Aprobado el anteproyecto de ley de gobernanza de la Inteligencia Artificial en España

Ley de Gobernanza de la Inteligencia Artificial en España El Gobierno de España ha dado luz verde al anteproyecto de ley para la gobernanza de la Inteligencia Artificial (IA), buscando garantizar un uso de la IA ético, inclusivo y beneficioso para las personas. Esta normativa adaptará la legislación nacional al Reglamento Europeo de IA (ya […]

El Gobierno de España ha dado luz verde al anteproyecto de ley para la gobernanza de la Inteligencia Artificial (IA), buscando garantizar un uso de la IA ético, inclusivo y beneficioso para las personas. Esta normativa adaptará la legislación nacional al Reglamento Europeo de IA (ya en vigor) bajo un enfoque que combina la regulación con el impulso a la innovación. En la rueda de prensa posterior al Consejo de Ministros (11 de marzo de 2025), el ministro de Transformación Digital y Función Pública, Óscar López, destacó la relevancia de esta medida: “La IA es una herramienta muy poderosa, que puede servir para mejorar nuestras vidas o atacar a la democracia… Por eso es fundamental su buen uso y gobernanza”. En suma, la aprobación inicial de esta ley refleja la importancia de establecer reglas claras para el desarrollo y aplicación de la IA en España.

La iniciativa surge de la necesidad de regular la IA ante sus rápidos avances y posibles riesgos, en línea con el marco europeo. La Unión Europea trabaja en un marco legal común para el desarrollo, comercialización y uso de sistemas de IA que minimice riesgos para las personas. El Reglamento Europeo de IA, aprobado recientemente, prohíbe ciertos usos maliciosos de la IA, impone obligaciones estrictas para los sistemas considerados de alto riesgo y establece requisitos mínimos de transparencia para los demás. Además, incorpora mecanismos de protección como un nuevo derecho digital de retirada provisional del mercado de sistemas de IA: las autoridades competentes podrán suspender la distribución de una IA que haya provocado un incidente grave (por ejemplo, la muerte de una persona). En este contexto, el anteproyecto español transpone estos principios, asegurando que la IA se desarrolle dentro de unos cauces legales que protejan los derechos fundamentales y la seguridad pública sin frenar la innovación tecnológica.

Principales regulaciones y prácticas prohibidas

Prácticas prohibidas

Siguiendo las directrices europeas, la ley identifica una serie de prácticas de IA expresamente prohibidas por considerarse contrarias a la ética, la seguridad o los derechos. Estas prohibiciones entraron en vigor en la UE el 2 de febrero de 2025, y a partir del 2 de agosto de 2025 su incumplimiento podrá sancionarse en España conforme al nuevo régimen sancionador. Entre las prácticas prohibidas se incluyen:

• Manipulación subliminal perjudicial: El uso de técnicas subliminales (imágenes o sonidos imperceptibles) para influir en las decisiones de una persona sin su consentimiento, provocándole un perjuicio considerable (por ejemplo, un chatbot que incita con mensajes subliminales a usuarios con adicción al juego a apostar).
• Explotación de vulnerabilidades: Aprovecharse de vulnerabilidades debidas a la edad, discapacidad o situación socioeconómica de las personas para alterar su comportamiento de manera perjudicial (p. ej., un juguete infantil con IA que incita a niños a realizar retos peligrosos).
• Categorías biométricas sensibles: La clasificación biométrica de las personas basada en características como su raza, orientación política, creencias religiosas u orientación sexual. Un ejemplo sería un sistema de reconocimiento facial que pretendiese inferir la ideología política o la orientación sexual de un individuo a partir de sus fotos.
• Puntuación social: Evaluar o puntuar a individuos o grupos en función de su comportamiento social o características personales como método de discriminación, por ejemplo para denegarles prestaciones, subvenciones o préstamos en base a esa puntuación.
• Predicción de comportamiento delictivo: Estimar la probabilidad de que una persona cometa un delito futuro basándose en datos personales (historial familiar, nivel educativo, lugar de residencia, etc.), salvo en casos permitidos expresamente por la ley.
• Detección de emociones con fines evaluativos: Inferir emociones de las personas en entornos como el trabajo o la educación para evaluar su desempeño (por ejemplo, decidir un despido o una nota académica en función de supuestas emociones detectadas), exceptuando usos médicos o de seguridad autorizados.

Estas prácticas se consideran de riesgo inaceptable y quedan totalmente vetadas. El anteproyecto español las incorpora tal cual del reglamento europeo, sentando las bases para su persecución y penalización efectiva en el país.

Sistemas de IA de alto riesgo

El anteproyecto define como sistemas de IA de alto riesgo aquellos que, sin ser prohibidos, pueden afectar significativamente a la seguridad, los derechos fundamentales o el bienestar de las personas. Esta categorización sigue la establecida por el Reglamento Europeo, que clasifica los sistemas de IA en niveles de riesgo (mínimo, limitado, alto e inaceptable). En particular, se consideran de alto riesgo los sistemas de IA empleados en ámbitos críticos o sensibles, tales como:

• Componentes de seguridad en productos regulados: Cualquier sistema de IA integrado como elemento de seguridad en productos industriales regulados o de consumo, como maquinaria, ascensores, equipos de protección individual, aparatos a presión o de gas, juguetes, dispositivos radioeléctricos, productos sanitarios (incluidos diagnósticos in vitro), medios de transporte (vehículos, aviación, ferrocarril, embarcaciones, etc.).
• Ámbitos sensibles para las personas: Sistemas de IA utilizados en áreas como la biometría (ej. identificación facial), gestión de infraestructuras críticas, educación y formación profesional, empleo (p. ej. herramientas de contratación), acceso a servicios esenciales privados como los financieros, crediticios o de seguros, así como el acceso a servicios y prestaciones públicas esenciales (sanidad, emergencias, asistencia social, etc.). En general, cualquier IA que pueda influir en derechos básicos (educación, trabajo, salud, seguridad financiera) entra en esta categoría.
• Control fronterizo y seguridad: Sistemas destinados a la aplicación de la ley y gestión migratoria, como los usados para control de fronteras, evaluación de solicitudes de asilo o detección de fraudes documentales en inmigración.
• Justicia y procesos democráticos: Aplicaciones de IA en la administración de justicia (ej. herramientas de apoyo a decisiones judiciales) o en procesos electorales y democráticos (p. ej. sistemas de conteo de votos, moderación de contenidos políticos automatizada).

Los sistemas de alto riesgo estarán sujetos a obligaciones estrictas de control y transparencia. En particular, sus proveedores y usuarios deberán implementar medidas como un sistema de gestión de riesgos, asegurar la supervisión humana apropiada en su funcionamiento, mantener documentación técnica exhaustiva, garantizar la gobernanza de datos (calidad de los datos, trazabilidad y conservación de registros), y proporcionar transparencia e información adecuada a los usuarios y autoridades sobre su funcionamiento. Asimismo, se exige contar con sistemas de gestión de la calidad para su desarrollo y despliegue. Estas obligaciones pretenden minimizar los posibles daños y permitir la auditoría y supervisión efectiva de la IA de alto riesgo. El incumplimiento de estos requisitos activará el régimen sancionador previsto.

Régimen sancionador y vigilancia

El anteproyecto establece un régimen sancionador escalonado para garantizar el cumplimiento de la ley, en línea con las sanciones máximas fijadas por el reglamento europeo. Las multas se gradúan según la gravedad de la infracción, pudiendo alcanzar cuantías muy elevadas en casos extremos:

• Infracciones muy graves: Corresponden a las faltas más serias, como que el operador de un sistema de IA no notifique un incidente grave (por ejemplo, un accidente mortal causado por la IA o un daño significativo a infraestructuras críticas o al medio ambiente), o que desobedezca las órdenes emitidas por la autoridad de vigilancia o regulador competente. Este tipo de infracción conllevará multas de 7,5 a 15 millones de euros, o alternativamente del 2% al 3% del volumen de negocio mundial del infractor en el ejercicio anterior (el porcentaje que resulte mayor). En otras palabras, las empresas grandes podrían enfrentar sanciones multimillonarias si ocultan incidentes graves o ignoran a los supervisores.
• Infracciones graves: Engloban incumplimientos importantes pero de menor gravedad relativa. Por ejemplo, no incorporar la supervisión humana en un sistema de IA que lo requiera (como un sistema biométrico para controlar la asistencia de empleados) o carecer de un sistema de gestión de calidad en robots con IA usados para inspección y mantenimiento industrial. También se considera infracción grave el no etiquetar debidamente contenidos generados o alterados por IA que simulen a personas reales (los llamados deepfakes). Sobre este último punto, la ley obligará a identificar de forma clara y visible cualquier imagen, audio o vídeo generado mediante IA en el que aparezcan personas (existentes o ficticias) realizando actos que no ocurrieron realmente, indicando que se trata de un contenido sintético en la primera instancia de publicación o interacción. La sanción para las infracciones graves oscilará entre 500.000 euros y 7,5 millones de euros, o alternativamente entre el 1% y el 2% de la facturación mundial del infractor.
• Infracciones leves: Son vulneraciones de menor impacto, como por ejemplo no exhibir el marcado CE que acredite la conformidad de un sistema de IA de alto riesgo con el reglamento (etiquetado obligatorio)u otros incumplimientos formales. Estas faltas acarrearán sanciones más moderadas (por debajo de las de infracción grave, típicamente multas menores a 500.000 €).

Adicionalmente, el anteproyecto prevé que las autoridades sectoriales ya existentes sean las encargadas de la vigilancia y aplicación de sanciones en sus ámbitos respectivos (p.ej., la Agencia Española de Protección de Datos supervisará los sistemas biométricos, la Junta Electoral Central los relacionados con procesos electorales, el Banco de España los sistemas de scoring crediticio, etc., mientras que la nueva Agencia Española de Supervisión de la IA asumirá los casos no cubiertos por otro organismo). De este modo, se aprovechan los organismos reguladores especializados para hacer cumplir la ley de forma eficaz. Las sanciones establecidas, especialmente en los supuestos muy graves, tienen un efecto disuasorio claro y buscan generar confianza en que los desarrollos de IA en España se harán con responsabilidad y respeto a las normas.

Impacto en la Innovación y Sandboxes regulatorios

Lejos de frenar el avance tecnológico, esta regulación pretende fomentar una innovación responsable en el campo de la inteligencia artificial. El equilibrio entre control y desarrollo es un pilar central del anteproyecto. De hecho, la propia normativa europea contempla la creación de espacios de pruebas regulados o sandboxes de IA para impulsar proyectos innovadores de forma segura. A partir de agosto de 2026, cada Estado miembro deberá establecer al menos un entorno controlado de pruebas (sandbox) que facilite el desarrollo, entrenamiento, testeo y validación de sistemas de IA novedosos durante un tiempo limitado antes de su comercialización o puesta en marcha, bajo la supervisión de las autoridades competentes.

España se ha adelantado a este requerimiento europeo. En diciembre del año anterior a la aprobación de este anteproyecto, el Gobierno lanzó una convocatoria pionera para seleccionar hasta 12 proyectos de IA de alto riesgo que participarían en un entorno de pruebas controlado durante un año. Este sandbox español de IA, primero en su tipo a nivel europeo, permitirá a las empresas y desarrolladores probar sus sistemas en condiciones reales pero supervisadas, identificar posibles incumplimientos y corregirlos antes de que la tecnología llegue al mercado. La experiencia obtenida con estos proyectos piloto servirá para elaborar guías técnicas que orienten al sector sobre cómo cumplir con los requisitos legales aplicables a los sistemas de alto riesgo. En esencia, se trata de impulsar la innovación evitando los riesgos: las compañías podrán innovar en IA con el acompañamiento de la administración, reduciendo la incertidumbre jurídica y acelerando la adopción de mejores prácticas en diseño ético y seguro de algoritmos. Este enfoque proactivo posiciona a España como un entorno atractivo para desarrollar IA de vanguardia bajo pautas de confianza y excelencia técnica.

Conclusiones sobre la Ley de IA en España

La aprobación del anteproyecto de ley de gobernanza de la IA en España marca un hito significativo en la configuración de un ecosistema digital seguro y confiable. Al alinear la normativa nacional con el reglamento europeo, España demuestra su compromiso con una transformación digital responsable, donde la protección de las personas y sus derechos va de la mano con el progreso tecnológico. Esta ley establecerá prohibiciones claras a los usos más peligrosos de la IA y exigirá altas garantías en aquellas aplicaciones con mayor potencial de riesgo, creando un marco de seguridad jurídica tanto para los ciudadanos como para los desarrolladores e inversores en IA.

A la vez, mediante iniciativas como los sandboxes regulatorios y el impulso de la Agencia Española de Supervisión de la IA, se enviará un mensaje de apoyo a la innovación: se quiere una IA que florezca en España, pero dentro de unos cauces éticos y legales bien definidos. En perspectiva, esta normativa pionera fomentará la confianza del público en las tecnologías de inteligencia artificial (al saber que existen controles y sanciones ante abusos), lo que puede incrementar su adopción beneficiosa en sectores como la salud, la educación, la industria o los servicios públicos. En conclusión, la gobernanza de la IA que propone España busca lograr un equilibrio óptimo: potenciar el desarrollo de la inteligencia artificial como motor de mejora social y económica, asegurando al mismo tiempo que ese desarrollo se realice con garantías, transparencia y respeto a los valores democráticos. La medida sienta las bases para un futuro en el que la IA sea sinónimo de oportunidad y progreso, y no de amenaza, consolidando a España como referente en la gestión pública de la revolución tecnológica en curso.