Sandbox regulatorio de IA en España: qué es, quién puede entrar y qué dice el Real Decreto 817/2023

Referencia y estado

• Norma: Real Decreto 817/2023, de 8 de noviembre, publicado en el BOE núm. 268 de 9 de noviembre de 2023. Entró en vigor el 10 de noviembre de 2023 (disposición final segunda).
• Órgano competente: la Secretaría de Estado de Digitalización e Inteligencia Artificial (art. 3.1).
• Vigencia: máximo de treinta y seis meses desde su entrada en vigor o, en su caso, hasta que sea aplicable en España el Reglamento europeo de IA (disposición final segunda).
• Reglamento de IA: cada Estado miembro debe tener al menos un espacio controlado de pruebas operativo; tras el Ómnibus de 2026, a más tardar el 2 de agosto de 2027.

Qué es

Un entorno controlado de pruebas, o sandbox, donde proveedores de IA ensayan con orientación de la administración si su sistema cumple los requisitos de la IA de alto riesgo antes de comercializarlo (art. 1). Cubre sistemas que puedan suponer riesgos para la seguridad, la salud y los derechos fundamentales.

Quién puede participar

Quedan excluidos, entre otros, los sistemas de uso militar, de defensa o de seguridad nacional, los que usan técnicas subliminales o explotan vulnerabilidades, y ciertos sistemas de puntuación social o de identificación biométrica remota en tiempo real en espacios públicos con fines policiales (art. 5.6).

Cómo se accede

1. Convocatoria. Se aprueba por resolución de la Secretaría de Estado; el plazo de solicitud es de veinte días hábiles desde su publicación (art. 6.1).
2. Solicitud electrónica con una memoria técnica y una declaración responsable de protección de datos (art. 7.3).
3. Valoración. Se tienen en cuenta, entre otros, la innovación, el impacto social, la explicabilidad, el alineamiento con la Carta de Derechos Digitales y la madurez de la memoria técnica (art. 8.2).
4. Resolución en sesenta días hábiles desde la publicación de la convocatoria; el silencio es desestimatorio (art. 10).

Se selecciona un único sistema por proveedor y admisión (art. 5.3 y 5.4).

Qué se ensaya

El participante implanta, según un plan acordado, requisitos como la gestión de riesgos, los datos de calidad, la documentación técnica, el registro de eventos, la transparencia, la supervisión humana y la precisión, solidez y ciberseguridad (art. 11). Hay reuniones de aprendizaje colaborativo mensuales (art. 12.5). Al final hace una autoevaluación y presenta su declaración de cumplimiento (art. 13).

La autoevaluación no tiene efectos fuera del estricto ámbito del entorno (art. 13.10): no sustituye a la evaluación de la conformidad del Reglamento de IA.

Garantías y responsabilidad

• Sin contraprestación: los participantes no reciben pagos ni compensaciones (art. 4.3).
• Datos personales: se cumple el RGPD y la normativa española (art. 16).
• Responsabilidad: los participantes responden de los daños que cause el sistema cuando medie incumplimiento, culpa, negligencia o dolo (art. 17).
• Incidentes: los participantes comunican los incidentes graves (art. 15).

Qué significa en la práctica

• Es una ventaja para startups y pymes con IA de alto riesgo, pero exige trabajo: memoria técnica, plan de implementación y documentación.
• No es un sello de conformidad. Ayuda a prepararte, y sirve de aprendizaje con la administración.
• Consulta si hay convocatoria abierta antes de planificar. La vigencia del real decreto es limitada y el Reglamento prevé un espacio nacional operativo como máximo el 2 de agosto de 2027. [PENDIENTE: confirmar en la sede de la Secretaría de Estado y en AESIA si hay una convocatoria vigente a fecha de lectura.]

Qué hacer ahora

Si desarrollas IA que podría ser de alto riesgo, revisa si tu sistema cumple los criterios de elegibilidad y prepara una memoria técnica. Sigue las convocatorias de la Secretaría de Estado de Digitalización e Inteligencia Artificial y valora el acompañamiento ante AESIA y espacios de pruebas.

Relación con otras normas

• Reglamento de IA, arts. 57 a 63: regulan los espacios controlados de pruebas de cada Estado miembro y la prioridad de acceso de las pymes y empresas emergentes. Ver ventajas para pymes y startups.
• Ley española de gobernanza de la IA: el proyecto que designaba autoridades caducó el 6 de octubre de 2026. Ver el análisis.

Preguntas frecuentes

¿Tiene coste participar?

No hay contraprestación económica: los participantes no reciben pagos ni compensaciones (art. 4.3).

¿Sirve como certificado de cumplimiento del Reglamento de IA?

No. La autoevaluación no tiene efectos fuera del estricto ámbito del entorno (art. 13.10).

¿Puede entrar una empresa extranjera?

Los proveedores y usuarios deben ser residentes en España o tener establecimiento permanente en España. Las agrupaciones necesitan un representante con domicilio o establecimiento principal en España (art. 5.1).

¿Hasta cuándo sigue vigente el real decreto?

Tiene una vigencia máxima de treinta y seis meses desde su entrada en vigor, o hasta que el Reglamento europeo sea aplicable en España, según la disposición final segunda.