AESIA ya puede sancionar: qué debe hacer tu empresa desde ya

Desde el 2 de agosto de 2026, la AESIA (Agencia Española de Supervisión de la Inteligencia Artificial) ha dejado de ser un organismo que solo inspecciona: ya puede requerir evidencias y sancionar directamente a las empresas que incumplan el Reglamento europeo de IA (AI Act). No es una amenaza abstracta ni una fecha lejana: las infracciones del régimen de transparencia se castigan con hasta 15 millones de euros o el 3 % de la facturación mundial, y las más graves con hasta 35 millones o el 7 %, según recogen Moncloa y Cope. En Evicron, estudio de IA y software a medida de Barcelona, llevamos semanas revisando con clientes qué sistemas de IA usan y si aguantarían un requerimiento de la agencia. Esto es lo que cambia de verdad y qué conviene hacer esta misma semana.

Qué ha cambiado exactamente el 2 de agosto

Hasta ahora, AESIA podía inspeccionar y pedir cambios, pero carecía de la capacidad plena para imponer multas. Desde el 2 de agosto de 2026 esa limitación desaparece: la agencia puede requerir documentación, abrir expediente y sancionar por las infracciones que ya estaban en vigor desde entonces, en particular las obligaciones de transparencia del artículo 50 del Reglamento (UE) 2024/1689, que analizamos en detalle cuando se aprobaron. AESIA actúa coordinada con la AEPD y el resto de autoridades sectoriales, y su ámbito cubre a cualquier empresa que opere en España, use IA de un proveedor extranjero o no.

Qué exige hoy el Reglamento, en cuatro puntos

Sin repetir todo el detalle técnico (lo tienes en el artículo enlazado arriba), el resumen que de verdad importa a una pyme:

• Chatbots y asistentes virtuales deben avisar de que son IA, salvo que resulte obvio para cualquier persona.
• Imágenes, audio, vídeo o texto generados por IA deben llevar un marcado técnico legible por máquina que permita identificarlos como sintéticos.
• Deepfakes y textos informativos generados por IA sobre asuntos de interés público deben declararse como tales.
• Reconocimiento de emociones y categorización biométrica obligan a informar a las personas expuestas, además del RGPD.

Cuánto puede costar no cumplir

El régimen sancionador del AI Act tiene varios niveles, y conviene no confundirlos:

• Prácticas prohibidas y usos de alto riesgo no autorizados: hasta 35 millones de euros o el 7 % de la facturación global anual, la cifra mayor.
• Incumplimientos de transparencia y otras obligaciones (chatbots sin aviso, contenido sin marcar, deepfakes ocultos): hasta 15 millones de euros o el 3 % de la facturación mundial.
• Pymes y startups: el artículo 99.6 establece que la multa se calcula por la cuantía menor entre el importe fijo y el porcentaje de facturación, no automáticamente por el tope máximo — pero eso no exime de cumplir, solo modera el cálculo.

Lo que sigue aplazado (para no confundir plazos)

Los sistemas de alto riesgo del anexo III —selección de personal, scoring crediticio, educación, infraestructuras críticas— tienen su plena exigencia pospuesta hasta el 2 de diciembre de 2027, tal y como quedó fijado en el paquete Ómnibus Digital de junio. Ese aplazamiento no afecta a la transparencia del artículo 50, que es justo lo que AESIA ya puede sancionar desde este mes.

Qué debe hacer tu empresa esta semana

1. Inventaría todos los sistemas de IA que interactúan con personas o generan contenido: chatbots, asistentes de voz, generadores de imágenes o textos de marketing, formularios con scoring automático.
2. Clasifica cada uno: si cae en transparencia (ya exigible y ya sancionable) o en alto riesgo del anexo III (con margen hasta 2027).
3. Añade avisos claros en las interfaces conversacionales y marca el contenido generado, exigiendo a tus proveedores la documentación que lo acredite.
4. Designa un responsable interno capaz de responder en días, no en semanas, si AESIA solicita evidencias — ahora que puede pedirlas de verdad, no tenerlo listo es en sí mismo un riesgo.
5. Revisa contratos con proveedores de IA para confirmar quién asume la responsabilidad si el marcado o el aviso fallan en origen.

Cuándo conviene traer ayuda externa

No somos un despacho jurídico y esto no sustituye asesoramiento legal: la interpretación fina de cada caso corresponde a tus abogados. Nuestra parte es la técnica —auditar qué sistemas de IA tiene realmente una empresa, cómo están conectados y qué falta para que el aviso y el marcado funcionen en producción, no solo sobre el papel. En nuestra consultoría de IA para empresas empezamos siempre por ese inventario antes de tocar nada, precisamente porque la mayoría de incumplimientos que vemos no son mala fe, sino sistemas que nadie había vuelto a mirar desde que se implementaron.

En resumen

El 2 de agosto de 2026 AESIA pasó de poder inspeccionar a poder sancionar, con multas de hasta 15 millones de euros por incumplir la transparencia del artículo 50 y hasta 35 millones para las infracciones más graves. El alto riesgo del anexo III sigue teniendo margen hasta 2027, pero eso no aplica a chatbots sin aviso ni a contenido generado sin marcar: eso ya se sanciona hoy.

¿Quieres que revisemos qué sistemas de IA de tu empresa quedan expuestos? Escríbenos: la primera sesión de descubrimiento es gratuita y respondemos en menos de 24 horas.