El panorama regulatorio de la inteligencia artificial en España está a punto de cambiar radicalmente. El Anteproyecto de Ley para el Buen Uso y la Gobernanza de la Inteligencia Artificial, actualmente en tramitación, representa el primer esfuerzo legislativo nacional en Europa para desarrollar un régimen sancionador específico que dé cumplimiento al Reglamento (UE) 2024/1689, conocido como la Ley de IA europea. Aunque Italia ha aprobado recuente una ley de regualción de la iA más omnicomprensiva.

Un marco regulatorio pionero

Esta iniciativa legislativa española surge de la necesidad imperativa de transponer las obligaciones establecidas por el Reglamento europeo de IA, que entró en vigor en agosto de 2024. El Reglamento delega en los Estados miembros el desarrollo de aspectos cruciales como el régimen sancionador y los mecanismos de supervisión.

El proyecto de ley establece un sistema sancionador graduado que refleja la filosofía de riesgo escalonado del Reglamento europeo. Las multas oscilan desde los 6.000 euros para infracciones leves hasta los 35 millones de euros o el 7% del volumen de negocios mundial para las infracciones más graves relacionadas con sistemas de IA prohibidos. Esta escala punitiva busca garantizar que las sanciones sean «efectivas, proporcionadas y disuasorias», siguiendo los principios del derecho administrativo sancionador.

Arquitectura institucional de supervisión

Uno de los aspectos más relevantes del proyecto es la distribución competencial entre diferentes autoridades de vigilancia. La Agencia Española de Supervisión de Inteligencia Artificial (AESIA) asume un papel central como punto de contacto único y supervisor de las prácticas de IA más sensibles, incluyendo los sistemas prohibidos y aquellos de alto riesgo en ámbitos como la biometría y las infraestructuras críticas.

Sin embargo, el modelo español opta por una supervisión sectorial especializada. Así, la Agencia Española de Protección de Datos mantiene competencias sobre sistemas de IA que afecten a la privacidad, mientras que organismos como el Banco de España o la CNMV supervisarán los sistemas de IA utilizados en servicios financieros. Esta distribución responde a la necesidad de aprovechar la experiencia sectorial existente, aunque plantea desafíos de coordinación que el proyecto intenta resolver mediante la creación de una Comisión mixta de coordinación.

La solcución elegida por el legislador crea un entramado de competencias entre múltiples autoridades (AESIA, AEPD, Banco de España, CNMV, etc.) sin establecer criterios claros de delimitación competencial. El prolijo artículo 6 (Autoridades de vigilancia del mercado) puede resultar especialmente problemático al distribuir competencias por tipos de sistemas de IA entre una multitud de entes, lo que puede generar conflictos cuando un mismo sistema tenga múltiples finalidades.

El controvertido régimen de identificación biométrica

Quizás la disposición más polémica del proyecto sea la regulación del uso de sistemas de identificación biométrica remota «en tiempo real» en espacios públicos. Aunque estos sistemas están generalmente prohibidos, el proyecto establece excepciones para casos específicos como la búsqueda de víctimas de trata, la prevención de amenazas terroristas o la localización de sospechosos de delitos graves.

La novedad radica en que estas excepciones requerirán autorización judicial previa de los Juzgados de lo Contencioso-administrativo, estableciendo un mecanismo de control que busca equilibrar las necesidades de seguridad pública con la protección de los derechos fundamentales. 

Este sistema de autorización judicial representa una salvaguarda adicional no prevista expresamente en el Reglamento europeo, mostrando el enfoque garantista adoptado por el legislador español. El problema que se presenta es que el Anexo I permite usos muy amplios, incluyendo la prevención de una amenaza específica e inminente contra la vida o la seguridad física,  o la localización o identificación de una persona sospechosa de haber cometido un delito de los listados en el propio Anexo y que incluyen «delitos contra el medio ambiente» o «participación en organizaciones delictivas». Esta amplitud puede dar lugar a aplicaciones cuestionables de sta tecnología con vulneración de los derechos a la intimidad y protección de datos.

Innovaciones procesales y derechos digitales

El proyecto introduce varias innovaciones procesales significativas. Destaca especialmente el «derecho de desconexión» de sistemas de IA que hayan causado incidentes graves, permitiendo que cualquier ciudadano pueda denunciar de forma anónima el funcionamiento peligroso de estos sistemas. Esta medida, que se anticipa a la entrada en vigor del artículo 85 del Reglamento europeo en 2026, refleja la voluntad del legislador español de fortalecer la participación ciudadana en la supervisión de la IA.

Además, el proyecto establece un régimen específico para las PYMES, con reducciones de sanciones del 25% en casos de reconocimiento de responsabilidad o pago voluntario, reconociendo las limitaciones de recursos de estas empresas frente a los gigantes tecnológicos. Ahora bien, aunque las PYMES reciben un trato más favorable en sanciones pero no en obligaciones sustantivas, lo que puede crear distorsiones competitivas y problemas de igualdad ante la ley.

Análisis crítico: luces y sombras de la propuesta

Pese a su carácter innovador, el proyecto presenta vulnerabilidades significativas que merecen una evaluación crítica rigurosa. Como observamos desde LAW21 en nuestro análisis de marcos regulatorios emergentes, la complejidad normativa puede convertirse en el principal obstáculo para una implementación efectiva.

Problemas de técnica legislativa: La distribución competencial entre múltiples autoridades carece de criterios claros de delimitación, especialmente cuando un mismo sistema de IA pueda tener múltiples finalidades. El artículo 6 del proyecto ilustra esta problemática al asignar competencias según tipos de sistemas sin resolver adecuadamente los solapamientos.

Cuestiones de proporcionalidad: Las multas de hasta 35 millones de euros pueden resultar desproporcionadas para infracciones que no necesariamente generan daños efectivos. Esta desproporcionalidad es especialmente preocupante considerando que el principio constitucional de proporcionalidad exige correlación entre la gravedad real del hecho y la sanción impuesta.

Indefinición conceptual: El proyecto adolece de una definición insuficiente de conceptos técnicos clave, remitiéndose excesivamente al Reglamento europeo. Esta indefinición genera inseguridad jurídica y puede producir aplicaciones dispares entre diferentes autoridades de vigilancia.

Viabilidad práctica cuestionable: No se prevé dotación presupuestaria específica ni se garantiza que las autoridades tengan la capacidad técnica necesaria. Los plazos de implementación (2025-2027) parecen poco realistas considerando la complejidad técnica requerida.

Desafíos de implementación y recursos

La efectividad del régimen sancionador dependerá crucialmente de la dotación de recursos humanos y técnicos especializados en las autoridades de vigilancia, un aspecto que el proyecto aborda mediante la previsión de informes periódicos sobre la idoneidad de estos recursos, aunque sin garantizar su disponibilidad efectiva.

El enfoque predominantemente punitivo del proyecto, sin desarrollar suficientemente mecanismos de orientación técnica o incentivos positivos, puede desincentivar la innovación en IA, especialmente para startups y empresas emergentes que carecen de recursos para navegar la complejidad normativa.

Perspectivas de futuro

La aprobación de esta ley supondrá un hito en la regulación de la IA a nivel europeo y España junto con Italia se convierten en lso laboatorios de implementación práctica de la regulación europea, y las diferentes experiencias de ambos países podrá ser fundamentales para el desarrollo de marcos similares en otros Estados miembros.

El proyecto refleja un enfoque que busca equilibrar el fomento de la innovación tecnológica con la protección de los derechos fundamentales, aunque la balanza parece inclinarse excesivamente hacia el control punitivo. Su éxito dependerá de la capacidad del Parlamento para corregir las deficiencias identificadas durante la tramitación legislativa y de las autoridades para aplicar coherentemente un marco regulatorio de gran complejidad.

La entrada en vigor escalonada permitirá una adaptación gradual del sector, aunque será crucial el desarrollo reglamentario posterior para resolver las numerosas cuestiones técnicas que el proyecto deja abiertas.