El AI Act ya obliga en España, pero la ley que dice quién sanciona sigue atascada

Desde el 2 de agosto de 2026 el reglamento europeo de IA es directamente aplicable en España y las autoridades nacionales asumen su vigilancia. El organismo central es la AESIA, creada en 2023 y con sede en A Coruña. Lo que todavía no existe es el desarrollo nacional: el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial se publicó en el Boletín Oficial de las Cortes el 12 de junio y sigue en la Comisión de Economía, Comercio y Transformación Digital. Su plazo de enmiendas, que vencía el 30 de junio, se amplió al 2 de septiembre y después al 9.

Conviene precisar algo que se repite mal: un reglamento europeo no se transpone, se aplica. Lo que hace el proyecto español es otra cosa —designar autoridades y tipificar infracciones—. Reparte competencias entre la AESIA como punto de contacto único, la Agencia Española de Protección de Datos para biometría y datos personales, el Consejo General del Poder Judicial para justicia, y el Banco de España, la CNMV y la Dirección General de Seguros en sus ámbitos. También regula los espacios controlados de pruebas y concreta las sanciones nacionales dentro de las horquillas europeas, que llegan a 35 millones de euros o el 7% de la facturación mundial.

El resultado es un hueco práctico: las obligaciones europeas ya vinculan a empresas y administraciones españolas, pero el procedimiento sancionador interno, la ventanilla única de reclamaciones y la protección del informante que prevé el proyecto siguen sin aprobarse. Al ser ley orgánica necesita mayoría absoluta en el Congreso y después pasar por el Senado. Cada ampliación de plazo aleja la aprobación y alarga la inseguridad jurídica precisamente para quien quiere cumplir.