones».

La cifra es real. El calendario, no.

El origen del malentendido es una fecha del Reglamento europeo: el 2 de agosto de 2025 empezó a aplicarse su capítulo XII, el de sanciones. Pero ese capítulo no sanciona a nadie. Lo que hace es ordenar a los Estados miembros que monten su propio régimen sancionador. España aún no lo ha montado.

Es una distinción aburrida y con consecuencias muy concretas: si un proveedor te está vendiendo urgencia con el argumento de que «la AESIA ya multa», te está vendiendo con un dato falso.

¿Qué es la AESIA y qué puede hacer exactamente?

La agencia se creó por el Real Decreto 729/2023, de 22 de agosto (BOE núm. 210, de 2 de septiembre de 2023), que aprueba su Estatuto. Entró en vigor el 3 de septiembre de 2023 y tiene su sede en A Coruña.

Sus funciones están en el artículo 10 del Estatuto. Ahí aparece, en el apartado 1.k), la referencia a la supervisión y a la potestad sancionadora. Y aparece con una coletilla decisiva: «de acuerdo con lo estipulado en la normativa europea».

Eso, en técnica jurídica, es una habilitación remisiva. El real decreto dice «la agencia sancionará conforme a lo que diga la norma correspondiente», pero no define ninguna infracción, ni fija ninguna cuantía, ni establece ningún procedimiento. No puede hacerlo: un real decreto es una norma reglamentaria y el artículo 25 de la Constitución exige rango de ley para tipificar infracciones administrativas.

Traducido: la AESIA tiene el cargo, la sede y el organigrama. No tiene el catálogo de infracciones.

¿Qué falta, entonces?

Falta el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial, que el Consejo de Ministros aprobó el 26 de mayo de 2026. Este es su recorrido real, comprobable en la ficha del expediente:

La Mesa encomendó el dictamen a la Comisión de Economía, Comercio y Transformación Digital. Mientras ese dictamen no exista, y después el debate en el Pleno, y después el Senado, y después la publicación en el BOE, no hay régimen sancionador.

El propio texto lo reconoce en su exposición de motivos, en la página 11: la ley es necesaria porque «únicamente una norma con rango de ley puede tipificar infracciones, graduar sanciones y atribuir competencias sancionadoras de conformidad con los principios de legalidad, proporcionalidad y seguridad jurídica».

Hay un detalle más que conviene conocer, porque marca el ritmo real. La disposición adicional segunda obliga al Gobierno a impulsar, en el plazo máximo de seis meses desde la entrada en vigor de la ley, otra norma que convierta a la AESIA en una entidad del artículo 84 de la Ley 40/2015, con personalidad jurídica propia y «plena independencia orgánica y funcional». Es decir: cuando la ley se apruebe, la agencia todavía tendrá que rehacerse por dentro.

Y la propia ley entrará en vigor el día siguiente al de su publicación en el BOE (disposición final octava). Sin vacatio legis, sin período de adaptación. El día que salga publicada, el catálogo de infracciones estará operativo.

¿De cuánto hablamos cuando la ley exista?

El artículo 30 del proyecto fija estos límites:

Ahora el matiz que casi nadie cuenta, y que cambia por completo la lectura si tienes una pyme. En la regla general se aplica la cifra mayor de las dos. Pero el artículo 30.8 del proyecto, siguiendo al artículo 99.6 del Reglamento europeo, establece que para las pymes y las empresas emergentes se aplicará la menor.

Para una empresa de 40 empleados que factura 6 millones, el 1 % de una infracción grave son 60.000 euros, no 7,5 millones. Sigue doliendo. Pero es una cifra de la que se puede hablar en un consejo de administración sin que la conversación se convierta en pánico.

Conviene añadir dos cosas más. La primera: además de la multa, el artículo 30.2 permite ordenar la retirada del producto o la desconexión del sistema de IA cuando la autoridad resuelva de forma motivada que hay riesgo inaceptable o grave. Para un negocio que ha metido IA en su operativa, apagarla puede costar más que la sanción. La segunda: el artículo 16 del proyecto tipifica como infracción grave, para cualquier operador, la resistencia u obstrucción ante una inspección. Es decir, la forma más fácil de convertir un expediente pequeño en uno caro es no colaborar.

¿Significa eso que el AI Act no se aplica en España?

No. El Reglamento (UE) 2024/1689 es un reglamento europeo: obliga directamente, sin necesidad de transposición. Lo que falta es la maquinaria española para castigar su incumplimiento, no la obligación.

Además, el calendario se ha movido este verano. El Reglamento (UE) 2026/1744, el llamado Ómnibus digital sobre IA, se publicó en el DOUE el 24 de julio de 2026 y está en vigor desde el 27 de julio. Retrasa buena parte de las obligaciones de alto riesgo. Este es el calendario actualizado:

Si tu empresa tiene un chatbot de atención al cliente, genera imágenes o textos con IA o usa reconocimiento de emociones, la fecha que te afecta es el 2 de agosto de 2026, no 2027. Las obligaciones de transparencia del artículo 50 no se han retrasado.

El Ómnibus también suavizó el artículo 4. Ya no exige «garantizar» la alfabetización en IA de tu plantilla, sino «adoptar medidas para apoyar» su promoción, y aclara expresamente que no obliga a alcanzar un nivel concreto en ninguna persona. Es una rebaja real de carga para las pymes.

Y hay una excepción a todo lo anterior: la Comisión Europea sí puede multar directamente, sin pasar por ninguna autoridad española, a los proveedores de modelos de IA de uso general, con hasta el 3 % de su facturación mundial o 15 millones de euros (artículo 101). Eso apunta a quien fabrica el modelo, no a la pyme que lo usa.

Entonces, ¿qué te puede caer hoy de verdad?

Aquí es donde la conversación se vuelve útil. Los usos de IA que más problemas dan en una pyme española ya están regulados por normas con régimen sancionador plenamente operativo:

La fila laboral merece un párrafo aparte, porque suele coger desprevenido. Desde la Ley 12/2021 (BOE núm. 233, de 29 de septiembre de 2021), el artículo 64.4 d) del Estatuto de los Trabajadores reconoce a la representación legal de las personas trabajadoras el derecho a «ser informado por la empresa de los parámetros, reglas e instrucciones en los que se basan los algoritmos o sistemas de inteligencia artificial que afectan a la toma de decisiones que pueden incidir en las condiciones de trabajo, el acceso y mantenimiento del empleo, incluida la elaboración de perfiles».

Esa obligación existe desde 2021, no depende del AI Act y no espera a ninguna ley orgánica. Si tienes comité de empresa o delegados de personal y has metido IA en selección, asignación de turnos o evaluación del desempeño sin informarles, ya estás en un incumplimiento actual.

El proyecto de ley, por cierto, no toca eso: su disposición adicional primera confirma expresamente que las funciones de la Inspección de Trabajo se mantienen intactas.

¿Y las guías de la AESIA? ¿Obligan?

La AESIA publicó el 16 de diciembre de 2025 un paquete de dieciséis guías prácticas, más un compendio de checklists: dos introductorias, trece técnicas (evaluación de conformidad, gestión de riesgos, vigilancia humana, gobernanza de datos, transparencia, precisión, solidez, ciberseguridad, registros, vigilancia poscomercialización, gestión de incidentes y documentación técnica) y un manual de uso.

Son buen material y ahorran trabajo. Pero la propia agencia advierte que «no tienen carácter vinculante ni sustituyen ni desarrollan la normativa aplicable». La página añade además que se actualizarán una vez aprobado el Ómnibus digital, así que las versiones que descargues ahora van a cambiar.

Úsalas como plantilla de trabajo. No las cites como si fueran derecho.

¿Por qué prepararse ahora sale más barato?

Tres razones prácticas, sin épica.

La ley entra en vigor al día siguiente de publicarse. No hay período de gracia nacional, así que el margen de adaptación es el que te tomes tú antes, no el que te dé el BOE.

El inventario es el trabajo lento. Averiguar qué herramientas con IA hay realmente en tu empresa (incluidas las que contrató un departamento sin decírselo a nadie), qué datos tocan y qué decisiones influyen lleva semanas de calendario aunque sean pocas horas de trabajo. Ese inventario es exactamente lo que te va a pedir cualquier autoridad, y también lo que te va a pedir el primer cliente grande que te mande un cuestionario de proveedores.

Y el riesgo vivo no espera. La AEPD, la Inspección de Trabajo y las autoridades de consumo pueden actuar hoy sobre los mismos hechos. Preparar el AI Act y preparar el RGPD son, en un 70 % del trabajo, la misma tarea: saber qué sistemas tienes, qué datos usan, quién supervisa sus decisiones y qué le cuentas al afectado.

¿Qué hacer el lunes por la mañana?

1. Haz el inventario. Una hoja de cálculo con cada herramienta con IA que se usa en la empresa, quién la contrató, qué datos entran, qué decisión sale y quién la revisa. Incluye las suscripciones que paga marketing con tarjeta.

2. Marca las tres casillas de riesgo real. ¿Alguna influye en selección, evaluación o despido? ¿Alguna trata datos personales de clientes o empleados? ¿Alguna genera contenido que publicas sin decir que es sintético?

3. Revisa la transparencia antes del 2 de agosto de 2026. Si tienes un chatbot, el usuario debe saber que habla con una máquina. Si publicas contenido sintético, debe ir identificado.

4. Si tienes representación de los trabajadores, informa. El artículo 64.4 d) del Estatuto no admite espera y la conversación es mucho más barata antes de que haya una queja.

5. Guarda las evidencias. Contratos con proveedores, fichas de los sistemas, correos de decisión. La diligencia demostrada es un atenuante expreso en el artículo 31 del proyecto de ley.

6. Pon una alerta en el BOE. El día que se publique la ley orgánica, empieza a contar. Hasta entonces, ningún calendario de multas españolas es real.

---

Preguntas frecuentes

¿La AESIA puede inspeccionarme aunque no pueda multarme?

El proyecto de ley es el que atribuye las funciones de vigilancia, inspección y potestad sancionadora sobre los sistemas de IA, y todavía no está aprobado. Mientras tanto, quien puede inspeccionarte por el uso que haces de la IA son las autoridades que ya tienen competencia por otras materias: la AEPD por datos personales, la Inspección de Trabajo por relaciones laborales, consumo por prácticas comerciales.

No. El principio de irretroactividad de las disposiciones sancionadoras no favorables está en el artículo 9.3 de la Constitución. Lo que sí puede pasar es que el incumplimiento siga vivo el día que la ley entre en vigor, y entonces sea sancionable desde ese momento. Un sistema mal montado no se arregla solo por el paso del tiempo.

Tengo una empresa de 30 personas. ¿El techo de 35 millones va conmigo?

Como cifra absoluta, casi con seguridad no. Para las pymes, el artículo 30.8 del proyecto aplica la menor entre el importe fijo y el porcentaje de facturación. Lo que sí va contigo son las medidas accesorias: la retirada o desconexión del sistema puede parar un proceso de negocio entero.

Uso ChatGPT o Copilot para tareas internas. ¿Soy proveedor de IA?

No. Eres responsable del despliegue (deployer), que es una figura con obligaciones más ligeras. Las obligaciones duras de documentación técnica, evaluación de conformidad y marcado recaen sobre quien desarrolla el sistema o lo comercializa bajo su nombre. Ojo con eso último: si integras un modelo de terceros en un producto tuyo y lo vendes con tu marca, puedes convertirte en proveedor.

¿Las guías de la AESIA me protegen si las sigo?

No dan presunción de conformidad; la propia agencia dice que no son vinculantes. Ahora bien, haberlas seguido documenta diligencia, y la diligencia se valora expresamente al graduar la sanción. Sirven como prueba de que hiciste el trabajo, no como escudo.

---

Fuentes

• Real Decreto 729/2023, de 22 de agosto, por el que se aprueba el Estatuto de la Agencia Española de Supervisión de Inteligencia Artificial (BOE-A-2023-18911).
• Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial. BOCG, Congreso de los Diputados, Serie A, núm. 97-1, de 12 de junio de 2026.
• Ficha del expediente 121/000096, Congreso de los Diputados (estado de tramitación y plazos de enmiendas).
• Reglamento (UE) 2024/1689, de 13 de junio de 2024, por el que se establecen normas armonizadas en materia de inteligencia artificial.
• Reglamento (UE) 2026/1744, de 8 de julio de 2026 (Ómnibus digital sobre IA), DOUE de 24 de julio de 2026. · Espejo del BOE:
• Reglamento (UE) 2016/679 (RGPD), artículo 83.
• Ley 12/2021, de 28 de septiembre (BOE núm. 233, de 29 de septiembre de 2021), que añade la letra d) al artículo 64.4 del Estatuto de los Trabajadores.
• Guías de la AESIA.

*Este artículo describe el estado de la tramitación a 28 de julio de 2026. Un proyecto de ley cambia; comprueba la ficha del expediente antes de tomar decisiones basadas en estas fechas.*