La Ley de Inteligencia Artificial en España, en tramitación durante 2026, es de obligado cumplimiento para cualquier empresa, autónomo o administración que use inteligencia artificial — sin importar el tamaño. Regula desde los deepfakes y el etiquetado del contenido generado por IA hasta los sistemas de alto riesgo y la obligación, ya vigente, de formar a quien usa IA en tu empresa. Multas de hasta 35 millones de euros y la AESIA como autoridad supervisora. Esta guía reúne, en lenguaje claro, qué cambia, qué obligaciones tienes ya hoy, los plazos y cómo prepararte paso a paso.
Aviso importante
Esta guía tiene carácter divulgativo y no constituye asesoramiento jurídico. Se basa en fuentes oficiales y públicas (Consejo de Ministros, Ministerio para la Transformación Digital, AESIA y el Reglamento europeo), pero la ley española que desarrolla el AI Act seguía en tramitación parlamentaria en el momento de escribir esto, por lo que cifras y plazos pueden variar. Para decisiones con efectos legales, consulta el texto oficial y a un profesional del Derecho especializado.
¿Cuándo entra en vigor?
- Ya en vigor (desde el 2 de febrero de 2025): las prácticas prohibidas (manipulación, puntuación social, biometría masiva) y la obligación de formar en IA a quien la usa (Artículo 4 del AI Act).
- 2 de agosto de 2026 — la fecha clave: etiquetado obligatorio del contenido generado por IA y obligaciones de los sistemas de alto riesgo. Es también el día en que la AESIA gana capacidad plena de inspección y sanción.
- 2 de agosto de 2027: alto riesgo integrado en productos regulados (sanitarios, maquinaria, vehículos).
- Antes de 2028 (objetivo): aprobación definitiva de la ley española y multas nacionales plenamente operativas.
Fuentes oficiales
- Nota oficial del Ministerio para la Transformación Digital
- Referencia del Consejo de Ministros (26/05/2026)
- Reglamento (UE) 2024/1689 — AI Act, texto completo en EUR-Lex
- Publicación oficial en el DOUE, accesible desde el BOE
- Agencia Española de Supervisión de la IA (AESIA)
Lo esencial en 30 segundos
El 26 de mayo de 2026 el Consejo de Ministros aprobó el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la Inteligencia Artificial. No inventa reglas nuevas: adapta a España el Reglamento europeo de IA (AI Act, Reglamento UE 2024/1689), que ya está en vigor y es de aplicación directa — igual que en su día lo fue el RGPD. Lo que hace la ley española es poner nombre a las autoridades, concretar las multas y añadir algunas reglas propias.
Estas son las 10 reglas clave que trae, en una línea cada una:
- Multas de hasta 35 millones de euros (o el 7% de la facturación mundial) por los usos más graves.
- Formación obligatoria en IA para cualquier persona que la use en tu empresa (Artículo 4 del AI Act, vigente desde febrero de 2025).
- Prohibición expresa de los deepfakes sexuales sin consentimiento (iniciativa española).
- Etiquetado obligatorio del contenido generado por IA, desde el 2 de agosto de 2026.
- Protección reforzada de menores y personas vulnerables.
- La AESIA (con sede en A Coruña) se convierte en la autoridad central de supervisión.
- El sector público queda exento de multas (el punto más polémico).
- Nuevas obligaciones para la Administración: inventario de sistemas y «delegados de IA».
- Es una Ley Orgánica, porque afecta a derechos fundamentales.
- Supervisión humana obligatoria en los sistemas de alto riesgo.
El AI Act europeo ya es derecho vigente en España. Que la ley nacional siga en el Parlamento no exime de cumplir el reglamento europeo: las prohibiciones y la obligación de formación llevan vigentes desde febrero de 2025, y el etiquetado entra el 2 de agosto de 2026.
Multas de hasta 35 millones de euros. Ley de Inteligencia Artificial en España
El AI Act ya preveía sanciones, pero hacía falta una ley nacional que las concretara y dijera quién las impone. El proyecto español lo hace con cuatro tramos:
| Tipo de infracción | Cuantía | Ejemplos |
|---|---|---|
| Muy grave (prácticas prohibidas) | Hasta 35 M€ o 7% de la facturación mundial | Usar un sistema de IA prohibido; deepfakes sexuales sin consentimiento. |
| Muy grave (alto riesgo) | Hasta 15 M€ o 3% | Sistemas de alto riesgo sin supervisión humana, documentación o registro. |
| Grave | Hasta 7,5 M€ aprox. | Fallos de transparencia, accesibilidad, gestión de riesgos o auditoría. |
| Leve | Desde unos 6.000 € | No cooperar con la AESIA, falta de etiquetado, incumplimientos formales. |
Para pymes y empresas emergentes se aplica la cuantía menor entre el importe fijo y el porcentaje, para evitar sanciones desproporcionadas. Además de las multas, la AESIA puede ordenar la retirada del mercado o la desconexión de un sistema.
Formación obligatoria en IA: el Artículo 4 que ya está vigente
Conviene deshacer un malentendido frecuente: la obligación de formar a tu plantilla en inteligencia artificial no nace de la ley española. Nace del Artículo 4 del Reglamento europeo de IA, vigente desde el 2 de febrero de 2025 — la misma fecha en que entraron en vigor las prohibiciones. La ley española no crea esta obligación: organiza quién la vigila y con qué sanciones. En síntesis, exige que quien despliega o usa sistemas de IA garantice que las personas que los manejan tienen un nivel suficiente de competencia, conocimiento y comprensión para usarlos de forma informada — y que la empresa pueda demostrarlo.
El 2 de agosto de 2026 no empieza la obligación: empieza la comprobación. Quien no haya hecho nada lleva desde febrero de 2025 acumulando incumplimiento.
¿A quién obliga?
Prácticamente a cualquier organización: no hay umbral mínimo de tamaño. Si en tu empresa se usa ChatGPT, Copilot, DeepL, un CRM con scoring predictivo o una herramienta de RR. HH. con preselección automática, ya eres «operadora de IA» según el reglamento. Cuenta incluso el uso informal por parte de empleados — la llamada shadow IT de la IA —: la responsabilidad sigue siendo de la empresa.
¿Qué exige exactamente?
El reglamento no fija un temario cerrado, ni un número de horas, ni una certificación oficial. Exige que la formación sea proporcional: adaptada al nivel técnico de cada persona, al sector y a las herramientas concretas que usa en su puesto. Lo que no cumple, aunque muchas empresas lo den por hecho:
- Un email informativo, un artículo compartido en el chat de equipo o una charla improvisada de 15 minutos: eso es comunicación interna, no formación.
- Colgar un PDF de «políticas de uso» en la intranet sin registro de quién lo ha leído.
- Que un empleado haga un curso online por su cuenta o «se defienda» con ChatGPT.
- Un módulo genérico de introducción a la IA que no mencione vuestras herramientas ni vuestros casos reales.
¿Cuánto arriesgas si no formas a tu equipo?
Aquí conviene ser precisos. El Artículo 4 no tiene una multa directa propia asignada: la Comisión Europea ha señalado que su incumplimiento actúa como agravante dentro de un expediente mayor, no como sanción aislada. El riesgo real para la mayoría de empresas — y sobre todo para una pyme — no es que la AESIA llame a la puerta para multar solo por no haber formado. El riesgo es llegar sin la base cubierta a una inspección por otro motivo (una reclamación de un empleado, una auditoría de un cliente grande, una due diligence) y que se detecte la falta de evidencia. Ese escenario multiplica la exposición.
Ojo con el efecto acumulación con el RGPD
Un sistema de IA que trata datos personales sin garantías adecuadas puede activar a la vez infracciones del AI Act y del RGPD. La AESIA supervisa el AI Act; la AEPD, el RGPD. Son organismos distintos: en ese escenario no es una multa, son dos.
Cómo acreditar que cumples
Tener la formación hecha no basta si no puedes demostrarlo. En la práctica, el cumplimiento se sostiene sobre cuatro documentos:
- Inventario de sistemas de IA — cada herramienta en uso: proveedor, finalidad, quién la usa, qué datos procesa y nivel de riesgo. Revísalo trimestralmente.
- Política de uso de IA — qué herramientas están aprobadas, para qué tareas y qué datos no pueden introducirse en IA pública. Una página clara vale más que un manual de cien.
- Registro de formación — quién se formó, cuándo, sobre qué contenido y con qué resultado, más una prueba de comprensión básica.
- Evidencia y seguimiento — certificado por persona y constancia de que la formación se revisa periódicamente, no es un evento único.
Caso práctico: pyme pequeña
Un estudio de diseño de 8 personas que usa ChatGPT, Copilot, DeepL y Canva, sin sistemas de alto riesgo, puede cumplir el Artículo 4 con un plan razonable en unos días:
Con 2-3 días de trabajo administrativo y una sesión formativa, la pyme tiene un expediente que aguanta una inspección — con coste cercano a cero si la formación se bonifica vía FUNDAE.
Caso práctico: empresa mediana o grande
En una empresa de 250 empleados con RR. HH., IT, marketing y atención al cliente usando IA en selección de personal, scoring o generación de contenido, el cuello de botella no es el contenido: son las dependencias internas.
Un programa así (6-8 semanas típicas) no solo cubre el Artículo 4: deja a la empresa preparada para due diligence de clientes, concursos públicos y las obligaciones de alto riesgo que llegan después. Empezar tarde en una empresa grande sale caro no por el presupuesto, sino porque las dependencias internas se comen el tiempo que no tienes.
Prohibición de deepfakes sexuales
Es la novedad más mediática y España puede reclamarla como propia. Se prohíbe crear o manipular imágenes, vídeos o audios sexuales realistas de personas reales sin su consentimiento. La medida llega tras la polémica de los desnudos falsos generados con herramientas como Grok, el asistente de la red social X. Esta conducta está en el tramo sancionador más alto. Queda prohibida, además, de forma absoluta, la generación de material de abuso sexual infantil con cualquier sistema de IA.
Etiquetado obligatorio del contenido generado por IA
Esta es la obligación que afecta a más gente, porque no se limita a sistemas de alto riesgo: alcanza a cualquiera que use IA generativa de texto, imagen, audio o vídeo. Nace del artículo 50 del Reglamento europeo y la ley española la concreta. Entra en vigor el 2 de agosto de 2026.
Marcar y etiquetar no son lo mismo
Conviene no confundirlas, porque recaen en personas distintas. La marca de agua técnica es una señal incrustada en el archivo — metadatos o marca digital oculta, como los estándares C2PA o SynthID — que permite a otros sistemas detectar que el contenido es artificial: la pone el proveedor de la herramienta (OpenAI, Google, Midjourney…), no tú. La etiqueta visible es el aviso claro y perceptible de que el contenido es IA: la pones tú al publicar o difundir, porque eres quien despliega el contenido. Es la que de verdad te puede traer una multa si falta.
El que fabrica la herramienta marca (invisible, técnica). El que publica el contenido etiqueta (visible, para personas). Si usas ChatGPT o Midjourney en tu negocio, tu obligación es la segunda: etiquetar.
¿Cómo es la etiqueta en la práctica?
- Imágenes y vídeos: una marca visible, tipo sello en una esquina, indicando que es contenido generado por IA.
- Audio: un aviso al inicio, o el distintivo en la app donde se reproduce; si la plataforma no lo permite, la advertencia debe ir dentro del propio audio.
- Texto: una nota clara cuando trate asuntos de interés público, salvo que una persona lo revise y asuma la autoría editorial.
- Chatbots: el asistente debe identificarse como IA desde el principio de la conversación.
- Accesibilidad: la etiqueta debe ser legible por lectores de pantalla y con contraste suficiente (WCAG 2.1 nivel AA) — no vale esconderla.
Catálogo de casos: ¿cuándo hay que etiquetar?
La regla general: si el contenido se publica y está generado o manipulado de forma sustancial con IA, hay que etiquetarlo. Los usos internos o los cambios menores que no engañan sobre el origen no lo necesitan.
| Tipo | Caso | ¿Etiquetar? | Cómo |
|---|---|---|---|
| Imagen | Foto de producto creada o «mejorada» con IA | Sí | Nota «imagen generada con IA» en la ficha. |
| Imagen | Retoque menor (brillo, recorte) por IA | No | No cambia la sustancia. |
| Imagen | Ilustración fantástica o sátira evidente | Atenuado | Basta informar sin romper la obra. |
| Vídeo | Vídeo promocional generado íntegramente | Sí | Etiqueta visible en el vídeo. |
| Vídeo | Deepfake de una persona real | Sí, destacado | Aviso claro; si es sexual sin consentimiento, prohibido. |
| Vídeo | Presentador o avatar virtual | Sí | Indicar que es IA. |
| Audio | Voz clonada en un anuncio | Sí | Aviso sonoro o distintivo en la plataforma. |
| Audio | Pódcast con voces generadas por IA | Sí | Indicarlo al inicio o en la descripción. |
| Audio | Música o jingle generado con IA | Sí | Distintivo en la ficha. |
| Texto | Noticia o artículo de interés público con IA | Sí* | Nota visible, salvo revisión editorial humana. |
| Texto | Descripción de producto revisada por una persona | Normalmente no | Hay control humano sobre el texto. |
| Texto | Informe interno hecho con IA | No | Uso interno, no se difunde al público. |
| Chatbot | Chatbot de soporte en web o app | Sí | Presentarse como IA al iniciar. |
| Chatbot | Es obvio por el contexto (menú automático) | No | La obviedad exime del aviso. |
| Redes | Post con imagen o vídeo hecho con IA | Sí | Etiqueta de «hecho con IA». |
| Redes | Perfil o influencer virtual | Sí | Indicar que el personaje es sintético. |
| Biometría | Análisis de emoción por voz o cámara | Sí | Informar a la persona expuesta. |
| Biometría | Categorización biométrica de usuarios | Sí | Informar y cumplir además el RGPD. |
La obligación de etiquetar es tuya como quien publica, aunque la herramienta sea de un tercero. Que Instagram, TikTok o YouTube añadan sus propias etiquetas automáticas de «hecho con IA» no te exime de tu obligación.
Dónde y cómo colocar la etiqueta según el formato
| Formato | Dónde ponerla | Ejemplo |
|---|---|---|
| Imagen | Sello en una esquina o nota en el pie/ficha | «Imagen generada con IA» |
| Vídeo | Rótulo visible al inicio y en la descripción | «Vídeo creado con IA» |
| Audio / pódcast | Aviso al principio y en la descripción del episodio | «Este audio contiene voz generada con IA» |
| Texto / artículo | Nota al inicio, visible | «Texto elaborado con asistencia de IA» |
| Documento (PDF, informe) | Portada o primera página + metadatos | «Documento elaborado con asistencia de IA» |
| Web | Junto al contenido afectado; el chatbot, al saludar | «Hola, soy un asistente con IA» |
| Redes sociales | En la propia pieza y en el texto del post | «Creatividad generada con IA» |
| Email / newsletter | Nota al pie si es contenido informativo público | «Contenido generado con IA» |
Tres excepciones del texto oficial conviene recordarlas: si es obvio que es IA (un menú telefónico claramente automático) no hace falta avisar; si la IA solo edita sin cambiar la sustancia (corregir, recortar, mejorar luz) tampoco; y en obra creativa o satírica evidente basta con informar sin estropear la obra.
Protección reforzada de menores y personas vulnerables
La ley española va más allá del reglamento europeo y prohíbe expresamente:
- Juguetes inteligentes o apps dirigidas a menores que inciten a retos peligrosos o fomenten conductas adictivas o dañinas.
- Sistemas que aprovechen vulnerabilidades psicológicas, como chatbots que detecten adicción al juego y empujen a apostar más.
- Cualquier sistema que explote vulnerabilidades de mayores o personas con discapacidad para manipular sus decisiones.
La AESIA, autoridad central
La Agencia Española de Supervisión de la Inteligencia Artificial, con sede en A Coruña y dirigida por Alberto Gago, es el organismo central. Prevé contar con 50 analistas antes de que acabe el año y cambiará sus estatutos en un plazo de seis meses para ganar independencia. Sus funciones:
- Supervisar el cumplimiento del AI Act y de la ley nacional.
- Investigar incidentes y reclamaciones, incluso anónimas.
- Coordinarse con la AEPD, el Banco de España, la CNMV y el CGPJ.
- Imponer sanciones y ordenar medidas correctoras.
- Gestionar el sandbox regulatorio para que las empresas prueben sin riesgo de multa.
El sector público, exento de multas
Cuando una administración pública incumple, no hay multa económica: solo una resolución que declara el incumplimiento, un apercibimiento y posibles medidas disciplinarias para los funcionarios responsables.
El doble rasero criticado
Si una empresa privada usa un sistema de reconocimiento biométrico masivo prohibido, se expone a hasta 35 millones de euros. Si lo hace un organismo público, la consecuencia es una amonestación. Varias organizaciones de derechos digitales han señalado que esto genera un incentivo perverso frente al propio Estado.
Nuevas obligaciones del sector público
A cambio de la exención de multas, la ley introduce medidas para el buen uso de la IA en la Administración: un inventario de los sistemas de IA usados en procedimientos administrativos — no solo los de alto riesgo —, la figura de los delegados de IA, supervisión humana en decisiones que afecten a derechos fundamentales y publicación de información sobre los algoritmos empleados.
Ley orgánica, supervisión humana, transparencia y coordinación de autoridades
Ley orgánica
El texto se tramita como Ley Orgánica precisamente porque afecta a derechos fundamentales, lo que le da un rango reforzado.
Supervisión humana en alto riesgo
Todo sistema de alto riesgo (RR. HH., crédito, educación, sanidad, biometría) debe tener una persona que supervise de forma significativa: que pueda entender, revisar y anular la decisión de la IA.
Transparencia algorítmica
Hay que avisar al usuario de que está interactuando con una IA. Un chatbot que no se identifica como tal es una infracción.
Coordinación de autoridades
La supervisión se reparte: la AESIA lidera, la AEPD asume los datos biométricos, el CGPJ los sistemas que afectan a la justicia, y el Banco de España y la CNMV el ámbito financiero.
¿Cuándo llegarán las primeras multas?
Hay que distinguir entre el marco europeo, ya vigente, y la ley española, todavía en el Parlamento.
| Periodo | Situación de riesgo |
|---|---|
| Ya (desde feb. 2025) | Prohibiciones en vigor. Manipulación, puntuación social o biometría masiva ya son ilegales. |
| 2 agosto 2026 | Obligaciones de alto riesgo y etiquetado de IA plenamente exigibles por el AI Act. |
| 2026–2027 | Fase educativa de la AESIA. Puede apercibir, pero aún no imponer las multas de la ley nacional. |
| Fin de 2027 (objetivo) | Aprobación definitiva de la ley española. Régimen sancionador nacional plenamente operativo. |
| 2028 en adelante | Supervisión sistemática y sanciones rutinarias. |
Ventana de riesgo inmediato
No esperes a que la ley española esté aprobada. El RGPD ya permite a la AEPD sancionar usos de IA que vulneren la protección de datos, la privacidad o la biometría, y en el último año se ha registrado un fuerte aumento de las investigaciones relacionadas con IA.
Cómo protegerse: hoja de ruta para empresas
El cumplimiento no es un proyecto tecnológico, sino de gobernanza. Una pyme puede alcanzar un nivel razonable en 8-12 semanas de trabajo ordenado.
Consejo
Empieza por el inventario y por la formación del personal: son las dos acciones más urgentes, las más exigibles ya hoy y la mejor prueba de diligencia ante una eventual inspección.
Sectores con mayor exposición
| Sector | Principal exposición | Riesgo |
|---|---|---|
| RR. HH. / HR Tech | Cribado de CVs y evaluación de personal (Anexo III). | Muy alto |
| Fintech / Banca | Scoring crediticio, solvencia, detección de fraude automatizada. | Muy alto |
| Salud / Healthtech | Diagnóstico asistido, triaje, gestión de listas de espera. | Muy alto |
| Educación / Edtech | Plataformas adaptativas, evaluación y admisión automáticas. | Alto |
| Marketing y publicidad | Contenido generativo, deepfakes, segmentación hiperpersonalizada. | Alto |
| Seguros | Pricing automatizado, evaluación de riesgo, siniestros con IA. | Alto |
| E-commerce / Retail | Recomendadores, precios dinámicos, atención al cliente con IA. | Medio |
Preguntas frecuentes
¿En qué redes sociales aplica el etiquetado obligatorio?
En todas, sin distinción: Instagram, TikTok, X, YouTube, Facebook, LinkedIn, Threads, Pinterest, Snapchat y cualquier otra. La ley no habla de plataformas concretas: se aplica a quien publique contenido sintético al público, sea cual sea el canal.
¿Aplica también a contenido de IA en mi propia web?
Sí. Si en tu web hay imágenes, vídeos, locuciones o textos de interés público generados con IA, deben identificarse, y si tienes un chatbot debe presentarse como tal. Que sea tu propia página no cambia nada: cuenta como difusión al público.
¿Cómo debo indicar exactamente que un contenido está hecho con IA?
Con un texto claro como «Contenido generado con IA», visible en el propio contenido o en un lugar inmediato (pie de foto, descripción, primeros segundos), y accesible: legible por lectores de pantalla y con contraste suficiente. No vale ocultarlo en letra diminuta.
¿Existe un tamaño obligatorio para la marca de agua o el sello «IA»?
No. La ley no fija ningún tamaño en píxeles ni un formato concreto: el único criterio es que sea clara y distinguible. La marca técnica del proveedor debe ser legible por máquina; la etiqueta visible que pones tú debe percibirse con claridad — mejor pasarse que quedarse corto.
Si es un documento, ¿dónde coloco el aviso?
Lo razonable es ponerlo al principio y de forma visible, por ejemplo en la portada, y reforzarlo en los metadatos del archivo. Si el documento es de uso interno o lo revisa y firma una persona que asume la autoría, normalmente no hace falta.
Si es un pódcast, ¿puedo indicarlo solo al final?
No. El texto exige avisar como muy tarde en el momento de la primera exposición, así que en un audio el aviso debe ir al comienzo o en la descripción del episodio, no solo en los créditos finales.
¿Necesito un curso o certificación oficial para cumplir la formación del Artículo 4?
No existe un título ni una certificación oficial obligatoria. Lo que se exige es formación proporcional al riesgo, adaptada a tus herramientas y tu plantilla, documentada y trazable — no un curso concreto de un proveedor concreto.
Si no formo a mi plantilla en IA, ¿me cae una multa directa?
El Artículo 4 no tiene una sanción económica propia asignada, pero su incumplimiento agrava cualquier otra infracción que se detecte en una inspección. El riesgo real es llegar sin evidencia de formación cuando la AESIA investiga por otro motivo.
Conclusión
La aprobación del proyecto de ley no marca el inicio de la regulación de la IA en España, sino su madurez. El AI Act ya es derecho vigente, la AESIA ya investiga y la AEPD ya sanciona. Para cualquier empresa que use IA en procesos que afecten a personas, las prioridades son claras: actuar ahora sin esperar a 2027, empezar por el inventario y la formación — las dos obligaciones más exigibles ya hoy —, tratar el cumplimiento de IA junto al de datos porque el RGPD y el AI Act se solapan casi siempre, documentarlo todo y no dar por hecho que usar herramientas de terceros como ChatGPT o Gemini te exime de responsabilidad: como usuario profesional, respondes del uso que haces de ellas.
Para las empresas que se adelanten, cumplir pronto no es solo gestionar un riesgo: es una ventaja competitiva en un mercado donde clientes, inversores y licitaciones públicas empezarán a pedir pruebas de buena gobernanza de la IA.
