 |
| Fuente de la imagen: Escrutando el Marcador de Justicia de la UE (Velasco, 2019) |
M. Velasco, 2026. Gobernanza y Marco Normativo de la Inteligencia Artificial en España: Un Análisis Jurídico-Estratégico del Anteproyecto de Ley para el Buen Uso y la Gobernanza de la IA - Governance and Regulatory Framework of Artificial Intelligence in Spain: A Legal-Strategic Analysis of the Draft Law for the Proper Use and Governance of AI
Resumen: Se analiza el Anteproyecto de Ley para el Buen Uso y la Gobernanza de la Inteligencia Artificial en España, norma que busca adaptar el ordenamiento nacional al Reglamento (UE) 2024/1689. A través de un enfoque centrado en la seguridad jurídica y los derechos fundamentales, se examina la arquitectura de supervisión liderada por la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA), el régimen sancionador diseñado para desincentivar prácticas de riesgo inaceptable y la introducción de derechos digitales innovadores como la desconexión de sistemas ante incidentes graves. El análisis destaca cómo España pretende equilibrar la excelencia técnica con la confianza ciudadana, estableciendo salvaguardas judiciales para usos como la identificación biométrica y fomentando un ecosistema de innovación seguro mediante entornos de pruebas controlados. Se concluye que la norma posiciona a España como un referente global en la regulación de una inteligencia artificial humanista y ética.
Palabras clave: Inteligencia Artificial, Gobernanza, AESIA, Derechos Digitales, Régimen Sancionador, Biometría, Innovación Segura.
Abstract: This article analyzes the Draft Law for the Proper Use and Governance of Artificial Intelligence in Spain, a law that seeks to adapt national legislation to Regulation (EU) 2024/1689. Through an approach focused on legal certainty and fundamental rights, it examines the supervisory architecture led by the Spanish Agency for the Supervision of Artificial Intelligence (AESIA), the sanctions regime designed to discourage unacceptable risk practices, and the introduction of innovative digital rights such as the disconnection of systems in the event of serious incidents. The analysis highlights how Spain aims to balance technical excellence with public trust, establishing judicial safeguards for uses such as biometric identification and fostering a secure innovation ecosystem through controlled testing environments. It concludes that the law positions Spain as a global leader in the regulation of humanistic and ethical artificial intelligence.
Keywords: Artificial Intelligence, Governance, AESIA, Digital Rights, Sanctioning Regime, Biometrics, Secure Innovation.
1. Introducción: El Cambio de Paradigma Tecnológico y el Desafío Regulatorio
La inteligencia artificial (IA) ha dejado de ser una promesa de futuro para convertirse en el eje transversal de la revolución tecnológica actual, con una capacidad de transformación sin precedentes en las relaciones económicas y sociales. Pero la propia naturaleza de esta tecnología, caracterizada por un elevado grado de autonomía y la capacidad de inferir resultados a partir de procesos de autoaprendizaje que a menudo carecen de transparencia y trazabilidad, plantea desafíos significativos para la seguridad de los ciudadanos. La opacidad inherente a ciertos sistemas avanzados de IA dificulta establecer una correlación directa entre los datos que entran en el algoritmo y las decisiones que este emite, lo que genera riesgos potenciales para la privacidad y la integridad de las personas. Ante esta realidad, el Gobierno de España ha impulsado el Anteproyecto de Ley para el Buen Uso y la Gobernanza de la Inteligencia Artificial, con el objetivo primordial de construir un marco jurídico que fomente una IA fiable, transparente y centrada inequívocamente en el ser humano.
Este esfuerzo legislativo se alinea con una corriente de consenso internacional que busca proteger los valores democráticos frente a los posibles excesos del desarrollo algorítmico. Desde la Declaración de Principios de la OCDE hasta las directrices éticas de la UNESCO, el enfoque global ha virado hacia la necesidad de tratados jurídicamente vinculantes que garanticen el respeto a los derechos humanos. España, en este contexto, busca cumplir con el mandato del Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo, aspirando a liderar el debate civilizatorio sobre cómo la tecnología debe servir al bienestar social sin comprometer la autonomía individual. Según el Ministerio para la Transformación Digital y de la Función Pública (2026), España se ha consolidado como un referente mundial tanto en la adopción de estas herramientas como en la creación de una regulación que no compite con la innovación, más bien la fortalece al dotarla de una base ética sólida.
2. La Arquitectura Institucional de Gobernanza: El Liderazgo de la AESIA
Uno de los contrafuertes de la nueva norma es la creación de un sistema de gobernanza nacional robusto y coordinado, diseñado para asegurar que el Reglamento Europeo se aplique de forma directa y efectiva en todo el territorio. En este esquema, la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA) emerge como la autoridad central y el punto de contacto único con la Comisión Europea en materia de supervisión. La ley atribuye a la AESIA competencias críticas, especialmente en la vigilancia de sistemas de IA que no se encuentran bajo el paraguas de normativas sectoriales previas, como aquellos relacionados con el empleo, la educación o la biometría. Este diseño institucional busca evitar la fragmentación del mercado y asegurar que exista un organismo con la capacidad técnica necesaria para inspeccionar y, en su caso, sancionar los sistemas que operan en zonas de alto riesgo.
Para garantizar que esta supervisión no se realice de forma aislada, la ley introduce mecanismos de colaboración institucional reforzada. Un ejemplo paradigmático de esta coordinación es la creación de la Comisión Mixta de Coordinación de Autoridades de Vigilancia del Mercado, bajo la presidencia de la AESIA. Este órgano tiene la misión de unificar criterios y evitar respuestas contradictorias entre las distintas autoridades administrativas que puedan tener competencias sobre un mismo sistema de IA, como ocurre en el sector financiero con el Banco de España y la Comisión Nacional de Mercados y Valores (CNMV), o en el ámbito de la justicia con el Consejo General del Poder Judicial. Esta estructura cooperativa asegura que, independientemente del sector en el que se despliegue la tecnología, el estándar de protección de los derechos fundamentales (DDFF) sea uniforme y de la máxima exigencia (Ministerio para la Transformación Digital y de la Función Pública, 2025).
3. Vigilancia y Control de Prácticas Prohibidas: El Caso de la Biometría
El anteproyecto establece una frontera infranqueable para aquellas prácticas de IA que se consideran de "riesgo inaceptable" por su potencial para manipular el comportamiento humano o socavar la dignidad personal. En este grupo se encuentran prohibiciones absolutas, como el uso de técnicas subliminales imperceptibles que induzcan a adicciones o comportamientos violentos, y los sistemas de puntuación social que clasifiquen a los ciudadanos por sus rasgos personales o conductas para denegarles servicios necesarios. Un ejemplo ilustrativo de estas prácticas prohibidas sería un chatbot que utilizara señales auditivas subliminales para identificar y explotar la vulnerabilidad de usuarios con adicción al juego, incitándoles a realizar apuestas compulsivas. De igual forma, se veta cualquier sistema capaz de deducir la orientación política, sexual o religiosa de un individuo mediante el análisis biométrico de sus imágenes en redes sociales.
Dentro de este régimen de prohibiciones, la ley aborda de manera minuciosa la identificación biométrica remota "en tiempo real" en espacios públicos. Reconociendo la sensibilidad extrema de esta tecnología para la privacidad masiva, la normativa española impone un régimen de autorización judicial previa, gestionado por los Juzgados de lo Contencioso-administrativo. El uso de estos sistemas se restringe exclusivamente a fines de seguridad nacional y persecución de delitos graves, como el terrorismo, la trata de seres humanos o la búsqueda de menores desaparecidos. La ley es tajante al exigir que cada solicitud de uso especifique el ámbito geográfico y temporal, que no podrá exceder de un mes, y obliga a la destrucción inmediata de cualquier dato biométrico de personas que no sean el objetivo específico de la investigación. Según el Ministerio para la Transformación Digital y de la Función Pública (2025), esta judicialización del proceso garantiza que el uso de tecnologías invasivas esté siempre supeditado a criterios de proporcionalidad y necesidad estricta.
4. El Régimen Sancionador: Proporcionalidad y Disuasión
Para que el marco regulatorio sea efectivo, la ley se dota de una potestad sancionadora diseñada bajo los principios de eficacia y disuasión. Las multas propuestas son de una magnitud considerable, especialmente para las infracciones muy graves relacionadas con el uso de sistemas prohibidos, pudiendo alcanzar los 35 millones de euros o el 7% del volumen de negocio mundial del infractor. Este enfoque es particularmente riguroso con los grandes grupos empresariales; la normativa especifica que, para el cálculo del límite superior de la sanción, se tendrá en cuenta el volumen de negocios de todo el grupo y de la filial responsable, evitando así que las corporaciones utilicen estructuras societarias para eludir la responsabilidad económica de sus actos.
Pero el legislador español muestra una sensibilidad especial hacia el tejido de pequeñas y medianas empresas (pymes) y empresas emergentes (startups), reconociendo que un exceso punitivo podría asfixiar la innovación tecnológica nacional. Por ello, para las infracciones leves cometidas por pymes, la ley introduce la figura del apercibimiento. Este mecanismo permite que, ante una falta no grave, la autoridad requiera la adopción de medidas correctoras e indemnizaciones a los afectados sin necesidad de imponer una multa pecuniaria inmediata, siempre que el responsable corrija su conducta en el plazo establecido. De esta manera, el sistema sancionador actúa como un castigo y como una herramienta pedagógica que incentiva el cumplimiento normativo y la corrección de errores en un sector que avanza a velocidades vertiginosas (Secretaría de Estado de Digitalización e Inteligencia Artificial, 2025).
5. Innovación y Derechos Digitales: El Derecho de Desconexión
España continúa liderando la vanguardia de los derechos digitales a nivel internacional con la introducción de figuras jurídicas novedosas en este anteproyecto. Destaca especialmente el derecho de desconexión o retirada del mercado de sistemas de IA que hayan provocado incidentes graves. Esta medida permite que, ante la denuncia de un suceso que comprometa la vida o la seguridad de las personas —como podría ser el fallo catastrófico de un algoritmo de conducción autónoma que cause un fallecimiento—, las autoridades de vigilancia puedan ordenar la desconexión inmediata del sistema en el territorio nacional como medida cautelar. Este derecho anticipa la protección ciudadana y refuerza la capacidad de respuesta administrativa ante riesgos que no pueden esperar a la resolución final de un expediente sancionador.
Además de la protección reactiva, la ley fomenta la innovación proactiva mediante la regulación de los "sandboxes" o espacios controlados de pruebas. Estos entornos, operados por la AESIA, permiten a los desarrolladores ensayar sistemas de IA de alto riesgo bajo la supervisión de las autoridades, asegurando que el cumplimiento de la ley se integre desde la fase de diseño. Según López (2026), esta aproximación demuestra que la regulación y la innovación son dos caras de la misma moneda en la estrategia española, proporcionando a las empresas un "puerto seguro" donde innovar con la garantía de que sus productos serán conformes con los estándares de seguridad europeos más exigentes.
6. La IA en el Sector Público: Transparencia e Inventario Nacional
El anteproyecto impone obligaciones al sector privado, estableciendo premisas estrictas para que la Administración Pública española sea un ejemplo de buen uso tecnológico. Una de las aportaciones más significativas en este ámbito es la creación de un inventario nacional de sistemas de IA utilizados en procedimientos administrativos. Esta medida busca dotar de transparencia absoluta al uso de algoritmos por parte del Estado, permitiendo a los ciudadanos conocer qué sistemas están influyendo en sus derechos o prestaciones. Asimismo, se establece la figura obligatoria del delegado de IA en las entidades públicas, un perfil encargado de coordinar la aplicación normativa y asegurar que las contrataciones públicas de tecnología cumplan con los requisitos éticos y de seguridad.
En cuanto a las sanciones para el sector público, el legislador ha optado por un modelo de responsabilidad política y técnica en lugar de multas pecuniarias que drenarían fondos del erario público. Cuando una entidad pública comete una infracción, la resolución administrativa incluirá un apercibimiento y la orden de medidas correctoras inmediatas. En casos de negligencia grave por parte del personal directivo, la sanción podrá incluir una amonestación pública con la mención del cargo responsable y su publicación oficial, lo que garantiza un alto grado de rendición de cuentas ante la ciudadanía (Ministerio para la Transformación Digital y de la Función Pública, 2025).
7. Luces y Sombras de la Regulación Algorítmica: Un Estudio sobre la Asimetría Regulatoria y los Desafíos de la Supervisión Humana
El Anteproyecto de Ley para el Buen Uso y la Gobernanza de la Inteligencia Artificial en España constituye una pieza ambiciosa de ingeniería jurídica que busca aterrizar el Reglamento (UE) 2024/1689 a la realidad nacional. Tras un análisis detallado de los textos propuestos, se presenta a continuación una crítica razonada que evalúa sus fortalezas, los riesgos de implementación y las posibles asimetrías en su aplicación.
7.1. Fortalezas: Liderazgo Ético y Protección de la Innovación
Una de las mayores virtudes del anteproyecto es su carácter garantista y humanista. El legislador español no se ha limitado a una transposición mecánica de la norma europea, ha introducido figuras innovadoras como el derecho de desconexión o retirada del mercado ante incidentes graves. Esta medida es un acierto técnico, ya que dota a la administración de una capacidad de respuesta rápida (vía cautelar) ante riesgos inminentes para la vida o los DDFF, anticipándose incluso a los plazos previstos por la propia Unión Europea.
Asimismo, es reseñable el equilibrio buscado para proteger el tejido empresarial. Al introducir el régimen de apercibimiento para las pymes en infracciones leves, la ley evita que el rigor sancionador se convierta en una barrera de entrada para la innovación nacional. Esta "mano tendida" a las pequeñas empresas, sumada a la institucionalización de los sandboxes (entornos de pruebas controlados), demuestra una comprensión realista de que la seguridad jurídica es un catalizador, y no un freno, para el desarrollo tecnológico.
7.2. Complejidad Institucional y Riesgo de Fragmentación
En términos críticos, la arquitectura de gobernanza planteada es extremadamente compleja. La ley designa múltiples autoridades de vigilancia: la AESIA, la AEPD, el Banco de España, la CNMV, la Dirección General de Seguros e incluso la Junta Electoral Central.
- Riesgo de solapamiento: Aunque se crea una Comisión Mixta de Coordinación para evitar aplicaciones contradictorias de la norma, la dispersión de competencias entre organismos con culturas administrativas tan distintas podría generar fricciones burocráticas.
- Dependencia técnica: La propia ley reconoce que muchas autoridades sectoriales podrían carecer de los medios técnicos para supervisar sistemas de IA, permitiendo que la AESIA asuma sus funciones "en defecto temporal". Esto sugiere que, inicialmente, podría existir una brecha de capacidad inspectora fuera de la agencia central.
7.3. Asimetría en la Responsabilidad: Sector Público vs. Sector Privado
Un punto que invita a la reflexión crítica es el desequilibrio en el régimen sancionador. Mientras que las empresas privadas enfrentan multas de hasta 35 millones de euros o el 7% de su volumen de negocio mundial (lo cual es altamente disuasorio), las entidades del sector público están exentas de sanciones pecuniarias.
La ley sustituye las multas en la Administración por apercibimientos, medidas correctoras y, en casos graves, una "amonestación con denominación del cargo responsable" publicada en el BOE. Si bien el legislador argumenta que esto evita detraer fondos públicos, se corre el riesgo de crear una sensación de impunidad administrativa o de menor exigencia en el uso de sistemas de alto riesgo por parte del Estado en comparación con el sector privado.
7.4. Desafíos de la Supervisión Judicial de la Biometría
El anteproyecto acierta al judicializar el uso de sistemas de identificación biométrica en tiempo real, atribuyendo esta competencia a los Juzgados de lo Contencioso-administrativo. Pero esto plantea dos desafíos operativos:
- Agilidad: La ley exige resoluciones en un máximo de 48 horas. Dado el colapso histórico de la jurisdicción contenciosa en España, cumplir con estos plazos para análisis técnicos de gran complejidad requerirá una especialización y dotación de medios humanos sin precedentes en la judicatura.
- Destrucción de datos: La obligación de destruir "inmediatamente" los datos de personas ajenas a la investigación es una garantía de privacidad excelente, pero su verificación técnica efectiva por parte de la autoridad judicial o la AESIA será una tarea de supervisión constante y difícil de auditar.
7.5. Transparencia y Carga Administrativa
Finalmente, la creación de un inventario nacional de sistemas de IA en el sector público y la figura del delegado de IA son pasos para la transparencia. Pero la ley impone obligaciones de documentación, registro de logs y vigilancia pos-comercialización que son extremadamente densas.
Para una empresa que despliegue sistemas de alto riesgo, el cumplimiento normativo (compliance) será un proceso costoso que podría incentivar la concentración del mercado en manos de grandes proveedores que sí pueden costear estos procesos de auditoría permanente.
8. Responsabilidad Pública y Soporte Pericial: Ejes Estratégicos para un Modelo de IA Humanista, Confiable y Seguro
A la luz del análisis del Anteproyecto de Ley para el Buen Uso y la Gobernanza de la Inteligencia Artificial y de la crítica razonada previa, se presenta la siguiente propuesta de mejora estructurada en cuatro ejes. Estas recomendaciones buscan fortalecer la eficacia operativa de la norma, garantizar la equidad entre sectores y asegurar que las garantías judiciales cuenten con el soporte técnico necesario.
8.1. Fortalecimiento de la Unidad de Apoyo Técnico Transversal en la AESIA
El anteproyecto establece un sistema de gobernanza donde diversas autoridades sectoriales (Banco de España, CNMV, AEPD, etc.) deben supervisar sistemas de IA en sus respectivos ámbitos. Pero el propio texto reconoce la posibilidad de que estas autoridades carezcan de los medios técnicos, financieros o humanos para dicha supervisión.
- Propuesta: Institucionalizar dentro de la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA) una "Unidad de Asistencia Técnica Permanente". En lugar de que la AESIA simplemente asuma las competencias "en defecto temporal" de otras autoridades, esta unidad debería actuar como un centro de servicios compartidos que proporcione peritos y herramientas de auditoría algorítmica a cualquier autoridad de vigilancia del mercado que lo requiera. Esto evitaría la duplicidad de laboratorios técnicos y garantizaría que los criterios de inspección sean uniformes en todos los sectores.
8.2. Reducción de la Asimetría Punitiva entre el Sector Público y el Privado
La normativa actual excluye la imposición de multas pecuniarias a las entidades del sector público, limitándose a apercibimientos, medidas correctoras y, en casos de negligencia, amonestaciones públicas en el BOE. Esta diferencia con las multas de hasta 35 millones de euros para el sector privado genera una asimetría en la responsabilidad.
- Propuesta: Introducir la obligación de auditorías externas independientes anuales para aquellas entidades públicas que hayan sido objeto de un apercibimiento o que gestionen sistemas de IA de alto riesgo. Además, se propone crear un "Fondo de Compensación para Afectados por la IA Pública", dotado presupuestariamente, que garantice que las indemnizaciones por daños y perjuicios (ya previstas en el artículo 34) se tramiten mediante un procedimiento de responsabilidad patrimonial acelerado cuando la Administración sea la infractora.
8.3. Creación de un Cuerpo de Peritos Judiciales Tecnológicos de Apoyo a los Juzgados
El anteproyecto otorga a los Juzgados de lo Contencioso-Administrativo la potestad de autorizar el uso de biometría en tiempo real, exigiendo una resolución motivada en un plazo máximo de 48 horas. Dada la complejidad técnica para evaluar la proporcionalidad y el riesgo de estos sistemas, este plazo resulta extremadamente ambicioso para un juez sin formación técnica específica.
- Propuesta: Establecer por ley la creación de un Cuerpo de Peritos Tecnológicos adscritos a la Administración de Justicia, especializados en IA y DDFF. Estos expertos deberían emitir un informe técnico preliminar en las primeras 12 horas tras la solicitud judicial para que el juez cuente con una base científica sólida al evaluar extremos como la URL del registro del sistema o la gestión de los datos de personas ajenas a la investigación.
8.4. Clarificación de Protocolos para el "Derecho de Desconexión"
La ley introduce de forma pionera el derecho de desconexión o retirada del mercado ante "incidentes graves". Pero la aplicación de medidas cautelares de desconexión inmediata podría tener efectos económicos o sociales devastadores si se aplica a sistemas que gestionan infraestructuras críticas o servicios necesarios.
- Propuesta: Desarrollar un anexo técnico de "Niveles de Gravedad de Incidentes" que defina con exactitud qué tipo de fallos activan la desconexión total frente a medidas de restricción parcial o supervisión humana reforzada. Se debe garantizar que la desconexión cautelar sea siempre el último recurso y que existan protocolos de "reentrada segura" al mercado una vez subsanado el error, proporcionando seguridad jurídica a los proveedores y evitando interrupciones innecesarias en el servicio.
8.5. Estímulos a la Autorregulación en Pymes y Startups
Aunque la ley ya prevé el apercibimiento para evitar multas inmediatas a las pymes en infracciones leves, se puede mejorar el enfoque preventivo.
- Propuesta: Crear un "Sello de Calidad IA Ética España". Las pymes que obtengan voluntariamente este sello mediante una auditoría previa de la AESIA o a través de su paso exitoso por el sandbox nacional, deberían disfrutar de una exención de responsabilidad en infracciones leves por un periodo de gracia (por ejemplo, los primeros 12 meses tras el despliegue), siempre que demuestren que el fallo no pudo ser detectado en las pruebas del entorno controlado. Esto incentivaría la transparencia desde la fase de diseño.
Estas mejoras transformarían un texto ya sólido y vanguardista en una herramienta de gobernanza más equilibrada, ágil y técnicamente viable para todos los actores implicados.
9. Conclusión: Hacia una Soberanía Tecnológica Ética
El análisis del Anteproyecto revela cierta voluntad política por posicionar a España como potencia tecnológica que no renuncia a sus principios humanistas. Parece que articula una gobernanza centrada en la AESIA, judicializando los usos más sensibles de la biometría y proteger a las pymes mediante un régimen sancionador flexible pero disuasorio, intentando propiciar un equilibrio delicado entre la seguridad jurídica y el dinamismo del mercado. La introducción de derechos digitales de nueva generación subraya que, para el legislador español, el progreso técnico solamente es legítimo si se traduce en un progreso social tangible y seguro.
Ciertamente, se procura dotar al país de un instrumento que adapta el Reglamento Europeo y lo complementa con una visión propia que apuesta por la transparencia, la supervisión humana y la protección de los más vulnerables. Esta ley pretende sentar las bases para una soberanía tecnológica en la que la inteligencia artificial sea percibida como una herramienta poderosa y, sobre todo, confiable al servicio de la sociedad española en su conjunto.
Finalmente, el anteproyecto es una norma que considero necesaria, situando a España a la cabeza de la regulación ética de la IA. Sus fortalezas radican en la protección de los ciudadanos y el fomento de un uso "humanista" de la tecnología. Pero su éxito dependerá de que la coordinación institucional no derive en un laberinto administrativo y de que la supervisión humana prometida cuente con los recursos técnicos reales para no ser meramente formal. La asimetría punitiva entre lo público y lo privado queda como el punto más controvertido de una propuesta que, por lo demás, aspira a ser un modelo de referencia internacional.
_________
10. Bibliografía
López, Ó. (2026). Intervención del Ministro para la Transformación Digital y de la Función Pública en la rueda de prensa tras el Consejo de Ministros. Madrid, España.
Ministerio para la Transformación Digital y de la Función Pública. (2025). Anteproyecto de Ley para el Buen Uso y la Gobernanza de la Inteligencia Artificial. Secretaría de Estado de Digitalización e Inteligencia Artificial.
Ministerio para la Transformación Digital y de la Función Pública. (2026). Nota de prensa: El Gobierno aprueba el proyecto de ley que garantizará una supervisión humana y un uso confiable de la IA. Madrid, 26 de mayo de 2026
Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo, de 13 de junio de 2024, por el que se establecen normas armonizadas en materia de inteligencia artificial (Ley de Inteligencia Artificial).
11. Recursos Generativos utilizados en la redacción de este artículo
Teniendo en cuenta que se ha seguido la estructura de un artículo científico, formato conocido por la IAG, para la elaboración de este contenido se ha utilizado IAG en la fase de búsqueda de información, así como en la mejora de la redacción y adaptación de esta redacción a un lenguaje coloquial. Asimismo, antes de editarlo se ha pasado el filtro de plagio (12% de coincidencias) y de lenguaje IAG (9% de coincidencias), considerando ambos ratios razonables y asumibles.