EN Consultoría gratuita
Marco normativo

IA conforme a la ley: EU AI Act, AESIA y AEPD

Todo proyecto de inteligencia artificial en España opera bajo tres marcos que se solapan: el Reglamento Europeo de IA, la supervisión de AESIA y la normativa de protección de datos que vigila la AEPD. Esta página resume qué exige cada uno, cuándo entra en vigor y dónde consultar la fuente oficial.

Última revisión: 26 de julio de 2026 · Incluye la reforma del Reglamento de IA publicada en el DOUE el 24 de julio de 2026.

1. El marco en tres normas

No existe una única «ley de la IA»: hay un reglamento europeo de aplicación directa, una autoridad estatal que lo supervisa y una normativa de datos personales que se aplica en paralelo siempre que el sistema trate información sobre personas.

Reglamento Europeo de IA (EU AI Act)

El Reglamento (UE) 2024/1689, de 13 de junio de 2024, es la primera norma integral sobre inteligencia artificial del mundo. Se publicó en el DOUE el 12 de julio de 2024 y entró en vigor el 1 de agosto de 2024, con un calendario de aplicación escalonado. Clasifica los sistemas de IA por nivel de riesgo e impone obligaciones proporcionales a ese riesgo: gestión de riesgos, gobernanza de datos, documentación técnica, registro de actividad, supervisión humana, precisión, solidez y ciberseguridad.

En julio de 2026 el Reglamento fue modificado por el Reglamento (UE) 2026/1744, de 8 de julio de 2026 («ómnibus digital sobre IA», DOUE de 24 de julio de 2026), que simplifica parte de los requisitos y aplaza las obligaciones de los sistemas de alto riesgo. Las obligaciones de transparencia, en cambio, no se aplazan.

Supervisión en España: AESIA

La Agencia Española de Supervisión de la Inteligencia Artificial (AESIA) se creó mediante el Real Decreto 729/2023, de 22 de agosto, con sede en A Coruña. Fue la primera agencia de este tipo en la Unión Europea y es el organismo llamado a supervisar la aplicación del Reglamento de IA en España, además de publicar guías técnicas de referencia.

Protección de datos: RGPD y AEPD

Si el sistema de IA trata datos personales —en el entrenamiento, en la inferencia o en los registros—, se aplica además el Reglamento (UE) 2016/679 (RGPD) y la LOPDGDD, bajo la vigilancia de la Agencia Española de Protección de Datos (AEPD). El Reglamento de IA no sustituye al RGPD: se suma a él.

2. Calendario de aplicación

El Reglamento de IA no se aplicó de golpe. Estas son las fechas relevantes, ya actualizadas con la reforma de julio de 2026:

  • 1 de agosto de 2024 Entrada en vigor del Reglamento (UE) 2024/1689.
  • 2 de febrero de 2025 Son aplicables las prácticas de IA prohibidas (art. 5) y la obligación de alfabetización en IA del personal (art. 4).
  • 2 de agosto de 2025 Obligaciones para los modelos de IA de uso general (GPAI), estructura de gobernanza europea y nacional, y régimen sancionador.
  • 2 de agosto de 2026 Aplicación general del Reglamento, incluidas las obligaciones de transparencia del artículo 50: avisar de que se interactúa con una IA, marcar el contenido generado o manipulado artificialmente y advertir en casos de reconocimiento de emociones o categorización biométrica.
  • 2 de diciembre de 2026 Fin del periodo transitorio que la reforma concede para el marcado de contenido sintético en sistemas ya introducidos en el mercado antes del 2 de agosto de 2026.
  • 2 de diciembre de 2027 Obligaciones de los sistemas de alto riesgo del anexo III (empleo, educación, biometría, servicios esenciales, infraestructuras críticas…). El plazo original era el 2 de agosto de 2026: lo aplazó el Reglamento (UE) 2026/1744.
  • 2 de agosto de 2028 Obligaciones de los sistemas de alto riesgo integrados en productos sujetos a legislación sectorial de la UE (maquinaria, juguetes, ascensores, productos sanitarios…).

Lo importante del aplazamiento: la reforma de 2026 da más margen a quien desarrolla o despliega sistemas de alto riesgo, pero no retrasa las prohibiciones, ni las obligaciones de los modelos de uso general, ni la transparencia frente a las personas usuarias. Si tu proyecto usa un asistente conversacional o genera contenido, el 2 de agosto de 2026 sigue siendo tu fecha.

La Comisión Europea mantiene una cronología oficial y herramientas interactivas en el AI Act Service Desk, incluido un verificador de cumplimiento para determinar qué obligaciones te alcanzan.

3. Los cuatro niveles de riesgo

El Reglamento no regula «la IA» en abstracto, sino cada uso concreto. La clasificación determina qué obligaciones aplican:

  • Riesgo inaceptable — prohibido

    Prácticas vetadas en la UE desde febrero de 2025 (art. 5): manipulación subliminal, explotación de vulnerabilidades, puntuación social, predicción de delitos basada en perfiles de personalidad, extracción indiscriminada de imágenes faciales, reconocimiento de emociones en el trabajo o en centros educativos, y categorización biométrica de datos sensibles, entre otras.

  • Alto riesgo — requisitos exigentes

    Sistemas que deciden o influyen en ámbitos sensibles: selección y gestión de personal, acceso a educación, evaluación de solvencia, seguros de vida y salud, servicios públicos esenciales, biometría, infraestructuras críticas, justicia o migración. Exigen sistema de gestión de riesgos, gobernanza de datos, documentación técnica, trazabilidad, supervisión humana efectiva, evaluación de conformidad y registro en la base de datos europea.

  • Riesgo de transparencia — obligación de informar

    Chatbots y asistentes conversacionales, generación de texto, imagen, audio o vídeo, deepfakes, reconocimiento de emociones. La obligación central es que la persona sepa que está ante una IA y que el contenido sintético esté marcado de forma legible por máquina. Es el nivel en el que encaja la mayoría de proyectos empresariales.

  • Riesgo mínimo — sin obligaciones específicas

    Recomendadores internos, filtros antispam, previsión de demanda, clasificación documental, optimización de rutas o mantenimiento predictivo. No añaden obligaciones bajo el Reglamento de IA, aunque siguen sujetos al RGPD si tratan datos personales y a los códigos de conducta voluntarios.

4. Quién supervisa en España

El Reglamento europeo deja a cada Estado miembro designar sus autoridades. En España el reparto previsto es el siguiente:

  • AESIA — autoridad de referencia para la vigilancia del mercado de sistemas de IA, coordinación, asesoramiento y espacios controlados de pruebas. Publica un cuerpo de guías técnicas sobre gestión de riesgos, gobernanza de datos, transparencia, supervisión humana, ciberseguridad, documentación técnica y evaluación de conformidad.
  • AEPD — todo lo relativo al tratamiento de datos personales, incluidos los usos biométricos.
  • Banco de España — sistemas de IA en el ámbito financiero.
  • Consejo General del Poder Judicial — usos en el ámbito de la administración de justicia.

Este reparto, junto con el régimen de sanciones, los cauces de reclamación y los sandboxes regulatorios, se articula en el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial, aprobado por el Consejo de Ministros el 26 de mayo de 2026 y publicado en el Boletín Oficial de las Cortes Generales el 12 de junio de 2026.

Ojo: a fecha de esta revisión el proyecto está en tramitación parlamentaria, no es todavía derecho vigente. El Reglamento europeo, en cambio, sí es de aplicación directa y no necesita ley española para obligarte.

5. RGPD e IA: lo que exige la AEPD

Cuando un sistema de IA trata datos personales conviven dos capas de cumplimiento. La del RGPD llega antes y suele ser la que se pasa por alto: base jurídica del tratamiento, minimización, información a las personas afectadas, plazos de conservación, decisiones automatizadas del artículo 22 y, en muchos casos, evaluación de impacto (EIPD) previa.

La AEPD ha publicado material de referencia directamente aplicable a proyectos de IA, en su área de Innovación y tecnología:

6. Qué implica para tu empresa

La primera pregunta no es «¿cumplo?», sino «¿en qué papel estoy?». El Reglamento distribuye obligaciones muy distintas según la posición de cada actor:

  • Proveedor — quien desarrolla un sistema de IA y lo introduce en el mercado o lo pone en servicio bajo su nombre. Soporta la mayor parte de las obligaciones.
  • Responsable del despliegue — quien utiliza un sistema de IA bajo su autoridad en el marco de su actividad profesional. Es el papel habitual de una empresa que adopta IA: obligaciones de uso conforme a las instrucciones, supervisión humana, información a las personas trabajadoras y, en alto riesgo, conservación de registros.

Con ese punto de partida, un plan de cumplimiento razonable para una pyme se reduce a cinco pasos:

  1. Inventariar los sistemas de IA en uso, incluidos los que llegan dentro de herramientas de terceros (el «shadow AI» del día a día).
  2. Clasificar cada uso por nivel de riesgo y determinar tu papel: proveedor o responsable del despliegue.
  3. Documentar finalidad, datos utilizados, límites conocidos, puntos de supervisión humana y responsable interno.
  4. Informar: avisar de la interacción con IA, marcar el contenido generado y actualizar registro de tratamientos y políticas de privacidad.
  5. Formar al equipo. Tras la reforma de 2026 el artículo 4 se reformuló como una obligación de apoyar la alfabetización en IA del personal atendiendo a sus conocimientos técnicos, sin exigir un nivel concreto por persona; sigue siendo exigible y, en la práctica, es lo que evita la mayoría de incidentes.

7. Cómo lo aplicamos en CAPTIA tech

El cumplimiento no es una capa que se añade al final: condiciona decisiones de arquitectura desde el primer sprint. En cada proyecto que entregamos:

  • Clasificamos el caso de uso por nivel de riesgo antes de escribir código y lo dejamos por escrito en la hoja de ruta.
  • Documentamos qué modelo se usa, con qué datos, con qué límites conocidos y en qué puntos interviene una persona.
  • Aplicamos minimización de datos y, cuando el caso lo exige, desplegamos en la infraestructura del cliente o en proveedores con retención cero de datos. Tus datos no se usan para entrenar modelos de terceros.
  • Implementamos las obligaciones de transparencia del artículo 50 desde el primer día: aviso de interacción con IA y marcado del contenido generado.
  • Dejamos trazabilidad y registros suficientes para auditar decisiones, y formamos al equipo que va a operar el sistema.

Aviso: esta página tiene finalidad informativa y divulgativa; no constituye asesoramiento jurídico. La normativa evoluciona y su aplicación depende de cada caso concreto. Para decisiones con impacto legal, consulta las fuentes oficiales enlazadas y a tus asesores jurídicos.

8. Enlaces oficiales

Todas las referencias de esta página, con enlace directo a la fuente primaria:

Contacto

¿Dudas sobre cómo encaja tu proyecto de IA en el Reglamento?

30 minutos, sin compromiso: clasificamos tu caso de uso y te decimos qué obligaciones te aplican y cuáles no.

Agenda tu consultoría gratuita
Email hola@captiatech.com WhatsApp +34 682 67 89 53