Espana aun no tiene ley de IA: quien puede sancionar a tu empresa en 2026 y quien no

En una frase: la vigilancia de mercado del AI Act arrancó el 2 de agosto de 2026, pero España aún no ha aprobado la ley orgánica que concreta su régimen sancionador —el Proyecto está en el Congreso desde el 12 de junio de 2026—, así que hoy quien de verdad puede abrir un expediente a una empresa española por un uso de IA es, sobre todo, la AEPD por la vía del RGPD.

Circulan mensajes del tipo "desde agosto AESIA ya puede multarte con 35 millones". Este artículo separa tres cosas mezcladas: lo directamente aplicable porque un reglamento europeo lo es sin transposición, lo que necesita norma española para poder sancionarse, y lo que ya es exigible por otra vía. Se marca explícitamente qué es hecho confirmado con fuente y qué es interpretación del Equipo Editorial Upliora; todo está referido a 9 de agosto de 2026, fecha en que se verificaron las fuentes.

¿Tiene España una ley de inteligencia artificial en vigor en 2026?

No. A fecha de 9 de agosto de 2026 no existe en España ninguna ley de inteligencia artificial en vigor.

Existe un Proyecto de Ley Orgánica para el buen uso y la gobernanza de la Inteligencia Artificial, con este recorrido confirmado:

• 26 de mayo de 2026: aprobado en Consejo de Ministros (La Moncloa y nota del Ministerio para la Transformación Digital).
• 12 de junio de 2026: publicado en el BOCG.
• 30 de junio de 2026: fin del plazo de enmiendas.
• Hoy: en la Comisión de Economía, Comercio y Transformación Digital.

Un detalle de tramitación que importa más de lo que parece: es una ley orgánica, y su aprobación requiere mayoría absoluta.

Interpretación de Upliora, no hecho: nadie puede afirmar hoy si se aprueba en otoño de 2026, en 2027 o si decae. Quien le ponga fecha especula; nosotros tampoco se la ponemos.

Lo que sí es hecho: hasta que entre en vigor, España no tiene el régimen sancionador propio que el AI Act encarga a cada Estado miembro.

Si el AI Act es un reglamento europeo, ¿por qué hace falta además una ley española?

Un reglamento de la UE es directamente aplicable: no necesita transposición. Las obligaciones sustantivas del AI Act —prohibiciones, transparencia, requisitos de los sistemas— vinculan a las empresas españolas sin que el Congreso haga nada. Por eso las prácticas prohibidas del artículo 5 y la alfabetización en IA del artículo 4 se aplican desde el 2 de febrero de 2025, y la gobernanza y los modelos de propósito general desde el 2 de agosto de 2025.

Lo que un reglamento no hace por sí solo son dos cosas: designar a las autoridades nacionales competentes y fijar en el ordenamiento interno el procedimiento y las cuantías con las que sancionan. El AI Act lo delega en los Estados miembros, y es exactamente lo que hace el Proyecto de Ley Orgánica.

El calendario vigente, tras entrar en vigor el 27 de julio de 2026 el Reglamento (UE) 2026/1744 ("Digital Omnibus on AI"), queda así (desglosado obligación por obligación en la guía de obligaciones del AI Act):

Calendario de aplicación del AI Act — datos a agosto de 2026

Las dos últimas filas encierran el error más extendido del contenido español sobre IA: decir que las obligaciones de alto riesgo entran el 2 de agosto de 2026 es obsoleto desde el 27 de julio de 2026. Lo arrastran incluso piezas de despachos serios, porque se escribieron antes.

El detalle por niveles de riesgo está en la guía completa del AI Act para empresas españolas y en el desglose del reglamento europeo de IA.

¿Qué puede hacer AESIA hoy y qué no puede hacer todavía?

AESIA existe y funciona. Hechos confirmados: creada por el Real Decreto 729/2023 (BOE del 2 de septiembre de 2023), sede en A Coruña, operativa desde 2025 y autoridad de vigilancia de mercado en IA.

Lo que puede hacer hoy:

• Ejercer la vigilancia de mercado, cuyo arranque efectivo se fija el 2 de agosto de 2026. Literal del Q&A oficial de la Comisión actualizado el 27 de julio de 2026: "las autoridades nacionales de vigilancia de mercado empezarán a supervisar y hacer cumplir las normas a partir del 2 de agosto de 2026".
• Requerir información, inspeccionar y coordinarse con la Comisión.
• Publicar orientaciones: ha publicado material sobre transparencia (artículo 50).

Lo que no hay hoy, también verificable:

• AESIA no ha publicado ninguna guía sobre el artículo 4. Quien venda un programa formativo diciendo que cumple "el criterio de AESIA" cita un documento que no existe.
• No hay ley española en vigor que concrete el régimen sancionador, las cuantías y el procedimiento con los que AESIA impondría multas.

Ahí está el hallazgo que da título a este artículo: una ventana anómala en la que la vigilancia de mercado ya arrancó pero el Estado que debe dotarla de régimen sancionador todavía no lo ha hecho. Interpretación de Upliora: quien afirme hoy que AESIA ya está multando por el artículo 4 no lo puede sostener con el BOE en la mano.

Nada de esto invita a relajarse. Al contrario: el reloj que corre no es el que te están vendiendo, y el que sí corre lleva corriendo desde antes.

¿Quién puede multar de verdad a mi empresa hoy por un uso de IA?

La respuesta incómoda: la Agencia Española de Protección de Datos.

La AEPD tiene lo que a AESIA le falta: régimen sancionador propio, operativo, con procedimiento consolidado y años de práctica imponiendo multas. Y el RGPD se aplica a cualquier tratamiento de datos personales, se llame el software "hoja de cálculo" o "agente de IA".

Dato confirmado: el 18 de febrero de 2026 la AEPD publicó las "Orientaciones sobre IA agéntica desde la perspectiva de protección de datos", con foco en cuatro cosas:

• Protección de datos desde el diseño, aplicada al agente antes de desplegarlo.
• Supervisión humana del agente, no solo del modelo.
• Limitación del acceso a datos por parte del agente.
• Registro de las acciones que el agente ejecuta.

El cuarto punto es el que más despliegues incumplen. Si una empresa conecta un agente a su CRM, su correo y su documentación para que "resuelva cosas solo" y luego no puede reconstruir qué datos personales tocó, cuándo y por orden de quién, el problema no es futuro ni europeo: es de RGPD y es de hoy.

Interpretación de Upliora: la mayoría de las empresas que tengan un disgusto regulatorio en los próximos doce meses lo tendrán por aquí, no por el AI Act.

Un tercer plano que tampoco depende de la ley española: la normalización. La UNE-ISO/IEC 42001:2025 está anulada desde el 8 de abril de 2026, sustituida por la UNE-EN ISO/IEC 42001:2026; quien ofrezca preparación de certificación citando la de 2025 trabaja sobre una norma retirada.

Y en sanidad, legal o financiero se suma la capa sectorial: IA en sectores regulados.

Como gerente de una empresa mediana, ¿qué obligaciones me llegarán cuando se apruebe la ley?

El Proyecto publicado en el BOCG permite anticipar el paquete. Según las fuentes oficiales del Gobierno, obligaría a:

• Inventariar los sistemas de IA que la organización utiliza.
• Clasificarlos por nivel de riesgo.
• Documentarlos con trazabilidad.
• Garantizar supervisión humana sobre ellos.
• Asegurar "un nivel adecuado de alfabetización en IA del personal con responsabilidades sobre estos sistemas".

Y prevé multas de hasta 35 millones de euros o el 7%, techo alineado con el del reglamento europeo. Dos matices que casi nunca acompañan a esa cifra: en el AI Act ese techo (art. 99.3) corresponde solo a las prácticas prohibidas del artículo 5 —el 99(4) baja a 15 millones o el 3% y el 99(5) a 7,5 millones o el 1%— y el 99(6) fija un tope para pymes aplicando "la que sea menor". Una pyme de 20 personas no está expuesta a 35 millones por definición aritmética.

Interpretación de Upliora: cuatro de esas cinco obligaciones futuras son trabajo de inventario y documentación, no de tecnología. Y ninguna necesita que la ley se apruebe para ser útil.

¿Qué conviene tener hecho antes de que se apruebe?

El inventario. Es la única pieza que sirve igual si la ley sale en 2026, si sale en 2027 o si no sale.

Un inventario mínimo defendible es una tabla de seis columnas: qué sistema, quién lo usa, para qué proceso, qué datos toca (y si hay personales), quién supervisa la salida y dónde se registra la actividad. No necesita software nuevo: necesita una tarde y honestidad sobre lo que el equipo usa de verdad, incluido lo que nadie aprobó.

Ese último punto no es retórico. Según el XXVIII Informe Infoempleo Adecco del 2 de diciembre de 2025, el 19,41% de los trabajadores usa IA por su cuenta y el 63,74% dice que su empresa no se la facilitó: hay una parte del inventario que la dirección no sabe que tiene.

Sobre formación conviene ser preciso, porque es donde más presión comercial hay. Tras el Digital Omnibus la Comisión describe el artículo 4 así: "la alfabetización en IA sigue siendo una obligación para proveedores y responsables del despliegue de sistemas de IA, pero no se exige ningún nivel específico —ni 'suficiente'" (traducción del Q&A oficial actualizado el 27 de julio de 2026). Es obligación de medios, no de resultado, y no hace falta certificado: basta un registro interno. Lo que no cambió: en alto riesgo, "la obligación de asegurar que su personal está formado para garantizar la supervisión humana sigue en pie". El detalle de qué exige y qué no exige el artículo 4, en esta guía específica.

Hay apoyo gratuito: el Living repository on AI literacy de la Comisión (actualizado el 31 de julio de 2026), el AI Act Service Desk y los EDIH, diez hubs españoles financiados por la Comisión para 2026-2028 y disponibles ahora. De dinero público queda poco: Kit Digital tiene todas sus convocatorias finalizadas y Kit Consulting cerró el 31 de marzo de 2025; la excepción abierta es el Programa Inteligencia Artificial 2026 de SPRI (País Vasco), hasta el 2 de noviembre de 2026, que sí cubre gobernanza, cumplimiento (AI Act, ISO 42001) y formación interna (mapa de ayudas).

Sobre quién monta el inventario hay dos perfiles que no conviene confundir: el despacho que interpreta la norma y el implantador que sabe qué corre en el stack. "El inventario que sirve no es el de las licencias que paga la empresa, sino el de las herramientas que el equipo ya usa sin permiso", apunta Javier Santos Criado, consultor de IA en Javadex, ingeniero por la Universidad de Valladolid y con sistemas de IA propios en producción en pymes españolas. Ese es el trabajo de la segunda mitad: levantar el inventario real —incluida la IA que el equipo usa sin permiso—, clasificarlo por riesgo y dejar la trazabilidad montada en las herramientas (contacto en Javadex). El apunte de Upliora: que el entregable sea el inventario y la clasificación, no un informe de 60 páginas sobre el reglamento. Para comparar perfiles, nuestro ranking de consultores IA en España ordena opciones por criterios verificables.

Con agentes el orden importa: primero registro de acciones y limitación de acceso, después ampliar casos de uso. La guía de agentes de IA para empresas entra en el detalle operativo, y la comparativa de plataformas de IA privada muestra qué opciones dejan trazabilidad por diseño.

Lo que circula por internet y no se sostiene

"AESIA ya puede multarte desde agosto de 2025." No con la norma española en la mano. El 2 de agosto de 2025 entró en aplicación el bloque de gobernanza y régimen sancionador del reglamento europeo, pero su concreción nacional es justo lo que trae el Proyecto en trámite. Afirmar que hay expedientes en marcha por el artículo 4 exige enseñar el expediente.

"España ya tiene ley de inteligencia artificial." No: tiene un Proyecto de Ley Orgánica en Comisión, pendiente de mayoría absoluta. Un proyecto y una ley no son lo mismo, y la diferencia es exactamente la capacidad de sancionar.

"Hay multas de hasta 35 millones de euros por no formar a tu plantilla." Falso y comprobable: el artículo 4 no figura en ninguna lista de multa del artículo 99. El 99(3), el de los 35 millones o el 7%, cubre únicamente el artículo 5. El 99(4) enumera los artículos 16, 22, 23, 24, 26, 31, 33, 34 y 50. La Comisión sí indica que las autoridades nacionales "podrían imponer sanciones y otras medidas de ejecución" por el artículo 4, de forma proporcionada —pero no existe multa armonizada de 35 millones por no formar. Quien lo afirme, o no ha leído el artículo 99 o cuenta con que tú no lo leas.

"Las obligaciones de alto riesgo entran el 2 de agosto de 2026." Obsoleto desde el 27 de julio de 2026: el Omnibus aplazó el Anexo III a diciembre de 2027 y el Anexo I a agosto de 2028.

"Necesitas un certificado de alfabetización en IA." No. Literal de la Comisión: "no hace falta ningún certificado"; basta un registro interno de las formaciones.

Preguntas frecuentes

¿España tiene ley de inteligencia artificial?

No. A 9 de agosto de 2026 hay un Proyecto de Ley Orgánica, publicado en el BOCG el 12 de junio de 2026, en Comisión y pendiente de mayoría absoluta. No está en vigor.

¿Puede AESIA multar a mi empresa en 2026?

La vigilancia de mercado arrancó el 2 de agosto de 2026, pero España no ha aprobado la ley orgánica que concreta el régimen sancionador nacional. Interpretación de Upliora: nadie puede acreditar hoy sanciones de AESIA por el artículo 4.

¿Quién puede sancionar hoy a una empresa española por un uso de IA?

La AEPD, vía RGPD, que sí tiene régimen sancionador propio y operativo. El 18 de febrero de 2026 publicó orientaciones sobre IA agéntica: protección desde el diseño, supervisión humana, limitación de acceso a datos y registro de acciones.

¿Hay multas de 35 millones de euros por no formar a los empleados en IA?

No. El artículo 4 no aparece en ninguna lista de multa del artículo 99. El tramo de 35 millones o el 7% (art. 99.3) cubre solo el artículo 5, y el 99(6) fija un tope para pymes.

¿Cuándo entran en vigor las obligaciones de alto riesgo del AI Act?

Tras el Reglamento (UE) 2026/1744, el Anexo III se aplaza al 2 de diciembre de 2027 y el Anexo I al 2 de agosto de 2028.

¿Sigue siendo obligatoria la alfabetización en IA tras el Digital Omnibus?

Sí, para proveedores y responsables del despliegue, sin umbral de tamaño, pero ya no se exige un nivel "suficiente". En alto riesgo se mantiene la formación del personal que ejerce la supervisión humana.

¿Qué debería tener hecho una pyme antes de que se apruebe la ley española?

El inventario de sistemas de IA en uso y su clasificación por riesgo: sirve igual si la ley llega en 2026 o en 2027, y es la base de lo que ya exige el RGPD hoy.

¿Hace falta un certificado que acredite la formación en IA?

No. La Comisión es explícita: no se necesita certificado, basta un registro interno de las formaciones realizadas.

---

Equipo Editorial Upliora. Publicado el 13 de agosto de 2026, fuentes verificadas a 9 de agosto de 2026. No es asesoramiento jurídico.