España tiene un inspector de la IA con poder para multar: qué puede hacer (y qué no) la AESIA

Cuando se habla de regular la inteligencia artificial, casi siempre se piensa en Bruselas: en el reglamento europeo, en sus comités técnicos, en sus plazos de aplicación. Pocas veces se repara en que España fue el primer país de la Unión Europea en poner en marcha un organismo propio dedicado en exclusiva a vigilar cómo se usa la IA dentro de sus fronteras, con capacidad real para sancionar a quien la use mal. Claro, que eso también se puede interpretar como que somos quienes menos confiamos en nuestra forma de usar la tecnología…

Las multas por incumplir la ley de IA pueden alcanzar los 35 millones de euros o el 7% de la facturación mundial

Esa institución es la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA), con sede en A Coruña. Sus estatutos se aprobaron ya en agosto de 2023, pero su calendario de competencias se ha ido activando por fases. Empezó a inspeccionar prácticas prohibidas de IA el 2 de febrero de 2025 y, seis meses después, el 2 de agosto de 2025, asumió la plena potestad sancionadora que marca el Reglamento (UE) 2024/1689 de Inteligencia Artificial.

Es el organismo público encargado de garantizar el uso ético y seguro de la IA

Asegurar y garantizar

La agencia se define a sí misma como “el organismo público encargado de garantizar el uso ético y seguro de la IA en España”. Y explica que “su principal misión es asegurar que tanto entidades públicas como privadas cumplan con la normativa vigente, protegiendo la privacidad, igualdad de trato y derechos fundamentales”.

Su función principal es “fomentar un desarrollo tecnológico responsable, trabajando en colaboración con otros organismos y promoviendo un entorno de confianza para el avance de la inteligencia artificial, asegurando que sea beneficioso y seguro para la sociedad”.

Te recomiendo que te des una vuelta por su web, sobre todo en la sección “Guías”, en la que puedes encontrar bastantes soluciones a problemas que te puedan surgir; y la de “Divulgación”, en la que puedes enterarte desde cuáles son tus derechos, hasta cómo concienciar a jóvenes y familias.

Tres pilares, no solo el de las multas

La AESIA no es, en esencia, una policía. Su primer director general, Ignasi Belda —al frente de la agencia desde su puesta en marcha en junio de 2024 hasta finales de 2025—, la definía en base a tres funciones claramente diferenciadas: supervisión del cumplimiento normativo, certificación de aplicaciones de IA y un sandbox o espacio controlado de pruebas para fomentar la innovación sin que las empresas incurran en riesgos legales durante la fase experimental.

De esos tres pilares, el que más titulares genera es, lógicamente, el sancionador. Pero el propio Belda insistía en que las multas —que pueden llegar a los 35 millones de euros o al 7% de la facturación mundial de una empresa, según la gravedad de la infracción— no son el objetivo en sí mismo, sino un elemento disuasorio. "No hay ninguna voluntad recaudatoria", explicaba, subrayando que el fin de un régimen sancionador tan severo es marcar líneas rojas que nadie debería cruzar, no llenar las arcas del Estado.

Qué está realmente prohibido

Conviene precisar sobre qué actúa exactamente esta potestad sancionadora, porque el Reglamento europeo no prohíbe la IA en general, sino usos muy concretos considerados de riesgo inaceptable. Belda ponía como ejemplo la explotación de vulnerabilidades de menores o la manipulación subliminal de personas a través de estas tecnologías. Son las llamadas "prácticas prohibidas", el nivel más alto de los cuatro en que la normativa europea clasifica el riesgo de un sistema.

Fuera de esas prácticas prohibidas, la AESIA actúa como autoridad de vigilancia del mercado —de forma similar, salvando las distancias, a como la CNMC vigila la competencia o el Banco de España supervisa la banca—; y responde también a las reclamaciones de terceros a través de un canal ciudadano de consultas que, según sus propios datos, ha recibido ya más de medio millar de peticiones. Pero los modelos de propósito general de mayor tamaño —los grandes modelos de lenguaje como los que usan asistentes conversacionales conocidos— quedan bajo supervisión exclusiva de la Comisión Europea, no de la agencia española.

Lo que todavía está por llegar

El calendario del Reglamento europeo de IA se ha desplegado en fases hasta agosto de 2026 —dos años después de su entrada en vigor—, y algunas de sus obligaciones más exigentes, como las que afectan a los sistemas de IA de alto riesgo en ámbitos como la sanidad, la educación o los procesos de selección laboral, siguen en fase de implementación progresiva. La AESIA existe, tiene sede, tiene director y tiene potestad sancionadora activa desde hace ya más de un año, pero el ecosistema regulatorio en el que opera todavía se está terminando de construir a escala europea.

Tampoco existe, hasta la fecha, constancia pública de que la agencia haya impuesto ya una sanción de las cuantías máximas previstas por la ley, lo que encaja con la vocación declarada de sus responsables de usar el régimen sancionador como último recurso disuasorio antes que como herramienta recaudatoria habitual.