AESIA: qué es, qué puede hacer y qué le toca hacer a su empresa
En Alemania, la pregunta de quién vigila el Reglamento europeo de IA ya tiene respuesta: desde el 29 de julio de 2026, la Bundesnetzagentur. En España cabría esperar lo mismo de la AESIA, la agencia que trabaja en A Coruña desde 2023, pero el proyecto de ley que la iba a nombrar autoridad de vigilancia caducó el 6 de octubre de 2026, el día en que el BOE publicó la disolución de las Cortes. La agencia sigue publicando guías y contestando en info@aesia.gob.es. Y a su empresa le conviene saber que el Reglamento europeo no se ha parado por ello.
La agencia en datos
| Base jurídica | Real Decreto 729/2023 (Estatuto), con autorización de la disp. adic. séptima de la Ley 28/2022 |
| Sede | A Coruña (estatuto: edificio La Terraza; hoy sede temporal en la Rúa de Veeduría, 2) |
| Presidencia | La persona titular de la Secretaría de Estado de Digitalización e Inteligencia Artificial |
| Funciones según su estatuto | Supervisión, asesoramiento, concienciación y formación; inspección, comprobación y sanción en lo que le atribuya la normativa europea |
| Publicaciones | 16 guías de apoyo al cumplimiento para sistemas de alto riesgo (diciembre de 2025), con listas de verificación; preguntas frecuentes sobre los arts. 4 y 50 |
| Contacto | Formulario web o info@aesia.gob.es |
| Aviso en la página de guías | «no tienen carácter vinculante»; se actualizarán «una vez se apruebe el Ómnibus digital» (a 12/10/2026, sin actualizar) |
La ley que no llegó a votarse
| Fecha | Paso |
|---|---|
| 11/03/2025 | El Consejo de Ministros aprueba el anteproyecto de ley para el buen uso y la gobernanza de la inteligencia artificial |
| 26/05/2026 | Aprueba el proyecto de ley orgánica y lo remite a las Cortes |
| 12/06/2026 | Publicación en el Boletín Oficial de las Cortes (expediente 121/000096); el plazo de enmiendas se amplía seis veces |
| 06/10/2026 | El BOE publica el Real Decreto 806/2026: Congreso y Senado disueltos, elecciones el 29/11/2026 |
| Desde 06/10/2026 | La ficha del Congreso dice «Concluido - (Caducado)» |
Llama la atención lo detallado que estaba ya el reparto de competencias. El texto caducado no obliga a nadie, pero vale la pena conocerlo, porque su art. 5.2 empezaba con un «Se designa a la AESIA como autoridad de vigilancia del mercado» que, gobierne quien gobierne, difícilmente desaparecerá del próximo borrador:
| Ámbito | Autoridad prevista en el proyecto caducado |
|---|---|
| Prácticas prohibidas del art. 5.1 a), b), c) y f), la mayoría de los sistemas de alto riesgo del anexo III y las obligaciones de transparencia del art. 50 | AESIA, además de punto de contacto único |
| Buena parte de la biometría, migración y prohibiciones del art. 5.1 e) y g) | AEPD y autoridades autonómicas de protección de datos |
| Justicia y prohibiciones del art. 5.1 d) y h) | Consejo General del Poder Judicial |
| Solvencia crediticia | Banco de España y CNMV |
| Seguros de vida y salud | Dirección General de Seguros y Fondos de Pensiones |
| Multas (art. 30) | Hasta 35 millones de euros o el 7 % del volumen de negocio mundial en lo más grave; leves hasta 500.000 euros o el 0,5 % |
Todo el mundo usa ya la IA, esté prohibida o no. Una política de uso solo funciona cuando existe una herramienta con la que se puede cumplir. Sascha Schumann, CEO Myra Security
El calendario europeo no espera a las Cortes
Aquí no hay diferencia entre Alemania y España: el Reglamento (UE) 2024/1689 se aplica directamente en los dos países, y el Ómnibus que lo modificó, el Reglamento (UE) 2026/1744, también, desde el 27 de julio de 2026. La versión española llama «responsable del despliegue» a la empresa que usa un sistema de IA bajo su propia autoridad, y para ella el calendario es este:
| Desde | Qué se aplica |
|---|---|
| 02/02/2025 | Prácticas prohibidas del art. 5 (manipulación, puntuación social, reconocimiento de emociones en el trabajo, entre otras) |
| 27/07/2026 | Nuevo art. 4: proveedores y responsables del despliegue «adoptarán medidas para apoyar la promoción de la alfabetización en materia de IA de su personal»; ya no se exige un «nivel suficiente» ni un nivel concreto por persona |
| 02/08/2026 | Art. 50: transparencia, por ejemplo marcar las ultrasuplantaciones y los textos generados que se publican para informar al público sobre asuntos de interés público sin revisión humana ni responsable editorial (art. 50.4) |
| 02/12/2026 | Nuevas prohibiciones del art. 5.1 b bis) y b ter): contenidos íntimos sin consentimiento y material de abuso generados con IA |
| 02/12/2027 | Sistemas de alto riesgo del anexo III (selección de personal, solvencia, acceso a servicios públicos, educación…) |
| 02/08/2028 | Sistemas de alto riesgo del anexo I, integrados en productos regulados |
El sandbox
| Norma | Real Decreto 817/2023, en vigor desde el 10/11/2023; vigencia máxima de treinta y seis meses o, en su caso, hasta que el Reglamento de IA sea aplicable en España |
| Primera convocatoria | 44 solicitudes, 12 sistemas de alto riesgo seleccionados (abril de 2025) |
| Cierre | Diplomas para los 11 sistemas que terminaron (junio de 2026) |
| Siguientes convocatorias | Anunciadas «en el marco del proyecto de ley de IA», hoy caducado; no hemos encontrado ninguna abierta |
Un ejemplo: qué haríamos esta semana
Pongamos una ingeniería de 120 personas en Bilbao, con oficina técnica, comercial y administración, en la que nadie ha aprobado ninguna herramienta de IA y casi todo el mundo usa alguna. Es un caso inventado, pero cualquiera que haya hecho un inventario de este tipo lo reconocerá.
Empezaríamos por preguntar a cada responsable de área qué herramienta usa su gente, con qué cuenta y qué documentos le dan. Lo normal es que salgan cuentas gratuitas de ChatGPT con ofertas de clientes, alguna extensión del navegador que resume correos y, en comercial, quizá una app de transcripción para las videollamadas que alguien se instaló sin preguntar. Esa app sería la primera que revisaríamos: hay productos de análisis de llamadas que ofrecen detectar emociones, y en el trabajo eso está prohibido por el art. 5 desde febrero de 2025.
El art. 4 lo resolveríamos sin grandes despliegues. Una hora para toda la plantilla, una sesión más larga para administración y comercial, una política de uso de dos páginas y una hoja de cálculo con quién asistió y cuándo. La AESIA dice en sus preguntas frecuentes que ese registro interno basta y que no hace falta certificado.
El blog técnico de la empresa solo entra en el art. 50.4 si sus textos informan al público sobre asuntos de interés público. Aun en ese caso bastaría con que el jefe de la oficina técnica revise cada texto antes de publicarlo y asuma la responsabilidad editorial, porque eso es lo que exime del etiquetado.
Lo que más tiempo llevaría, probablemente, es elegir la herramienta que sustituya a las cuentas gratuitas. Para eso copiaríamos las preguntas que la propia AEPD se hace en su política interna de IA generativa de noviembre de 2025 antes de contratar un servicio en la nube: si el proveedor usa las conversaciones para mejorar sus modelos, «dónde pueden almacenarse/procesarse (EE. UU./UE/otras regiones)» y cuánto tiempo se guardan los datos.
Lo que una herramienta puede aportar, y lo que no
Ninguna herramienta cumple el Reglamento por usted, y conviene desconfiar de quien diga lo contrario. Lo que sí puede hacer es que la política de uso no dependa solo de la buena voluntad de cada persona.
Tomamos como ejemplo Myra AI Workspace, que es nuestro producto, y separamos lo que hace el software de lo que le sigue tocando a usted:
| Lo resuelve la herramienta | Le sigue tocando a su empresa |
|---|---|
| Nivel de acceso por proyecto: en «Local only» solo modelos alojados por Myra en su infraestructura de la UE, sin búsqueda web ni herramientas externas; el servidor rechaza peticiones a modelos en la nube (en los planes de pago en autoservicio, los modelos de Myra requieren el paquete «EU-Gov») | Decidir qué proyectos o datos van en «Local only» |
| Indicador verde, ámbar o rojo junto al selector de modelo, según a dónde va el texto | Formar a la plantilla para que lo entienda (art. 4) |
| Seudonimización de nombres, IBAN y otros datos personales antes de un modelo externo, con vista previa; soporte completo en alemán e inglés, en español hay que revisar la vista previa | La evaluación de impacto, si procede |
| Respuestas marcadas como generadas por IA | Revisar lo que se publica (art. 50.4) |
| Interfaz en alemán y en inglés (no en español) | Valorar si eso le sirve a su plantilla |
El resto lo explicamos en la página de Myra AI Workspace.
Preguntas frecuentes
¿Tengo que registrar en algún sitio que usamos ChatGPT o Copilot?
Por el Reglamento de IA, no: un asistente de chat de uso general en una empresa privada no es un sistema de alto riesgo y no se inscribe en el registro de la UE. Aun así, conviene apuntarlo en el registro de actividades de tratamiento del RGPD, si se usa con datos personales, y en el inventario interno que le hará falta para el art. 4.
¿Está aprobada la ley española de inteligencia artificial?
No. Seguía en plazo de enmiendas en el Congreso cuando se disolvieron las Cortes, y caducó. Quien gobierne tras las elecciones del 29 de noviembre tendrá que volver a aprobarla en Consejo de Ministros y mandarla a las nuevas Cámaras; es poco probable que llegue al BOE antes de bien entrado 2027.
Fuentes
- Bundesnetzagentur: entrada en vigor de la ley alemana de aplicación del Reglamento de IA (29/07/2026, en alemán), consultado el 12/10/2026
- Real Decreto 729/2023, Estatuto de la AESIA, consultado el 12/10/2026
- AESIA: contacto, consultado el 12/10/2026
- AESIA: guías de apoyo al cumplimiento del RIA, consultado el 12/10/2026
- AESIA: preguntas frecuentes sobre el artículo 4 del RIA, consultado el 12/10/2026
- La Moncloa: referencia del Consejo de Ministros del 26/05/2026, consultado el 12/10/2026
- Congreso de los Diputados: proyecto de ley 121/000096, tramitación, consultado el 12/10/2026
- BOCG Congreso A-97-1 (12/06/2026), texto del proyecto de ley, consultado el 12/10/2026
- Real Decreto 806/2026, de disolución del Congreso y del Senado, consultado el 12/10/2026
- Real Decreto 817/2023, entorno controlado de pruebas de IA, consultado el 12/10/2026
- Ministerio para la Transformación Digital: concluye el primer sandbox de IA (12/06/2026), consultado el 12/10/2026
- Reglamento (UE) 2026/1744 (Ómnibus digital sobre IA), consultado el 12/10/2026
- Reglamento (UE) 2024/1689 (Reglamento de Inteligencia Artificial), consultado el 12/10/2026