Desarrollo de IA en España: cómo se cruza con el marco regulatorio europeo
España ha designado a la AESIA como autoridad nacional de supervisión de IA y participa activamente en el AI Office europeo. Mapa práctico para profesionales y empresas.
- España
- AESIA
- AI Act
- Profesión
España ha sido el primer Estado miembro de la UE en designar una autoridad nacional específica para la supervisión de la inteligencia artificial: la Agencia Española de Supervisión de Inteligencia Artificial (AESIA), con sede en A Coruña. El Real Decreto que creó la AESIA se publicó en agosto de 2023, y la agencia inició actividad operativa en 2024.
Para profesionales y empresas que operan desde España (o que tienen clientes en territorio español), esta arquitectura cambia el cuadro. La supervisión del Reglamento de IA 2024/1689 ya no es una abstracción europea: tiene una autoridad nacional con competencia sancionadora.
Quién hace qué en el sistema español
Tres actores institucionales son relevantes:
- AESIA: autoridad nacional para la supervisión del Reglamento de IA. Coordina con la Comisión Europea y con el AI Office del nivel europeo. Supervisa el cumplimiento de obligaciones de proveedores y desplegadores, gestiona el registro nacional de sistemas de alto riesgo, instruye procedimientos sancionadores.
- Agencia Española de Protección de Datos (AEPD): autoridad competente cuando el sistema de IA implica tratamiento de datos personales. Su criterio sobre IA generativa, identificación biométrica y decisiones automatizadas es referencia técnica reconocida en el espacio UE.
- Secretaría de Estado de Digitalización e Inteligencia Artificial (SEDIA): diseña la estrategia nacional de IA, gestiona el sandbox regulatorio y coordina la posición española en el AI Board europeo.
El sandbox regulatorio español
España lanzó en 2023 el primer sandbox regulatorio de IA en Europa, antes incluso de la aprobación del Reglamento. El sandbox permite a empresas seleccionadas probar sistemas de alto riesgo en un entorno controlado con acompañamiento de la AESIA, durante 12 meses prorrogables.
Para empresas en sectores cubiertos por el Anexo III del Reglamento (sanidad, empleo, educación, servicios financieros, justicia, seguridad pública), el sandbox es vía operativa para validar arquitectura de cumplimiento antes del despliegue comercial. La participación es competitiva y se publica anualmente.
Calendario español
España aplica el calendario general del Reglamento UE:
- Febrero de 2025: prohibiciones (riesgo inaceptable) y obligaciones de alfabetización en IA del artículo 4.
- Agosto de 2025: obligaciones para modelos de propósito general (GPAI), con la AESIA como autoridad receptora de notificaciones nacionales.
- Agosto de 2026: entrada en aplicación general, incluida la mayor parte del Anexo III.
- Agosto de 2027: sistemas integrados en productos regulados por legislación sectorial.
A esto se añade la Estrategia Nacional de IA, que actualiza objetivos y dotaciones presupuestarias periódicamente.
Implicaciones operativas para profesionales
Tres consecuencias prácticas para personas y empresas que trabajan en IA desde España:
- Obligación de alfabetización (art. 4). Toda organización que despliegue sistemas de IA debe garantizar formación adecuada al personal involucrado. Esto se aplica desde febrero de 2025 con independencia del nivel de riesgo del sistema.
- Registro nacional de sistemas de alto riesgo. Cuando una empresa española actúe como proveedor o desplegador de sistemas del Anexo III, debe registrar el sistema en la base de datos UE coordinada con la AESIA.
- Régimen sancionador severo. Multas hasta 35 millones de euros o 7% de la facturación anual mundial para infracciones relativas a prácticas prohibidas. Hasta 15 millones o 3% para Anexo III.
Lo que pueden hacer hoy las empresas españolas
Una hoja de ruta razonable para una empresa española que opera en IA:
- Inventario interno de sistemas de IA en uso o desarrollo, clasificados por categoría de riesgo.
- Análisis de obligaciones específicas según rol (proveedor / desplegador / importador) y categoría.
- Programa de alfabetización en IA para personal técnico y de negocio que opera con sistemas de IA.
- Documentación técnica (tarjetas de modelo, evaluación de impacto, sistema de gestión de riesgos) para sistemas de alto riesgo previstos.
- Designación de responsabilidad interna para el cumplimiento del Reglamento, habitualmente vinculada al DPO si existe tratamiento de datos personales.
Por qué AIPIA es relevante para profesionales en España
AIPIA mantiene actividad institucional en España a través de su red de profesionales asociados y de la credencial europea que se acepta en procedimientos de contratación pública y privada en territorio español.
El Reglamento de IA tiene una guía AIPIA actualizada en castellano, orientada a casos de uso concretos en consultoría, desarrollo y operaciones. La membresía empresarial ofrece interlocución directa con el Comité Técnico-Científico para organizaciones que necesitan acompañamiento.