Ley de IA en España: guía del AI Act y del proyecto de ley español

La regulación de la inteligencia artificial en España se compone de dos normas principales: el Reglamento Europeo de Inteligencia Artificial o AI Act, directamente aplicable en toda la Unión Europea, y el proyecto de ley español que desarrolla su supervisión, autoridades y régimen sancionador. En esta guía explicamos el marco completo de la ley IA España y su impacto para las empresas.

Consulta cuándo se aplica la Ley de IA y quién está obligado.

Ley de IA en España: las cuatro normas que regulan la inteligencia artificial

No existe una única norma que pueda llamarse “ley española de inteligencia artificial”. El marco jurídico aplicable en España combina el Reglamento europeo, el proyecto de ley nacional y la normativa de protección de datos, además de reglas sectoriales.

Sobre la nomenclatura: el Reglamento (UE) 2024/1689 aparece indistintamente como AI Act, RIA (Reglamento de Inteligencia Artificial) o Reglamento Europeo de IA. La expresión “Ley RIA de inteligencia artificial” se usa de forma coloquial para referirse a esta norma, aunque técnicamente es un reglamento europeo, no una ley.

El proyecto español, denominado Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial, no es una transposición del AI Act: los reglamentos europeos no se transponen. Su función es completar el Reglamento en los aspectos que este deja a cada Estado miembro, principalmente autoridades, procedimiento y sanciones.

Situación actual (3 de agosto de 2026) de la regulación de la IA en España

El AI Act entró en vigor el 1 de agosto de 2024 y se aplica por fases. Los hitos, tras la reforma del Reglamento (UE) 2026/1744 (Ómnibus digital sobre IA, en vigor desde el 27 de julio de 2026):

• 2 de febrero de 2025: prohibiciones de determinadas prácticas y obligaciones de alfabetización en IA.
• 2 de agosto de 2025: reglas sobre modelos de IA de uso general.
• 2 de agosto de 2026: obligaciones de transparencia y puesta en marcha de las autoridades de vigilancia del mercado.
• 2 de diciembre de 2027: requisitos de los sistemas de alto riesgo del anexo III (aplazados por el Ómnibus).
• 2 de agosto de 2028: requisitos de los sistemas de alto riesgo del anexo I (componentes de seguridad de productos regulados).

El aplazamiento no es una moratoria general: interpretar el Ómnibus como una pausa completa expone a incumplir las obligaciones exigibles desde este mismo agosto.

En cuanto a la norma española:

• 26 de mayo de 2026: el Consejo de Ministros aprueba el proyecto de ley y lo remite a las Cortes.
• 12 de junio de 2026: el Congreso lo publica en el Boletín Oficial de las Cortes Generales.
• Julio de 2026: continúa en tramitación parlamentaria, con el plazo de enmiendas ampliado, por lo que su texto puede modificarse antes de la aprobación definitiva.

Objetivos de la Ley de IA

Entre los principales objetivos de la normativa de inteligencia artificial en España están:

• Proteger los derechos fundamentales frente a usos de la IA que puedan vulnerar la privacidad, la igualdad o la seguridad de las personas.
• Establecer reglas proporcionales al nivel de riesgo de cada sistema: a mayor riesgo, mayores exigencias.
• Garantizar la supervisión humana y la transparencia, de modo que las decisiones relevantes no queden en manos de sistemas completamente automatizados y opacos.
• Prohibir determinados usos considerados incompatibles con los valores de la Unión Europea.
• Facilitar la innovación segura, mediante espacios controlados de pruebas (sandboxes) y un tratamiento proporcionado para pymes y startups.
• Designar autoridades y mecanismos de control: en España, principalmente la AESIA, en coordinación con la AEPD y las autoridades sectoriales.
• Desarrollar el régimen sancionador español, tipificando infracciones y procedimientos conforme al marco del AI Act.

Qué sistemas y actividades regula

El AI Act regula el ciclo de vida completo de los sistemas de inteligencia artificial, no solo su uso final. Las actividades cubiertas son:

• Desarrollo: diseño y entrenamiento de sistemas y modelos de IA.
• Comercialización: introducción del sistema en el mercado de la UE.
• Importación y distribución: puesta a disposición de sistemas desarrollados dentro o fuera de la Unión.
• Integración en productos: fabricantes que incorporan IA a sus productos con su propia marca.
• Puesta en servicio: primera utilización del sistema para su finalidad prevista.
• Uso o despliegue profesional: empresas y administraciones que utilizan sistemas de IA en su actividad, aunque no los hayan desarrollado.

Un ejemplo habitual: una pyme que utiliza una herramienta de cribado de currículums basada en IA no es proveedora del sistema, pero sí responsable de su despliegue, con obligaciones propias. Quedan fuera del Reglamento los usos exclusivamente militares, de defensa o seguridad nacional, y la actividad puramente personal no profesional.

Para identificar el rol de una organización y comprobar si entra dentro del ámbito de aplicación, consulta la guía sobre obligatoriedad de la Ley de IA enlazada al inicio de este artículo.

Clasificación de los sistemas de IA según su riesgo

El enfoque basado en el riesgo es el núcleo del AI Act: las obligaciones dependen de la categoría en la que encaje cada sistema.

Riesgo inaceptable

Son las prácticas de IA que el Reglamento considera una amenaza inasumible para los derechos fundamentales y que están prohibidas. Ejemplos: la puntuación social de ciudadanos, la manipulación mediante técnicas subliminales y la explotación de vulnerabilidades de colectivos concretos. La consecuencia jurídica es la prohibición total, sujeta a las sanciones más elevadas. El detalle está en la sección de prácticas prohibidas, más abajo.

Alto riesgo

Sistemas que pueden afectar de forma significativa a la salud, la seguridad o los derechos fundamentales. Ejemplos: IA de selección y evaluación de personal, sistemas de evaluación crediticia y componentes de seguridad de infraestructuras críticas. Consecuencia jurídica: solo pueden comercializarse y usarse si cumplen requisitos estrictos (gestión de riesgos, calidad de datos, documentación, supervisión humana) y superan una evaluación de conformidad. Los analizamos en detalle en la guía de sistemas de IA de alto riesgo.

Riesgo limitado o sujeto a transparencia

Sistemas cuyo riesgo principal es el engaño sobre su naturaleza artificial. Ejemplos: chatbots de atención al cliente, generadores de contenido sintético y deepfakes con fines legítimos. Consecuencia jurídica: obligación de informar al usuario de que interactúa con una IA o de que el contenido ha sido generado o manipulado artificialmente.

Riesgo mínimo

La mayoría de las aplicaciones de IA: filtros de spam, IA en videojuegos, sistemas de mantenimiento predictivo o herramientas internas de productividad. Consecuencia jurídica: sin obligaciones específicas bajo el AI Act, aunque se fomenta la adhesión voluntaria a códigos de conducta. Conviene no aplicar etiquetas absolutas: un mismo tipo de sistema, como un motor de recomendación, puede caer en categorías distintas según su finalidad y contexto de uso.

El AI Act clasifica los sistemas de IA en cuatro niveles: riesgo inaceptable (prohibidos), alto riesgo (requisitos estrictos y evaluación previa), riesgo limitado (deberes de transparencia) y riesgo mínimo (sin obligaciones específicas). La categoría depende de la finalidad y el contexto de uso, no solo de la tecnología.

Obligaciones del AI Act: los siete bloques, en resumen

Las obligaciones del AI Act varían según el rol (proveedor, responsable del despliegue, importador, distribuidor) y el nivel de riesgo del sistema. En términos generales, se agrupan en siete bloques:

• Gestión de riesgos: identificar, evaluar y mitigar los riesgos del sistema durante todo su ciclo de vida.
• Calidad y gobernanza de datos: conjuntos de datos pertinentes, representativos y con control de sesgos.
• Documentación y trazabilidad: documentación técnica y registros de actividad que permitan auditar el sistema.
• Transparencia: información clara a usuarios y personas afectadas.
• Supervisión humana: medidas que permitan a una persona vigilar, corregir o detener el sistema.
• Precisión, robustez y ciberseguridad: niveles adecuados de fiabilidad técnica.
• Alfabetización en IA: medidas que apoyen la formación del personal que opera o utiliza estos sistemas (el Ómnibus la reformula como obligación de medios, sin exigir garantizar un nivel concreto por persona).

Qué usos de la IA están prohibidos: del AI Act al proyecto español

El AI Act prohíbe una serie de prácticas desde el 2 de febrero de 2025. Las principales son:

• Manipulación mediante técnicas engañosas o subliminales que distorsionen el comportamiento de una persona y puedan causarle un perjuicio significativo.
• Explotación de vulnerabilidades por edad, discapacidad o situación social o económica.
• Puntuación social: evaluar o clasificar a personas por su comportamiento o características con efectos perjudiciales en contextos ajenos.
• Determinados usos biométricos: la identificación biométrica remota en tiempo real en espacios públicos con fines policiales está prohibida como regla general, aunque admite excepciones tasadas que, en España, el proyecto de ley somete a autorización judicial.
• Reconocimiento de emociones en el trabajo y en centros educativos, salvo motivos médicos o de seguridad.
• Categorización biométrica basada en datos especialmente sensibles, como el origen étnico, las opiniones políticas o la orientación sexual.

Conviene distinguir tres planos: las prohibiciones ya vigentes del AI Act (las anteriores), las prohibiciones aprobadas con aplicación diferida (el Reglamento (UE) 2026/1744 incorpora al AI Act la prohibición de generar contenido sexual e íntimo no consentido mediante IA, incluidas las aplicaciones que “desvisten” digitalmente fotografías reales, aplicable desde el 2 de diciembre de 2026; el proyecto español añade su propio tratamiento, aún en tramitación) y las restricciones sometidas a excepciones legales, como los usos biométricos autorizables. El detalle de cada supuesto está en la página de prácticas prohibidas por la Ley de IA.

Régimen sancionador de la IA: las multas máximas, de un vistazo

Tres precisiones importantes:

• Se aplica la cuantía que corresponda según las reglas del propio Reglamento (en general, la mayor de las dos para grandes empresas).
• Para pymes y startups se prevé un tratamiento proporcional, con multas adaptadas a su tamaño. Lo explicamos en la guía de la Ley de IA para pymes.
• El proyecto de ley español desarrolla el catálogo de infracciones, las autoridades sancionadoras y el procedimiento aplicable en España.

El análisis completo del régimen sancionador está en la página de sanciones por incumplir la Ley de IA.

Autoridades responsables de aplicar la Ley de IA en España

La supervisión de la inteligencia artificial en España se reparte entre varias autoridades, según la materia y el sector:

El reparto definitivo de competencias en España quedará fijado cuando se apruebe el proyecto de ley. Analizamos cada organismo en la página de autoridades de cumplimiento de la Ley de IA.

Cómo afecta la Ley de IA a las empresas

El impacto de la normativa depende del sector y del tipo de sistema utilizado, y afecta ya a una parte creciente del tejido productivo: según la encuesta del INE analizada por el ONTSI, el 21,1 % de las empresas españolas utiliza inteligencia artificial en 2025, 8,8 puntos más que un año antes. Esta tabla resume los escenarios más habituales:

Una misma empresa puede acumular varios roles: usar un chatbot de atención al cliente (transparencia), un sistema de cribado de currículums (alto riesgo como responsable del despliegue) y desarrollar internamente una herramienta propia (obligaciones de proveedor). En el caso de los usos de RRHH del anexo III (reclutamiento, selección, promoción o supervisión del rendimiento), las obligaciones de alto riesgo se posponen 16 meses, hasta diciembre de 2027. Analizamos los sectores afectados por la Ley de IA en su página específica.

Relación entre la Ley de IA y el RGPD

El AI Act y el RGPD se aplican de forma simultánea y acumulativa cuando un sistema de IA trata datos personales, algo que ocurre en la mayoría de los usos empresariales: selección de personal, scoring crediticio, personalización de ofertas o análisis de clientes.

Los puntos de contacto más relevantes:

• Cuándo se solapan: si el sistema trata datos personales, el RGPD aplica siempre, con independencia del nivel de riesgo asignado por el AI Act.
• Evaluaciones de impacto: la evaluación de impacto en protección de datos (EIPD, art. 35 RGPD) y la evaluación de impacto sobre derechos fundamentales del AI Act son instrumentos distintos que pueden coincidir en un mismo proyecto; conviene coordinarlas, no fusionarlas sin criterio.
• Transparencia algorítmica: el RGPD exige informar sobre la lógica de las decisiones automatizadas; el AI Act añade deberes de transparencia sobre la naturaleza artificial del sistema y del contenido.
• Decisiones automatizadas: el art. 22 del RGPD limita las decisiones basadas únicamente en tratamiento automatizado con efectos jurídicos significativos, lo que refuerza la supervisión humana exigida por el AI Act.
• Principios de datos: minimización, exactitud y limitación de la conservación condicionan el diseño y el entrenamiento de los sistemas.
• Reparto de responsabilidad: el proveedor del sistema y el responsable del despliegue bajo el AI Act no coinciden necesariamente con el responsable y el encargado del tratamiento bajo el RGPD; cada empresa debe mapear ambos planos.

Cumplir el AI Act no implica automáticamente cumplir el RGPD, ni al revés: son marcos complementarios con obligaciones propias. Como referencia práctica, la AEPD publicó en febrero de 2026 unas orientaciones sobre IA agéntica desde la perspectiva de protección de datos, dirigidas a responsables y encargados que implanten estos sistemas.

Qué debería hacer una empresa ante la Ley de IA

El punto de partida razonable para cualquier organización se resume en cinco pasos:

1. Inventariar los sistemas de IA en uso o en desarrollo, incluidos los integrados en herramientas de terceros.
2. Identificar el rol jurídico de la empresa respecto a cada sistema: proveedor, responsable del despliegue, importador o distribuidor.
3. Clasificar los sistemas por nivel de riesgo según los criterios del AI Act.
4. Detectar las obligaciones aplicables a cada combinación de rol y riesgo.
5. Implantar documentación, controles y formación, con revisión periódica.

El desarrollo de cada paso está en la guía sobre cómo cumplir con la Ley de Inteligencia Artificial. Si tu organización necesita apoyo especializado, los abogados expertos en protección de datos e inteligencia artificial de Atico34 ofrecen asesoramiento en el cumplimiento de la Ley de IA, desde el análisis de riesgos hasta la implantación de medidas concretas.

Preguntas frecuentes

¿Es lo mismo el AI Act que la ley española de inteligencia artificial?

No. El AI Act (también denominado RIA, Reglamento de Inteligencia Artificial) es un reglamento europeo directamente aplicable en España, mientras que el proyecto de ley español lo complementa: designa autoridades, regula el procedimiento y desarrolla el régimen sancionador nacional. Las obligaciones sustantivas para empresas proceden principalmente del AI Act.

¿Qué regula el AI Act?

El desarrollo, la comercialización, la importación, la distribución, la puesta en servicio y el uso profesional de sistemas de inteligencia artificial en la UE, además de los modelos de IA de uso general. Establece prohibiciones, requisitos para sistemas de alto riesgo, deberes de transparencia y un régimen sancionador.

¿Cuáles son los niveles de riesgo?

Cuatro: riesgo inaceptable (prácticas prohibidas), alto riesgo (requisitos estrictos y evaluación de conformidad), riesgo limitado (deberes de transparencia) y riesgo mínimo (sin obligaciones específicas). La clasificación depende de la finalidad y el contexto de uso. Tras el Reglamento (UE) 2026/1744, las obligaciones de alto riesgo se aplican desde diciembre de 2027 (anexo III) y agosto de 2028 (anexo I).

¿Qué organismo supervisa la IA en España?

La AESIA es la autoridad central de supervisión, en coordinación con la AEPD (datos personales y biometría), las autoridades sectoriales y, en el plano europeo, la Oficina Europea de IA. El reparto definitivo de competencias quedará fijado con la aprobación del proyecto de ley español.

¿Qué relación existe entre el AI Act y el RGPD?

Se aplican a la vez cuando un sistema de IA trata datos personales. El RGPD regula el tratamiento de los datos y el AI Act, el sistema en sí. Cumplir una norma no exime de cumplir la otra: exigen evaluaciones, garantías de transparencia y medidas de supervisión propias.

Fuentes oficiales

• Reglamento (UE) 2024/1689 (AI Act)
• Reglamento (UE) 2026/1744 (Ómnibus digital sobre IA)
• Calendario oficial de aplicación del AI Act (Comisión Europea)
• Nota del Gobierno sobre la aprobación del proyecto de ley
• Proyecto de Ley Orgánica publicado por el Congreso de los Diputados
• Agencia Española de Supervisión de la Inteligencia Artificial (AESIA)

Última actualización: 3 de agosto de 2026. Redactado y revisado por el departamento de abogados expertos en IA de Atico34. Criterio de revisión: legislación vigente (Reglamento (UE) 2024/1689, RGPD, LOPDGDD), documentación oficial del Congreso de los Diputados y fuentes institucionales de la Comisión Europea, AESIA y AEPD.