El 12 de junio de 2026 se publicó en el Boletín Oficial de las Cortes Generales el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la IA en España. No es todavía derecho aplicable, y conviene decirlo desde la primera línea porque buena parte de la cobertura lo ha tratado como si lo fuera. Es un proyecto que entra en fase de enmiendas hasta el 30 de junio y que tendrá que recorrer el resto de la tramitación parlamentaria antes de convertirse en norma. Lo que sí permite es leer con bastante precisión la dirección que España ha elegido.
Qué hace y qué no hace este proyecto de LO de gobernanza de la IA
La primera cosa que hay que entender es qué hace y qué no hace este texto. No crea obligaciones nuevas para quien desarrolla o despliega sistemas de IA. Esas obligaciones ya existen y vienen del Reglamento (UE) 2024/1689, el AI Act, que está en vigor desde agosto de 2024 y es de aplicación directa en todos los Estados miembros. Lo que el AI Act delega en cada país es la parte institucional: quién vigila, quién sanciona, cuánto, con qué procedimiento. Eso es exactamente lo que ocupa los cuarenta y un artículos del proyecto. Es una ley para hacer aplicable otra ley.
El núcleo de la decisión española está en el reparto de autoridades. En lugar de concentrar toda la supervisión en un único organismo, el proyecto distribuye la vigilancia del mercado por sectores. La AESIA, con sede en A Coruña, queda como autoridad por defecto y como punto de contacto único con Bruselas, pero no lo supervisa todo. La Agencia Española de Protección de Datos asume los sistemas biométricos y los de gestión de fronteras; el Consejo General del Poder Judicial, los que operan en la administración de justicia; el Banco de España, los de calificación crediticia en entidades financieras; la Comisión Nacional del Mercado de Valores y la Dirección General de Seguros, lo que cae en su perímetro respectivo. Esta arquitectura tiene una consecuencia práctica que el sector debería anotar: un mismo sistema puede ser mirado a la vez por dos autoridades desde ángulos distintos, la dimensión de IA por un lado y la de datos personales por otro, sin que una excluya a la otra.
El régimen sancionador es la parte que más titulares ha generado, y es comprensible. Las infracciones por prácticas prohibidas pueden llegar a 35 millones de euros o al 7 % del volumen de negocio mundial, la cifra que sea mayor. Las infracciones graves se quedan en un máximo de 7,5 millones o el 1 %, y las leves en 500.000 euros o el 0,5 %. Estos umbrales no los inventa España: reproducen los que ya fija el artículo 99 del Reglamento europeo. Lo que añade el proyecto es la clasificación concreta de cada conducta como muy grave, grave o leve, los plazos de prescripción, el procedimiento y las reducciones por pago voluntario y reconocimiento de responsabilidad. Hay un detalle relevante para mi tipo de cliente: en pymes y empresas emergentes, la multa se calcula por el menor de los dos importes, no por el mayor. Es una matización que cambia bastante el cálculo de exposición real para una startup.
Conviene no perderse entre las multas y dejar pasar lo que para muchas empresas será más exigente en el día a día. El proyecto obliga al sector público estatal a inventariar todos los sistemas de IA que utilice en sus procedimientos, no solo los de alto riesgo, y a designar un delegado de IA en cada entidad. Crea también una ventanilla única de reclamaciones en la AESIA y un régimen de protección para quien informe de incumplimientos. Para una empresa que trabaje con la Administración, esto significa que la pregunta sobre qué sistema usa, quién responde de él y cómo se documenta va a dejar de ser una conversación técnica para convertirse en un requisito formal.
Qué falta para que esto sea norma, y cómo se cruza con el calendario europeo
El proyecto está en la Comisión de Economía, Comercio y Transformación Digital, que tiene encomendado el dictamen. La secuencia previsible es la habitual de una ley orgánica: cierre del plazo de enmiendas el 30 de junio, ponencia y debate en comisión, dictamen, votación en el Pleno del Congreso, paso al Senado con su propio turno de enmiendas o veto, y vuelta al Congreso para la votación definitiva. Por su carácter de ley orgánica, los preceptos así calificados necesitarán mayoría absoluta en la votación de conjunto. No hay fecha cerrada, y el propio texto puede cambiar de aquí a su aprobación: lo que hoy se lee es un punto de partida, no el resultado.
El interés de seguir esta tramitación está en cómo se cruza con la aplicabilidad por tramos del AI Act, que avanza con independencia de que España termine o no su ley a tiempo. El calendario europeo va por fases. Las prácticas prohibidas y la obligación de alfabetización en IA se aplican desde el 2 de febrero de 2025. Las reglas para los modelos de propósito general y la gobernanza europea, desde el 2 de agosto de 2025. La fecha que ahora pesa es el 2 de agosto de 2026: ese día pasan a ser plenamente aplicables las obligaciones de los sistemas de alto riesgo del Anexo III (biometría, infraestructuras críticas, educación, empleo, servicios esenciales, justicia, fronteras y procesos democráticos) y las obligaciones de transparencia del artículo 50, que incluyen avisar de que se está interactuando con una IA y marcar los contenidos sintéticos. El último tramo, el 2 de agosto de 2027, cubre la IA de alto riesgo integrada en productos ya regulados por normativa sectorial, recogida en el Anexo I.
Hay aquí una incertidumbre genuina que no conviene esconder. En noviembre de 2025 la Comisión presentó el Digital Omnibus, un paquete que proponía retrasar la entrada en aplicación de las obligaciones de alto riesgo. El trílogo de abril de 2026 terminó sin acuerdo, bloqueado por la evaluación de conformidad de la IA integrada en productos sectoriales, de modo que a día de hoy la fecha del 2 de agosto de 2026 sigue en pie. Quien planifique su cumplimiento contando con una prórroga que aún no existe está tomando una decisión arriesgada sobre una negociación que puede no cerrarse a su favor.
El desfase entre los dos calendarios es lo que conviene mirar con atención. Las obligaciones de fondo del AI Act van a empezar a aplicarse este agosto con o sin ley española aprobada. La ley orgánica añade la maquinaria nacional que las hace exigibles aquí: las autoridades que sancionan, el procedimiento y el inventario público. Una empresa que use IA en España y espere a que el Congreso termine para empezar a documentar sus sistemas, evaluar sus riesgos y verificar a sus proveedores estará confundiendo el momento de la obligación europea con el momento de la sanción nacional. Son cosas distintas, y la primera no espera a la segunda.
Implicaciones para la empresa española
Conviene bajar esto al terreno de quien tiene una empresa y se pregunta qué le toca hacer. La primera distinción útil no es entre grande y pequeña, sino entre quién construye el sistema de IA y quién lo usa. El Reglamento llama proveedor al primero y responsable del despliegue al segundo, y reparte obligaciones distintas a cada uno. La mayoría de las empresas españolas no desarrollan modelos: los integran. Esa condición de usuario no las libera, porque el responsable del despliegue tiene sus propias obligaciones cuando el sistema cae en una de las categorías de alto riesgo del Anexo III, entre ellas garantizar supervisión humana competente, usar el sistema según las instrucciones del proveedor y conservar los registros que genera. La gobernanza de la IA se vuelve más importante que el stack elegido.
Para una empresa que opera en B2B, lo que cambia de forma más inmediata es la cadena de responsabilidad con sus proveedores y sus clientes. Si vendo un servicio que incorpora IA a otra empresa, mi cliente va a empezar a preguntarme qué sistema uso, quién responde de su conformidad y qué documentación puedo entregarle si una autoridad la reclama. Esa pregunta dejará de ser una cortesía técnica para convertirse en un requisito de contratación, igual que ocurrió con la protección de datos cuando entró el RGPD. La diligencia sobre el proveedor del modelo se vuelve parte del contrato: verificar que cumple sus obligaciones de transparencia y documentación, y dejar por escrito quién asume qué si algo falla. Quien venda a la Administración lo notará antes, porque el sector público estatal queda obligado a inventariar todos los sistemas que utilice y a designar un delegado de IA, y trasladará esa exigencia a sus adjudicatarios.
En B2C el punto de impacto es otro: la transparencia frente a la persona. Desde el 2 de agosto de 2026 son plenamente aplicables las obligaciones del artículo 50, y afectan a prácticas muy comunes en la relación con el consumidor. Si un chatbot atiende a mis clientes, tengo que informar de que están hablando con una IA y no con una persona, salvo que resulte evidente. Si genero o manipulo imágenes, audio, vídeo o texto con apariencia real, tengo que marcar ese contenido como artificial; las ultrasuplantaciones, los deepfakes, quedan expresamente señalados. Para cualquier negocio que use IA generativa en marketing, atención al cliente o creación de contenido, esto deja de ser una buena práctica voluntaria y pasa a ser una obligación con sanción detrás.
Hay un segundo frente en B2C que conviene no pasar por alto, porque es donde una empresa puede encontrarse en alto riesgo sin haberlo buscado. El Anexo III incluye los sistemas que evalúan la solvencia o calificación crediticia de personas físicas, los que se usan en la fijación de precios de seguros de vida y salud, y los que intervienen en el acceso a servicios esenciales. Una fintech que decide automáticamente si concede un préstamo, o una aseguradora que ajusta primas con un modelo, está operando un sistema de alto riesgo con todas las obligaciones que eso arrastra, incluida la de informar a la persona afectada de que una IA participa en la decisión que le concierne. El mismo Anexo cubre el empleo: cualquier empresa que use IA para filtrar candidaturas, evaluar el desempeño o tomar decisiones sobre su plantilla entra en el perímetro reforzado, sea cual sea su sector.
La consecuencia de todo esto para una empresa española, opere B2B o B2C, es que el primer paso no es jurídico sino de inventario. Hay que saber qué sistemas de IA se usan, en qué procesos, sobre qué decisiones influyen y de dónde vienen. Sin ese mapa no se puede saber cuáles caen en alto riesgo, cuáles solo arrastran obligaciones de transparencia y cuáles quedan fuera. La evaluación de conformidad de un sistema de alto riesgo lleva entre tres y seis meses, de modo que quien empiece el inventario en agosto va tarde para la fecha de agosto. El trabajo que de verdad importa, el de mirar dentro de la propia operación antes de que lo haga una autoridad, se puede empezar hoy y no depende de que el Congreso termine su ley.
Texto completo del Proyecto de Ley Orgánica para el buen uso y la
gobernanza de la inteligencia artificial: https://www.congreso.es/public_oficiales/L15/CONG/BOCG/A/BOCG-15-A-97-1.PDF