AESIA: qué es y qué implica para tu empresa si usas IA

AESIA —la Agencia Española de Supervisión de la Inteligencia Artificial— es, desde el 2 de agosto de 2026, el organismo que puede inspeccionar, requerir evidencias y sancionar a cualquier empresa española que incumpla el Reglamento europeo de IA (Reglamento (UE) 2024/1689, o AI Act). Ya hemos explicado qué puede sancionar hoy y en qué nivel de riesgo cae cada sistema. Lo que falta por responder es más básico y, a la vez, lo que más preguntan los clientes que llegan por primera vez a Evicron, estudio de IA y software a medida de Barcelona: ¿qué es exactamente la AESIA, de dónde saca su autoridad y qué tiene que ver con una pyme que simplemente usa un chatbot o una herramienta de IA de terceros?

Qué es la AESIA y por qué existe

La AESIA es la autoridad española designada para supervisar el cumplimiento del Reglamento europeo de IA. No sustituye a la Agencia Española de Protección de Datos (AEPD): cada una cubre su competencia, y ambas coordinan cuando un mismo sistema de IA trata datos personales y, además, cae bajo el AI Act —que es el caso de la mayoría de chatbots, asistentes y herramientas de scoring que usa una empresa normal. Tampoco es un organismo nuevo creado solo para sancionar: llevaba tiempo operando antes de que el régimen sancionador entrara en vigor, precisamente para que hubiera una autoridad ya rodada cuando llegara ese momento.

Para una empresa, esto tiene una consecuencia práctica: no hay que perseguir a dos reguladores distintos con historias distintas. Si un sistema de IA trata datos de clientes o empleados, es razonable esperar que tanto AEPD como AESIA puedan tener algo que decir, cada una desde su ángulo.

Qué puede hacer hoy, en la práctica

Ya lo detallamos en su momento, pero conviene tenerlo presente sin repetir todo el desarrollo: desde el 2 de agosto de 2026 la AESIA puede requerir documentación, abrir expediente y sancionar los incumplimientos del artículo 50 (transparencia: avisar de que un chatbot es IA, marcar contenido sintético), con multas de hasta 15 millones de euros o el 3 % de la facturación mundial, y hasta 35 millones o el 7 % en los casos más graves. Los sistemas de alto riesgo del anexo III —selección de personal, scoring crediticio— tienen margen hasta el 2 de diciembre de 2027, pero eso no cubre la transparencia, que ya se exige y ya se sanciona.

Lo que no siempre se explica es cómo llega un caso a su mesa. En la práctica, los canales habituales de cualquier autoridad de supervisión de este tipo son tres: denuncias de particulares o competidores, inspecciones de oficio dirigidas a sectores con mayor exposición (selección de personal, banca, seguros, salud), y el propio historial de una empresa si ya tuvo un requerimiento previo. No hace falta ser una gran corporación para entrar en el radar: basta con que un cliente o un empleado presente una queja sobre un chatbot que nunca avisó de que era IA.

El sandbox regulatorio: la función menos conocida

Menos conocida que su capacidad sancionadora es su papel en el sandbox regulatorio de IA: un espacio de pruebas supervisado donde una empresa puede probar un sistema de alto riesgo —antes de que le exijan la documentación completa— con acompañamiento del regulador en lugar de esperar a una inspección. España fue de los primeros países de la UE en poner en marcha un piloto de este tipo, pensado justo para que las empresas que van a construir o adoptar sistemas de anexo III (selección de personal, crédito, educación) puedan preparar la documentación y la supervisión humana con margen, en vez de descubrir en 2027 que no llegan a tiempo.

Para una pyme que está evaluando incorporar, por ejemplo, una herramienta de preselección de candidatos con IA, esto cambia el cálculo: no es solo “cumplir cuando toque”, sino que existe una vía para llegar ya preparado, con el propio regulador como interlocutor desde antes.

Qué significa esto para tu empresa, en tres preguntas

1. ¿Qué sistemas de IA tocan a personas reales? Chatbots, asistentes de voz, generadores de contenido de marketing, formularios con scoring automático. Si la respuesta es “no lo sé con certeza”, ese es el primer problema a resolver, antes de pensar en AESIA.
2. ¿Alguno de ellos decide o influye sobre una persona —contratación, crédito, acceso a un servicio—? Si sí, hay que mirar el anexo III y el margen hasta 2027, pero empezando ya la documentación.
3. ¿Quién en tu empresa respondería si AESIA pidiera evidencias mañana? No tener a alguien designado no es neutro: es en sí mismo parte del riesgo.

Cómo lo trabajamos en Evicron

No somos un despacho jurídico y la interpretación legal fina corresponde a tus abogados. Nuestra parte es auditar qué sistemas de IA usa realmente una empresa, en qué nivel de riesgo cae cada uno y qué falta técnicamente para que el aviso, el marcado o la trazabilidad funcionen en producción. En nuestra consultoría de IA para empresas empezamos siempre por ese inventario, con una sesión de descubrimiento gratuita.

En resumen

La AESIA no es solo la agencia que ya puede sancionar: es la autoridad española de referencia para el AI Act, coordinada con la AEPD, con canales de inspección que van de la denuncia puntual a la revisión de sectores enteros, y con un sandbox regulatorio que permite preparar sistemas de alto riesgo antes de que toque la inspección. Cuanto antes sepas en qué lado de esa ecuación está tu empresa, menos margen de sorpresa queda.

¿Quieres saber si algún sistema de IA de tu empresa está en el radar de la AESIA? Escríbenos: la primera sesión de descubrimiento es gratuita y respondemos en menos de 24 horas.