Ley española de gobernanza de la IA: estado tras la disolución de las Cortes y papel de AESIA y AEPD

Contexto

El Reglamento (UE) 2024/1689 (RIA o AI Act) se aplica directamente, pero cada Estado debe designar autoridades (art. 70) y fijar el régimen sancionador (art. 99, apartado 1). En España eso debía hacerlo una ley que ha caducado.

Estado a 9 de octubre de 2026: no hay ley española de gobernanza de la IA vigente. Las elecciones son el 29 de noviembre y las nuevas Cámaras se constituyen el 23 de diciembre de 2026; el próximo Gobierno tendrá que presentar un texto nuevo.

Qué preveía el proyecto caducado

Según la referencia oficial del Consejo de Ministros de 26 de mayo de 2026:

• Autoridades: AESIA, AEPD y CGPJ según el ámbito, con AESIA como punto de contacto único; los productos sectoriales mantendrían su autoridad.
• Sanciones: infracciones muy graves, graves y leves, con multas de hasta 35 M€ o el 7 % y de hasta 500.000 € o el 0,5 %, y atenuantes para pymes.
• Sector público: inventario de sistemas de IA y delegado de IA.
• Pruebas: el espacio nacional lo operaría AESIA.

Nada de esto obliga hoy. Sirve solo como orientación.

Qué hay vigente

El límite: la potestad sancionadora requiere una norma con rango de ley. Sin la ley orgánica, la capacidad sancionadora de AESIA por el RIA es un punto abierto: no hemos localizado otra norma con rango de ley que la habilite. Ver también la normativa española vigente.

Qué hacer ahora

1. No esperes a la ley: prohibiciones, alfabetización y transparencia ya aplican.
2. Documenta tu cumplimiento: registro de sistemas y clasificación de riesgo. Ver la guía de 90 días.
3. Si tratas datos personales con IA, la AEPD ya es competente: revisa tus evaluaciones del RGPD.
4. Sigue la nueva legislatura: actualizaremos esta pieza cuando haya un nuevo proyecto.

Puntos abiertos

• Qué autoridad recibe cada notificación, incluida la evaluación del art. 27.
• Qué régimen sancionador se aplicará a los arts. 4, 5 y 50.
• Si el próximo proyecto mantendrá el enfoque del BOCG A-97-1.
• España ha comunicado a AESIA como punto de contacto único (lista de la Comisión, actualizada el 7.9.2026).