La regulación de la inteligencia artificial en España (IA) nace un reglamento europeo que empezó a aplicarse (en algunos de sus puntos) en febrero de 2025. Aunque, además de esta normativa europea, hay otras nacionales que entran en juego a la hora de regular esta materia.
Un reglamento. El reglamento europeo de inteligencia artificial establece las normas comunes para el desarrollo, comercialización y uso de los sistemas de IA dentro de la UE. Prohíbe determinados sistemas de IA en función del riesgo que pueden entrañar para la sociedad y establece requisitos de transparencia para otras. Su aplicación es escalonada:
Un apunte. Aunque los reglamentos europeos son de aplicación directa y entran en vigor cuando se publican en el Diario Oficial de la Unión (DOUE), algunos requieren que los Estados miembros modifiquen leyes nacionales o creen nuevas normas para adaptar la legislación nacional a la comunitaria.
Esto es lo que ha pasado en España con el reglamento de IA. Para aplicar parte de la norma europea, el Gobierno formuló el proyecto de ley de buen uso y gobernanza de la inteligencia artificial. Este texto se envió al Congreso para su tramitación como proyecto de ley el pasado 26 de mayo.
- Es decir. Se trata de una propuesta de norma que tendrá que pasar por el trámite parlamentario, incluyendo la fase de enmiendas en la que el texto podría sufrir modificaciones hasta su aprobación definitiva.
La iniciativa del Gobierno busca vigilar el cumplimiento del reglamento europeo y articular un régimen sancionador en torno a él. No busca cumplir con las directrices de la norma europea puesto que no se trata de la transposición de una directiva.
La regulación en España. En España existen tres niveles de regulación, según Marc Simón, doctor en Derecho por la Universidad Internacional de Cataluña (UIC):
En un primer nivel se sitúa el reglamento europeo de IA, una norma que se aplica directamente y para la que “no necesitamos una ley española”. Para lo que sí se necesita el proyecto de ley español es para “organizar autoridades, competencias, procedimientos y sanciones”, apunta el experto.
En un segundo nivel se encuentra toda la normativa nacional que ya existe y está en vigor. Son la ley orgánica de protección de datos personales y de garantía de los derechos digitales, el reglamento de protección de datos, la legislación sobre propiedad intelectual o la legislación laboral, de consumidores o de competencia, entre otras. Para Jesús Vázquez, abogado titular de Madrid Abogados y experto en IA, la normativa “no está diseñada para regular la IA”, sino que “cada una regula una disciplina que está afectada por la irrupción de la IA”.
En un tercer nivel se sitúa la gobernanza específica de IA. En este punto encontramos el proyecto de ley orgánica para el buen uso y la gobernanza de la inteligencia artificial, que es el texto que debe adaptar el ordenamiento español al reglamento europeo en materia de autoridades, régimen sancionador y organización administrativa.
Para Marco Peña, director de sistemas y tecnologías de la información en EADA Business School, “la IA no vive en un vacío jurídico”, sino que “muchas controversias actuales relacionadas con ella se resuelven aplicando normas que ya existían antes del reglamento de IA”.
Un ejemplo sería un sistema de IA que se usa para tomar decisiones en el ámbito laboral (preseleccionar candidatos). En este caso el sistema de IA no solo tendrá que cumplir con el reglamento de IA, sino también con el Estatuto de los Trabajadores cuando en él se menciona la utilización de algoritmos, explica Vázquez.
¿En qué punto está España? Actualmente no se puede afirmar que España cumpla al 100% con la totalidad de la normativa en materia de IA. “Estamos en una fase intermedia”, explica el experto, puesto que el reglamento de IA está en vigor y algunas de sus obligaciones ya son aplicables, pero “falta la ley española que cierre autoridades, competencias y sanciones”.
- “El sistema todavía no está completamente operativo desde el punto de vista administrativo”, apunta Simón. Para Peña, “la norma central” en España es el propio reglamento porque es un texto directamente aplicable, por lo que, “aunque el proyecto de ley esté en trámite, no estamos ante un escenario de vacío regulatorio”.
Qué se aplica actualmente. A día de hoy se aplican las disposiciones del reglamento de IA y entran en juego leyes nacionales que ya existían anteriormente y que tienen relación con materias concretas que se ven afectadas por la IA. Se aplica “todo el derecho nacional existente” en lo relativo a protección de datos, propiedad intelectual, consumidores, competencia, responsabilidad civil o derecho laboral, entre otros, apunta Simón.
- “Lo que falta no es derecho aplicable, sino cerrar la infraestructura nacional de ejecución, determinando en la legislación quiénes son las autoridades competentes, sus potestades, y los procedimientos y sanciones específicas”.
Entonces, si hoy tuviera un proceso judicial relacionado con la IA, ¿qué se aplicaría? Esto dependerá de cada caso concreto, explica Marco Peña. “Hoy, un litigio relacionado con ChatGPT u otra plataforma de IA no se resolvería necesariamente aplicando una ‘ley española de IA’, que además aún está en tramitación”. Se resolvería combinando varias piezas: el reglamento de IA, el reglamento general de protección de datos si hay datos personales de por medio, la ley de propiedad intelectual si hay obras protegidas, la de responsabilidad civil si hay daños, la de consumidores si hay una relación de consumo o la de contratos o si hay condiciones aceptadas por las partes.
- No se trata de una “norma aplicable”, sino de un marco jurídico correspondiente a cada caso concreto. “La IA es una tecnología transversal aplicable a muchos contextos y, consecuentemente, los conflictos derivados de su uso también son transversales”, apunta.
Quiénes se encargan de que se cumpla con las normas de IA. Por petición de la Comisión Europea y en virtud del reglamento, España nombró a los organismos públicos que velarían por el cumplimiento de la normativa europea de IA en el país en julio de 2025, creando un listado de instituciones nacionales y autonómicas entre las que, si bien no figura la Agencia Española de Supervisión de Inteligencia Artificial (AESIA), sí aparecen otras como el Consejo de Transparencia y Buen Gobierno, la Agencia Española de Protección de Datos (AEPD) o la Comisión Nacional de los Mercados y la Competencia (CNMC), por ejemplo.
Pero ¿qué es la AESIA? La Agencia Española de Supervisión de Inteligencia Artificial es un organismo público encargado de garantizar un uso seguro de la inteligencia artificial en España, aunque no el único. Este ente está pensado para vigilar que las empresas (públicas y privadas) cumplan con la normativa vigente en lo relativo a la IA.
- El estatuto de la AESIA fue creado en agosto de 2023, a través de un real decreto.
- Es decir, el organismo se creó antes de que el Gobierno lanzase el proyecto de ley y antes de que la UE aprobase el reglamento de IA.
Aunque en el listado facilitado a la Comisión no se encuentre este organismo, en las ruedas de prensa posteriores al Consejo de Ministros en las que se menciona el proyecto de ley también se hace referencia a la AESIA como el organismo supervisor principal en todo lo relativo a la IA.
Vázquez explica que aunque la AEPD y la CNMC lleven décadas funcionando en sus respectivas áreas, “todavía no están operando” como autoridades del reglamento de IA con plenas competencias. Necesitan del proyecto de ley para ello y, aunque este se aprobase, tendrían que estar dotadas de presupuesto y de personal para poder llevar a cabo las nuevas labores asignadas.
