El Consejo de Ministros aprobó el proyecto de ley para el buen uso y gobernanza de la inteligencia artificial, que adapta el Reglamento Europeo de Inteligencia Artificial a la legislación española. La norma prohíbe ocho usos considerados de riesgo máximo, fija sanciones de hasta 35 millones de euros para las empresas infractoras y obliga a etiquetar los contenidos generados por IA a partir del 2 de agosto. La Administración pública queda excluida del régimen de multas.
El Gobierno aprobó el proyecto de ley para el buen uso y gobernanza de la inteligencia artificial (IA), una ley orgánica que transpone al ordenamiento jurídico español el Reglamento Europeo de Inteligencia Artificial, acordado por las instituciones comunitarias en diciembre de 2023 y aprobado por el Parlamento Europeo en marzo de 2025. El ministro de Transformación Digital y de la Función Pública, Óscar López, presentó la norma como «un debate civilizatorio» y aseguró que España se convierte con ella en «el país más avanzado del mundo» en materia de IA confiable. La ministra portavoz, Elma Saiz, la definió como una combinación de «regulación con innovación segura, humanista y garantista».
El texto, que debe iniciar ahora su tramitación parlamentaria con el objetivo de obtener la aprobación final antes de diciembre de 2027, clasifica las aplicaciones de IA en función del riesgo que implica su uso y establece distintos regímenes de obligaciones, desde el uso sin restricciones hasta la prohibición total. La Agencia Española de Supervisión de la Inteligencia Artificial (Aesia), con sede en A Coruña y dirigida por Alberto Gago, será el organismo central de gobernanza, con capacidad para revisar periódicamente la clasificación de nuevas aplicaciones que vayan surgiendo y no estén contempladas en el reglamento original.
Ocho usos prohibidos y tecnologías de alto riesgo
La ley incorpora ocho categorías de usos de IA que quedan prohibidos en España. Entre ellas figuran las técnicas subliminales para manipular decisiones sin consentimiento, la explotación de vulnerabilidades relacionadas con la edad o la discapacidad, la clasificación biométrica de personas por raza u orientación política, religiosa o sexual, la puntuación social de individuos como método de selección para denegar subvenciones o préstamos, y la vigilancia predictiva basada en datos personales como el historial familiar o el nivel educativo. También se prohíben la inferencia de emociones en entornos laborales o educativos como herramienta de evaluación para despidos o promociones, el scraping masivo de rostros para crear bases de datos y la identificación biométrica en tiempo real.
A petición de España, el Reglamento Europeo incorporó dos prohibiciones adicionales que la ley nacional recoge: la generación de deepfakes de carácter sexual —vídeos hiperrealistas de contenido íntimo elaborados sin consentimiento— y la creación o alteración de pornografía infantil mediante IA. Los deepfakes no sexuales seguirán siendo legales, pero deberán llevar una marca de agua visible. Entre las tecnologías de «alto riesgo» que la ley permite pero somete a supervisión permanente de la Aesia figuran los sistemas de identificación biométrica remota, los algoritmos de selección de personal, las herramientas de apoyo a decisiones judiciales y los sistemas relacionados con la gestión de la migración.
Hasta 35 millones para empresas, amonestaciones para la Administración
El régimen sancionador previsto oscila entre los 6.000 euros en los casos leves —como no cooperar con la autoridad supervisora o no corregir información errónea aportada— y los 35 millones de euros o el 7% de la facturación mundial anual de la empresa infractora en los casos más graves, como comercializar un sistema de IA prohibido. La responsabilidad legal alcanza tanto a los proveedores de los sistemas como a quienes los despliegan: si una empresa incorpora un sistema vetado en la Unión Europea (UE), la sanción puede recaer sobre ambas partes.
El punto más criticado durante la fase de consultas públicas es la exclusión de las administraciones públicas del pago de multas. Cuando sea la Administración quien haga un uso indebido de la IA, la ley solo prevé amonestaciones, apercibimientos y actuaciones disciplinarias internas, sin consecuencias económicas equiparables a las que se aplicarían a una empresa privada. El reglamento europeo deja a la discreción de cada Estado miembro el tipo de sanciones aplicables al sector público, y España ha optado por el enfoque más laxo posible en ese punto. La norma sí introduce la figura del delegado de IA en los organismos públicos y contempla la contratación de expertos en la materia para dotar a cada institución de capacidad técnica supervisora.
Etiquetado obligatorio y gobernanza
El etiquetado de contenidos sintéticos es la medida con aplicación más inmediata: a partir del 2 de agosto, todas las imágenes generadas con IA deberán mostrar las letras «IA» en alguna de sus esquinas; en los vídeos, esa marca de agua deberá ser visible en todo momento; y en los audios, la aplicación distribuidora deberá incorporar una advertencia sonora o textual. El incumplimiento de esta obligación antes de que la ley esté plenamente en vigor no podrá sancionarse, dado que la norma todavía está en tramitación parlamentaria.
La gobernanza del sistema se distribuye entre la Aesia y una serie de autoridades de vigilancia sectoriales: el Banco de España supervisará los sistemas financieros, la Comisión Nacional del Mercado de Valores (CNMV) los del mercado de valores, la Agencia Española de Protección de Datos (AEPD) los relacionados con datos biométricos y el Consejo General del Poder Judicial los que puedan afectar a la aplicación de la justicia. El 77% de la población española, según datos citados por el ministro López, pide más protección de sus derechos digitales ante la IA, una cifra que el Gobierno utilizó para justificar el carácter de ley orgánica de la norma, al entender que afecta a derechos fundamentales.
