Preguntas por la AESIA. Contesta otra ventanilla.

La pregunta llega siempre con la misma forma: si usamos inteligencia artificial en el despacho, ¿quién nos puede sancionar? Y la respuesta cómoda, la que circula por todas partes, es que de eso se encarga la AESIA.

Me parece incompleta. Incompleta porque da por supuesto que existe una ventanilla única. Y porque da por supuesto que esa ventanilla está terminada, cosa que hoy yo no afirmaría por escrito.

Qué es la AESIA y de qué norma nace

La Agencia Española de Supervisión de la Inteligencia Artificial no nace de una ley de inteligencia artificial. Nace de un Real Decreto: el 729/2023, de 22 de agosto. Ese texto aprueba su Estatuto y se publicó en el BOE el 2 de septiembre de 2023 con la referencia BOE-A-2023-18911. Su Estatuto fija la sede institucional en A Coruña y la adscribe al departamento ministerial que lleva la agenda digital del Estado, cuya denominación ha cambiado desde 2023.

Su Estatuto le atribuye funciones de supervisión e inspección. Contempla asimismo un marco de certificación voluntario para entidades privadas y la potestad sancionadora, esta última en los términos que le atribuya la normativa europea y siempre dentro del ámbito de competencia estatal. Esa coletilla no es adorno. Delimita el terreno de juego. Lo que ya tiene autoridad propia por razón de la materia no se traslada ahí solo porque en el proceso haya aparecido un modelo de lenguaje.

Dicho de otro modo: el organismo llegó antes que el marco europeo que va a ocuparle la agenda. Eso explica bastante del desconcierto actual.

Crear una agencia no equivale a tener el sistema montado

El Reglamento europeo de inteligencia artificial construye sus obligaciones sobre dos ejes: el papel que ocupa cada uno respecto del sistema y el riesgo del uso concreto Fuente primaria ↗. Lo que ese Reglamento encarga a los Estados es designar autoridades y organizar la vigilancia. Es un encargo. Y los encargos tardan en convertirse en oficinas que contestan el teléfono. Ese mismo Reglamento deja además en manos de cada Estado el régimen de sanciones por su incumplimiento. En España, tanto la designación de autoridades como ese régimen sancionador siguen viviendo en un proyecto de ley que a septiembre de 2026 continúa en fase de enmiendas.

Mi lectura es criterio y no dictamen. Aquí conviven dos realidades que no encajan del todo. Una agencia creada en 2023 con vocación supervisora. Y un marco europeo posterior que exige una arquitectura de vigilancia con competencias repartidas. Que lo primero cubra con exactitud lo segundo es algo que yo comprobaría en el texto aplicable antes de afirmarlo por escrito a un cliente.

Mientras esa arquitectura termina de armarse, el hueco no se queda vacío. Lo ocupan las autoridades que ya estaban ahí.

Si hay datos personales, la conversación cambia de sitio

Aquí es donde la creencia de la ventanilla única se rompe primero. Un sistema que trata datos personales sigue sometido a la normativa de protección de datos con independencia de lo que diga cualquier norma específica sobre inteligencia artificial. Los principios de licitud y de minimización no se suspenden porque el tratamiento lo ejecute un modelo en lugar de una persona Fuente primaria ↗.

La consecuencia práctica es incómoda para quien haya ordenado su discurso solo alrededor del Reglamento de IA. Un despacho puede tener muy trabajada esa parte y aun así recibir una reclamación por la vía de protección de datos. Esa vía tiene autoridad propia y décadas de rodaje procedimental.

Y ahí el debate no versa sobre si la herramienta es de alto riesgo. Versa sobre qué información se metió dentro y quién más pudo verla.

Dentro de un procedimiento judicial responde otro

Cuando el uso de la herramienta ocurre dentro de un pleito, el primero que puede reaccionar no es ninguna agencia administrativa. Es el propio tribunal, con potestades procesales propias. La ley procesal prevé además que el tribunal dé traslado al colegio profesional correspondiente cuando la actuación contraria a la buena fe sea imputable a alguno de los profesionales que intervienen en el proceso. Y en el plano disciplinario de la carrera judicial aparece el Consejo General del Poder Judicial.

Esto no es una hipótesis de sobremesa. En marzo de 2026, la Sala de lo Social del Tribunal Superior de Justicia de Navarra archivó un expediente sancionador por mala fe procesal contra una abogada que había incorporado a un recurso ocho citas de sentencias inexistentes. El archivo llegó porque la abogada reconoció el error y retiró las citas, pero el tribunal dejó escrito que el uso descuidado de estas herramientas puede llegar a sancionarse Fuente primaria ↗.

Lo relevante no es el error. Es que allí nadie tuvo que preguntarse qué agencia era competente. La respuesta estaba en la sala.

Qué añade el proyecto de Ley Orgánica de mayo de 2026

El 26 de mayo de 2026, el Consejo de Ministros aprobó la remisión a las Cortes del proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial. Su aportación más útil no está en el catálogo de conductas. Está en que dibuja un mapa de autoridades y sitúa a la AESIA como pieza central, coordinada con la autoridad de protección de datos cuando la materia lo exige y con el Consejo General del Poder Judicial en lo que le corresponde. También deja espacio reservado a los reguladores sectoriales.

Es decir: el propio legislador asume que la respuesta a «quién sanciona» depende de la materia y no de la tecnología. Sostener hoy que existe un supervisor único de la IA va más lejos que el propio proyecto.

Toca decir lo obvio, porque hay artículos que se lo ahorran. Un proyecto remitido a las Cortes no es derecho vigente. El proyecto entró en el Congreso el 28 de mayo de 2026 y se publicó en el Boletín Oficial de las Cortes Generales el 12 de junio. A septiembre de 2026 sigue en fase de enmiendas ante la Comisión de Economía, Comercio y Transformación Digital, no lo han aprobado las Cortes y no está publicado en el BOE. Puede cambiar de redacción durante el trámite. Escribirle a un cliente que «la ley ya dice» algo que vive en un proyecto es el tipo de error que envejece muy rápido.

Por qué a un despacho le importa saber a quién responde

Alguien dirá que esto es fontanería institucional y que lo importante es hacer las cosas bien. Estoy parcialmente de acuerdo. Pero saber ante quién responderías cambia qué tienes que poder enseñar. Eso sí es operativo desde mañana.

Si el interlocutor previsible es la autoridad de protección de datos, lo que te van a pedir tiene forma de base jurídica del tratamiento y de registro de actividades. Si el interlocutor es un tribunal dentro de un procedimiento, lo que se discute es la diligencia con la que verificaste aquello que firmaste. No es el mismo material. Y ninguno de los dos se prepara la víspera.

Queda el escenario que menos gente prepara: que el interlocutor acabe siendo la agencia de supervisión y la conversación vaya sobre qué papel ocupabas respecto del sistema. Proveedor y responsable del despliegue no son etiquetas intercambiables, y de cada una cuelgan obligaciones distintas Fuente primaria ↗. Quien compra una herramienta para su trabajo interno no está donde quien la integra en un servicio y la revende bajo su marca.

Lo que yo tendría resuelto antes de que me lo pregunten

No montaría un procedimiento nuevo para esto ni contrataría un sello. Escribiría una página de uso interno que conteste una sola pregunta por cada herramienta que el despacho usa de verdad. Si mañana alguien reclamara por esto, ¿dónde acabaría la reclamación? ¿Con qué documento contestaría? Si esa página no se puede escribir, el problema no es normativo. Es que no sabemos qué estamos usando.

Lo formulo en condicional porque el mapa de competencias sigue dibujándose. Pero la incertidumbre normativa no sirve de excusa para ignorar qué herramienta trata qué información dentro de tu casa. Eso no depende de ninguna tramitación parlamentaria.

La AESIA no es la única puerta. Es la más citada, que no es lo mismo.

Lo que me preguntan cuando cierro el portátil.

¿Qué es la AESIA?

La Agencia Española de Supervisión de la Inteligencia Artificial es un organismo público con sede en A Coruña, adscrito al ministerio que lleva la agenda digital del Estado. No nace de una ley de inteligencia artificial sino de un Real Decreto: el 729/2023, de 22 de agosto. Ese texto aprueba su Estatuto y se publicó en el BOE con la referencia BOE-A-2023-18911. El Estatuto le atribuye funciones de supervisión e inspección dentro del ámbito de competencia estatal.

¿Es la AESIA la única autoridad que puede intervenir cuando hay IA de por medio?

No lo daría por hecho. Si el sistema trata datos personales, sigue viva la normativa de protección de datos. Esa normativa tiene su propia autoridad. Cuando el uso ocurre dentro de un procedimiento judicial, el primero que puede reaccionar es el tribunal con sus potestades procesales. Hay además materias con regulador sectorial propio que no desaparece porque la herramienta sea un modelo de lenguaje.

¿Está en vigor la ley española de gobernanza de la inteligencia artificial?

El Consejo de Ministros aprobó el 26 de mayo de 2026 la remisión a las Cortes del proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial. A septiembre de 2026 seguía siendo un proyecto en fase de enmiendas en el Congreso, no derecho vigente. Un texto remitido a las Cortes puede cambiar de redacción durante el trámite, de modo que citarlo como si ya obligara es un error que luego cuesta explicar a un cliente.

El expediente detrás del artículo.

Reglamento europeo de inteligencia artificial ↗EUR-Lex · Reglamento (UE) 2024/1689 · 2024
Normativa UE; comprobar versión y calendarioPrincipios de protección de datos ↗Agencia Española de Protección de Datos · Guía
Orientación institucionalEl TSJ de Navarra advierte sobre citas jurisprudenciales inventadas con IA ↗Consejo General del Poder Judicial · nota de 26 de marzo sobre un auto de la Sala de lo Social del TSJ de Navarra · 2026
Nota oficial; el auto no figura en CENDOJ a 10 de septiembre de 2026

Fuentes consultadas el 9 de septiembre de 2026. Las recomendaciones y ejemplos son elaboración editorial: no se atribuyen íntegramente a estas fuentes. Comprueba versión y ámbito antes de aplicar una norma.

Divulgación general. Ninguna herramienta de esta web certifica la revisión, seguridad o conformidad de un proceso.