La AESIA ya puede sancionar a las empresas que incumplan la ley europea de IA

La norma, una de las más relevantes de la UE en los últimos años, celebra este acontecimiento justo un año después de su entrada oficial en vigor, una vez que se cumplieron los 20 días marcados tras su publicación en el Diario Oficial de la Unión Europea (DOUE), y a medio camino de su plena aplicación, fechada en agosto de 2026. 

A partir de hoy, la entidad española, dirigida por Ignasi Belda, podrá imponer multas a las firmas que incumplan los preceptos marcados por la regulación con el objetivo de proteger los derechos de los usuarios y asegurar un desarrollo responsable de la inteligencia artificial.

Artigas: "Hemos medido muy bien la prohibición de que la IA segmente por raza, creencia u orientación sexual"

En concreto, la ley contempla sanciones de hasta 35 millones de euros o el 7% de su facturación anual mundial para las compañías que realicen alguna de las prácticas prohibidas. También, de hasta 15 millones o el 3% de la facturación para las que incumplan las obligaciones especificadas para proveedores, importadores, distribuidores o responsables del despliegue.

Además, el suministro de información incorrecta, incompleta o engañosa a los organismos o autoridades incluirá sanciones de hasta 7,5 millones de euros o el 1% de la facturación. 

No obstante, la AESIA no está sola en esta tarea, ya que, según lo dispuesto en el Anteproyecto de Ley para el uso ético, inclusivo y beneficioso de la inteligencia artificial, para los asuntos relacionados con biometría, la responsabilidad recaerá en la Agencia Española de Protección de Datos, mientras que el Consejo General del Poder Judicial hará lo propio con los casos de uso en justicia, y la Junta Electoral Central para lo concerniente al aterrizaje de la IA en próximos comicios. También, los sistemas de clasificación de solvencia financiera (que recaen bajo la mira del Banco de España), de IA aplicada a mercados de capitales (CNMC) o a seguros (Dirección General de Seguros).

A nivel comunitario, el cumplimiento de la regulación recae en la Oficina de IA (IA Office), la entidad creada específicamente para esta ley que se encargará de supervisar que los Estados miembros aplican la misma, así como de analizar los modelos de IA más avanzados y contribuir a fomentar las normas y prácticas de ensayo.

Junto a las disposiciones de gobernanza de la norma, este sábado también entran en vigor otros aspectos de la regulación, entre ellos, el más relevante son las obligaciones para los proveedores de modelos de IA de propósito general. 

Un camino largo

El hecho de que la AESIA obtenga la potestad sancionadora para imponer las multas que ayuden a hacer cumplir el reglamento se considera uno de los hitos más relevantes en el camino de la norma. Eso sí, no será el último.

Según el calendario inicial de la ley dado a conocer por los reguladores comunitarios, agosto de 2026 es la fecha límite para que esta se aplique en su totalidad, dos años después de su entrada en vigor. No obstante, hay aspectos de la misma que se han adelantado y que ya están operativos y otros que tardarán aún más en ser efectivos.

Entre los que ya han aterrizado se encuentran las prohibiciones de la ley que afectan a los sistemas de inteligencia artificial considerados de riesgo inaceptable para los derechos fundamentales y la seguridad de las personas, que entraron en vigor el 2 de febrero de 2025. Aquí se incluyen el empleo de técnicas manipuladoras para alterar el comportamiento de una persona, la explotación de vulnerabilidades, la evaluación de personas o colectivos atendiendo a sus características (social scoring), o los sistemas dedicados a inferir emociones en el trabajo o en los centros educativos.

La ley europea de IA aterriza de forma definitiva: así será la transición de 24 meses hasta su obligado cumplimiento

También, el Código de Buenas Prácticas para la IA, que en un primer momento la Comisión Europea señaló que se publicaría nueve meses después, es decir, en mayo de 2025, y que, finalmente, vio la luz en julio de este mismo año. Este documento pretende identificar y gestionar los riesgos potenciales de esta tecnología, mantener actualizada la información relativa a la misma y describir los datos que se emplean para su entrenamiento, lo que permitirá medir su efectividad.

A estos se añaden los hitos alcanzados hoy relativos a los regímenes sancionadores y las obligaciones para los modelos de IA de propósito general.  

Por último, 36 meses después de la entrada en vigor del reglamento, en agosto de 2027, serán aplicables las de los sistemas de alto riesgo. Eso sí, los sistemas de IA y los modelos GPAI que hayan sido puestos en servicio o comercializados antes de la entrada en vigor de la ley seguirán un camino distinto, algunos de ellos con horizonte en 2030.