Ley de IA en España: AESIA, Obligaciones y la Lección para Brasil

La ley de IA en España salió del papel el 26 de mayo de 2026, cuando el Consejo de Ministros aprobó el proyecto de ley orgánica para el buen uso y la gobernanza de la inteligencia artificial. Si tu empresa vende software o servicios para el mercado español o europeo, este texto dejó de ser noticia lejana y se convirtió en lista de verificación de cumplimiento. Como CTO y desarrollador, explico qué cambia en la práctica y qué hacer antes de agosto.

TL;DR

• España aprobó el 26/05/2026 el proyecto de ley que adapta el AI Act europeo al ordenamiento jurídico nacional.
• La supervisión recae en la AESIA, agencia creada en 2023, con sede en A Coruña.
• El contenido generado por IA (deepfakes) requiere etiquetado — y hay sanciones para quien no etiquete.
• En agosto de 2026 entran en vigor las obligaciones para sistemas de alto riesgo: gestión de riesgos, documentación técnica y supervisión humana.
• Para empresas brasileñas, es un ensayo de lo que viene. El cumplimiento por diseño deja de ser opcional.

Qué aprobó España (y por qué ahora)

El Consejo de Ministros español aprobó el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial, un texto que garantiza supervisión humana y uso confiable de los sistemas. En la práctica, España está haciendo los deberes de transponer a su derecho interno el Reglamento Europeo de Inteligencia Artificial — el AI Act, en vigor desde agosto de 2024.

¿Por qué esto importa para quienes no son españoles? Porque el AI Act tiene efecto extraterritorial. Alcanza a cualquier proveedor cuyo sistema de IA se ponga en el mercado o se use dentro de la Unión Europea, independientemente de dónde esté establecida la empresa. Atiendo clientes en Brasil y en el exterior desde hace más de 15 años, y esta lógica es la misma que el GDPR: la regla no pregunta tu código postal, pregunta dónde está tu usuario.

La ley de IA en España no inventa un régimen paralelo. Crea la estructura nacional — autoridad, sanciones, procedimientos — para aplicar un reglamento que ya es válido. Es la diferencia entre tener la ley en el papel y tener a alguien que llame a la puerta para exigir su cumplimiento.

España no está improvisando

España invirtió cerca de €1.500 millones en su estrategia nacional de IA y mantiene dos "fábricas de IA" (factorías de IA). Informes de referencia, como los de la Universidad de Stanford y Microsoft, señalan al país como líder en adopción de inteligencia artificial. Es decir: el país regula lo que ya usa a escala. Esto suele producir reglas más aterrizadas en la realidad operativa que normas escritas en abstracto.

AESIA: quién supervisa la IA en España

La autoridad supervisora es la AESIA — Agencia Española de Supervisión de Inteligencia Artificial. Creada en 2023, con sede en A Coruña, es el organismo que revisará documentación, investigará incidentes y aplicará sanciones. Piensa en ella como el equivalente, para IA, de lo que una autoridad de protección de datos representa para la privacidad.

Para una empresa brasileña, la existencia de la AESIA cambia la conversación de "tal vez algún día alguien pregunte" a "existe una dirección, un NIF-equivalente y un procedimiento". Cuando hay un supervisor designado, con competencia y presupuesto, el riesgo regulatorio deja de ser teórico. La ley de IA en España da dientes a esta agencia: sin autoridad que exija, cualquier regulación se convierte en recomendación.

La AESIA no actúa sola. Se conecta al ecosistema europeo de supervisión previsto en el AI Act, lo que implica coordinación entre autoridades nacionales. Un problema detectado en España puede repercutir en otros mercados de la UE donde opere el mismo sistema.

El calendario que importa: plazos de 2026

El punto que más confunde a mis clientes es la sensación de que "ya todo vale de una vez". No fue así. El AI Act tiene aplicación escalonada, y la fecha más relevante para la mayoría de las empresas es agosto de 2026. He elaborado el calendario a continuación para separar lo que ya vale de lo que está por llegar.

Fecha	Hito	Qué significa en la práctica
Agosto de 2024	AI Act en vigor	El reglamento europeo comienza a aplicarse, con obligaciones que entran de forma escalonada
26 de mayo de 2026	Proyecto de ley español aprobado	El Consejo de Ministros aprueba la adaptación del AI Act al derecho español
2 de agosto de 2026	Transparencia y GPAI (UE)	Art. 50: informar al usuario de que interactúa con IA y etiquetar contenido generado; entran poderes de multa para modelos de propósito general (GPAI)
Agosto de 2026	Alto riesgo en España	La mayoría de las obligaciones para sistemas de IA de alto riesgo entran en vigor

El cronograma oficial de aplicación está detallado en la estrategia digital de la Comisión Europea. La lectura honesta de esta tabla: si operas un sistema de alto riesgo dirigido al mercado europeo, agosto de 2026 es tu plazo real. No se puede empezar a montar gestión de riesgos y documentación técnica en julio. La ley de IA en España solo da rostro nacional a un cronograma que ya estaba corriendo desde 2024.

Sistemas de alto riesgo: qué necesita tener lista tu empresa

"Alto riesgo" es una categoría técnica del AI Act, no un adjetivo. Cubre usos como biometría, infraestructura crítica, educación, selección de personal, acceso a crédito y servicios esenciales. Si tu producto encaja, las obligaciones dejan de ser buenas prácticas y se convierten en exigencia legal — y aquí es donde la ley de IA en España muerde de verdad.

A partir de agosto de 2026, en España, los sistemas de alto riesgo deben tener un conjunto mínimo listo. Resumo lo que pido a cualquier equipo que toque esta categoría:

1. Sistema de gestión de riesgos — un proceso continuo de identificación, evaluación y mitigación de riesgos a lo largo del ciclo de vida del sistema, no un documento único archivado.
2. Documentación técnica — descripción del sistema, datos de entrenamiento, lógica, métricas y limitaciones, organizada para auditoría.
3. Protocolos de supervisión humana — personas con poder real de intervenir, corregir o apagar el sistema, con roles y niveles de autoridad definidos.
4. Registro y trazabilidad — logs que permitan reconstruir decisiones e investigar incidentes.
5. Gobernanza de datos — control de calidad, representatividad y protección de los datos que alimentan el modelo.

Cuando ayudo a un equipo a estructurar este tipo de gobernanza, suelo conectar la discusión con la forma en que los agentes de IA están entrando en las empresas. Un agente que ejecuta acciones por sí solo concentra exactamente el tipo de riesgo que la supervisión humana existe para contener — por eso la documentación y los frenos deben nacer junto con el producto.

Cuándo NO debes preocuparte

No todo software con IA es de alto riesgo. Un chatbot de preguntas frecuentes, un clasificador de correo interno o un generador de subtítulos rara vez caen en esta categoría. La trampa común es lo contrario: tratar todo como bajo riesgo por conveniencia. Haz la clasificación con criterio documentado. Si la respuesta es "no sé", trátalo como riesgo más alto hasta que demuestres lo contrario.

Deepfakes y contenido sintético: la obligación de etiquetar

Uno de los puntos más concretos de la ley de IA en España es la sanción para quien no etiquete contenido generado por inteligencia artificial. En paralelo, el AI Act activa el 2 de agosto de 2026 las obligaciones de transparencia del Art. 50: informar al usuario cuando interactúa con una IA e identificar contenido sintético.

Esto afecta a muchas más empresas de lo que parece. Cualquier negocio que produzca imágenes, vídeos o audios con IA generativa debe pensar en señalización. Yo trabajo con pipelines de generación de imagen y vídeo — quienes generan medios en volumen, por ejemplo usando ComfyUI en Google Colab, deben incorporar el etiquetado en el flujo, y no improvisar después.

La obligación no es estética. Existe para proteger al público de deepfakes que engañan. En la práctica, significa marcado visible e, idealmente, metadatos o marca de agua técnica que sobrevivan a la republicación. Quien vende servicios de creación de contenido para clientes europeos debería estar ya ofreciendo el etiquetado como parte del entregable.

El detalle que mucha gente ignora: la responsabilidad tiende a seguir la cadena. Si una agencia brasileña genera un vídeo sintético para un anunciante en España, la falta de etiqueta es un problema para ambos lados. Por eso recomiendo estandarizar la señalización en el origen, en el momento de la generación, antes de que el contenido circule.

Cumplimiento por diseño: gobernanza desde la primera línea de código

La ley de IA en España acelera un modelo que defiendo desde hace tiempo: cumplimiento por diseño. Privacidad, gobernanza, transparencia y gestión de riesgos integrados desde la fase inicial de desarrollo — no como una capa pegada al final del proyecto.

He visto a muchos equipos construir un producto entero y solo entonces preguntar "¿cómo cumplimos?". Es la forma más cara de descubrirlo. Reescribir logging, trazabilidad y supervisión humana en un sistema ya terminado cuesta múltiples veces más que diseñarlo en la arquitectura inicial.

En mi experiencia como CTO de IEJUR, lidiando con entornos que mezclan datos sensibles y tecnología educativa, la lección se repite: la gobernanza que pospones se convierte en deuda técnica regulatoria. Y la deuda regulatoria, a diferencia de la técnica, tiene plazo legal y multa asociada.

Una lista de verificación mínima de diseño

• Decide la clasificación de riesgo antes de codificar la primera funcionalidad de IA.
• Define dónde estarán los logs y por cuánto tiempo, en el esquema, no después.
• Escribe quién es el humano en el bucle y cuál es su poder real.
• Trata el etiquetado de contenido sintético como un requisito funcional.

La lección para Brasil (y para quienes exportan software)

Brasil aún debate su propio marco para la inteligencia artificial. Quien sigue el proceso sabe que la inspiración europea es fuerte. Apostar a que "aquí tardará" es una estrategia frágil por dos motivos.

Primero, el efecto extraterritorial. Si vendes SaaS, prestas servicios de IA o licencias modelos para clientes en España o en cualquier país de la UE, el AI Act ya te alcanza — independientemente de lo que decida el Congreso brasileño. La ley de IA en España es, para el exportador brasileño, una regla que ya está midiendo.

Segundo, el coste de cambio. Las empresas que construyen gobernanza ahora ganan un activo comercial: pueden responder a la diligencia debida de clientes europeos sin pánico. Cuando Brasil apruebe su versión — y la dirección apunta a alto riesgo, transparencia y supervisión humana, los mismos pilares —, quienes ya hicieron el trabajo solo ajustan detalles.

Veo esto como una ventaja competitiva, no como burocracia. El cumplimiento se convierte en argumento de venta en mercados donde el comprador teme a las multas. Y el comprador europeo las teme. Estudiar la ley de IA en España hoy es, en el fondo, estudiar el contrato que tu cliente europeo te exigirá mañana.

Por dónde empezar ahora

La ley de IA en España no pide que pares todo. Pide que sepas dónde estás. Empieza mapeando cuáles de tus sistemas usan IA, clasifica cada uno por nivel de riesgo e identifica cuáles afectan a usuarios o clientes en la Unión Europea. Ese inventario, por sí solo, ya resuelve la mitad de la ansiedad.

Después, prioriza: lo que es de alto riesgo y apunta a la UE necesita gestión de riesgos, documentación técnica y supervisión humana antes de agosto de 2026. Lo que genera contenido necesita etiquetado. El resto entra en la cola de mejora continua.

Si tu empresa necesita una lectura técnica de este escenario — clasificar sistemas, diseñar gobernanza o estructurar el etiquetado de contenido generado por IA — es exactamente el tipo de trabajo que hago en Agathas Web. Anticipar la regla europea hoy es más barato que correr tras ella después.