Quién controla el AI Act en España no tiene una respuesta tan simple como “AESIA”. España ya dispone de la Agencia Española de Supervisión de Inteligencia Artificial, pero el modelo de control previsto es multiautoridad: AESIA, protección de datos, supervisores financieros, autoridades sectoriales y, en determinados casos, instituciones europeas pueden intervenir según el sistema, el sector y la obligación afectada.
Barómetro REGULA·IA · 12 preguntas · orientación inicial · no sustituye asesoramiento jurídico individual.
Quién controla el AI Act en España: no existe un único supervisor para todo
El artículo 70 del AI Act exige autoridades nacionales competentes y permite que un Estado designe varias autoridades de vigilancia del mercado. España está construyendo precisamente ese modelo repartido por materias.
La autoridad competente dependerá de qué sistema de IA se utiliza, para qué finalidad, en qué sector opera y qué obligación puede haberse incumplido. Por eso no es correcto afirmar que toda incidencia relacionada con IA deba terminar automáticamente en AESIA.
AESIA
Es el organismo público estatal específicamente creado para la supervisión de inteligencia artificial. Su estatuto ya contempla funciones de supervisión y, en su caso, sanción dentro de las competencias estatales.
AEPD
La protección de datos sigue plenamente vigente. Si un sistema de IA trata datos personales incumpliendo el RGPD, la AEPD puede actuar dentro de sus competencias aunque la cuestión también tenga dimensión AI Act.
Otros supervisores
El proyecto español reparte determinados sistemas entre autoridades financieras, judiciales, de seguros y autoridades sectoriales ya existentes.
La ley española de gobernanza de IA todavía sigue en el Congreso
Este matiz cambia por completo la forma correcta de explicar hoy el sistema español de supervisión.
El reparto del Proyecto de Ley todavía no es derecho definitivo
El Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial fue presentado el 28 de mayo de 2026. A 31 de agosto figura en fase de enmiendas en la Comisión de Economía, Comercio y Transformación Digital, con plazo ampliado hasta el 2 de septiembre de 2026.
Esto no significa que España esté sin normas sobre IA. El Reglamento europeo es directamente aplicable conforme a su calendario; AESIA ya existe; la AEPD mantiene sus competencias de protección de datos; y los supervisores sectoriales continúan ejerciendo sus funciones bajo las normas que les corresponden.
Lo que el proyecto nacional pretende cerrar es, entre otras cuestiones, el reparto detallado de autoridades de vigilancia del mercado, la coordinación entre ellas y el procedimiento sancionador español.
Qué papel tiene la Agencia Española de Supervisión de Inteligencia Artificial
AESIA fue configurada mediante el Real Decreto 729/2023. Su misión no es certificar cada herramienta utilizada por las empresas, sino supervisar el uso de la inteligencia artificial dentro del marco de competencias que le corresponda.
Su estatuto establece que, dentro del ámbito estatal, la Agencia tiene por objeto minimizar los riesgos derivados de la IA y ejercer funciones de autoridad responsable de supervisión y, en su caso, sanción de sistemas de inteligencia artificial.
El proyecto de ley de 2026 pretende darle un papel todavía más central: la designa como autoridad de vigilancia del mercado para numerosos supuestos y como punto de contacto único de España ante la arquitectura europea del AI Act.
Qué propone atribuirle el proyecto
Determinadas prácticas prohibidas, infraestructuras críticas, educación, empleo y gestión de personas trabajadoras, buena parte de servicios esenciales, algunas categorías biométricas, obligaciones de transparencia del artículo 50 y otros ámbitos.
Qué significa “punto de contacto único”
El proyecto plantea que AESIA coordine la interlocución con la Comisión Europea, la Oficina de IA, el Consejo de IA y las demás autoridades nacionales, además de facilitar un canal central de contacto.
La AEPD puede intervenir aunque el problema también sea de inteligencia artificial
AI Act y RGPD son marcos distintos que pueden aplicarse al mismo sistema.
La AEPD explicó en julio de 2025 que, aunque todavía no tenía atribuida formalmente por la futura ley nacional la condición de autoridad de vigilancia del mercado a efectos del AI Act, sí podía supervisar y actuar frente a tratamientos de datos personales realizados mediante sistemas de IA cuando afectaran al derecho a la protección de datos.
Esto sigue siendo fundamental para las empresas: utilizar IA no crea una zona de excepción respecto del RGPD. Si empleados introducen datos de clientes, candidatos, pacientes, trabajadores u otras personas en herramientas de IA, la cuestión de protección de datos debe analizarse por separado.
Además, el proyecto de ley nacional propone designar a la AEPD y a las autoridades autonómicas de protección de datos como autoridades de vigilancia del mercado para determinados sistemas relacionados con biometría, prácticas prohibidas concretas y ciertos ámbitos de migración y control fronterizo.
Quién controla el AI Act en España según el proyecto de ley de 2026
Este mapa resume el texto actualmente en tramitación. Puede modificarse antes de su aprobación.
No uses este mapa como una foto definitiva
Hasta que la norma se publique definitivamente en el BOE, cualquier modificación parlamentaria puede alterar el reparto.
La supervisión del AI Act también puede ejercerse directamente desde la Unión Europea
El sistema no termina en las autoridades nacionales.
La Oficina Europea de IA tiene competencias específicas sobre los modelos de IA de uso general. El Reglamento (UE) 2026/1744, aprobado en julio de 2026, también reforzó y aclaró competencias de la Oficina de IA respecto de determinados sistemas basados en modelos de propósito general.
Por tanto, la respuesta a quién controla el AI Act en España incluye dos niveles: las autoridades españolas competentes para los sistemas y usos bajo su jurisdicción y las instituciones europeas cuando el Reglamento les atribuye supervisión directa.
¿Cuánto pueden alcanzar las multas del AI Act?
El artículo 99 fija límites máximos para determinadas infracciones. No significa que cualquier incumplimiento vaya a recibir automáticamente la sanción máxima.
Hasta 35 millones de euros o, para una empresa, hasta el 7 % del volumen de negocios mundial total anual del ejercicio anterior, si esta cifra fuese superior.
Hasta 15 millones o el 3 % para incumplimientos incluidos en el artículo 99.4, entre ellos determinadas obligaciones de proveedores, responsables del despliegue y transparencia.
Hasta 7,5 millones o el 1 % por facilitar información inexacta, incompleta o engañosa a organismos notificados o autoridades competentes en respuesta a una solicitud.
El proyecto español pretende atribuir la potestad sancionadora a las autoridades de vigilancia del mercado responsables del ámbito en el que opere el sistema. Esa distribución concreta sigue pendiente de aprobación parlamentaria.
Antes de pensar en una inspección, comprueba si puedes explicar qué IA utiliza tu empresa
Una organización preparada debería poder identificar herramientas, casos de uso, proveedores, datos, responsables y decisiones. El Barómetro REGULA·IA comprueba en 12 preguntas si existe esa visibilidad básica.
Qué debería hacer una pyme ante un sistema de supervisión multiautoridad
No necesitas memorizar qué organismo controla cada supuesto. Necesitas mantener ordenada la información que cualquier autoridad podría pedirte dentro de sus competencias.
1. Inventario
Registra herramientas de IA utilizadas por los equipos, incluidas funciones integradas dentro de software aparentemente convencional.
2. Casos de uso
Describe la finalidad real. La marca del producto dice mucho menos que el proceso en el que se utiliza.
3. Roles
Identifica si actúas como proveedor, responsable del despliegue, importador, distribuidor u otro operador.
4. Datos
Si intervienen datos personales, revisa RGPD además de AI Act. Una norma no sustituye a la otra.
5. Evidencias
Conserva políticas, formación, responsables, registros, evaluaciones y decisiones relevantes.
6. Revisión normativa
Actualiza el mapa cuando la ley española termine su tramitación y se publique el texto definitivo.
Preguntas frecuentes sobre quién controla y sanciona el AI Act en España
¿AESIA es la única autoridad del AI Act en España?
No. El proyecto español diseña un sistema con varias autoridades. AESIA tendría un papel central y sería punto de contacto único, pero coexistiría con AEPD, autoridades autonómicas, CGPJ, Banco de España, CNMV, Dirección General de Seguros y autoridades sectoriales.
¿AESIA ya puede sancionar cualquier infracción del AI Act?
No debe afirmarse de forma tan amplia. AESIA ya existe y su estatuto contempla supervisión y, en su caso, sanción dentro de competencias estatales, pero el reparto detallado del régimen de vigilancia y sanción del AI Act sigue desarrollándose mediante el proyecto de ley nacional.
¿Puede la AEPD actuar contra una empresa que utiliza IA?
Sí, dentro de sus competencias de protección de datos. Si el uso de IA implica tratamientos de datos personales contrarios al RGPD, la AEPD puede supervisar y actuar por esa vía.
¿Quién controlará la IA utilizada para seleccionar trabajadores?
El proyecto nacional atribuye a AESIA los sistemas de alto riesgo del anexo III relacionados con empleo y gestión de personas trabajadoras. Debe comprobarse de nuevo cuando se apruebe la ley definitiva.
¿Cuál es la multa máxima del AI Act?
El artículo 99 contempla para determinadas prácticas prohibidas hasta 35 millones de euros o el 7 % del volumen de negocios mundial anual de una empresa, si esta cifra fuese superior. Para pymes existe la regla específica del importe o porcentaje, según cuál sea menor.
¿La ley española de IA ya está aprobada?
No a fecha de última revisión, 31 de agosto de 2026. El Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial sigue en fase de enmiendas en el Congreso.
El verdadero objetivo no es saber quién puede sancionarte, sino poder demostrar qué está haciendo tu empresa
La respuesta a quién controla el AI Act en España será necesariamente plural. AESIA será una pieza central si el proyecto culmina en términos similares, pero protección de datos, autoridades financieras, supervisores sectoriales, el ámbito judicial y la Unión Europea forman parte del mapa.
Para una pyme, la mejor preparación es disponer de control documentado sobre herramientas, usos, responsables, datos y decisiones.
Normativa y fuentes utilizadas
- BOE · Real Decreto 729/2023 — Estatuto de AESIA
- Congreso · Estado del Proyecto de Ley Orgánica para el buen uso y la gobernanza de la IA
- Congreso · Texto del Proyecto de Ley Orgánica
- Comisión Europea · Artículo 70
- Comisión Europea · Artículo 99
- AEPD · Competencias sobre tratamientos de datos personales mediante IA
- BOE / DOUE · Reglamento (UE) 2026/1744
Última revisión normativa: 31 de agosto de 2026. El reparto descrito como “propuesto” procede de un proyecto de ley aún en tramitación y puede cambiar antes de su aprobación. Contenido informativo; no sustituye asesoramiento jurídico.
Deja un comentario