Cómo participar en el entorno controlado de pruebas de IA en España

Para participar en el sandbox de IA español hay que esperar a que la autoridad competente publique una convocatoria y presentar una solicitud con el sistema de inteligencia artificial que se quiere probar. Hoy conviven dos marcos: el entorno piloto del Real Decreto 817/2023, cuyas convocatorias aprueba por resolución la Secretaría de Estado de Digitalización e Inteligencia Artificial, y el espacio controlado de pruebas del artículo 57 del Reglamento (UE) 2024/1689 (el AI Act), que en España gestionará la AESIA cuando se apruebe la ley de gobernanza de la IA, todavía en tramitación parlamentaria. Esta guía explica qué es cada uno, qué gana una empresa dentro, quién puede entrar y cómo se prepara la solicitud.

Qué es exactamente el sandbox de IA español

Un espacio controlado de pruebas (el término oficial en castellano; «sandbox» es el nombre coloquial) es un entorno supervisado por una autoridad pública en el que una empresa desarrolla, entrena, prueba y valida un sistema de IA innovador antes de sacarlo al mercado o ponerlo en servicio. Así lo define el artículo 57.5 del AI Act: un entorno controlado que fomenta la innovación durante un periodo limitado, con arreglo a un plan específico acordado entre el proveedor y la autoridad competente.

El sandbox no es una zona sin ley. Las facultades de supervisión de las autoridades siguen intactas dentro del entorno (artículo 57.11), y si durante las pruebas aparece un riesgo considerable para la salud, la seguridad o los derechos fundamentales que no se puede mitigar, la autoridad puede suspender el proyecto o expulsar al participante.

Tampoco es un trámite decorativo. El plan de pruebas se negocia con la autoridad, la participación tiene una duración acotada a la complejidad del proyecto (prorrogable, según el artículo 58.2) y al salir se recibe documentación con efectos jurídicos reales, como se verá más abajo.

Base jurídica: del Reglamento europeo al real decreto español

El marco europeo está en los artículos 57 a 59 del AI Act, dentro del capítulo dedicado a las medidas de apoyo a la innovación. El artículo 57 obliga a cada Estado miembro a tener operativo al menos un espacio controlado de pruebas a escala nacional; el 58 remite a actos de ejecución de la Comisión los detalles de admisión, funcionamiento y salida; y el 59 regula un supuesto especial de reutilización de datos personales dentro del entorno.

España se adelantó al Reglamento. El Real Decreto 817/2023, de 8 de noviembre (BOE de 9 de noviembre de 2023, en vigor al día siguiente), creó un entorno controlado de pruebas para ensayar el cumplimiento de lo que entonces era solo una propuesta de Reglamento europeo. Su órgano competente es la Secretaría de Estado de Digitalización e Inteligencia Artificial, y las convocatorias de participación se aprueban por resolución de su titular (artículo 6.1 del real decreto). Es una norma con fecha de caducidad: su disposición final segunda le da una vigencia máxima de treinta y seis meses desde la entrada en vigor, o hasta que el Reglamento europeo sea aplicable en España.

El relevo lo tomará el proyecto de ley de gobernanza de la inteligencia artificial (expediente 121/000096 del Congreso). Su capítulo tercero regula los espacios controlados de pruebas: encarga a la AESIA el sandbox nacional obligatorio del artículo 57.1 del Reglamento, permite que otras autoridades competentes creen sandboxes adicionales en su ámbito y deroga expresamente el Real Decreto 817/2023.

Ojo con el estado de esa norma: a fecha de esta guía sigue en fase de enmiendas en el Congreso, con plazo ampliado hasta el 2 de septiembre de 2026, así que cualquier detalle puede cambiar antes de su aprobación. Quién es quién en este reparto institucional lo tienes desarrollado en la guía de autoridades de supervisión de la IA en España y en el análisis de las funciones de la AESIA.

La pieza más reciente es el Reglamento (UE) 2026/1744, el llamado Ómnibus digital sobre IA, en vigor desde el 27 de julio de 2026. Modifica los artículos 57, 58 y 60 del AI Act, y lo que cambia afecta de lleno a esta guía:

1. Retrasa la fecha límite del sandbox nacional al 2 de agosto de 2027 (antes era el 2 de agosto de 2026).
2. Habilita a la Oficina de IA de la Comisión a crear un espacio controlado de pruebas a escala de la Unión, con acceso prioritario para pymes y empresas emergentes.
3. Permite integrar el plan de la prueba en condiciones reales dentro del propio plan del sandbox, para no duplicar trámites.

Como los dos marcos conviven —y esa convivencia es la primera fuente de confusión—, esta es la foto rápida:

Qué gana tu empresa participando

La lista de beneficios no es teórica; cada uno tiene su artículo detrás.

Orientación regulatoria directa. Dentro del sandbox, la autoridad competente orienta sobre cómo cumplir los requisitos del Reglamento y supervisa la identificación de riesgos y la eficacia de las medidas de mitigación (artículos 57.6 y 57.7). Para una pyme que no puede pagar un departamento regulatorio, tener a la autoridad sentada a la mesa mientras desarrolla es una vía de reducción de incertidumbre difícil de conseguir por otro camino.

Informe de salida con efectos reales. Al terminar, la autoridad entrega un informe de salida con las actividades realizadas y sus resultados, y, si el proveedor lo pide, una prueba escrita de lo llevado a cabo con éxito. El artículo 57.7 ordena que las autoridades de vigilancia del mercado y los organismos notificados tengan en cuenta positivamente esa documentación para acelerar la evaluación de la conformidad «en una medida razonable». No es un certificado de cumplimiento, pero sí un activo documental que pesa.

Escudo frente a multas. Mientras el participante respete el plan acordado y siga de buena fe las orientaciones de la autoridad, no se le impondrán multas administrativas por infracciones del Reglamento (artículo 57.12). La buena fe es la condición que sostiene todo el mecanismo.

Gratuidad para pymes. El artículo 58.2 exige que el acceso sea gratuito para las pymes, incluidas las empresas emergentes, sin perjuicio de costes excepcionales que la autoridad pueda recuperar de forma justa y proporcionada. El mismo artículo obliga a que los procedimientos sean sencillos y comprensibles precisamente para no expulsar a empresas con poca capacidad jurídica y administrativa. Este alivio encaja con el resto de medidas para empresas pequeñas que repaso en los alivios del AI Act para pymes.

Efectos en toda la Unión. La participación en un sandbox de un Estado miembro debe reconocerse mutua y uniformemente y producir los mismos efectos jurídicos en toda la UE (artículo 58.2, letra g). Probar en España vale para vender en Francia.

Servicios previos al despliegue. El artículo 58.3 prevé para los participantes, en especial pymes, servicios como ayuda con documentos de normalización y certificación o acceso a instalaciones de ensayo y centros europeos de innovación digital.

Quién puede participar (y quién no)

Pueden solicitar la entrada los proveedores y proveedores potenciales de sistemas de IA: quien desarrolla un sistema para introducirlo en el mercado con su nombre o marca, o se plantea hacerlo. No hace falta ir solo: el artículo 58.2, letra b, admite solicitudes en asociación con responsables del despliegue y otros terceros, por ejemplo el cliente que va a usar el sistema o un centro de investigación.

Los criterios de admisibilidad y selección deben ser transparentes y equitativos, y la autoridad tiene que comunicar su decisión en un plazo de tres meses desde la solicitud. Las pymes y empresas emergentes parten con ventaja doble: gratuidad en los sandboxes nacionales y acceso prioritario en el futuro sandbox de la Oficina de IA a escala de la Unión.

¿Quién queda fuera? El sandbox está pensado para sistemas antes de su introducción en el mercado o puesta en servicio. Si tu sistema ya está comercializado y lo que necesitas es regularizar su cumplimiento, el camino no es el sandbox sino la adecuación ordinaria: empieza por clasificarlo con el clasificador de riesgo del AI Act y revisa las obligaciones de tu rol. Tampoco es la vía para sistemas sin componente innovador real: la selección valora precisamente eso.

Cómo se entra: convocatoria y solicitud paso a paso

El procedimiento concreto lo fijará cada convocatoria (y, a escala europea, los actos de ejecución que la Comisión debe adoptar en virtud del artículo 58). Con lo ya publicado, el recorrido tipo es este:

1. Vigila el canal oficial. Bajo el Real Decreto 817/2023, las convocatorias se aprueban por resolución de la Secretaría de Estado de Digitalización e Inteligencia Artificial. Cuando la ley de gobernanza se apruebe, la referencia pasará a ser la AESIA. El nuevo espacio del artículo 57 no tiene convocatoria todavía porque la ley que lo crea sigue en tramitación.
2. Prepara el expediente antes de que abra el plazo. Los plazos de convocatoria suelen ser cortos frente al trabajo de documentación. Ten hecho el inventario de sistemas de IA, la clasificación de riesgo de cada uno y un borrador de documentación técnica del sistema candidato.
3. Define con quién te presentas. Si el sistema lo va a operar un cliente concreto, valorad la solicitud conjunta proveedor más responsable del despliegue: el marco europeo la contempla expresamente.
4. Presenta la solicitud y espera la resolución. El marco europeo fija un máximo de tres meses para que la autoridad conteste.
5. Acuerda el plan del espacio controlado. Es el documento que gobierna toda la participación: qué se prueba, con qué garantías, durante cuánto tiempo. Si el proyecto incluye pruebas en condiciones reales, tras el Ómnibus el plan de esas pruebas puede integrarse en el propio plan del sandbox.
6. Ejecuta con supervisión y documenta todo. Lo que se documenta durante la participación alimenta el informe de salida, que es el activo que te llevas.
7. Cierra con el informe de salida y, si te interesa, pide además la prueba escrita de las actividades completadas con éxito.

Qué ocurre dentro del sandbox

La participación no es un simple registro. La autoridad orienta, supervisa y puede intervenir. El artículo 57.11 le permite suspender temporal o definitivamente las pruebas si detecta riesgos considerables sin mitigación posible, informando de ello a la Oficina de IA. La duración se ajusta a la complejidad y escala del proyecto y puede prorrogarse.

Dentro del entorno caben pruebas en condiciones reales supervisadas, es decir, con usuarios y datos reales bajo las garantías pactadas en el plan. Y hay una contrapartida de transparencia: las autoridades publican informes anuales sobre el funcionamiento de sus sandboxes, con mejores prácticas, incidentes y lecciones aprendidas (artículo 57.16), y la Oficina de IA mantiene una lista pública de los espacios existentes y previstos en la Unión.

Responsabilidad y protección de datos dentro del entorno

Conviene deshacer un malentendido frecuente: el sandbox suaviza el riesgo sancionador, no la responsabilidad civil. El artículo 57.12 lo dice sin rodeos: los participantes responden, conforme al Derecho de la Unión y nacional, de cualquier daño infligido a terceros como resultado de la experimentación. Lo que desaparece, si se actúa de buena fe y conforme al plan, son las multas administrativas del Reglamento.

En materia de datos personales, el artículo 59 abre una puerta estrecha: reutilizar datos recabados lícitamente para otros fines, solo para desarrollar, entrenar y probar en el sandbox sistemas de IA que sirvan a un interés público esencial en ámbitos tasados (salud y seguridad públicas, medio ambiente, sostenibilidad energética, transporte e infraestructuras críticas, y eficiencia de la administración pública). Las condiciones son acumulativas y exigentes: entorno de tratamiento funcionalmente separado y protegido, prohibición de que los datos generados salgan del sandbox, eliminación al terminar, registros de tratamiento y publicación de una síntesis del proyecto en la web de la autoridad. Además, cuando hay datos personales en juego, las autoridades de protección de datos quedan vinculadas al funcionamiento del espacio (artículo 57.10), así que en España la AEPD tendrá voz dentro.

Sandbox español y AI Act: fechas que importan

• 9 de noviembre de 2023: se publica en el BOE el Real Decreto 817/2023; entra en vigor al día siguiente.
• 27 de julio de 2026: entra en vigor el Reglamento (UE) 2026/1744 (Ómnibus digital sobre IA), que modifica los artículos 57, 58 y 60.
• 2 de agosto de 2026: era la fecha límite original del artículo 57.1 para tener el sandbox nacional operativo. Ya no rige: el Ómnibus la desplazó seis días antes de que venciera.
• 2 de septiembre de 2026: fin, por ahora, del plazo de enmiendas del proyecto de ley de gobernanza de la IA en el Congreso. Un plazo ampliado puede volver a ampliarse.
• Noviembre de 2026: horizonte de la vigencia máxima de treinta y seis meses del Real Decreto 817/2023 (o antes, si el Reglamento europeo pasa a ser aplicable en España en lo que afecte al entorno).
• 2 de agosto de 2027: nueva fecha límite para que el sandbox nacional del artículo 57.1 esté operativo.

Si tu empresa está valorando el sandbox como vía de entrada al mercado, la ventana de preparación es precisamente esta: la que va de la tramitación de la ley española a la puesta en marcha del espacio de la AESIA.

Preguntas frecuentes

Fuentes

• Reglamento (UE) 2024/1689 (AI Act), artículos 57, 58 y 59 — DOUE de 12 de julio de 2024.
• Reglamento (UE) 2026/1744, «Ómnibus digital sobre IA» — DOUE Serie L de 24 de julio de 2026, en vigor desde el 27 de julio de 2026 (modifica los artículos 57, 58 y 60 del AI Act).
• Real Decreto 817/2023, de 8 de noviembre, por el que se establece un entorno controlado de pruebas — BOE núm. 268, de 9 de noviembre de 2023 (BOE-A-2023-22767), texto consolidado.
• Proyecto de Ley de gobernanza de la inteligencia artificial, expediente 121/000096 — BOCG, Congreso de los Diputados, Serie A, núm. 97-1, de 12 de junio de 2026. En tramitación: fase de enmiendas ampliada hasta el 2 de septiembre de 2026 (ficha del expediente, congreso.es).
• Real Decreto 729/2023, de 22 de agosto, Estatuto de la AESIA (citado en la exposición de motivos del proyecto de ley).