La ley española de IA llega al Congreso: lo que una empresa mediana debería mirar

El 26 de mayo, el Consejo de Ministros aprobó el proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial y lo remitió a las Cortes. El 12 de junio se publicó en el Boletín del Congreso, con plazo de enmiendas hasta el 30 de junio. Queda, por tanto, toda la tramitación parlamentaria.

Ese mismo 12 de junio, el Gobierno dio por concluido el primer entorno controlado de pruebas de IA, el sandbox que presenta como el primero de Europa.

Qué hace el proyecto de ley

La ley no crea un régimen paralelo al europeo: adapta el ordenamiento español al Reglamento de IA y decide quién supervisa qué. Los puntos que más afectan a una empresa:

• La AESIA será la autoridad principal para la mayoría de sistemas, con la Agencia Española de Protección de Datos, el CGPJ y las autoridades sectoriales en sus ámbitos.
• Supervisión humana obligatoria en los casos que puedan afectar a derechos fundamentales.
• Un régimen sancionador escalonado, desde 500.000 euros o el 0,5 % de la facturación para las infracciones leves hasta 35 millones o el 7 % para las más graves.
• Entre los sistemas prohibidos, los que generan deepfakes sexuales, en línea con lo que España ha defendido en Bruselas tras el caso Grok.

Lo que enseña el sandbox

Me interesa casi más la segunda noticia. Al sandbox se presentaron 44 solicitudes y participaron 18 pymes y 6 empresas emergentes, además de una empresa francesa, con una financiación de unos 4,3 millones de euros del Plan de Recuperación. De ahí salen guías técnicas y de buenas prácticas para cumplir los requisitos de los sistemas de alto riesgo, que cualquiera puede consultar.

La secretaria de Estado de Digitalización e IA, María González Veracruz, lo resumió en el acto de clausura: «La regulación no es un freno a la innovación; es una palanca que puede aportar competitividad y generar confianza». Se puede discutir el matiz, pero la idea de fondo coincide con lo que vemos en los proyectos: las empresas que documentan bien sus procesos y sus datos no solo cumplen antes, sino que construyen mejores herramientas.

Qué hacer ahora

Con el aplazamiento del alto riesgo que se acordó en Bruselas en mayo y una ley española aún en el Congreso, la tentación es esperar. Mi recomendación para una empresa mediana es otra:

1. Leer las guías de la AESIA aunque no tengas sistemas de alto riesgo. Son, de momento, el mejor material práctico en español sobre cómo documentar un sistema de IA.
2. Identificar dónde hay decisiones sobre personas. Selección, evaluación, concesión de servicios: ahí llegará la exigencia de supervisión humana.
3. Revisar los contenidos generados y los chatbots de cara al público. La transparencia es la obligación que antes se va a aplicar.

La regulación de la IA en España empieza a tener nombre propio, autoridad y calendario. Mejor llegar a ella con los deberes hechos.