Què és l'AESIA i què implica per a la teva empresa

L’AESIA —l’Agència Espanyola de Supervisió de la Intel·ligència Artificial— és, des del 2 d’agost de 2026, l’organisme que pot inspeccionar, requerir evidències i sancionar qualsevol empresa espanyola que incompleixi el Reglament europeu d’IA (Reglament (UE) 2024/1689, o AI Act). Ja hem explicat què pot sancionar avui i en quin nivell de risc cau cada sistema. El que falta per respondre és més bàsic i, alhora, el que més pregunten els clients que arriben per primera vegada a Evicron, estudi d’IA i software a mida de Barcelona: què és exactament l’AESIA, d’on treu la seva autoritat i què té a veure amb una pime que simplement fa servir un chatbot o una eina d’IA de tercers?

Què és l’AESIA i per què existeix

L’AESIA és l’autoritat espanyola designada per supervisar el compliment del Reglament europeu d’IA. No substitueix l’Agència Espanyola de Protecció de Dades (AEPD): cadascuna cobreix la seva competència, i totes dues coordinen quan un mateix sistema d’IA tracta dades personals i, a més, cau sota l’AI Act —que és el cas de la majoria de chatbots, assistents i eines de scoring que fa servir una empresa normal. Tampoc és un organisme nou creat només per sancionar: portava temps operant abans que el règim sancionador entrés en vigor, precisament perquè hi hagués una autoritat ja rodada quan arribés aquell moment.

Per a una empresa, això té una conseqüència pràctica: no cal perseguir dos reguladors diferents amb històries diferents. Si un sistema d’IA tracta dades de clients o empleats, és raonable esperar que tant l’AEPD com l’AESIA puguin tenir alguna cosa a dir, cadascuna des del seu angle.

Què pot fer avui, a la pràctica

Ja ho vam detallar en el seu moment, però convé tenir-ho present sense repetir tot el desenvolupament: des del 2 d’agost de 2026 l’AESIA pot requerir documentació, obrir expedient i sancionar els incompliments de l’article 50 (transparència: avisar que un chatbot és IA, marcar contingut sintètic), amb multes de fins a 15 milions d’euros o el 3 % de la facturació mundial, i fins a 35 milions o el 7 % en els casos més greus. Els sistemes d’alt risc de l’annex III —selecció de personal, scoring creditici— tenen marge fins al 2 de desembre de 2027, però això no cobreix la transparència, que ja s’exigeix i ja se sanciona.

El que no sempre s’explica és com arriba un cas a la seva taula. A la pràctica, els canals habituals de qualsevol autoritat de supervisió d’aquest tipus són tres: denúncies de particulars o competidors, inspeccions d’ofici dirigides a sectors amb més exposició (selecció de personal, banca, assegurances, salut), i el propi historial d’una empresa si ja va tenir un requeriment previ. No cal ser una gran corporació per entrar al radar: n’hi ha prou que un client o un empleat presenti una queixa sobre un chatbot que mai va avisar que era IA.

El sandbox regulatori: la funció menys coneguda

Menys coneguda que la seva capacitat sancionadora és el seu paper en el sandbox regulatori d’IA: un espai de proves supervisat on una empresa pot provar un sistema d’alt risc —abans que li exigeixin la documentació completa— amb acompanyament del regulador en lloc d’esperar una inspecció. Espanya va ser dels primers països de la UE a posar en marxa un pilot d’aquest tipus, pensat justament perquè les empreses que construiran o adoptaran sistemes de l’annex III (selecció de personal, crèdit, educació) puguin preparar la documentació i la supervisió humana amb marge, en lloc de descobrir el 2027 que no arriben a temps.

Per a una pime que està avaluant incorporar, per exemple, una eina de preselecció de candidats amb IA, això canvia el càlcul: no és només “complir quan toqui”, sinó que hi ha una via per arribar-hi ja preparada, amb el mateix regulador com a interlocutor des d’abans.

Què significa això per a la teva empresa, en tres preguntes

1. Quins sistemes d’IA toquen persones reals? Chatbots, assistents de veu, generadors de contingut de màrqueting, formularis amb scoring automàtic. Si la resposta és “no ho sé amb certesa”, aquest és el primer problema a resoldre, abans de pensar en l’AESIA.
2. Algun d’ells decideix o influeix sobre una persona —contractació, crèdit, accés a un servei—? Si és així, cal mirar l’annex III i el marge fins al 2027, però començant ja la documentació.
3. Qui a la teva empresa respondria si l’AESIA demanés evidències demà? No tenir algú designat no és neutre: és en si mateix part del risc.

Com ho treballem a Evicron

No som un despatx jurídic i la interpretació legal fina correspon als teus advocats. La nostra part és auditar quins sistemes d’IA fa servir realment una empresa, en quin nivell de risc cau cadascun i què falta tècnicament perquè l’avís, el marcatge o la traçabilitat funcionin en producció. A la nostra consultoria d’IA per a empreses comencem sempre per aquest inventari, amb una sessió de descobriment gratuïta.

En resum

L’AESIA no és només l’agència que ja pot sancionar: és l’autoritat espanyola de referència per a l’AI Act, coordinada amb l’AEPD, amb canals d’inspecció que van de la denúncia puntual a la revisió de sectors sencers, i amb un sandbox regulatori que permet preparar sistemes d’alt risc abans que toqui la inspecció. Com abans sàpigues a quin costat d’aquesta equació és la teva empresa, menys marge de sorpresa queda.

Vols saber si algun sistema d’IA de la teva empresa és al radar de l’AESIA? Escriu-nos: la primera sessió de descobriment és gratuïta i responem en menys de 24 hores.