Si has buscado «AESIA» es probable que te hayan dicho que hay un organismo nuevo que vigila el uso de IA en las empresas y que puede multar. La primera parte es cierta. La segunda, a 15 de septiembre de 2026, todavía no. Esta guía explica qué es la Agencia, qué hace hoy, por qué aún no puede sancionar, qué cambiará con la Ley Orgánica que está en el Congreso y qué autoridades sí pueden abrir expediente ahora mismo.
Qué es AESIA
AESIA es la Agencia Española de Supervisión de la Inteligencia Artificial. Se creó por el Real Decreto 729/2023, de 22 de agosto, que aprobó su estatuto, y tiene sede en A Coruña. Depende del Ministerio para la Transformación Digital y de la Función Pública.
España fue el primer Estado miembro en crear una agencia dedicada, antes incluso de que se aprobara el Reglamento (UE) 2024/1689, el Reglamento de Inteligencia Artificial. Y aquí empieza el matiz que importa a tu empresa.
Qué hace hoy
Con el estatuto del RD 729/2023, AESIA tiene funciones de sensibilización, asesoramiento y promoción de la IA fiable. A septiembre de 2026 su actividad se concentra en tres frentes.
El primero son las guías: 16 sobre el Reglamento de IA, actualizadas en su versión 2.0 el 17 de julio de 2026 para incorporar el Digital Omnibus. Hablamos de ellas más abajo.
El segundo es el sandbox regulatorio: un entorno controlado donde proveedores de sistemas de IA, sobre todo de alto riesgo, ensayan cómo cumplir el Reglamento con acompañamiento de la Agencia. Es voluntario y pensado más para quien desarrolla que para quien solo usa.
El tercero es actuar como punto de contacto ante la Comisión Europea y, según el proyecto de ley española, como punto de contacto único para empresas y ciudadanos. Hoy ya puedes dirigirle consultas, aunque sus respuestas no son vinculantes.
Por qué hoy no puede multar
El Reglamento de IA fija los importes máximos de las multas en su artículo 99, pero deja a cada Estado miembro tipificar las infracciones, designar la autoridad y regular el procedimiento sancionador. Sin esa norma nacional, no hay procedimiento que aplicar.
En España esa norma es el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial (expediente 121/000096). El Consejo de Ministros lo aprobó el 26 de mayo de 2026, se publicó en el BOCG el 12 de junio de 2026 y las enmiendas cerraron el 2 de septiembre de 2026. A 15 de septiembre sigue en la Comisión de Economía del Congreso. No hay texto en el BOE ni fecha de entrada en vigor.
Lo que esto significa para tu empresa. AESIA no tiene hoy un régimen sancionador tipificado y no constan sanciones ni inspecciones formales de la Agencia en 2026. Eso no quiere decir que el Reglamento no te obligue: el artículo 5 se aplica desde el 2 de febrero de 2025 y el artículo 50 desde el 2 de agosto de 2026. Quiere decir que quien puede sancionarte hoy es otra autoridad, por otra vía.
Qué pasará cuando se apruebe la Ley Orgánica
El proyecto de ley, tal como está en el Congreso, reproduce los topes del Reglamento y los reparte entre autoridades. Puede cambiar en la tramitación, así que toma estas cifras como punto de partida.
| Tipo de infracción | Ejemplo | Multa máxima prevista |
|---|---|---|
| Muy grave | Prácticas prohibidas del art. 5 | 35 M€ o 7 % del volumen de negocio mundial |
| Muy grave | Otros incumplimientos graves del Reglamento | 15 M€ o 3 % |
| Grave | Incumplir obligaciones de alto riesgo o transparencia | 7,5 M€ o 1 % |
| Leve | Incumplimientos formales, como la alfabetización del art. 4 | 500.000 € o 0,5 % |
Para pymes y startups se aplica el importe menor de los dos, igual que en el artículo 99.6 del Reglamento. Una empresa que factura dos millones no se enfrenta a 35 millones por una práctica prohibida, sino como máximo al 7 % de su facturación, que sigue siendo mucho.
El reparto de competencias es el otro punto clave. AESIA será la autoridad de vigilancia del mercado con carácter general y el punto de contacto único. La AEPD se queda con la biometría y con las prácticas prohibidas que impliquen datos personales. Y hay autoridades sectoriales: CNMC, Banco de España, Consejo General del Poder Judicial y Junta Electoral Central. Para una pyme normal, la interlocutora será AESIA o la AEPD.
Un apunte sobre el artículo 4, la alfabetización en IA, exigible desde el 2 de febrero de 2025 y suavizado por el Omnibus a «tomar medidas para apoyar» la alfabetización. No está en la lista tasada de multas del artículo 99, así que no tiene sanción directa europea; en el proyecto español encaja como infracción leve. Basta un registro interno de formaciones, sin certificado, según la Comisión. Tienes el detalle en la guía sobre las obligaciones del Reglamento de IA para empresas.
Quién sí sanciona hoy
Que AESIA no multe no significa que usar mal la IA salga gratis. Dos autoridades ya inspeccionan y sancionan.
La AEPD aplica el RGPD, con multas de hasta 20 millones de euros o el 4 % del volumen de negocio. Casi todo uso de IA en una empresa trata datos personales de clientes, empleados o candidatos. Eso activa la evaluación de impacto del artículo 35, el contrato de encargado del artículo 28 con el proveedor, la información de los artículos 13 y 14 y el artículo 22 sobre decisiones automatizadas. La AEPD tiene además una guía específica sobre RGPD e IA y orientaciones sobre IA agéntica de febrero de 2026.
La Inspección de Trabajo aplica la LISOS. Desde 2021 el artículo 64.4.d del Estatuto de los Trabajadores obliga a informar a la representación legal sobre los algoritmos que afectan a las condiciones de trabajo, y desde el 5 de octubre de 2026 el Real Decreto 723/2026 exige informar por escrito a cada trabajador. Aquí no hay que esperar a ninguna ley.
Las 16 guías de AESIA como recurso
Mientras la Agencia no sanciona, sí orienta. Sus 16 guías, en su sección de recursos, cubren el Reglamento por partes: ámbito, prácticas prohibidas, obligaciones de proveedores y responsables del despliegue, alto riesgo, transparencia. La versión 2.0, del 17 de julio de 2026, ya incorpora las fechas del Digital Omnibus.
Para una pyme la más práctica es la guía 16, una checklist de cumplimiento (versión 1.1 del 30 de junio de 2026) para un primer barrido de qué sistemas usas y qué te exige cada uno. La Agencia también publica FAQ sobre el artículo 50 de transparencia, alineadas con las directrices de la Comisión del 20 de julio de 2026. Y la Comisión mantiene un AI Act Service Desk con un comprobador de cumplimiento gratuito.
Ninguna es vinculante, pero cuando llegue el régimen sancionador, haber seguido las orientaciones de la autoridad que va a supervisarte será un argumento serio de diligencia.
Checklist: qué hacer mientras llega la ley
- Inventaría las herramientas de IA que usa tu empresa, incluidas las integradas en CRM, RRHH o atención al cliente.
- Comprueba que ninguna encaja en las prácticas prohibidas del artículo 5, sobre todo el reconocimiento de emociones en el trabajo.
- Revisa si tus chatbots y contenidos generados cumplen el artículo 50, en vigor desde el 2 de agosto de 2026.
- Pon en orden el RGPD: contrato de encargado, información a interesados y evaluación de impacto si procede.
- Si usas software que decide sobre turnos, tareas o evaluación, prepara la información del RD 723/2026 antes del 5 de octubre.
- Abre un registro de formaciones en IA (artículo 4).
- Descarga la guía 16 de AESIA y sigue la tramitación del proyecto 121/000096.
Si prefieres una foto rápida, el diagnóstico gratuito de Gobernaia te dice en tres minutos qué obligaciones te aplican hoy y cuáles llegarán con la Ley Orgánica.
Preguntas relacionadas
Fuentes
- Real Decreto 729/2023, de 22 de agosto, Estatuto de AESIA
- Proyecto de Ley Orgánica para el buen uso y la gobernanza de la IA (121/000096), BOCG 12-06-2026
- AESIA: recursos y guías sobre el Reglamento de IA
- Reglamento (UE) 2026/1744 (Digital Omnibus de IA)
- Comisión Europea: preguntas y respuestas sobre alfabetización en IA
- AEPD: Adecuación al RGPD de tratamientos que incorporan IA
- AI Act Service Desk de la Comisión Europea
Última revisión: 15 de septiembre de 2026. Esta guía es informativa y no sustituye el asesoramiento jurídico.