TL;DR
- El Proyecto de Ley Orgánica 121/000096 (BOCG Serie A núm. 97-1, de 12 de junio de 2026) reparte la vigilancia del Reglamento de IA entre siete nombres propios: la Dirección General de Inteligencia Artificial como autoridad notificante y, vigilando el mercado, AESIA, AEPD, CGPJ, Banco de España, CNMV y la DGSFP.
- No es ley. Sigue en tramitación y el plazo de enmiendas se amplió al 2 de septiembre de 2026.
- Regla que resuelve el 90 % de los casos de una pyme: empleo, educación, servicios esenciales, infraestructuras críticas y transparencia del artículo 50 son AESIA. Biometría es AEPD. Lo que no encaje, AESIA por defecto (art. 5.9).
- El proyecto llegó tarde a su propia norma. Es de junio; el Ómnibus digital sobre IA se publicó el 24 de julio. Su artículo 14 tipifica solo las letras a) a h) del artículo 5.1 y no cubre las dos prohibiciones nuevas. Y en su capítulo sancionador no aparece el artículo 4, el de alfabetización en IA.
- Topes propuestos: 35 M € o el 7 % de la facturación mundial, 15 M € o 3 %, 7,5 M € o 1 % y 500.000 € o 0,5 %. Para pymes se aplica la cifra menor.
---
¿Por qué siete autoridades y no una sola?
El Reglamento (UE) 2024/1689 no crea un inspector europeo que se plante en tu empresa. Obliga a cada Estado a designar sus autoridades de vigilancia del mercado y le deja elegir entre concentrarlas o repartirlas. España reparte.
La lógica es que quien ya supervisa un sector siga haciéndolo cuando ahí aparezca un algoritmo: el banco que puntúa tu solvencia con un modelo ya rinde cuentas ante el Banco de España. El coste es un mapa ilegible desde fuera: una pyme con tres sistemas puede acabar con tres interlocutores.
La advertencia que condiciona el resto: esto es un proyecto en fase de enmiendas. Lo que sí está vigente al margen de esta ley son las obligaciones del Reglamento europeo, como expliqué en si la AESIA puede multarte hoy por el AI Act.
---
¿Qué autoridad te toca según lo que hace tu sistema?
El proyecto se ordena por autoridades, no por casos de uso. Esta tabla va al revés: buscas lo que hace tu sistema y lees quién llama a tu puerta.
| Lo que hace tu sistema | Encaje en el Reglamento | Quién te supervisa (base) |
|---|---|---|
| Criba currículums o filtra candidaturas | Alto riesgo · anexo III.4.a) | AESIA (art. 5.2.e) |
| Evalúa rendimiento, asigna tareas, influye en promociones o despidos | Alto riesgo · anexo III.4.b) | AESIA (art. 5.2.e) |
| Infiere emociones de tu plantilla o de tus alumnos | Prohibido · art. 5.1.f) | AESIA (art. 5.2.a) |
| Reconoce emociones en otro contexto (atención al cliente, salud) | Alto riesgo · anexo III.1.c) | AESIA (art. 5.2.b) |
| Manipula con técnicas subliminales o explota vulnerabilidades | Prohibido · art. 5.1.a) y b) | AESIA (art. 5.2.a) |
| Puntúa a personas por su comportamiento social | Prohibido · art. 5.1.c) | AESIA (art. 5.2.a) |
| Decide acceso, admisión o evaluación en centros educativos o de FP | Alto riesgo · anexo III.3 | AESIA (art. 5.2.d) |
| Es componente de seguridad de agua, gas, luz, tráfico o red digital | Alto riesgo · anexo III.2 | AESIA (art. 5.2.c) |
| Decide el acceso a una prestación pública o servicio esencial | Alto riesgo · anexo III.5.a) y d) | AESIA (art. 5.2.f) |
| Genera contenido sintético o chatbots y debe avisar de que es IA | Transparencia · art. 50 | AESIA (art. 5.2.h) |
| Va integrado en un equipo radioeléctrico | Anexo I.6 · Dir. 2014/53/UE | AESIA (art. 5.2.g) |
| Identifica caras a distancia o clasifica por atributos sensibles | Alto riesgo · anexo III.1.a) y b) | AEPD o autonómica (art. 5.3.b) |
| Deduce atributos sensibles desde biometría, o amplía bases faciales rascando internet | Prohibido · art. 5.1.e) y g) | AEPD (art. 5.3.a) |
| Se usa en migración, asilo o control fronterizo | Alto riesgo · anexo III.7 | AEPD y autonómicas (art. 5.3.d) |
| Predice delitos por perfilado, o biometría remota policial en tiempo real | Prohibido · art. 5.1.d) y h) | CGPJ (art. 5.4.a) |
| Apoya a la policía o a un juzgado en la investigación o la resolución | Alto riesgo · anexo III.6 y III.8.a) | CGPJ (art. 5.4.c y d) |
| Puntúa solvencia de personas físicas en una entidad financiera | Alto riesgo · anexo III.5.b) | Banco de España (art. 5.5) |
| Puntúa solvencia en el ámbito de la Ley 6/2023 de Mercados de Valores | Alto riesgo · anexo III.5.b) | CNMV (art. 5.6) |
| Tarifica o evalúa riesgo en seguros de vida y de salud | Alto riesgo · anexo III.5.c) | DGSFP (art. 5.7) |
| Va dentro de un producto ya regulado (ascensores, sanitarios…) | Anexo I, sección A | La autoridad sectorial (art. 5.8) |
| Intenta influir en una elección o un referéndum | Alto riesgo · anexo III.8.b) | Sin asignación expresa → AESIA (5.2.h y 5.9) |
| Ninguna de las anteriores | — | AESIA (art. 5.9) |
Dos lecturas rápidas. La AESIA acumula la mayoría de supuestos que afectan a una empresa normal, incluida la caja entera del artículo 50, que toca a cualquiera que ponga un chatbot o genere imágenes. Y la AEPD se queda con casi toda la biometría, donde una pyme se juega más de lo que cree porque el mismo hecho suele ser además un tratamiento de datos personales con su propio régimen: ahí está el precedente del expediente de Aena por reconocimiento facial.
Fíjate en la penúltima fila. El artículo 5.4.d) asigna al CGPJ el anexo III.8.a), justicia, y se detiene. El III.8.b), los sistemas destinados a influir en el comportamiento electoral, no aparece en ningún apartado del artículo 5: acaba en la AESIA por la cláusula de cierre del 5.2.h) y la competencia por defecto del 5.9. Funciona, pero por descarte.
---
¿Y si tu caso no encaja en ninguna casilla?
Tres válvulas de escape que apuntan al mismo sitio. Si una autoridad sectorial comunica a la AESIA que carece de medios, la AESIA asume sus funciones hasta que acredite fehacientemente que dispone de ellos (art. 5.8). Para lo no previsto, el Consejo de Ministros designará autoridad por acuerdo, y mientras tanto la AESIA es la competente por defecto (art. 5.9). Y si la decisión de una autoridad afecta a las competencias de otra, debe recabar informe preceptivo (art. 5.11).
En la duda, prepárate para hablar con la AESIA.
---
¿Quién controla a quien te certifica?
La autoridad notificante no inspecciona empresas, pero designa y supervisa a los organismos que evalúan la conformidad de los sistemas de alto riesgo. El artículo 4.2 se la atribuye a la Dirección General de Inteligencia Artificial, dentro de la Secretaría de Estado de Digitalización e Inteligencia Artificial. El 4.3 añade la pieza que interesa a quien necesite un certificado: se apoyará, mediante encargo de tareas, en ENAC, el organismo nacional de acreditación regulado por el Real Decreto 1715/2010.
---
¿Desde cuándo pueden inspeccionarte de verdad?
El calendario que manda es el del Reglamento europeo, no el de la ley española. Y el Ómnibus (Reglamento (UE) 2026/1744, DOUE de 24 de julio de 2026) lo reescribió en parte.
| Desde | Qué es aplicable |
|---|---|
| 2 de febrero de 2025 | Capítulos I y II: definiciones, alfabetización en IA (art. 4) y prohibiciones del art. 5.1, letras a) a h) |
| 2 de agosto de 2025 | Capítulo III sección 4, capítulo V (modelos de uso general), capítulos VII y XII, art. 78 |
| 2 de agosto de 2026 | Regla general, incluidas las obligaciones de transparencia del art. 50 |
| 2 de diciembre de 2026 | Las dos prohibiciones nuevas: art. 5.1, letras b bis) y b ter), y apartados 1 bis y 1 ter |
| 2 de diciembre de 2027 | Alto riesgo del anexo III (art. 6.2) |
| 2 de agosto de 2028 | Alto riesgo del anexo I (art. 6.1) |
Dos consecuencias. El grueso del alto riesgo del anexo III se ha ido a diciembre de 2027, un año largo más de lo que daban por bueno muchos calendarios internos. Y las obligaciones del artículo 50 se aplican desde el 2 de agosto de 2026: la obligación europea llega antes que la ley española que dice quién la vigila.
---
¿Cuánto puede costar?
| Categoría | Tope propuesto (art. 30) |
|---|---|
| Muy graves del art. 13.1 (prácticas prohibidas) | 35.000.000 € o el 7 % del volumen de negocios mundial del ejercicio anterior, la cuantía mayor |
| Muy graves del art. 13.2 | 15.000.000 € o el 3 % |
| Graves | 7.500.000 € o el 1 % |
| Leves | 500.000 € o el 0,5 % |
Dos matices para una empresa pequeña. Para pymes y empresas emergentes, el artículo 30.8 remite al 99.6 del Reglamento y aplica la cifra menor. Y en prácticas prohibidas o incidentes graves puede añadirse la retirada del producto, la desconexión o su prohibición (art. 30.2), que suele doler más que la multa.
---
¿Cómo empieza una inspección?
Casi nunca porque alguien pase por la puerta. Hay tres entradas.
Reclamación de cualquiera (art. 9). Cualquier persona física o jurídica que crea que hay un incumplimiento puede reclamar. La AESIA debe montar una ventanilla única y remitir cada reclamación a la autoridad competente en un máximo de diez días hábiles. Presentarla no convierte al reclamante en interesado del procedimiento.
Aviso de otro supervisor (art. 9.2). Otra autoridad que detecte indicios puede comunicarlo, y eso puede acabar en actuaciones previas o en incoación de oficio.
Denuncia interna protegida (art. 10). Quien conozca los hechos por su relación laboral y los comunique por los cauces de la Ley 2/2023 queda amparado como informante.
Ya en marcha, el personal funcionario de la AESIA es agente de la autoridad (art. 7.1), y si hacen falta pruebas de laboratorio que confirmen el incumplimiento, las paga el proveedor (art. 7.3).
---
¿Qué agujeros tiene el proyecto tal y como está redactado?
No es un error de redacción, es un problema de fechas: el texto español es de junio y la norma europea que debía reflejar se publicó en julio.
Primer agujero: dos prohibiciones huérfanas. El artículo 14 tipifica como infracción muy grave utilizar un sistema cuya práctica esté prohibida «según lo recogido en el artículo 5.1 apartados a), b), c), d), e), f), g) y h)». La lista es cerrada y termina en la h). El punto 7 del Ómnibus insertó en ese mismo artículo 5.1 dos letras nuevas: b bis), generar o manipular imágenes, vídeos o audios de las partes íntimas de una persona identificable, o de esa persona en actividades sexualmente explícitas, sin su consentimiento explícito; y b ter), generar o manipular material de abusos sexuales a menores en el sentido de la Directiva 2011/93/UE. Ambas aplicables desde el 2 de diciembre de 2026.
Con ese artículo 14 intacto habría dos prohibiciones europeas plenamente aplicables que ninguna autoridad española podría sancionar por esta vía, precisamente las dos de mayor daño personal. No es impunidad, porque esas conductas tienen recorrido penal propio, pero sí un hueco en el régimen administrativo que la ley venía a construir. El resto del catálogo, el que sí está cubierto, en las prácticas de IA prohibidas en Europa.
Segundo agujero: la alfabetización en IA no está tipificada. El artículo 4 del Reglamento obliga desde el 2 de febrero de 2025 a proveedores y responsables del despliegue a adoptar medidas de alfabetización en IA de su personal. Es la única obligación del AI Act que ya alcanza a cualquier empresa que use IA, sea de alto riesgo o no. Pues bien: en todo el capítulo sancionador, artículos 13 a 29, no hay una sola referencia al artículo 4. La palabra «alfabetización» aparece una vez en las 100 páginas del boletín, en la exposición de motivos y hablando de alfabetización digital.
Aquí la consecuencia es más matizada. Una obligación sin infracción tipificada no desaparece: sigue siendo exigible, puede pedirse en una inspección y puede pesar al graduar otra sanción. Lo que no puede es multarse al amparo de esta ley.
Tercer efecto colateral, más técnico. El Ómnibus suprimió el punto 1 de la sección A del anexo I (Directiva 2006/42/CE, máquinas) y añadió a la sección B el Reglamento (UE) 2023/1230. El artículo 3.2 del proyecto excluye de su ámbito a las autoridades de la sección B, que «se regirán por su propia normativa sectorial». Si nadie toca eso, un componente de seguridad de IA dentro de una máquina saldría del reparto del artículo 5.
La parte constructiva: el plazo de enmiendas sigue abierto hasta el 2 de septiembre de 2026. Los tres desajustes se arreglan con enmiendas de dos líneas, porque solo hay que actualizar remisiones. Lo esperable es que se corrijan; lo prudente, no dar por hecho el texto de junio.
---
¿Qué hago hoy con esto si tengo una pyme?
1. Inventaría los sistemas de IA que usas o vendes, incluidas las herramientas generalistas de tu equipo. Sin inventario no hay clasificación.
2. Clasifica con la tabla de arriba. Si a un sistema le salen dos autoridades, marca el solapamiento: ahí entra el informe preceptivo del artículo 5.11.
3. Mira primero el artículo 50. Se aplica el 2 de agosto de 2026 y es lo que más empresas incumplen sin saberlo: avisar de que se interactúa con una IA y etiquetar el contenido sintético.
4. Documenta la alfabetización aunque hoy no se pueda multar. Una política de uso de IA y un registro de formación son la primera evidencia que se pide.
No confundas «la ley española no está aprobada» con «no me aplica nada». Lo que la ley añade es quién te llama, con qué procedimiento y con qué multa.
---
Preguntas frecuentes
¿Puede la AESIA inspeccionarme ya si el proyecto no está aprobado?
El Reglamento europeo es directamente aplicable y no necesita ley española. El proyecto aporta la designación formal de autoridades, el procedimiento y las cuantías: sin él, el régimen administrativo español de infracciones no está completo. La distinción, desarrollada, en este análisis sobre la capacidad sancionadora de la AESIA.
Solo tengo un chatbot de atención al cliente. ¿Alguien me supervisa?
Sí. No es alto riesgo, pero cae bajo las obligaciones de transparencia del artículo 50, aplicables desde el 2 de agosto de 2026. Según el artículo 5.2.h), la autoridad es la AESIA.
Uso un software que criba currículums. ¿Qué me toca?
Anexo III.4.a), alto riesgo, y la AESIA como autoridad (art. 5.2.e). Tras el Ómnibus, el alto riesgo del anexo III es exigible desde el 2 de diciembre de 2027. Ojo: eres responsable del despliegue, no proveedor, así que tus obligaciones son las del artículo 26.
Si mi caso encaja en dos autoridades, ¿me pueden multar dos veces?
No por el mismo hecho. El artículo 33 recoge el no bis in idem cuando hay identidad de sujeto, hecho y fundamento, e impone la sanción de la infracción más grave si un solo hecho constituye varias. Y remite al 99.7 del Reglamento, que obliga a considerar multas ya impuestas por otras autoridades por la misma actividad.
¿Puede denunciarme un empleado?
Sí, y con protección expresa: el artículo 10 le reconoce el régimen de la Ley 2/2023. El artículo 9 permite además reclamar a cualquier persona, sea o no afectada. Un uso de cámaras mal planteado llega por esta vía, como en el caso de reconocimiento facial de Aena.
¿Va a cambiar este reparto antes de la aprobación?
Es posible y, vistos los desajustes con el Ómnibus, sería razonable. El plazo de enmiendas está abierto hasta el 2 de septiembre de 2026. Hasta que el texto salga en el BOE, trátalo como hipótesis muy informada, no como derecho vigente.
---
Fuentes
- Reglamento (UE) 2024/1689 (Reglamento de Inteligencia Artificial) — artículos 4, 5, 50, 74, 85, 99 y 113; anexos I y III.
- Reglamento (UE) 2026/1744 (Ómnibus digital sobre IA) — DOUE Serie L de 24 de julio de 2026. Puntos 5, 7, 40 y 41.
- Proyecto de Ley Orgánica · BOCG Serie A núm. 97-1, de 12 de junio de 2026 — expediente 121/000096. En tramitación.
- Real Decreto 1715/2010, que designa a ENAC organismo nacional de acreditación — BOE.
- Guías prácticas de la AESIA — 16 documentos, expresamente no vinculantes.
- AESIA · AEPD · CGPJ · Banco de España · CNMV · DGSFP · ENAC
Herramientas gratuitas relacionadas
Sin registro y con fuentes oficiales. Comprueba tu caso en 2 minutos.