Ley de IA española: hoy cierra el plazo de enmiendas

El proyecto de ley orgánica para el buen uso y la gobernanza de la inteligencia artificial cierra hoy, 2 de septiembre de 2026, el plazo ampliado para presentar enmiendas en el Congreso de los Diputados. No es un trámite menor: es la norma que va a fijar, con nombre y apellidos, quién puede inspeccionar a una empresa española por su uso de IA, con qué sanciones y con qué reparto de competencias. En Evicron, estudio de IA y software a medida de Barcelona, seguimos de cerca la tramitación porque condiciona directamente cómo aconsejamos a los clientes que nos piden ayuda con cumplimiento normativo. Esto es lo que dice el texto, lo que puede cambiar todavía y lo que ya puedes hacer sin esperar a que se publique en el BOE.

Qué aporta esta ley más allá del Reglamento europeo

El Reglamento (UE) 2024/1689 —el AI Act— ya es de aplicación directa en toda la UE y ya fija qué está prohibido, qué es alto riesgo y qué sanciones caben. Lo que falta, y lo que aporta la ley española, es el aterrizaje nacional: quién vigila, cómo se reclama y qué papel juega cada autoridad. El proyecto, remitido por el Gobierno al Congreso el 28 de mayo de 2026 y publicado en el Boletín Oficial de las Cortes Generales el 12 de junio, designa a la AESIA como autoridad de vigilancia de mercado, punto de contacto único ante la Comisión Europea y gestora del sandbox regulatorio obligatorio. No actúa sola: la AEPD conserva su competencia sobre datos personales y biometría, el CGPJ interviene cuando hay sistemas de IA en el ámbito de la justicia, y los supervisores sectoriales —Banco de España, CNMV, consumo— mantienen su terreno cuando la IA se usa dentro de sus ámbitos (más detalle en el análisis de Law&Trends).

El texto fija además una escala sancionadora —desde 500.000 € o el 0,5 % de la facturación en las infracciones más leves hasta 35 millones o el 7 % en las más graves, los mismos techos que ya marca el Reglamento europeo— y crea una ventanilla única de reclamaciones en la AESIA, para que cualquier persona o empresa pueda denunciar un incumplimiento sin tener que averiguar antes a qué organismo dirigirse.

Hoy termina el plazo de enmiendas: qué puede cambiar todavía

El proyecto lleva desde junio en la Comisión de Economía, Comercio y Transformación Digital del Congreso, en fase de enmiendas, y ese plazo —ya ampliado una vez— se cierra hoy (puedes seguir el expediente 121/000096 en el Congreso). A partir de aquí empieza el trabajo en ponencia y comisión, donde los grupos parlamentarios pueden modificar artículos concretos antes de la votación en el Pleno. Hasta que el texto se apruebe definitivamente y se publique en el BOE, sigue siendo un proyecto de ley, no una ley vigente: lo que puede moverse son detalles de procedimiento, plazos o reparto de competencias entre autoridades, no el marco de fondo, que ya viene cerrado por el Reglamento europeo y no admite rebajas.

Para una empresa, la lectura práctica es que no tiene sentido esperar a la redacción final para empezar a prepararse: las obligaciones de transparencia del artículo 50 del AI Act ya se sancionan desde agosto, con o sin ley española aprobada, y el reparto de quién vigila qué —AESIA, AEPD, CGPJ— ya está lo bastante definido como para saber a quién le vas a tener que responder.

Mientras se tramita: las guías de la AESIA que ya puedes usar

Aunque la ley no esté cerrada, la AESIA no ha esperado para dar herramientas prácticas: el 21 de agosto de 2026 actualizó sus 16 guías y listas de comprobación para aplicar el Reglamento europeo de IA, ya adaptadas al paquete conocido como Ómnibus Digital (resumen de Garrigues Digital). Están organizadas en tres bloques —introductorias, técnicas y de autoevaluación— y nacen del piloto español del sandbox regulatorio, así que no son teoría jurídica sino material pensado para convertir la obligación en controles y evidencias concretas. Son de carácter no vinculante, pero son, hoy por hoy, la referencia más completa en español para saber qué documentación exigir a un proveedor de IA o qué le falta a un sistema propio. El calendario de fondo para los sistemas de alto riesgo del anexo III sigue fijado en el 2 de diciembre de 2027, pero cuanto antes se use esta documentación, menos trabajo de última hora queda para entonces.

Qué hacer en tu empresa, sin esperar al BOE

1. No confundas “proyecto de ley” con “no hay nada que cumplir todavía”. El Reglamento europeo ya obliga y ya sanciona; la ley española solo añade el reparto de autoridades y el procedimiento.
2. Descarga y usa las guías de la AESIA para el sistema de IA concreto que te preocupe, en lugar de esperar una guía genérica de “cumplimiento de IA” de terceros.
3. Identifica ya quién sería tu interlocutor —AESIA, AEPD o ambas— según si tu sistema toca datos personales, decisiones sobre personas, o las dos cosas a la vez.

Cómo lo trabajamos en Evicron

No somos un despacho jurídico y la interpretación fina del texto corresponde a tus abogados. Lo que hacemos en nuestra consultoría de IA para empresas es la parte técnica: auditar qué sistemas de IA usa realmente tu empresa, aplicar las guías de la AESIA a tu caso concreto y dejar la documentación y la trazabilidad listas para cuando toque una inspección —ya sea en 2026 o en 2027. Si quieres profundizar antes en los conceptos base, hemos escrito también sobre qué es la AESIA y en qué nivel de riesgo cae cada sistema.

En resumen

La ley española de IA sigue sin aprobarse, y hoy se cierra solo una fase más de su tramitación —no la definitiva—. Pero el marco de fondo (el Reglamento europeo, sus sanciones y las guías de la AESIA) ya es utilizable, y esperar a ver en qué queda el texto final no exime de las obligaciones que ya son exigibles.

¿Quieres saber qué te falta para cumplir con lo que ya es obligatorio hoy? Escríbenos: la primera sesión de descubrimiento es gratuita y respondemos en menos de 24 horas.