Ley de Gobernanza de IA en España: prepara tu empresa
Introducción
La inteligencia artificial ya no es solo una ventaja competitiva. Para muchas empresas, se está convirtiendo también en una responsabilidad legal, operativa y reputacional. España avanza en la adaptación nacional del Reglamento Europeo de Inteligencia Artificial mediante el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial, publicado en el Boletín Oficial de las Cortes Generales el 12 de junio de 2026.
Conviene ser precisos: a fecha 16 de julio de 2026, el texto consultado sigue siendo un proyecto en tramitación parlamentaria. De hecho, el Congreso recoge que fue presentado el 28 de mayo de 2026 y calificado el 8 de junio de 2026, y el plazo de enmiendas aparece ampliado hasta el 2 de septiembre de 2026. Aun así, su contenido ya marca una dirección clara para las empresas: la IA deberá gestionarse con inventario, control de riesgos, documentación, supervisión humana y capacidad de respuesta ante incidentes.
El objetivo de este artículo es explicar qué puede cambiar para una empresa, qué multas podrían aplicarse y cómo prepararse desde ahora sin caer en alarmismo ni esperar al último momento.
Qué regula la gobernanza de IA en España
El proyecto español no nace aislado. Su función principal es aterrizar en España el marco europeo del Reglamento (UE) 2024/1689, conocido como Reglamento de Inteligencia Artificial. Este reglamento establece normas armonizadas para el desarrollo, comercialización, puesta en servicio y uso de sistemas de IA en la Unión Europea.
La futura ley española se centra especialmente en tres aspectos: definir la gobernanza nacional, identificar autoridades competentes y establecer el régimen sancionador aplicable en España. También regula espacios controlados de pruebas, conocidos como sandboxes, y actuaciones de buen uso de la IA en el sector público estatal.
Para una empresa, esto significa que no basta con decir “usamos IA”. Habrá que saber qué sistemas se usan, para qué finalidad, con qué datos, quién los supervisa, qué riesgos generan y qué evidencias existen de que se han gestionado correctamente.
Qué empresas pueden verse afectadas
El proyecto se dirige a operadores de sistemas de IA. Este concepto puede incluir proveedores, responsables del despliegue, importadores, distribuidores, representantes autorizados y fabricantes que incorporen IA en productos o servicios.
En la práctica, puede afectar tanto a una empresa que desarrolla una solución propia de IA como a otra que usa herramientas de terceros para automatizar decisiones, analizar clientes, filtrar candidatos, detectar fraude, personalizar precios, generar contenido o apoyar procesos internos.
La clave no es solo si la empresa “crea IA”, sino si la introduce, despliega o utiliza en un contexto con impacto sobre personas, seguridad, derechos, empleo, consumidores o servicios esenciales.
Qué multas puede recibir una empresa
El régimen sancionador previsto es relevante. Según el proyecto, las sanciones se estructuran por gravedad y pueden calcularse como importe fijo o como porcentaje del volumen de negocios mundial del ejercicio anterior, aplicándose la cuantía que corresponda según el caso.
Las infracciones muy graves relacionadas con prácticas de IA prohibidas pueden alcanzar hasta 35 millones de euros o, si el infractor es una empresa, hasta el 7 % del volumen de negocios mundial total del ejercicio anterior si esa cifra fuese superior.
Otras infracciones muy graves pueden llegar hasta 15 millones de euros o hasta el 3 % del volumen de negocios mundial total. Las infracciones graves pueden alcanzar hasta 7,5 millones de euros o hasta el 1 % del volumen de negocios mundial total. Las infracciones leves pueden llegar hasta 500.000 euros o hasta el 0,5 % del volumen de negocios mundial total.
Además, no todo se reduce a una multa económica. En casos de prácticas prohibidas, incidentes graves o incumplimientos persistentes, la autoridad podría imponer medidas como la retirada del producto, la desconexión del sistema de IA, su prohibición o restricciones a su comercialización.
Ejemplos de riesgos sancionables
Una empresa puede exponerse si utiliza una práctica de IA prohibida fuera de las excepciones previstas, si no notifica un incidente grave relacionado con un sistema de alto riesgo, si no registra adecuadamente un sistema cuando sea obligatorio, si obstruye una inspección o si entrega información engañosa a organismos notificados o autoridades competentes.
También pueden existir riesgos por fallos documentales: no conservar documentación técnica, no demostrar conformidad cuando sea requerida, no cumplir obligaciones de transparencia o no corregir incumplimientos formales dentro del plazo indicado por la autoridad.
La consecuencia práctica es clara: la empresa que no pueda explicar su uso de IA tendrá más dificultades para defenderse que la empresa que haya documentado sus decisiones, controles y medidas de mitigación.
Cómo saber si tu empresa está preparada
La preparación empieza con una pregunta sencilla: ¿tenemos localizado todo lo que hacemos con IA? Muchas organizaciones ya usan IA en marketing, ventas, atención al cliente, recursos humanos, operaciones, ciberseguridad, finanzas o desarrollo de software, pero no siempre tienen un inventario centralizado.
Ese inventario debe incluir herramientas contratadas, desarrollos propios, integraciones en CRM o ERP, automatizaciones internas, asistentes generativos y modelos usados por proveedores. También debe identificar responsables, finalidad, datos tratados, usuarios internos, personas afectadas y nivel de criticidad.
Clasificar el riesgo
Una vez identificado el mapa de usos, el siguiente paso es clasificar el riesgo. No tiene el mismo impacto usar IA para resumir reuniones internas que utilizarla para priorizar candidatos en un proceso de selección, evaluar solvencia, recomendar tratamientos, gestionar infraestructuras críticas o detectar comportamientos sospechosos.
La empresa debe distinguir entre usos de bajo riesgo, usos con obligaciones de transparencia, sistemas de alto riesgo y prácticas que podrían estar prohibidas. Esta clasificación no debe hacerse solo desde tecnología: debe participar negocio, legal, protección de datos, seguridad, recursos humanos y dirección.
Documentar antes de que haga falta
La gobernanza de IA exige evidencias. No basta con tener buenas intenciones. Es recomendable documentar la finalidad del sistema, los datos utilizados, las medidas de supervisión humana, los criterios de evaluación, los controles de sesgos, los proveedores implicados, las instrucciones de uso y los protocolos de respuesta ante errores o incidentes.
Una buena documentación reduce improvisación, ayuda a formar equipos y facilita responder ante auditorías, clientes, licitaciones o autoridades. También permite decidir cuándo una herramienta de IA no debe usarse en ciertos procesos.
Plan práctico para estar listo
El mejor enfoque es avanzar por fases. La primera fase consiste en crear un inventario de IA. Cada departamento debe declarar qué herramientas usa, para qué tareas, con qué datos y con qué grado de autonomía. Esto permite detectar usos no autorizados o duplicados.
La segunda fase es realizar una evaluación de riesgos. Aquí se revisa el impacto en derechos, privacidad, seguridad, consumidores, trabajadores y decisiones automatizadas. Si un sistema afecta a personas de forma significativa, requiere una revisión más profunda.
La tercera fase consiste en definir una política interna de IA. Esta política debe establecer qué usos están permitidos, cuáles requieren aprobación, qué datos no se pueden introducir en herramientas externas, cómo se valida una salida generada por IA y quién asume la responsabilidad final.
La cuarta fase es formar a los equipos. La ley no se cumple solo con documentos. Los empleados deben saber cuándo pueden usar IA, cuándo deben pedir autorización, cómo revisar resultados y qué hacer si detectan un fallo, sesgo o incidente.
La quinta fase es preparar un procedimiento de respuesta. Si un sistema de IA genera un daño, una decisión incorrecta o un incidente grave, la empresa debe saber cómo detener el sistema, conservar evidencias, informar internamente, corregir el problema y, cuando proceda, comunicarlo a la autoridad competente.
Qué puede hacer K&J Open Solutions por tu empresa
Para muchas empresas, el reto no será entender que hay que cumplir, sino convertir esa obligación en procesos claros y herramientas útiles. Ahí la tecnología bien diseñada puede marcar la diferencia.
Desde K&J Open Solutions, una empresa puede abordar la gobernanza de IA con soluciones prácticas: inventarios digitales de sistemas, flujos de aprobación, documentación de proveedores, paneles de riesgo, integraciones con CRM o ERP, automatización de controles y creación de protocolos internos adaptados a cada negocio.
La preparación no debe verse como un freno a la innovación. Al contrario: una empresa que gobierna bien su IA puede adoptar nuevas herramientas con más seguridad, reducir riesgos, generar confianza en clientes y diferenciarse en un mercado donde la transparencia será cada vez más importante.
Conclusión
La nueva gobernanza de IA en España apunta a un cambio de etapa. Las empresas ya no pueden tratar la inteligencia artificial como una herramienta experimental sin control. El foco estará en saber qué se usa, cómo se usa, quién responde, qué riesgos existen y qué medidas se han aplicado.
Esperar a que llegue una inspección o una incidencia es la opción más cara. Lo recomendable es empezar ahora con un diagnóstico, ordenar los usos actuales de IA y construir una hoja de ruta realista. Prepararse no significa paralizar la innovación; significa hacerla sostenible, segura y defendible.
Si tu empresa ya usa IA o está pensando en incorporarla, este es el momento de revisar procesos, documentación y responsabilidades antes de que el cumplimiento se convierta en urgencia.
Preguntas frecuentes
¿La ley española de gobernanza de IA ya está aprobada?
El texto enlazado corresponde a un proyecto de ley publicado el 12 de junio de 2026. A fecha 16 de julio de 2026, sigue en tramitación parlamentaria y el plazo de enmiendas aparece ampliado hasta el 2 de septiembre de 2026.
¿Todas las empresas que usan IA pueden recibir multas?
Dependerá del tipo de sistema, del papel de la empresa y del riesgo asociado. No es lo mismo usar IA para tareas internas de apoyo que desplegar un sistema de alto riesgo o una práctica prohibida. Por eso es esencial clasificar los usos.
¿Cuál es el primer paso para prepararse?
El primer paso es crear un inventario de usos de IA en la empresa. Sin ese mapa inicial es muy difícil evaluar riesgos, asignar responsables, documentar controles o decidir qué sistemas requieren revisión prioritaria.
Fuentes consultadas: Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial, Congreso de los Diputados; ficha de tramitación del Congreso; cuadro de ampliación de plazos de enmiendas.
