Plan IA360: guía completa para empresas

El presidente del Gobierno presentó el Plan IA360 el 21 de septiembre de 2026. El acto se tituló «IA360: Plan para un despliegue responsable de la IA». El documento tiene 15 páginas —la última, en blanco—, se organiza en 8 ámbitos de actuación y detalla 14 proyectos tractores, numerados del 1 al 14. La nota de prensa de La Moncloa lo describe como «una hoja de ruta con acciones concretas a desarrollar en los próximos 12 meses» —la frase es de la nota, no del PDF—; el propio texto matiza que los ámbitos «se desarrollarán entre 2026 y 2027». El objetivo declarado: situar a España entre las cinco primeras potencias mundiales «desde una IA responsable y ética».

Qué es el Plan IA360 (y qué no es)

El punto de partida que el propio plan documenta explica la ambición. España ocupa el puesto 7 del mundo y el 2º de Europa en el índice de dinamismo de IA de la Universidad de Stanford (noviembre de 2025, datos hasta 2024), por delante de Japón, Canadá, Francia y Alemania, y ha subido desde el puesto 31 que ocupaba en 2019. En gobernanza, el plan sitúa a España en 2ª posición mundial y lo atribuye a tres activos: la AESIA (primera agencia europea de supervisión de IA), un sandbox regulatorio ya completado —el primero de la Unión— y la familia de modelos abiertos ALIA. En infraestructura cuenta además con dos factorías de IA operativas, el BSC en Barcelona y el CESGA en Galicia.

La brecha está en la adopción: solo el 21,1 % de las empresas de 10 o más empleados usaba IA en el primer trimestre de 2025 (encuesta de uso de TIC del INE), frente al 44,2 % de la población en edad de trabajar que ya usa IA generativa según Microsoft (datos del primer trimestre de 2026; España, 6º país del mundo en adopción). El plan también reconoce debilidad en talento: puesto 23 del mundo en ese pilar y 25 de 32 en concentración de profesionales.

Con esos números por delante, lo que interesa no es si el plan es ambicioso, sino qué cambia mañana. La respuesta corta: nada, todavía. El Plan IA360 es una hoja de ruta política, no una norma. No modifica ni una obligación legal. Lo que hoy obliga a quien usa o pone en el mercado sistemas de IA sigue siendo el Reglamento europeo, explicado en la guía de cumplimiento del AI Act. Lo que aporta el plan es otra cosa: un calendario de proyectos con dinero futuro y, en un par de frentes muy concretos, cumplimiento nuevo que sí va a tocar a quien trabaje con la Administración.

De un vistazo: los 14 proyectos tractores

El plan agrupa sus 14 proyectos en 8 ámbitos. Esta tabla resume el objetivo y el hito con fecha de cada uno a partir del propio documento.

El calendario real, mes a mes

De los 14 proyectos tractores, solo siete tienen un hito dentro de 2026. El resto es 2027 o después.

Lo que pasa en 2026

• Octubre: aprobación de la regulación de centros de datos y piloto de escudo ciber cuántico con el sector financiero.
• Octubre/noviembre: Plan de Modernización de la Criptografía Poscuántica Española y Plan frente a la IA ofensiva.
• Otoño: medidas normativas de talento y de la Ley de Scale-ups.
• Antes de fin de año: núcleo técnico del Instituto de Seguridad de la IA y primer piloto de la Red NEURONA (100 pymes, dos CC.AA.).
• 3 de noviembre: lanzamiento de la Alianza Iberoamericana de la IA.

2027

• Febrero: arranque de la construcción de la gigafactoría de IA.
• Primer trimestre: negociación con las CC.AA. de la IA en el currículo educativo, primera convocatoria del Maratón IA, canal de WhatsApp 060 y firma del protocolo de menores.
• Primer semestre: diseño y piloto controlado del bono empresarial de IA.
• Durante el año: asistente en la Carpeta Ciudadana, alfabetización ciudadana en IA, réplica de la Red NEURONA a 10 CC.AA. y 5.000 empresas.
• Antes de fin de año: convocatoria general del bono (600 M€) y arranque precomercial del escudo de ciberseguridad.

2028-2030

• 2028: apertura de la gigafactoría de IA.
• 2028/2029: 100.000 aceleradores de IA operativos.
• 2030: del 21,1 % al 55 % de empresas con IA (Red NEURONA); 25.000 empresas transformadas e inversión privada x5 (bono); de 13 a 50 unicornios (Ley de Scale-ups).

Este calendario es del plan, no del AI Act: las fechas que ya son obligación legal hoy están en el calendario del AI Act.

Qué te obliga hoy, que no es el plan

El Plan IA360 no cambia ni una fecha del Reglamento (UE) 2024/1689, el AI Act. Ese reglamento es aplicable con carácter general desde el 2 de agosto de 2026. Los capítulos I y II rigen desde el 2 de febrero de 2025, salvo las letras b bis) y b ter) del artículo 5.1 y los apartados 1 bis y 1 ter, aplicables desde el 2 de diciembre de 2026. El capítulo III sección 4, los capítulos V, VII y XII y el artículo 78 rigen desde el 2 de agosto de 2025 (salvo el artículo 101), y los artículos 102 a 110, desde el 27 de julio de 2026. Para alto riesgo, el Anexo III tiene de plazo hasta el 2 de diciembre de 2027 y el Anexo I hasta el 2 de agosto de 2028: son las fechas que modificó el Reglamento (UE) 2026/1744, de 8 de julio de 2026, el Ómnibus digital. El Ómnibus hizo más que mover fechas: reescribió entero el artículo 4 sobre alfabetización en IA e insertó en el artículo 5 dos prohibiciones nuevas —las letras b bis) y b ter)— y dos apartados, 1 bis y 1 ter, que acotan su alcance. Las dos prohibiciones se aplican desde el 2 de diciembre de 2026, y el reglamento se explica entero en el Ómnibus digital de IA. Qué conducta queda prohibida está en las prácticas de IA prohibidas en Europa; los alivios para pymes, en los alivios de los artículos 11 y 63.

España todavía no tiene ley propia de IA. El Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial (expediente 121/000096) se presentó el 28 de mayo de 2026 y está en la Comisión de Economía, Comercio y Transformación Digital. Su plazo de enmiendas, prorrogado, vence el 23 de septiembre de 2026. A 22 de septiembre de 2026 sigue en tramitación parlamentaria y no está publicada en el BOE. Qué regula ese proyecto está en qué regula el proyecto de ley española de IA. Con NIS2 ocurre algo parecido: a 22 de septiembre de 2026 no hay publicada en el BOE ninguna ley española que la transponga, de modo que la transposición sigue pendiente.

Un proyecto del plan sí conecta con una obligación que ya existe: la estrategia de alfabetización en IA para la ciudadanía, gratuita y sin requisitos previos, prevista para 2027. Es la vertiente ciudadana de una obligación que el AI Act ya impone a las empresas desde que sus capítulos I y II son aplicables, el 2 de febrero de 2025. Conviene leer esa obligación en su redacción vigente: el Ómnibus sustituyó el artículo 4 entero, que hoy pide a proveedores y responsables del despliegue que adopten «medidas para apoyar la promoción de la alfabetización en materia de IA» de su personal, y aclara que «no exige que los proveedores o los responsables del despliegue garanticen un nivel específico de alfabetización en materia de IA de ninguna persona en particular». El detalle, en la alfabetización en IA del artículo 4.

El dinero: bono empresarial de IA y Red NEURONA

El bono empresarial de inteligencia artificial financiará servicios de IA prestados por empresas tecnológicas europeas que usen modelos fundacionales como insumo y aporten valor añadido propio: desarrollo, integración, conocimiento sectorial, tratamiento de datos o rediseño de procesos. El plan lo dice sin rodeos: «el bono no financiará la mera suscripción a licencias». Su diseño, y el plan lo escribe en condicional, «incluiría pagos por hitos y condiciones acerca de formación en IA de los trabajadores» e incorporación de la IA a los procesos internos, con diagnóstico previo de madurez, un caso de uso concreto y medición posterior del impacto en productividad. Nada de eso es firme hasta que haya bases reguladoras.

El objetivo es transformar 25.000 empresas y multiplicar por cinco la inversión privada en 2030 respecto a 2024. Pero el diseño y la preparación normativa, con un piloto controlado, no llegan hasta el primer semestre de 2027, y la convocatoria general —600 millones de euros de dotación— no se despliega hasta antes de que acabe 2027. Hoy no hay bases reguladoras, ni convocatoria, ni importe por empresa. Qué ayudas de IA existen de verdad ahora mismo, frente a lo que corre por redes, está en qué ayudas de IA están realmente en el BOE.

Conviene además una aclaración: el Kit Digital y el Kit Consulting tienen sus convocatorias cerradas, y el bono del IA360 no es una prórroga de ninguno de los dos. Si llegas buscando esas ayudas, aquí tienes el Kit Consulting y su asesoramiento en inteligencia artificial y en qué estado está hoy su convocatoria.

El bono está vinculado a la Red NEURONA: una red público-privada y territorial de centros de demostración y despliegue de IA. La empresa, en la frase del plan, «ve la inteligencia artificial funcionar en su sector, la prueba con sus datos y la despliega por suscripción», a menos de 50 kilómetros. Aprovecha las AI Factories, la Red Española de Supercomputación, RETECH, espacios de datos, centros tecnológicos y Acelera Pyme, y el plan dice que ese proceso «puede ser particularmente relevante para la pyme, que tiene una barrera de entrada más alta». Objetivo: del 21,1 % al 55 % de empresas con IA en 2030. El primer piloto, 100 pymes en dos CC.AA., llega antes de fin de 2026; la réplica hasta 10 CC.AA. y 5.000 empresas, en 2027. Por dónde empezar mientras tanto, en la guía de por dónde empezar con la IA en tu pyme.

Si trabajas con la Administración, esto es lo que conviene vigilar

Ninguno de estos proyectos crea hoy una obligación para una empresa. Lo que anuncian es normativa futura que, cuando se apruebe, sí puede alcanzar a proveedores de la Administración y a sectores regulados. Por eso conviene seguirlos, no porque haya nada que cumplir todavía. La AESIA ejercerá la vigilancia de mercado del AI Act, con apoyo de un nuevo Instituto de Seguridad de la Inteligencia Artificial creado dentro de ella, la agencia cuyo Estatuto aprobó el Real Decreto 729/2023, de 22 de agosto. Qué hace exactamente, en las funciones de la AESIA.

El Instituto tendrá convenios con INCIBE, el Centro Criptológico Nacional, el Departamento de Seguridad Nacional, la AEPD y el BSC. Evaluará los modelos más avanzados antes y después de su despliegue (acceso previo por acuerdos voluntarios con los desarrolladores, cooperación con la Oficina Europea de IA), fijará metodología de evaluación, asesorará a la Administración General del Estado con un informe periódico sobre modelos de frontera, definirá protocolos de respuesta ante incidentes de modelos o agentes avanzados y cooperará con los institutos homólogos de otros países. Hito: núcleo técnico inicial antes de fin de 2026.

El segundo frente es la criptografía poscuántica, y conviene fijarse en un detalle: el real decreto que lo articula es el único hito de ese proyecto que el plan deja sin fecha. El escudo de ciberseguridad avanzada incluye un Real Decreto con marco común para la transición poscuántica «en el sector público y en los ámbitos sujetos a normativa sectorial de ciberseguridad», precedido por un piloto con el sector financiero (octubre de 2026) y el Plan de Modernización de la Criptografía Poscuántica Española, consorcio entre la SETT y un grupo de empresas (octubre o noviembre de 2026). Quien presta servicios bajo el Esquema Nacional de Seguridad o bajo las obligaciones de NIS2 hace bien en seguirlo de cerca, aunque el plan no concreta cómo se articulará con cada marco.

El tercer frente: la Carpeta Ciudadana incorporará un asistente y sumará WhatsApp como canal, «con las garantías del Esquema Nacional de Seguridad y de la normativa de protección de datos». WhatsApp 060 llega en el primer trimestre de 2027; el asistente, durante ese año. Entre los activos que el plan se atribuye está el sandbox regulatorio que España ya completó, el primero de la Unión. Aquel ciclo terminó, así que para entrar en uno nuevo habrá que esperar a que la autoridad competente publique convocatoria: cómo se participa en el sandbox de IA español.

Centros de datos: el Real Decreto de octubre

El ámbito de infraestructuras se apoya en dos proyectos que van juntos. La gigafactoría de IA moviliza 5.000 millones de euros de inversión público-privada, de los que 719 millones son públicos, y queda conectada con el PERTE Chip. El objetivo es «la mayor infraestructura de cómputo del sur de Europa», con 100.000 aceleradores operativos en 2028 o 2029. La construcción arranca en febrero de 2027; la apertura, en 2028.

Esa infraestructura necesita reglas: el proyecto de Real Decreto de centros de datos regula sostenibilidad energética y medioambiental, resiliencia y soberanía digital. El trámite de audiencia pública lo abrió el MITECO el 27 de agosto de 2026, y hoy el plazo de alegaciones ya está cerrado. Fija requisitos generales para centros con potencia de acceso igual o superior a 1 MW, y obligaciones de comunicación para los de potencia de TI igual o superior a 500 kW; transpone parcialmente la Directiva (UE) 2023/1791. El plan justifica la urgencia: los permisos de acceso a red ya solicitados «superan con mucho los 2,5 GW de demanda efectiva […] previstos para 2030». La norma prioriza renovables y uso eficiente de agua y suelo; la gigafactoría se diseñará para cumplirla desde el inicio. Hito de aprobación: octubre de 2026. El expediente completo, en la ficha de audiencia pública del MITECO.

Talento, scale-ups y I+D

El plan reconoce debilidad de partida: puesto 23 del mundo en el pilar de talento del índice de dinamismo de IA, y 25 de 32 en concentración de profesionales. Dos proyectos intentan corregirlo, con medidas normativas anunciadas para otoño de 2026.

El primero crea centros de interés nacional con más agilidad para contratar investigadores, mejora la carrera científica —promoción interna, quinquenios también para el personal técnico y más compatibilidad de los investigadores públicos con actividades de docencia e investigación a tiempo parcial— y añade reducciones permanentes en las cuotas a la Seguridad Social del personal dedicado a I+D e innovación tecnológica.

El segundo es la Ley de Scale-ups, que continúa la Ley de Startups: amplía el apoyo hasta cinco años más pasados los primeros cinco, y amplía el límite de siete años que ya tienen las empresas de base científica o deeptech —sin que el plan concrete el nuevo plazo—, con más deducciones por I+D+i y bonificaciones por contratar investigadores. Objetivo: duplicar la tasa de empresas que escalan hasta el nivel de Irlanda y pasar de 13 a 50 unicornios en 2030.

El plan sitúa el desarrollo tecnológico en el contexto de Quantum Spain y de la colaboración del CNS-BSC con NVIDIA para un acelerador europeo de IA que combina CPU RISC-V del BSC con GPU e interconexión de NVIDIA: «primer hardware avanzado con sello europeo» para supercomputación e IA, más un conjunto de modelos abiertos especializados en defensa, energía, clima y salud. Ninguna de estas piezas tiene, de momento, hito propio con fecha.

Lo que el plan no dice

Un documento de 15 páginas que reordena la política de un sector deja huecos. Merece la pena nombrarlos: son ellos los que determinan si una empresa puede planificar sobre el plan hoy o solo esperarlo.

1. No hay cuadro financiero total. Solo partidas sueltas: 5.000 millones para la gigafactoría (719 millones públicos), unos 300 millones para el escudo de ciberseguridad y 600 millones para el bono.
2. El bono no tiene convocatoria ni bases reguladoras. Su «preparación normativa» está fijada para el primer semestre de 2027, junto con un piloto controlado.
3. No fija importe por empresa, intensidad de la ayuda ni criterios de elegibilidad del bono. Esos tres datos quedan para más adelante.
4. No crea obligaciones legales nuevas. Las obligaciones de hoy vienen del AI Act, no de este plan.
5. El Acuerdo Tripartito se convoca, no se define. Se convoca a los agentes sociales en octubre de 2026, con mesas sectoriales, un observatorio permanente del mercado laboral y una mesa de cultura. Su contenido no está en el documento.

Y el dato que ordena todo: de los 14 proyectos tractores, solo siete tienen un hito dentro de 2026. El resto —incluida la parte con más presupuesto— es 2027 o posterior.

Qué hacer en los próximos 90 días

Nada de lo anterior exige una reacción inmediata salvo una cosa: las obligaciones del AI Act ya en vigor, con independencia de que el plan avance o se retrase.

1. Inventaría tus sistemas de IA. Con la plantilla de inventario de sistemas de IA.
2. Clasifica el riesgo de cada sistema. El AI Act trata distinto un sistema prohibido, uno de alto riesgo y uno de riesgo mínimo: el clasificador de riesgo del AI Act resuelve esa criba.
3. Redacta o actualiza tu política interna de uso de IA. El AI Act no exige ese documento, pero es la forma habitual de acreditar ante un cliente o un auditor las medidas de alfabetización del artículo 4: la plantilla de política de uso de IA en la empresa.
4. Calcula tu exposición real a sanciones. Para saber si el riesgo justifica invertir ahora o esperar, con la calculadora de sanciones del AI Act.
5. Valora un sistema de gestión formal. Si desarrollas o integras IA de forma habitual, la norma ISO 42001 de gestión de IA ordena el cumplimiento en un marco auditable.
6. Marca el 23 de septiembre y el 2 de diciembre de 2026. Fin del plazo de enmiendas de la ley española de IA, y fecha de aplicación de las dos prohibiciones nuevas del artículo 5: generar o manipular imágenes, vídeos o audios realistas de las partes íntimas de una persona identificable o de esa persona en actividades sexualmente explícitas sin su consentimiento, y generar o manipular material o espectáculos de abuso sexual infantil en el sentido de la Directiva 2011/93/UE. Ninguna de las dos fechas depende del Plan IA360.

Lo que no tiene sentido todavía es reservar presupuesto para el bono: no hay convocatoria a la que presentarse. Sí lo tiene preparar el diagnóstico de madurez y el caso de uso que el plan anticipa: si la convocatoria llega en 2027 con ese diseño, quien ya lo tenga hecho parte con ventaja.

Preguntas frecuentes

Fuentes

• Plan IA360, La Moncloa, 21 de septiembre de 2026.
• Nota de prensa de La Moncloa sobre la presentación del plan, 21 de septiembre de 2026, de donde procede la descripción del plan como hoja de ruta a doce meses.
• Reglamento (UE) 2024/1689 (AI Act), art. 113, y Reglamento (UE) 2026/1744 («Ómnibus digital»), de 8 de julio de 2026.
• Real Decreto 729/2023, de 22 de agosto, Estatuto de la AESIA (BOE-A-2023-18911).
• Proyecto de Real Decreto de centros de datos: audiencia pública del MITECO, abierta el 27 de agosto de 2026.
• Proyecto de Ley Orgánica para el buen uso y la gobernanza de la IA, expediente 121/000096. En tramitación: no es Derecho vigente.