El proyecto de ley que adapta España al Reglamento europeo de IA
España todavía no tiene una ley de inteligencia artificial en vigor. Lo que existe es el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial (expediente 121/000096), que el Gobierno remitió al Congreso y que se publicó en el Boletín Oficial de las Cortes Generales el 12 de junio de 2026. Está en fase de enmiendas, con el plazo ampliado hasta el 2 de septiembre de 2026, así que lo que sigue describe un texto que aún puede cambiar.
Su función no es sustituir al Reglamento europeo de IA, que ya se aplica de forma directa en toda la Unión, sino completarlo en lo que el Reglamento deja en manos de cada Estado:
- Qué autoridades vigilan y sancionan en España.
- Cuánto cuesta cada infracción.
- Cómo funciona el espacio controlado de pruebas.
- Qué reglas de buen uso se impone el propio sector público estatal.
Qué es el proyecto de ley 121/000096
La ficha básica, según el texto publicado:
| Dato | Contenido |
|---|---|
| Denominación | Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial |
| Expediente | 121/000096 (XV Legislatura) |
| Autor | Gobierno |
| Publicación | BOCG, Congreso, Serie A, núm. 97-1, de 12 de junio de 2026 |
| Comisión | Economía, Comercio y Transformación Digital |
| Estado | Enmiendas (plazo ampliado hasta el 2 de septiembre de 2026) |
El articulado se organiza en cinco capítulos: disposiciones generales (artículos 1 a 3), autoridades y gobernanza (4 a 10), espacios controlados de pruebas (11), buen uso de la IA en el sector público estatal (12) y régimen sancionador (13 a 41), más las disposiciones que modifican otras leyes.
Se tramita como ley orgánica, pero la disposición final quinta aclara que solo tres preceptos tienen ese carácter: los artículos 21.3 y 28 y la disposición final tercera, que reforma la Ley Orgánica del Régimen Electoral General. El resto es ley ordinaria.
Qué regula (y qué no): el reparto con el AI Act
El artículo 1 lo dice sin rodeos: el objeto de la ley es adaptar el régimen jurídico español al Reglamento (UE) 2024/1689. Para ello regula:
- Gobernanza y supervisión: designa las autoridades nacionales que exige el artículo 70.1 del Reglamento (autoridad notificante y autoridades de vigilancia del mercado).
- Espacios controlados de pruebas (sandbox): la gobernanza del entorno de pruebas que impone el artículo 57 del Reglamento. De paso, deroga el Real Decreto 817/2023, que había creado el sandbox español cuando el Reglamento era todavía una propuesta.
- Buen uso de la IA en el sector público estatal: el capítulo IV se aplica únicamente a la Administración del Estado, no a empresas ni a comunidades autónomas.
- Régimen sancionador: tipifica infracciones y fija multas dentro de los límites que marca el artículo 99 del Reglamento.
Igual de importante es lo que no hace: no crea obligaciones sustantivas nuevas para las empresas. Quién debe hacer qué (transparencia, gestión de riesgos, documentación técnica, prácticas prohibidas) lo dice el Reglamento europeo, no la ley española.
Tampoco toca los calendarios de aplicación, que son competencia de la Unión. Tras el Reglamento Ómnibus (UE) 2026/1744, las obligaciones de alto riesgo del anexo III se aplazaron al 2 de diciembre de 2027 y las de productos regulados al 2 de agosto de 2028; las prohibiciones, en cambio, ya se aplican: hoy son ocho y serán diez desde el 2 de diciembre de 2026. El proyecto, publicado antes del Ómnibus, remite todavía a las letras a) a h) del artículo 5.1, uno de los puntos que la fase de enmiendas podría retocar.
Autoridades de vigilancia
El proyecto reparte la vigilancia del mercado entre varias autoridades ya existentes, con la AESIA como pieza central. Según el artículo 5:
- AESIA: la mayor parte del terreno. Varias prácticas prohibidas (letras a, b, c y f del artículo 5.1 del Reglamento), el alto riesgo del anexo III en infraestructuras críticas, educación, empleo y servicios esenciales (salvo solvencia crediticia y seguros), la transparencia del artículo 50 y una cláusula residual. Es además el punto de contacto único con Bruselas (artículo 6) y la responsable del sandbox obligatorio (artículo 11).
- AEPD y autoridades autonómicas de protección de datos: las prácticas prohibidas con más carga de datos personales (letras e y g) y buena parte de la biometría, incluida la usada en migración y asilo.
- Consejo General del Poder Judicial: los sistemas de IA en el ámbito de la Administración de Justicia.
- Banco de España, CNMV y Dirección General de Seguros y Fondos de Pensiones: los sistemas de alto riesgo de su sector (solvencia crediticia, mercados de valores y seguros de vida y salud).
La disposición final tercera añade a la AESIA la vigilancia de los sistemas de IA usados en procesos electorales. Y la disposición adicional segunda obliga al Gobierno a impulsar, en el plazo máximo de seis meses desde la entrada en vigor, la iniciativa normativa que adapte el régimen jurídico de la agencia: el deber es poner en marcha esa norma, no tener la adaptación terminada en ese plazo. El mapa completo, con lo que ya funciona y lo que depende de esta ley, está en qué autoridades supervisan la IA en España.
Régimen sancionador
Es el bloque con consecuencias económicas directas. El artículo 30 fija cuatro tramos, siempre como límites máximos:
| Infracción | Multa máxima |
|---|---|
| Muy grave por práctica prohibida (art. 13.1) | 35.000.000 € o el 7 % del volumen de negocios mundial, la mayor |
| Muy grave del resto (art. 13.2) | 15.000.000 € o el 3 %, la mayor |
| Grave | 7.500.000 € o el 1 %, la mayor |
| Leve | 500.000 € o el 0,5 %, la mayor |
Para pymes y empresas emergentes rige la regla inversa del artículo 99.6 del Reglamento: se aplica el menor de los dos importes, no el mayor. Los artículos 14 a 29 tipifican las infracciones por tipo de operador (proveedor, importador, distribuidor, responsable del despliegue, representante autorizado y organismo notificado), y el propio artículo 30 añade medidas accesorias: retirada del producto, desconexión o prohibición del sistema, y multas coercitivas de hasta el 10 % de la sanción por cada periodo de incumplimiento.
Para traducir estos tramos a tu caso concreto puedes usar la calculadora de sanciones del AI Act, que ya incorpora los importes del proyecto con la advertencia de que son cifras en tramitación.
En qué punto de la tramitación está
El plazo de enmiendas terminaba el 30 de junio de 2026. Según la ficha del expediente en el Congreso (consultada el 29 de julio de 2026), vence ahora el 2 de septiembre a las 18:00, y las ampliaciones pueden repetirse. Después llegan el informe de la ponencia, el dictamen de la Comisión de Economía, Comercio y Transformación Digital y el paso por el Senado. No hay fecha comprometida de aprobación: cualquier cifra o designación de este artículo puede cambiar por el camino.
Cuando se apruebe, la entrada en vigor será rápida: el día siguiente a su publicación en el BOE (disposición final octava), salvo la reforma electoral, que espera a la norma de adaptación de la AESIA. Mientras tanto, el régimen sancionador nacional no está operativo; lo desarrollo en ¿puede multar la AESIA hoy?.
Qué puede hacer tu empresa mientras tanto
Que la ley española esté en tramitación no congela el Reglamento europeo: las prohibiciones y las obligaciones de transparencia y alfabetización ya se aplican, con o sin ley nacional. Ten hecho el inventario de sistemas de IA, clasificados por riesgo, y documentado el uso de cada uno; así la aprobación de la ley solo cambiará quién puede llamar a tu puerta, no lo que tienes que enseñarle. El pilar sobre el AI Act recoge las obligaciones vigentes y sus fechas.
Preguntas frecuentes
¿Tiene ya España una ley de inteligencia artificial?
No. Existe un proyecto de ley en tramitación (121/000096). Las obligaciones que ya aplican a empresas salen del Reglamento (UE) 2024/1689, que es directamente aplicable sin necesidad de ley española.
¿El proyecto añade obligaciones nuevas para las empresas?
Prácticamente no: las obligaciones sustantivas son las del Reglamento europeo. La ley española designa autoridades, tipifica infracciones y fija multas; solo el capítulo IV crea reglas propias, y afecta únicamente al sector público estatal.
¿Cuándo entrará en vigor?
No hay fecha. El plazo de enmiendas vence el 2 de septiembre de 2026, salvo nueva ampliación, y quedan la ponencia, la comisión y el Senado. Una vez aprobada, entrará en vigor el día siguiente a su publicación en el BOE.
¿Por qué es una ley orgánica si regula multas administrativas?
Porque tres preceptos concretos sí lo son (los artículos 21.3 y 28 y la reforma de la Ley del Régimen Electoral); el resto del texto es ley ordinaria.
Fuentes
- Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial, BOCG, Congreso de los Diputados, Serie A, núm. 97-1, de 12 de junio de 2026 (cve BOCG-15-A-97-1), congreso.es.
- Ficha del expediente 121/000096, Congreso de los Diputados (congreso.es), consultada el 29 de julio de 2026.
- Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo, de 13 de junio de 2024 (Reglamento de Inteligencia Artificial), DOUE.
- Reglamento (UE) 2026/1744 del Parlamento Europeo y del Consejo, de 8 de julio de 2026 (Ómnibus digital sobre IA), DOUE L de 24 de julio de 2026.
Herramientas gratuitas relacionadas
Sin registro y con fuentes oficiales. Comprueba tu caso en 2 minutos.