Nueva Ley de IA en España: claves, obligaciones y riesgos para empresas y Administraciones

España ya ha dado un paso decisivo hacia la regulación nacional de la inteligencia artificial. El Consejo de Ministros ha aprobado el Proyecto de Ley para el buen uso y la gobernanza de la IA, una norma que adapta el Reglamento Europeo de Inteligencia Artificial (AI Act) al ordenamiento jurídico español y que introduce un régimen sancionador, nuevas obligaciones de transparencia y mecanismos de supervisión específicos.

La futura norma no parte de cero: el Reglamento Europeo de IA ya está en vigor desde agosto de 2024 y establece un marco común basado en niveles de riesgo. Sin embargo, al tratarse de un reglamento europeo, era necesario desarrollar determinados aspectos a nivel nacional, especialmente en materia de gobernanza, supervisión y sanciones.

En este contexto, España se posiciona como uno de los primeros países europeos en desplegar una arquitectura jurídica y administrativa específica para controlar el uso de la IA, tanto en el sector privado como en el público.

Una ley para consolidar el Reglamento Europeo de IA

El objetivo principal del proyecto es garantizar un uso “confiable, ético y humanista” de la inteligencia artificial, reforzando la supervisión humana y la protección de los derechos fundamentales.

La norma adapta el AI Act europeo al contexto español y concreta cuestiones especialmente relevantes para empresas, proveedores tecnológicos y Administraciones Públicas:

El reparto de competencias supervisoras.
El régimen sancionador.
Las obligaciones de transparencia.
El control de sistemas de alto riesgo.
La gobernanza de entornos de pruebas o sandboxes regulatorios.
Las obligaciones específicas del sector público.

Además, el texto refuerza el papel de organismos como la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA) y la Agencia Española de Protección de Datos (AEPD).

¿Qué prácticas de la IA estarán prohibidas?

Uno de los puntos más relevantes de la futura ley es la prohibición expresa de determinados usos de la inteligencia artificial incompatibles con los derechos fundamentales. Entre ellos, destacan:

Los sistemas que utilicen técnicas manipuladoras o explotadoras de vulnerabilidades.
La generación o modificación de pornografía infantil mediante IA.
Los denominados deepfakes sexuales no consentidos.
Determinados usos de reconocimiento biométrico prohibidos por la ley europea.

La preocupación regulatoria no es casual. El auge de herramientas de “nudificación”, clonación de voz o generación hiperrealista de imágenes y vídeos ha incrementado los riesgos asociados a la desinformación, el fraude y la violencia digital.

La transparencia ahora es obligatoria: hay que etiquetar los contenidos generados con IA

Otro de los grandes pilares de la nueva regulación es la transparencia. La norma obligará a identificar claramente los contenidos generados o manipulados mediante inteligencia artificial, sobre todo cuando pueden inducir a error o afectar a la percepción pública. Esto afectará especialmente a:

Imágenes generadas artificialmente.
Vídeos manipulados o sintéticos.
Audios clonados.
Deepfakes.
Contenidos automatizados con apariencia realista.

Según el proyecto, los contenidos generados mediante IA deberán incorporar un etiquetado visible a partir del 2 de agosto, salvo determinadas excepciones vinculadas al humor, la sátira o el control editorial.

Esta medida busca reducir el impacto de la desinformación y combatir la creciente dificultad para distinguir entre contenidos reales y sintéticos, ya que hasta los usuarios más acostumbrados a usar la IA tienen cada vez más dificultades para identificar contenidos generados por ella.

Para los sistemas de alto riesgo, supervisión humana y trazabilidad

La ley también pone el foco en los sistemas considerados de “alto riesgo”, es decir, aquellos que pueden afectar significativamente a derechos fundamentales o generar impactos relevantes sobre las personas. Son, por ejemplo, los sistemas utilizados en educación, procesos de selección de personal, servicios financieros, justicia, seguridad o servicios públicos esenciales.

En estos casos, las organizaciones deben garantizar:

Una supervisión humana efectiva.
Documentación técnica adecuada.
Evaluaciones de riesgos.
Trazabilidad de decisiones automatizadas.
Medidas de gobernanza y control interno.

Es decir, no bastará con “usar IA”, habrá que demostrar cómo se utiliza, qué controles existen y qué impacto puede tener sobre las personas afectadas.

¿Y qué cambia para las Administraciones Públicas?

Uno de los aspectos más novedosos del texto es el refuerzo de las obligaciones específicas para el sector público. Así, se van a aprobar medidas como la creación de un inventario de sistemas de IA utilizados en procedimientos administrativos, nuevas exigencias de supervisión y gobernanza y mecanismos específicos de control interno.

El objetivo es aumentar la transparencia sobre el uso de algoritmos y sistemas automatizados en la Administración, un ámbito en el que claramente las decisiones puedan afectar a los derechos ciudadanos.

Y llegamos a uno de los puntos más controvertidos del proyecto de ley: las Administraciones Públicas no estarán sujetas al mismo régimen económico sancionador que las empresas privadas. Según el texto conocido hasta ahora, las entidades públicas podrían recibir apercibimientos o medidas correctivas, pero no multas económicas equivalentes.

Para las empresas, multas de hasta 35 millones de euros

El régimen sancionador será uno de los elementos más relevantes de la futura ley. Las infracciones se clasificarán previsiblemente en leves, graves y muy graves, con sanciones que podrán llegar hasta los 35 millones de euros o hasta el 7 % del volumen de negocio global anual de la empresa infractora en los casos más graves.

Entre las conductas sancionables, conviene vigilar:

El uso de sistemas prohibidos.
La falta de transparencia.
El incumplimiento de obligaciones de supervisión.
La ausencia de controles exigidos para sistemas de alto riesgo.
El incumplimiento de obligaciones documentales.

Aun así, el proyecto contempla cierta flexibilidad para pymes y startups, priorizando en algunos casos medidas correctivas antes que sanciones económicas inmediatas.

Un nuevo escenario de compliance para las organizaciones

Más allá de las sanciones, la nueva ley anticipa un cambio profundo en la forma en que empresas y organizaciones han de gestionar la inteligencia artificial. Y es que la IA deja de ser únicamente una cuestión tecnológica para convertirse también en una cuestión de gobernanza, compliance, gestión de riesgos y responsabilidad corporativa.

Acciones como las siguientes serán cada vez más importantes:

Identificar riesgos regulatorios.
Documentar los usos de IA.
Definir políticas internas.
Implantar controles de supervisión.
Evaluar impactos sobre los derechos fundamentales.
Revisar contratos y relaciones con proveedores tecnológicos.

España acelera la gobernanza de la IA

Con esta nueva norma, España consolida su apuesta por una regulación temprana de la inteligencia artificial, alineada con el modelo europeo. El mensaje es claro: la innovación tecnológica ya no podrá desarrollarse al margen de las obligaciones de transparencia, supervisión y protección de derechos.

Y, aunque todavía queda un largo recorrido marcado por su tramitación parlamentaria (el 12 de junio se aprobó el Proyecto de Ley), las organizaciones que utilizan IA o planean hacerlo harían bien en empezar a prepararse desde ya y, si lo necesitan, apoyarse en los expertos de APDTIC para caminar más seguros.

BIBLIOGRAFÍA

X (Twitter) Facebook LinkedIn