La inteligencia artificial ya no se mueve únicamente en el terreno de la innovación. En Europa, también ha entrado definitivamente en el de la regulación.
El AI Act europeo está en vigor desde agosto de 2024 y sus obligaciones se aplican de forma progresiva. En España, el Consejo de Ministros aprobó el 26 de mayo de 2026 el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial, cuyo objetivo es adaptar el marco nacional para supervisar el Reglamento europeo, identificar a las autoridades competentes y establecer el régimen sancionador.
Pero conviene hacer una precisión: todavía no es una ley definitivamente aprobada. El proyecto se encuentra en tramitación en el Congreso de los Diputados y, a fecha de publicación de este artículo, continúa en fase de enmiendas. Su contenido podría cambiar durante el proceso parlamentario.
En esta nueva entrega de nuestra serie “Hablemos de…”, revisamos qué propone la norma española, qué empieza a suceder en agosto de 2026 y, sobre todo, qué deberían considerar desde ahora las organizaciones que desarrollan o utilizan inteligencia artificial.
Una ley española para aplicar la regulación europea
El AI Act es un reglamento europeo y, por tanto, se aplica directamente en los Estados miembros. España no necesita reproducirlo mediante una transposición tradicional. Lo que sí necesita es construir el marco institucional que permita aplicarlo: definir quién supervisa cada ámbito, cómo se coordinan las autoridades, qué procedimientos se utilizarán y qué sanciones podrán imponerse.
Ese es el núcleo del proyecto español. La propuesta sitúa a la Agencia Española de Supervisión de Inteligencia Artificial, AESIA, como punto de contacto único y como autoridad central para numerosos sistemas no cubiertos por la regulación específica de productos. En otros ámbitos seguirán interviniendo organismos especializados, como la Agencia Española de Protección de Datos, el Consejo General del Poder Judicial, el Banco de España o las autoridades encargadas de productos regulados, entre ellos vehículos, juguetes, maquinaria o productos sanitarios.
El resultado es un modelo de supervisión distribuida. Como un mismo sistema puede afectar a datos personales, derechos laborales, seguridad o regulación sectorial, la coordinación entre autoridades será uno de los principales desafíos.
El riesgo determina las obligaciones
El corazón del AI Act es su enfoque basado en el riesgo. No toda inteligencia artificial recibe el mismo tratamiento, porque no todas las aplicaciones tienen el mismo impacto.
Las prácticas consideradas de riesgo inaceptable están prohibidas. Entre ellas se encuentran determinados usos manipuladores, la explotación de vulnerabilidades, algunas formas de puntuación social, el scraping indiscriminado de imágenes faciales y ciertos usos biométricos o de reconocimiento de emociones. Estas prohibiciones comenzaron a aplicarse en febrero de 2025.
España y Francia impulsaron además la incorporación de dos nuevas prohibiciones europeas: los sistemas destinados a crear deepfakes sexuales no consentidos y los sistemas capaces de generar material de abuso sexual infantil. Según el calendario europeo actualizado, estas nuevas prohibiciones comenzarán a aplicarse el 2 de diciembre de 2026.
Los sistemas de alto riesgo no se prohíben, pero deberán cumplir obligaciones reforzadas en ámbitos como empleo, educación, servicios esenciales, justicia, biometría o infraestructuras críticas. Entre ellas aparecen la gestión de riesgos, la documentación, la trazabilidad, la supervisión humana, la precisión y la ciberseguridad. Una herramienta que clasifica correos no puede recibir el mismo tratamiento que otra utilizada para filtrar candidatos o conceder financiación.
¿Qué cambia el 2 de agosto de 2026?
El 2 de agosto de 2026 es uno de los grandes hitos del AI Act. No comienza toda la regulación ese día: algunas obligaciones ya están vigentes y otras llegarán después. Lo que sucede es que se aplica la mayoría de las disposiciones restantes y comienza la supervisión efectiva de varias de ellas.
El cambio más visible será la aplicación del artículo 50, dedicado a la transparencia. Desde esa fecha deberán considerarse, entre otras, las siguientes obligaciones:
- Las personas deberán ser informadas cuando estén interactuando directamente con un sistema de IA, salvo que resulte evidente por el contexto. Esto afecta a chatbots, asistentes virtuales y determinados agentes conversacionales.
- Los proveedores de sistemas que generen audio, imagen, vídeo o texto sintético deberán incorporar mecanismos para marcar los resultados en un formato legible por máquinas y permitir que pueda detectarse su naturaleza artificial.
- Quienes publiquen deepfakes deberán revelar que el contenido ha sido generado o manipulado mediante IA, con adaptaciones específicas para obras artísticas, satíricas o de ficción.
- Los textos generados o manipulados con IA y publicados para informar al público sobre asuntos de interés general deberán identificarse, salvo las excepciones previstas por el Reglamento.
- Las personas expuestas a sistemas de reconocimiento de emociones o categorización biométrica deberán ser informadas sobre su utilización, además de respetarse la normativa de protección de datos.
Agosto también activa la supervisión y ejecución del AI Act sobre las prácticas prohibidas, la transparencia, la alfabetización en IA y los proveedores de modelos de propósito general. La Comisión Europea podrá ejercer sus facultades de control sobre estos últimos, mientras que las autoridades nacionales comenzarán a supervisar obligaciones como la alfabetización en IA, aplicable desde febrero de 2025.
Lo que no comienza todavía
Existe un riesgo evidente de interpretar agosto de 2026 como la fecha en la que absolutamente todas las obligaciones del AI Act serán exigibles. No es así.
El calendario europeo actualizado desplaza las reglas específicas de los sistemas de alto riesgo incluidos en el anexo III al 2 de diciembre de 2027. Para los sistemas de alto riesgo integrados en productos regulados del anexo I, la fecha prevista es el 2 de agosto de 2028.
Este aplazamiento no es una invitación a esperar. Preparar la documentación, revisar proveedores y diseñar una supervisión humana real requiere tiempo.
Sanciones y responsabilidad en España
El proyecto español propone un régimen sancionador con impacto real. Las infracciones vinculadas al uso de prácticas prohibidas podrían alcanzar los 35 millones de euros o el 7 % del volumen de negocio mundial anual. Otras infracciones muy graves podrían llegar a 15 millones o al 3 %, mientras que las graves podrían alcanzar 7,5 millones o el 1 %. Las leves tendrían un límite de 500.000 euros o del 0,5 %.
Las sanciones deberán modularse según la gravedad, la reincidencia, el daño, las medidas correctoras y el tamaño de la organización. También podría ordenarse la retirada, desconexión o prohibición de uso de un sistema.
Uno de los puntos más controvertidos del proyecto es el tratamiento de las administraciones públicas. El texto prevé apercibimientos y medidas correctoras, pero no multas administrativas para las entidades públicas, sin perjuicio de posibles responsabilidades disciplinarias. Esta diferencia frente al sector privado será previsiblemente uno de los elementos más discutidos durante la tramitación.
Gobernanza, inventario y delegado de IA
El proyecto también pretende ordenar el uso de la IA en el sector público estatal mediante un inventario de sistemas utilizados en procedimientos administrativos electrónicos y la figura de un delegado de IA. Aunque estas medidas se dirigen a la Administración, anticipan una pregunta empresarial inevitable: ¿quién responde por la IA dentro de la organización? La gobernanza no puede recaer solo en Tecnología, Legal, Seguridad o Negocio; necesita propietarios definidos, criterios de aprobación, observabilidad y capacidad de respuesta ante incidentes.
¿Qué deberían considerar las empresas desde ahora?
El primer paso es saber dónde se está utilizando IA: soluciones corporativas, desarrollos propios, funcionalidades de proveedores y usos informales de herramientas generativas. A partir de ese inventario, conviene priorizar seis líneas de trabajo:
- Identificar su papel en cada caso de uso: proveedor, responsable del despliegue, importador, distribuidor o usuario profesional.
- Clasificar el riesgo según la finalidad real del sistema, los datos tratados y las consecuencias que sus resultados pueden producir sobre las personas.
- Revisar las obligaciones de transparencia: avisos en chatbots y agentes, etiquetado de contenidos, marcado técnico de resultados y comunicación a las personas afectadas.
- Definir una supervisión humana efectiva. No basta con una aprobación formal: la persona responsable debe comprender el resultado, tener autoridad para cuestionarlo y poder detener o revertir la decisión.
- Revisar contratos y proveedores. Comprar una solución no transfiere automáticamente toda la responsabilidad. Será necesario exigir documentación, garantías, trazabilidad y mecanismos de colaboración ante auditorías o incidentes.
- Formar a las personas y conservar evidencias. La alfabetización en IA debe adaptarse al rol de cada empleado y quedar integrada en un modelo continuo de gobierno, no en una formación aislada.
La adopción también depende de las personas
La gobernanza de la inteligencia artificial no termina en el inventario de herramientas, la clasificación de riesgos o la definición de controles técnicos. También exige preparar a las personas que desarrollan, configuran, supervisan o utilizan estos sistemas.
El AI Act introduce en su artículo 4 el concepto de alfabetización en IA. Las organizaciones que proporcionan o utilizan sistemas de inteligencia artificial deben adoptar medidas para apoyar el desarrollo de los conocimientos y competencias de su personal, teniendo en cuenta su experiencia, su formación previa, el contexto de uso y los riesgos asociados a cada sistema.
Esto no significa que todas las personas deban recibir el mismo curso ni convertirse en especialistas. Un desarrollador, un responsable de negocio, un profesional de Recursos Humanos y una persona que utiliza un asistente generativo necesitan niveles y contenidos diferentes.
La formación debe ser proporcional al uso. Puede incluir conocimientos generales sobre IA, instrucciones específicas sobre las herramientas corporativas, protección de la información, revisión de resultados, identificación de errores o alucinaciones, supervisión humana y protocolos para comunicar incidentes.
La obligación de promover esta alfabetización se aplica desde febrero de 2025. A partir de agosto de 2026, además, comienza la supervisión efectiva de su cumplimiento. Por eso, la formación ya no debería entenderse únicamente como una iniciativa de adopción: también forma parte del modelo de gobierno y del uso responsable de la IA.
Gobernar la IA para poder adoptarla
La futura ley española no sustituirá al AI Act ni resolverá por sí sola todos los interrogantes que plantea la inteligencia artificial. Sin embargo, la dirección es clara: la IA está dejando de gestionarse como una colección de pruebas aisladas para convertirse en una capacidad empresarial que debe ser conocida, supervisada y gobernada.
Ese gobierno no puede limitarse a la tecnología. Requiere identificar los sistemas utilizados, comprender sus riesgos, asignar responsabilidades, proteger los datos, garantizar la trazabilidad y preparar a las personas que trabajan con ellos.
En Raona creemos que gobernar la IA no significa frenar su adopción. Significa crear las condiciones para que pueda escalar de forma segura, responsable y sostenible.
Porque el verdadero riesgo no está únicamente en utilizar inteligencia artificial. Está en no saber dónde se utiliza, con qué información, bajo qué criterios, quién supervisa sus resultados y si las personas están realmente preparadas para trabajar con ella.
La regulación está convirtiendo estas preguntas en obligaciones. Las organizaciones que comiencen a responderlas hoy estarán mejor preparadas no solo para cumplir, sino también para aprovechar todo el potencial de la inteligencia artificial.
¿Está tu organización preparada para esta nueva etapa?
En Raona ayudamos a las organizaciones a conocer cómo se está utilizando la inteligencia artificial dentro de sus equipos, identificar riesgos y oportunidades, definir su modelo de gobierno y preparar a las personas para una adopción segura y sostenible.
Si tu empresa necesita evaluar su nivel de preparación ante el AI Act o transformar iniciativas aisladas en una estrategia de IA gobernada y escalable, hablemos.
Fuentes oficiales consultadas
Consulta realizada el 15 de julio de 2026. El proyecto español continúa en tramitación parlamentaria y puede modificarse.
- Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo, de 13 de junio de 2024 — EUR-Lex
- AI Act Service Desk — Timeline for the Implementation of the EU AI Act
- AI Act Service Desk — Artículo 50: obligaciones de transparencia
- Comisión Europea — Code of Practice on marking and labelling of AI-generated content
- Comisión Europea — AI Literacy: Questions & Answers
- Ministerio para la Transformación Digital y de la Función Pública — Proyecto de ley para una supervisión humana y un uso confiable de la IA
- Congreso de los Diputados — Tramitación del Proyecto de Ley Orgánica, expediente 121/000096
- Boletín Oficial de las Cortes Generales — Texto del Proyecto de Ley Orgánica
