La AESIA (Agencia Española de Supervisión de Inteligencia Artificial), con sede en A Coruña, es el punto de contacto único de España para el Reglamento europeo de IA. A octubre de 2026 no hay ley española de IA: el proyecto de Ley Orgánica caducó al disolverse las Cortes, pero el Reglamento se aplica directamente.
Lo esencial en breve
- La AESIA nació con el Real Decreto 729/2023 como agencia estatal adscrita hoy al Ministerio para la Transformación Digital y de la Función Pública. Funciona desde A Coruña.
- El Gobierno aprobó el 26 de mayo de 2026 el proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial. El Congreso lo dio por caducado el 6 de octubre de 2026, al disolverse las Cortes para las elecciones del 29 de noviembre.
- Sin ley nacional, el reparto definitivo de autoridades y el régimen sancionador español siguen pendientes. Las obligaciones europeas, en cambio, ya son exigibles a su empresa.
- El proyecto caducado daba a la AESIA el grueso de la supervisión (empleo, educación, transparencia del artículo 50) y repartía el resto entre AEPD, CGPJ, Banco de España, CNMV y la Dirección General de Seguros y Fondos de Pensiones.
- Las 16 guías prácticas de la AESIA, actualizadas en agosto de 2026 tras el Ómnibus Digital, son hoy la mejor referencia oficial en español para aterrizar el Reglamento.
¿Qué es la AESIA?
La Agencia Española de Supervisión de Inteligencia Artificial es una agencia estatal con personalidad jurídica pública, patrimonio propio y autonomía de gestión. Su estatuto se aprobó por el Real Decreto 729/2023, de 22 de agosto, publicado en el BOE el 2 de septiembre de 2023. Su creación ya estaba prevista en la Ley de Presupuestos de 2022 y en la Ley 28/2022 de fomento del ecosistema de las empresas emergentes. A Coruña fue la ciudad elegida para albergar su sede.
La agencia se creó antes incluso de que el Reglamento (UE) 2024/1689 se publicara. La idea era tener preparada la autoridad que el artículo 70 del Reglamento exige a cada país: al menos una autoridad notificante y al menos una autoridad de vigilancia del mercado, con un punto de contacto único ante la Comisión. En la lista que mantiene la Comisión Europea, la AESIA figura como punto de contacto único de España, con la advertencia de que la decisión nacional de designación sigue pendiente de adopción definitiva.
En la práctica, a octubre de 2026 la AESIA se dedica sobre todo a tres cosas: publicar guías y herramientas, formar y asesorar (en septiembre de 2026 recibió en A Coruña a delegaciones de Polonia y Lituania para asesorarlas sobre la aplicación del Reglamento) y preparar el espacio controlado de pruebas (sandbox) nacional. Para entender el marco general antes de entrar en lo español, puede leer nuestra guía del Reglamento de IA. Y si quiere saber qué le toca a su organización sin esperar a la ley española, el diagnóstico gratuito de gobernanza de la IA de Opsio relaciona sus respuestas con las obligaciones que ya se aplican.
¿Necesitas ayuda con cloud?
Reserva una reunión gratuita de 30 minutos con uno de nuestros especialistas en cloud. Analizamos tu necesidad y damos recomendaciones concretas — sin compromiso.
¿Hay ya una ley de IA en España?
No. Es una de las dudas más buscadas, y la respuesta corta es que, a octubre de 2026, España no tiene aprobada una ley de adaptación al Reglamento de IA. El recorrido ha sido este:
| Fecha | Hito | Fuente |
|---|---|---|
| 11 de marzo de 2025 | El Consejo de Ministros aprueba en primera vuelta el anteproyecto de ley para el buen uso y la gobernanza de la inteligencia artificial | Ministerio para la Transformación Digital |
| 26 de mayo de 2026 | Aprobación del proyecto de Ley Orgánica y remisión al Congreso de los Diputados | Consejo de Ministros |
| 12 de junio de 2026 | Publicación en el Boletín Oficial de las Cortes Generales (expediente 121/000096) | Congreso |
| Junio–octubre de 2026 | Plazo de enmiendas en la Comisión de Economía, Comercio y Transformación Digital, ampliado seis veces | Congreso |
| 6 de octubre de 2026 | El BOE publica el Real Decreto 806/2026 de disolución de las Cortes; el proyecto queda caducado | BOE y Congreso |
| 29 de noviembre de 2026 | Elecciones generales; las nuevas Cortes se constituyen el 23 de diciembre de 2026 | BOE |
Con la disolución ordenada por el Real Decreto 806/2026, de 5 de octubre, los proyectos que estaban en tramitación decaen. El Gobierno que salga de las urnas tendrá que aprobar de nuevo un texto y remitirlo a las nuevas Cortes. Ni el contenido ni el calendario del nuevo texto están decididos a octubre de 2026. Conviene desconfiar de cualquier página que hable de una «ley de IA española en vigor».
Lo importante para una empresa es que esto no cambia sus obligaciones europeas. El Reglamento es una norma de aplicación directa: las prohibiciones del artículo 5 se aplican desde el 2 de febrero de 2025, las obligaciones de transparencia del artículo 50 desde el 2 de agosto de 2026, y los requisitos para la IA de alto riesgo llegarán el 2 de diciembre de 2027 o el 2 de agosto de 2028. Todas las fechas están en nuestro calendario de la ley de inteligencia artificial.
Quién supervisaría qué: el reparto del proyecto caducado
Aunque ya no está en tramitación, el texto publicado en el BOCG el 12 de junio de 2026 es la mejor pista de cómo piensa organizarse España. Lo resumimos como indicación, no como derecho vigente:
| Autoridad | Ámbito que le atribuía el proyecto | Ejemplo práctico |
|---|---|---|
| AESIA | Varias prácticas prohibidas; alto riesgo en empleo, educación, infraestructuras críticas y servicios esenciales (salvo crédito y seguros); obligaciones de transparencia del artículo 50; todo lo no atribuido a otra autoridad; punto de contacto único | Un software de cribado de currículos o el chatbot de atención al cliente de una cadena de tiendas |
| AEPD y autoridades autonómicas de protección de datos | Extracción no selectiva de imágenes faciales, categorización biométrica, identificación biométrica, migración y control fronterizo | Un sistema de reconocimiento facial en un recinto |
| Consejo General del Poder Judicial | IA en la administración de justicia y en la garantía del cumplimiento del Derecho | Herramientas de apoyo a resoluciones judiciales |
| Banco de España / CNMV | Evaluación de solvencia y calificación crediticia de personas físicas por entidades que supervisan | El scoring de un préstamo al consumo |
| Dirección General de Seguros y Fondos de Pensiones | Riesgos y precios en seguros de vida y salud | La tarificación automática de una póliza de salud |
| Autoridades sectoriales existentes | IA en productos del anexo I: maquinaria, juguetes, productos sanitarios, vehículos | Un producto sanitario con software de diagnóstico |
Como autoridad notificante, el proyecto designaba a la Dirección General de Inteligencia Artificial, apoyada por ENAC para evaluar a los organismos que certifiquen sistemas de alto riesgo. También preveía un canal de reclamaciones, protección para quien denuncie incumplimientos y, en el sector público estatal, un inventario de sistemas de IA usados en procedimientos administrativos y la figura del delegado de IA.
El régimen sancionador que se proponía
El proyecto clasificaba las infracciones en muy graves, graves y leves, con estos topes (se aplica la cifra mayor, salvo para pymes y empresas emergentes, que pagan la menor):
- Muy graves por prácticas prohibidas: hasta 35 millones de euros o el 7 % del volumen de negocios mundial.
- Otras muy graves: hasta 15 millones o el 3 %; por ejemplo, no notificar un incidente grave de un sistema de alto riesgo.
- Graves: hasta 7,5 millones o el 1 %; entre ellas, que el responsable del despliegue no avise de que un contenido es una ultrasuplantación (deepfake).
- Leves: hasta 500.000 euros o el 0,5 %.
Las administraciones públicas no recibirían multas, sino apercibimientos. El propio Gobierno recordaba al presentar el texto que, en España, la potestad sancionadora exige una norma con rango de ley. Por eso, mientras no se apruebe una, el cuadro nacional de infracciones está pendiente. Las cuantías máximas europeas del artículo 99 del Reglamento siguen siendo el techo de referencia.
¿Qué significa para su empresa mientras no hay ley?
Esperar a la ley española sería un error de planteamiento. Hay cuatro motivos:
- El Reglamento ya obliga. Usar una práctica prohibida, como un sistema que puntúe a clientes por su comportamiento social, está vetado desde febrero de 2025. Los detalles están en nuestra guía sobre qué IA está prohibida por riesgo inaceptable.
- Otras autoridades ya actúan. La AEPD aplica el RGPD a cualquier tratamiento de datos personales con IA y publicó en febrero de 2026 orientaciones sobre IA agéntica. La Oficina de IA europea supervisa a los proveedores de modelos de uso general.
- El derecho laboral español ya pide transparencia algorítmica. Desde la Ley 12/2021, el artículo 64.4 d) del Estatuto de los Trabajadores da al comité de empresa derecho a conocer los parámetros de los algoritmos que afectan a la contratación o a las condiciones de trabajo.
- Los plazos europeos no se mueven por las elecciones. El calendario solo lo cambia la UE, como hizo el Ómnibus Digital en julio de 2026.
Lo sensato es inventariar los sistemas de IA, clasificar cada uso, aprobar una política interna y documentar la formación. Si prefiere un método por pasos, el análisis de brechas frente a la ley de IA explica cómo hacerlo en unas semanas.
El sandbox español y las guías de la AESIA
España se adelantó al Reglamento con el Real Decreto 817/2023, de 8 de noviembre, que creó un entorno controlado de pruebas para ensayar los requisitos de la IA de alto riesgo. De ese piloto salieron las 16 guías prácticas que la AESIA publica en su web: dos introductorias, trece técnicas (gestión de riesgos, datos, supervisión humana, ciberseguridad y otras) y un manual de uso de las listas de comprobación. En agosto de 2026 se actualizaron para incorporar los cambios del Ómnibus. Puede descargarlas en la sección de guías de la AESIA. No son vinculantes, pero indican cómo leerá el supervisor el Reglamento.
El espacio controlado de pruebas nacional que exige el artículo 57 del Reglamento lo operaría la AESIA según el proyecto caducado. Interesa sobre todo a proveedores que desarrollan sistemas de alto riesgo y quieren contrastar su documentación antes de comercializarlos.
Preguntas frecuentes sobre la AESIA y la ley de IA en España
¿Qué es la AESIA y dónde tiene su sede?
Es la Agencia Española de Supervisión de Inteligencia Artificial, una agencia estatal creada por el Real Decreto 729/2023 y con sede en A Coruña. Está adscrita al Ministerio para la Transformación Digital a través de la Secretaría de Estado de Digitalización e Inteligencia Artificial. España la ha comunicado a la Comisión Europea como punto de contacto único del Reglamento de IA, a la espera de la ley que formalice su papel.
¿Puede la AESIA multar ya a una empresa?
A octubre de 2026, el régimen sancionador español del Reglamento no está aprobado, porque el proyecto de Ley Orgánica caducó el 6 de octubre. Según el propio Gobierno, sancionar exige una norma con rango de ley. Eso no le libera de cumplir: otras autoridades, como la AEPD con el RGPD, sí pueden actuar, y la ley llegará con las obligaciones ya en vigor.
¿Hay una ley de inteligencia artificial en España?
Hay una norma europea que se aplica directamente, el Reglamento (UE) 2024/1689, pero no una ley española de adaptación. El proyecto de Ley Orgánica para el buen uso y la gobernanza de la IA se aprobó en el Consejo de Ministros en mayo de 2026 y decayó con la disolución de las Cortes. El próximo Gobierno deberá presentarlo de nuevo.
¿Quién supervisará la IA en bancos y aseguradoras?
El proyecto caducado proponía que el Banco de España y la CNMV vigilaran los sistemas de evaluación de solvencia de las entidades que ya supervisan, y la Dirección General de Seguros y Fondos de Pensiones la fijación de precios en seguros de vida y salud. Es la solución más probable, pero no está decidida hasta que se apruebe una ley.
¿Tengo que registrar mis sistemas de IA en la AESIA?
No hay un registro general en la AESIA. Los sistemas de alto riesgo se inscribirán en la base de datos de la UE prevista en el artículo 71 del Reglamento, y esa obligación llega con los requisitos de alto riesgo, a partir del 2 de diciembre de 2027. El proyecto español añadía una base nacional solo para infraestructuras críticas.
Prepárese sin esperar a la ley española
La incertidumbre política no cambia lo que ya le exige Bruselas. Con el diagnóstico gratuito de Opsio para el Reglamento de IA responde a catorce pasos de preguntas en español, unos 40 minutos, y al enviarlo recibe cuatro documentos redactados a partir de sus respuestas: un marco de gobernanza de la IA, una política de uso aceptable de la IA, un checklist de diligencia debida para proveedores de IA y una plantilla de evaluación de riesgos, además de una foto de madurez en diez áreas. Los documentos se entregan en inglés, como archivos Word editables, y son suyos. Es gratis y sin compromiso.
Este artículo es información general y no constituye asesoramiento jurídico. Consulte el texto consolidado del Reglamento (UE) 2024/1689 en su versión modificada por el Reglamento (UE) 2026/1744. Situación de la AESIA y de la tramitación legislativa española a 12 de octubre de 2026.
Escrito por
Country Manager, Suecia
Johan lidera las operaciones de Opsio en Suecia, impulsando la adopción de IA, la transformación DevOps, la estrategia de seguridad y las soluciones cloud para empresas nórdicas. Con más de 12 años de experiencia en infraestructura cloud, ha entregado más de 200 proyectos en AWS, Azure y GCP, especializándose en revisiones Well-Architected, diseño de landing zones y estrategia multi-cloud.
Normas editoriales: Este artículo lo han escrito profesionales cloud y lo ha revisado nuestro equipo de ingeniería. Lo actualizamos cuando cambia la tecnología o la normativa que trata; las fechas de esta página indican la última actualización. Opsio mantiene su independencia editorial.