Ley española de IA: qué se aprobó de verdad el 26 de mayo (y lo que casi todos están leyendo mal)

El 26 de mayo de 2026, el Consejo de Ministros aprobó el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la Inteligencia Artificial y lo remitió al Congreso de los Diputados. En cuestión de horas, medios de medio país titularon lo mismo: “España aprueba su ley de IA”. Y ese titular, tal cual, es impreciso de una forma que importa.

Porque no se ha aprobado una ley. Se ha aprobado un proyecto de ley, que ahora entra en tramitación parlamentaria con el objetivo de obtener luz verde antes de diciembre de 2027. Todavía no está en el BOE, todavía se puede enmendar, y todavía no obliga a nadie. La diferencia entre “ley aprobada” y “proyecto en el Congreso” no es un matiz de abogado: es la diferencia entre planificar bien y reaccionar tarde.

Llevamos meses explicando en este blog el AI Act europeo: el Digital Omnibus, el aplazamiento del alto riesgo a 2027, las obligaciones que siguen vigentes pese a todo. Esta ley española es la pieza que faltaba: la capa nacional que aterriza ese Reglamento europeo en España, designa quién sanciona y con cuánto. Este artículo explica qué se aprobó de verdad, qué trae para su empresa, y los tres errores de lectura que estamos viendo repetirse estos días.

Qué se aprobó exactamente el 26 de mayo (y qué no)

El recorrido de esta norma conviene tenerlo claro, porque cada etapa se ha titulado como si fuera la final:

Marzo de 2025: el Gobierno aprobó el anteproyecto de ley y lo abrió a consulta pública e informes.
26 de mayo de 2026: el Consejo de Ministros aprobó el proyecto de ley y lo remitió al Congreso.
Pendiente: tramitación en el Congreso y el Senado, posibles enmiendas, votación final y publicación en el BOE.

Lo que se aprobó el 26 de mayo es el paso de anteproyecto a proyecto de ley: el texto deja el ámbito interno del Gobierno y entra en sede parlamentaria. Según el comunicado de La Moncloa, el objetivo es que la norma esté aprobada antes de diciembre de 2027.

Hasta que el Congreso y el Senado la voten y se publique en el BOE, no es derecho vigente. Mientras tanto, las obligaciones que sí aplican a su empresa hoy son las del Reglamento europeo, no las de esta ley. Quien empiece a actuar como si las multas españolas ya estuvieran activas se equivoca; quien crea que tiene hasta 2027 para mirar el tema, también.

No es una ley nueva: es España aterrizando el AI Act

Este es el primer malentendido grande. Muchos titulares presentan la norma como “la ley que regula la IA en España”, como si fuera un marco nuevo que define desde cero qué se puede y qué no. No es eso.

Las obligaciones sustantivas —qué prácticas se prohíben, qué es un sistema de alto riesgo, qué exige la transparencia— no las inventa esta ley. Las fija el Reglamento UE 2024/1689, que es directamente aplicable en toda la Unión sin necesidad de transposición. Lo que un reglamento europeo no puede hacer por sí solo es designar a las autoridades nacionales que vigilan y montar el régimen de sanciones de cada Estado. Eso es competencia de cada país, y es exactamente lo que hace esta ley española.

Dicho de otra forma: el AI Act dice qué está prohibido y qué hay que cumplir. La ley española dice quién te controla en España y cuánto te puede multar. Una es el contenido; la otra, la maquinaria de aplicación. Por eso, según el análisis de Cuatrecasas, la norma es de naturaleza fundamentalmente organizativa y sancionadora, no un nuevo catálogo de obligaciones materiales.

Entender esto cambia la pregunta correcta. No es “¿qué me obliga a hacer la nueva ley española?”. Es “¿estoy cumpliendo el AI Act, ahora que España ya tiene quién y cómo sancionarme si no lo hago?”.

El régimen sancionador: las multas que sí trae

Aquí está la parte con dientes. La ley estructura las infracciones en tres niveles —leves, graves y muy graves— y fija un régimen de multas alineado con los topes del Reglamento europeo.

Nivel de infracción	Sanción
Muy graves (p. ej. uso de prácticas prohibidas del Art. 5 del AI Act)	Hasta 35 millones de euros o el 7% del volumen de negocio mundial, lo que sea mayor
Graves	Tramo intermedio, escalado según gravedad y tamaño de la empresa
Leves	Hasta 500.000 euros o el 0,5% de la facturación

Las cifras del tramo superior coinciden con las del propio Reglamento europeo, según recogen Channel Partner y Economist & Jurist. El detalle que conviene retener: estas multas no son solo para grandes tecnológicas. Aplican a cualquier empresa que despliegue o use sistemas de IA infringiendo el Reglamento, y el tamaño de la empresa modula la cifra pero no la exime.

Las autoridades: quién te puede sancionar

El segundo aporte de la ley es repartir competencias. No hay una única autoridad de IA en España: hay un reparto por materia.

AESIA — la Agencia Española de Supervisión de la Inteligencia Artificial, con sede en A Coruña, es el organismo central y coordinador.
AEPD — la Agencia Española de Protección de Datos asume la supervisión de los sistemas de IA que tratan datos biométricos, por su solapamiento con la protección de datos.
CGPJ — el Consejo General del Poder Judicial vigila los sistemas de IA que afectan a la Administración de Justicia.

Para una empresa esto significa que, según qué tipo de sistema IA use y con qué datos, puede tener delante a un supervisor distinto. Un chatbot comercial, un sistema de control de acceso biométrico y una herramienta de apoyo en un juzgado no responden ante la misma autoridad. Mapear cuál le aplica forma parte del trabajo de cumplimiento.

La obligación que casi nadie está mirando

Mientras los titulares se quedan en los deepfakes sexuales y las multas de 35 millones, hay una obligación de fondo que afecta a muchísimas más empresas y que casi nadie está nombrando: el deber de inventariar y supervisar el uso de IA recae sobre la propia empresa, como subraya el análisis de Economist & Jurist.

No basta con “no hacer nada prohibido”. Si su empresa usa IA, en muchos casos tendrá que documentar cómo funciona el sistema, supervisarlo y demostrar que existe control humano. Esto no es una obligación abstracta: es exactamente el inventario de sistemas IA que ya recomendamos hacer al analizar el AI Act. La diferencia es que ahora hay un régimen sancionador nacional en camino que le pone precio a no tenerlo.

La buena noticia es que ese inventario es trabajo barato si se hace con tiempo y caro si se hace bajo presión. Una lista de qué herramientas IA usa, para qué, con qué datos y quién supervisa cada decisión es la base de cualquier conversación con un auditor, un cliente que pregunte por conformidad, o la propia AESIA.

Etiquetado de contenido generado por IA

La ley refuerza, en el plano nacional, la obligación de marcar el contenido generado o manipulado con IA —los deepfakes, las imágenes y vídeos sintéticos— y clasifica como infracción no etiquetarlo cuando corresponde. El calendario concreto de esta obligación viene marcado por el Art. 50 del Reglamento europeo, cuyo plazo de marcado de contenido sintético el Digital Omnibus adelantó al 2 de diciembre de 2026.

Esto toca de lleno a las empresas que tienen agentes conversacionales en WhatsApp o web: el usuario debe saber que habla con una IA, y el contenido sintético que se genere debe ir marcado. El aplazamiento del alto riesgo no exime de esto. Es una de las zonas donde más empresas se van a llevar una sorpresa por confundir “la ley no está aprobada” con “no me aplica nada”.

Los tres errores de lectura que estamos viendo

Si su empresa va a tomar decisiones sobre IA estos meses, evite estos tres:

“Ya es ley”. No lo es. Es un proyecto en tramitación parlamentaria, con objetivo de aprobación antes de diciembre de 2027. Puede cambiar en el Congreso. Planificar sobre un texto que aún se enmienda es arriesgado.
“Es una ley nueva que regula la IA desde cero”. No. Las obligaciones materiales vienen del AI Act europeo, que ya está vigente por bloques. Esta ley añade autoridades y sanciones nacionales. Si no estaba mirando el Reglamento, esta ley no le cuenta nada nuevo sobre qué cumplir, solo sobre quién le va a pedir cuentas.
“Como no está aprobada, tengo tiempo”. El error más caro. Las prohibiciones del Art. 5, la alfabetización del Art. 4 y las obligaciones de los modelos de uso general ya están vigentes vía Reglamento europeo, y AESIA ya tiene competencia sancionadora sobre las prácticas prohibidas. La ley española no inaugura sus obligaciones: las hace exigibles con maquinaria propia. El reloj de cumplimiento corre desde hace tiempo.

Qué debería hacer su empresa ahora

No hay que esperar a que la ley esté en el BOE para empezar, porque lo que hay que hacer ya es exigible por el Reglamento europeo. Tres pasos concretos:

Inventario de sistemas IA. Qué usa, para qué, con qué datos, qué decisiones toma o influye, quién supervisa. La base de todo lo demás.
Verificación de prácticas prohibidas y transparencia. ¿Algún sistema cae en el Art. 5? ¿Sus chatbots avisan de que son IA? ¿Está etiquetando el contenido sintético que genera?
Identificar su autoridad de referencia. Según sus sistemas y datos, ¿le supervisa AESIA, la AEPD por datos biométricos, o ambas? Saberlo antes de recibir un requerimiento es media batalla.

El cierre honesto

España no ha aprobado su ley de IA: ha dado un paso firme y relevante hacia ella. El Gobierno aprobó el proyecto y lo mandó al Congreso, y el objetivo es cerrarlo antes de diciembre de 2027. Lo que esa norma hace, cuando llegue, no es reinventar las reglas: es poner nombre a quién vigila en España y cifra a las multas. Las reglas en sí ya las venimos contando, porque ya estaban vigentes.

Por eso el mensaje no es “viene una ley nueva, prepárese para 2027”. Es “el AI Act ya le obliga, y España acaba de empezar a construir la maquinaria para hacérselo cumplir”. Quien entendió eso hace meses va con ventaja. Quien lo descubra cuando la ley salga en el BOE, irá a contrarreloj.

Si quiere el cuadro completo de qué obligaciones del Reglamento están vigentes hoy pese al aplazamiento, lo desarrollamos en AI Act aplazado a 2027: por qué su empresa no debería relajarse y en AI Act 2026: lo que su empresa ya debe cumplir. Y si está implementando IA en su empresa y quiere hacerlo bien desde el cumplimiento, la guía de implementación práctica le da el mapa. Si tiene sistemas IA en producción y quiere saber en qué punto del Reglamento está y qué autoridad le aplica, eso lo conversamos sin compromiso.

Este artículo refleja el estado de tramitación a 16 de junio de 2026: el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la IA, aprobado por el Consejo de Ministros el 26 de mayo de 2026 y remitido al Congreso, se encuentra en fase parlamentaria y no es derecho vigente. No constituye asesoramiento legal. Para decisiones concretas sobre conformidad bajo el Reglamento UE 2024/1689 o la futura ley española, consulte con un asesor legal especializado.