España avanza en la regulación de la IA: claves de la nueva Ley Orgánica de gobernanza

El Reglamento de Inteligencia Artificial (IA), en vigor desde agosto de 2024, es una norma pionera a nivel internacional que impulsa la clasificación de los sistemas de IA en función de su potencial riesgo para las personas, estableciendo obligaciones concretas para su puesta en servicio o comercialización en el mercado europeo. En este contexto, el pasado 26 de mayo, el Consejo de Ministros inició la tramitación parlamentaria en las Cortes Generales del Proyecto de Ley Orgánica para el buen uso y la gobernanza de la IA que desarrolla el Reglamento de IA adaptándolo al marco nacional.

La propuesta legislativa sitúa a España en una posición de vanguardia en la gobernanza algorítmica de manera ética, humanística y confiable. El país cuenta con antecedentes significativos, como la aprobación de la Carta de Derechos Digitales, la puesta en marcha de la primera agencia estatal de supervisión de la IA en Europa y el desarrollo de un entorno controlado de pruebas (sandbox) que sirvió de referencia para el marco regulatorio europeo.

Marco de gobernanza

La arquitectura de gobernanza diseñada para la supervisión de la IA sitúa a la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA) en el núcleo del sistema. Concebida como una entidad de derecho público con autonomía de gestión, la AESIA asumirá las funciones de autoridad de vigilancia de mercado y actuará como punto de contacto único ante las instituciones de la Unión Europea. No obstante, la norma preserva un modelo coordinado de supervisión sectorial para aquellos mercados ya sujetos a legislaciones específicas. En consecuencia, organismos como el Banco de España, la Comisión Nacional del Mercado de Valores, la Dirección General de Seguros y Fondos de Pensiones, el Consejo General del Poder Judicial y la Junta Electoral Central mantendrán sus respectivas atribuciones reguladoras. En este mapa institucional, se designa a la Agencia Española de Protección de Datos como autoridad de vigilancia de mercado para sistemas de IA utilizados para la gestión de fronteras y, por razón de su especialización sectorial, también de sistemas de identificación y categorización biométrica.

Asimismo, AESIA asume la presidencia y gestión de la Comisión Mixta de Coordinación de Autoridades de Vigilancia del Mercado, un órgano concebido para asegurar la aplicación uniforme de los criterios de supervisión y evitar discrepancias interpretativas entre las distintas administraciones sectoriales.

Régimen sancionador

El Proyecto de Ley Orgánica desarrolla el régimen de sanciones y otras medidas de ejecución, como advertencias o medidas no pecuniarias, aplicables en caso de infracción de la norma. De modo similar al Reglamento de IA y para garantizar una respuesta graduada frente a los incumplimientos, las infracciones se clasifican en muy graves, graves y leves. Las infracciones más graves pueden alcanzar sanciones de hasta € 35 millones o el 7% del volumen de negocio anual.

Para atenuar el impacto de estas sanciones sobre el ecosistema empresarial, el texto introduce el principio de proporcionalidad y medidas correctoras preferentes. En el caso de las pequeñas y medianas empresas (pymes) y las empresas emergentes (startups), las multas se calcularán aplicando el menor de los importes previstos legalmente. Adicionalmente, se contemplan reducciones significativas por pronto pago y la consideración prioritaria de la adopción de medidas correctoras inmediatas por parte del infractor.

Como novedad exclusiva del ordenamiento español, el Proyecto de Ley Orgánica introduce un título destinado a regular el "buen uso" de la IA en el sector público estatal. Esta disposición prevé la creación de un inventario completo de todos los sistemas de IA utilizados en procedimientos administrativos y la designación de un Delegado de IA encargado de fiscalizar la contratación pública y coordinar la aplicación de la norma. Además, las sanciones para las administraciones públicas se limitarán a apercibimientos y medidas disciplinarias internas, excluyendo las multas económicas.

Sandboxes e innovación regulada

Partiendo del éxito del sandbox de IA, con el que España se adelantó a la aplicación de las exigencias europeas, la nueva ley consolida ahora el modelo de gobernanza de estos entornos de prueba y articula un paquete de medidas de apoyo a nivel nacional destinado a facilitar que los proveedores de sistemas de IA puedan ajustarse a la normativa vigente.

Estos espacios controlados permitirán que startups y grandes empresas prueben sus sistemas en condiciones reales antes de lanzarlos al mercado, reduciendo la incertidumbre regulatoria y fomentando la inversión en IA responsable dentro de España.

Comentario de Osborne Clarke

El Proyecto de Ley Orgánica constituye un paso clave en el desarrollo del Reglamento de IA en el ordenamiento jurídico español, al establecer un marco de gobernanza y supervisión basado en múltiples autoridades notificantes y de vigilancia del mercado, con un papel central de coordinación atribuido a la AESIA como punto de contacto único.

Esta arquitectura institucional, aunque ambiciosa, también es compleja: la coexistencia de diversas autoridades sectoriales con competencias potencialmente concurrentes exigirá una coordinación efectiva a través de los distintos mecanismos previstos en el Proyecto de Ley Orgánica, entre ellos la Comisión Mixta de Coordinación de Autoridades de Vigilancia del Mercado, cuyos detalles operativos están aún pendientes de desarrollo.

Para las empresas, el texto confirma un escenario de cumplimiento normativo exigente, al desarrollar en el plano nacional la gobernanza, la supervisión y el régimen sancionador vinculados al incumplimiento de las obligaciones materiales previstas en el Reglamento de IA, incluidas las relativas a transparencia, registro de sistemas de alto riesgo y supervisión humana.

En este contexto, las organizaciones que ya operan con sistemas de IA deberían anticipar una revisión de sus soluciones, de sus flujos de decisión automatizados y de sus mecanismos de documentación y control, con el fin de alinearlos tanto con las exigencias del Reglamento de IA como con el marco sancionador y de supervisión que resulte del texto finalmente aprobado del Proyecto de Ley Orgánica.