La AESIA es la Agencia Española de Supervisión de la Inteligencia Artificial, creada por el Real Decreto 729/2023, de 22 de agosto, con sede en A Coruña y adscrita al Ministerio para la Transformación Digital. Su papel: vigilar que los sistemas algorítmicos utilizados en España cumplan el reglamento europeo.
Esa es la definición de manual. Y es también la parte menos útil de todo lo que viene a continuación.
Cuando un directivo plantea la cuestión en una sala de reuniones, casi nunca pregunta qué es el organismo. Pregunta otra cosa: si pueden llamar a su puerta mañana, qué papeles les pedirían y quién manda realmente cuando la herramienta que usan toca datos personales, crédito al consumo o selección de personal. Ahí la respuesta se complica bastante.
Un organismo que suena más grande de lo que es
Se trata de un organismo autónomo estatal con personalidad jurídica propia, dotado de estatuto aprobado por real decreto, con sede en A Coruña y dirección a cargo de Ignasi Belda. Su función principal es la vigilancia del mercado: comprobar que los sistemas puestos en servicio en territorio español cumplen los requisitos del texto europeo que les corresponden.
¿Cuánta gente crees que trabaja allí? La respuesta habitual en un comité de dirección es "cientos". La realidad está más cerca de unas pocas decenas de personas, con un presupuesto inicial modesto para los estándares de una autoridad de vigilancia de mercado. Nombre imponente, estructura de startup pública.
Aquí conviene una confesión. En 2023, con el estatuto recién publicado, la previsión interna de este equipo era que España tendría operativo un cuerpo inspector potente en cuestión de meses. Lo que ocurrió fue más lento y más burocrático: constitución, nombramientos, relación de puestos de trabajo, convenios. El discurso hacia los clientes cambió por completo: el riesgo inmediato no era una inspección sorpresa, era llegar a 2026 con los deberes sin hacer.
El titular correcto, por tanto, nunca fue "ya hay policía algorítmica en España" (el titular era otro). Es "ya existe una estructura creada, todavía joven, que empieza a tener dientes en un calendario muy concreto".
El mecanismo: de dónde sale su autoridad y hasta dónde llega
Este es el punto que casi ninguna guía explica bien. El supervisor español no se inventó su propio catálogo de obligaciones. Su autoridad es derivada: ejecuta en España lo que impone el Reglamento (UE) 2024/1689, el llamado AI Act, publicado el 12 de julio de 2024 y en vigor desde el 1 de agosto de ese año.
El artículo 70 de la norma obligaba a los Estados miembros a designar autoridades notificantes y autoridades de vigilancia del mercado antes del 2 de agosto de 2025. España se adelantó creando su agencia dos años antes de esa fecha. Primera de la Unión en hacerlo, cierto. Pero adelantarse en la creación no equivale a adelantarse en la capacidad sancionadora.
¿Y de dónde saldrán las multas? Del propio texto europeo en cuanto a techos: hasta 35 millones de euros o el 7 % de la facturación mundial para prácticas prohibidas, hasta 15 millones o el 3 % para el resto de incumplimientos, y hasta 7,5 millones o el 1 % por facilitar información incorrecta a las autoridades. Quien necesite el desglose completo por tipo de infracción lo encontrará en nuestro análisis sobre cuánto pueden ser las multas del AI Act, con los supuestos reales de aplicación y los criterios de graduación que maneja la Comisión.
Falta una pieza, y es la que genera más confusión. El procedimiento sancionador español, el reparto fino de competencias y las adaptaciones nacionales viajan en el Anteproyecto de Ley para el buen uso y la gobernanza de la inteligencia artificial, aprobado en primera lectura por el Consejo de Ministros el 11 de marzo de 2025. Mientras ese texto no complete su tramitación, el regulador trabaja en un terreno donde el deber material ya existe pero el músculo procedimental está en construcción.
Dicho de otro modo: el reloj de las obligaciones corre desde el 2 de febrero de 2025 para prohibiciones y alfabetización. El reloj del expediente sancionador nacional va por detrás. Esa asimetría es temporal y se cerrará.
Las cuatro funciones que realmente ejerce hoy
Reducido el estatuto a lo operativo, el organismo gallego hace cuatro cosas. Ni una más, de momento.
- Vigilancia del mercado. Comprueba que los sistemas comercializados o puestos en servicio en territorio español cumplen los requisitos que les corresponden según su nivel de riesgo. Es la función que concentra el 90 % del miedo de los directivos y, paradójicamente, la que menos actividad visible ha tenido hasta ahora.
- Coordinación con la gobernanza europea. Representa a España en los mecanismos de cooperación del reglamento y traslada criterio desde Bruselas. Para una organización que opera en varios países esto importa más de lo que parece: la interpretación que se consolide aquí condicionará lo que te pidan en Lisboa o en Milán.
- Asesoramiento y criterio técnico. Guías, documentos interpretativos, recomendaciones. Suena a papel mojado. No lo es: cuando llegue la primera comprobación formal, el criterio publicado será la vara de medir.
- Gestión del entorno controlado de pruebas. La función más infravalorada del catálogo, y la que se desarrolla en detalle dos secciones más abajo.
Por qué no es la única que te puede inspeccionar: AEPD, Banco de España y los demás
Existe un error que se repite en casi todos los comités de dirección: dar por hecho que el supervisor nacional es la única autoridad relevante. Falso. Y caro.
El anteproyecto de marzo de 2025 dibuja un reparto competencial por sectores. La agencia estatal recoge todo lo que no esté atribuido expresamente a otro organismo. Que es mucho, pero no es todo:
| Tipo de sistema o ámbito de uso | Autoridad que supervisa |
|---|---|
| Tratamiento de datos personales, categorización biométrica, fuerzas y cuerpos de seguridad, fronteras y justicia | Agencia Española de Protección de Datos (AEPD) |
| Alto riesgo en banca y crédito | Banco de España |
| Mercados de valores | CNMV |
| Seguros y planes de pensiones | Dirección General de Seguros y Fondos de Pensiones |
| Administración de justicia | Consejo General del Poder Judicial |
| Procesos electorales | Junta Electoral Central |
| Telecomunicaciones y audiovisual | CNMC |
| Resto de sistemas sujetos al reglamento | Agencia estatal de supervisión |
Hagamos la cuenta práctica. Una entidad de crédito que usa scoring automatizado para conceder préstamos al consumo tiene tres frentes simultáneos: el supervisor financiero por el ámbito material, la autoridad de datos por el tratamiento y la base de legitimación, y el texto europeo por la clasificación de riesgo elevado. Tres interlocutores, tres lógicas de inspección, un único sistema.
La hipótesis inicial de este equipo fue que ese solapamiento se resolvería con una ventanilla única. Después de seguir la tramitación durante más de un año, el resultado sorprendió: el modelo español apuesta por la especialización sectorial, no por la concentración. Así que la pregunta correcta para una organización no es "¿me supervisa la agencia estatal?", sino "¿qué autoridad es competente para cada uno de mis sistemas?". Ese inventario de interlocutores es el primer entregable en nuestro programa para llegar preparado a una inspección, porque el mapa de competencias determina exactamente qué documentación hay que tener lista y en qué formato.
El sandbox regulatorio español: la cara que nadie te cuenta de la agencia
El Real Decreto 817/2023, de 8 de noviembre, creó un entorno controlado de pruebas para sistemas de riesgo elevado. Bajo supervisión pública, un número limitado de participantes ensaya el cumplimiento de los requisitos antes de que esos requisitos sean exigibles.
Entrar ahí equivale a un acceso privilegiado al criterio del regulador. No a un sello de aprobación, cuidado: el organismo gestiona el entorno, acompaña y extrae lecciones, pero no entrega un certificado de conformidad definitivo.
¿Vale la pena? Solo si el sistema cae claramente en el Anexo III y existe equipo técnico para sostener el esfuerzo documental, que es considerable. Para una organización pequeña con un chatbot de atención al cliente, no. Para quien desarrolla herramientas de selección de personal o de evaluación educativa, es la ventaja competitiva más barata disponible ahora mismo.
Qué puede pedirte en una comprobación y qué no puede exigir
Vamos a lo concreto, que es donde se decide el expediente.
Lo que sí puede solicitar
- Documentación técnica del sistema
- Registros y trazas de funcionamiento
- Evaluación de conformidad realizada
- Declaración UE de conformidad y marcado
- Instrucciones de uso entregadas al desplegador
- Medidas de supervisión humana implantadas
- Pruebas de alfabetización del personal
- Información sobre datos de entrenamiento
Ese último punto genera resistencia inmediata en los departamentos técnicos. Legítima, pero la norma prevé el acceso en condiciones de confidencialidad cuando resulte necesario para verificar el cumplimiento.
Lo que queda fuera de su alcance
No puede sancionarte por un uso que todavía no es exigible. Si tu sistema encaja en el Anexo III, las obligaciones correspondientes llegan el 2 de agosto de 2026, y para los productos del Anexo I la fecha se estira hasta el 2 de agosto de 2027. Exigir hoy conformidad plena con requisitos de 2026 no tiene base.
Tampoco entra en el fondo de decisiones comerciales, ni actúa como autoridad de datos personales cuando la competencia está atribuida a la AEPD, ni revisa materias financieras reservadas al supervisor bancario. Y no dicta sobre usos excluidos del ámbito de la norma: actividad militar, investigación científica previa a la comercialización, uso personal no profesional.
El matiz del artículo 50
Un detalle que se pasa por alto: las obligaciones de transparencia para sistemas que interactúan con personas (avisar de que están hablando con una máquina, etiquetar contenido sintético) tienen su propio calendario y afectan a muchísimas más organizaciones que las reglas de riesgo elevado. Ahí la exposición es transversal.
Reconstruyendo el escenario: cuándo deberías preocuparte de verdad
Si mañana aplicaras una revisión honesta de tu inventario, en tres semanas sabrías en qué grupo estás. Son tres.
Grupo uno: empleas prácticas prohibidas desde el 2 de febrero de 2025. Puntuación social, inferencia de emociones en el trabajo o en centros educativos, extracción indiscriminada de rostros. Aquí la preocupación es inmediata y el techo sancionador es el de 35 millones o el 7 %.
Grupo dos: operas sistemas de riesgo elevado del Anexo III. Contratación de personal, acceso a educación, evaluación de solvencia, servicios esenciales. Tienes hasta agosto de 2026, y dieciocho meses se consumen solos.
Grupo tres: todo lo demás. Transparencia del artículo 50 y alfabetización del artículo 4. Barato de cumplir, embarazoso de incumplir.
Tres movimientos sencillos para dejar de improvisar
- Inventaría. Lista de todos los sistemas con componente algorítmico en uso, incluidos los que entraron por la puerta de atrás vía proveedor SaaS. En los diagnósticos aparecen de media bastantes más de los que el comité de dirección creía tener.
- Clasifica y asigna autoridad. Para cada sistema: nivel de riesgo, rol (proveedor o responsable de despliegue) y autoridad competente probable. Este paso es el que casi todo el mundo salta y el que más dolor ahorra.
- Documenta la supervisión humana. Quién revisa, con qué criterio, con qué registro. Es lo primero que se pide (y casi nunca está por escrito).
Nada de esto requiere un departamento nuevo. Requiere decidir que alguien es responsable, con nombre y apellidos, antes de que la pregunta llegue desde fuera.
Preguntas frecuentes sobre la agencia española de supervisión de la IA
¿Puede multarme ya el supervisor español?
Los techos sancionadores existen en el reglamento europeo desde su entrada en vigor, pero el procedimiento nacional y el reparto definitivo de potestades dependen del anteproyecto aprobado en marzo de 2025 y aún en tramitación. La exposición material ya corre; la maquinaria del expediente va algo por detrás.
¿Dónde tiene su sede el organismo?
En A Coruña, tras la decisión de descentralización adoptada en 2022. Depende orgánicamente del Ministerio para la Transformación Digital y de la Función Pública.
Si mi caso lo lleva la AEPD, ¿también me supervisa el regulador de IA?
Pueden coexistir. La autoridad de datos actúa sobre el tratamiento de información personal y determinados usos biométricos o policiales; el supervisor estatal, sobre el cumplimiento de los requisitos del reglamento en el resto del espectro. Un mismo sistema puede generar dos expedientes con fundamentos distintos.
¿Usar ChatGPT en mi empresa me obliga a algo?
Sí, aunque menos de lo que la gente teme. Como responsable de despliegue de un sistema de propósito general te corresponden tres cosas: avisar a las personas cuando interactúan con una máquina o reciben contenido generado (artículo 50), garantizar formación básica del personal que lo maneja (artículo 4, vigente desde febrero de 2025) y verificar que el uso concreto no cae en un supuesto prohibido o de riesgo elevado. Si lo usas para cribar currículos, dejas de estar en este grupo y pasas al Anexo III.
¿Necesito certificación para vender un sistema de riesgo elevado?
Necesitas evaluación de conformidad, declaración UE y marcado antes de poner el sistema en el mercado, en los plazos del reglamento. No existe un sello nacional alternativo que sustituya ese procedimiento.
¿Afecta esto a una pyme que solo usa herramientas de terceros?
Sí, en el rol de responsable de despliegue: supervisión humana, uso conforme a instrucciones, transparencia frente a los afectados y alfabetización del personal. Menos carga que un proveedor, pero no cero.