Ley de IA española: sanciones, deepfakes y etiquetado

La ley de inteligencia artificial española, aprobada por el Gobierno en mayo de 2026 para adaptar el ordenamiento nacional al AI Act europeo, añade tres piezas que toda empresa debe conocer: prohíbe expresamente los deepfakes de contenido sexual creados sin consentimiento, obliga a marcar de forma visible como generado por IA todo contenido sintético de imagen, vídeo o audio (obligación aplicable desde el 2 de agosto de 2026, en línea con el artículo 50 del AI Act), y establece un régimen sancionador con multas que van desde los 6.000 euros hasta los 35 millones de euros o el 7% de la facturación mundial. El supervisor es la AESIA, la Agencia Española de Supervisión de la Inteligencia Artificial, con sede en A Coruña.

Conviene aclarar desde ya qué es y qué no es esta norma. No sustituye al AI Act: el reglamento europeo aplica directamente en España sin necesidad de ley nacional. Lo que hace la ley española es ponerle dientes: designa autoridades, gradúa las infracciones, fija las cuantías concretas de las multas y añade prohibiciones propias donde el legislador español ha querido ir más lejos. Si diriges una empresa que usa o desarrolla IA, este es el texto que determinará quién te inspecciona y cuánto te puede costar un error.

¿Qué prohíbe la ley de inteligencia artificial española?

La ley traslada las prácticas prohibidas del AI Act y las convierte en infracciones sancionables en España. Entre las más relevantes para empresas:

• Técnicas subliminales o manipuladoras que distorsionen el comportamiento de una persona causándole perjuicio, incluidas las dirigidas a colectivos vulnerables.
• Sistemas de puntuación social (social scoring) que clasifiquen a personas por su comportamiento o características con efectos perjudiciales.
• Reconocimiento de emociones en el trabajo y en centros educativos, salvo excepciones médicas o de seguridad.
• Categorización biométrica para inferir raza, opiniones políticas, afiliación sindical, religión u orientación sexual.
• Deepfakes sexuales sin consentimiento: la aportación más comentada de la norma española, que los prohíbe de forma expresa y los sanciona con dureza, cerrando una laguna que el reglamento europeo dejaba a los Estados.

¿Te suena lejano para tu negocio? Piensa en un ecommerce que use IA para presionar la compra explotando sesgos de usuarios vulnerables, o en un software de RRHH que analice el tono emocional en videoentrevistas. Ambos casos rozan o cruzan la línea de lo prohibido.

¿Hay que etiquetar las imágenes creadas con IA en España?

Sí. Desde el 2 de agosto de 2026, los contenidos sintéticos de imagen, vídeo y audio deben identificarse como generados o manipulados por IA, con marcado legible por máquina y, en los casos de deepfakes, con etiquetado visible para el espectador. La ley española convierte en infracción grave no hacerlo. En la práctica, para una empresa esto significa:

1. Si publicas creatividades generadas con IA en redes, web o publicidad, activa las marcas de contenido sintético que ofrecen las propias herramientas (metadatos y marcas de agua) y añade la indicación visible cuando el contenido pueda confundirse con algo real.
2. Si usas avatares o voces clonadas en vídeos corporativos, indica que se trata de contenido generado por IA.
3. Si un tercero te produce el contenido, exige por contrato que entregue el material correctamente marcado; la responsabilidad frente al público es tuya.

Nuestra recomendación con criterio: no lo veas solo como una obligación. Etiquetar con naturalidad protege tu marca en un mercado donde la confianza escasea, y los costes de hacerlo bien son mínimos comparados con una sanción o una crisis de reputación.

¿Qué multas impone la ley española de IA?

El régimen sancionador se estructura en tres niveles, alineados con los topes del AI Act:

Para pymes y startups la norma prevé que las cuantías se modulen a la baja atendiendo a su tamaño, siguiendo el criterio del propio reglamento europeo. Aun así, el suelo de 6.000 euros por descuidos formales ya duele a una empresa pequeña, y la reincidencia escala rápido.

¿Qué es la AESIA y qué empresas supervisa?

La AESIA es la Agencia Española de Supervisión de la Inteligencia Artificial, el primer organismo de este tipo creado en la Unión Europea, con sede en A Coruña. Es la autoridad principal de vigilancia del AI Act y de la ley española: inspecciona, instruye expedientes sancionadores, coordina los espacios controlados de pruebas (sandboxes) y publica guías de cumplimiento. No está sola: en ámbitos con supervisor propio, este asume la vigilancia de la IA. La Agencia Española de Protección de Datos mantiene su competencia cuando hay datos personales de por medio (con la vista puesta también en el RGPD), el Banco de España y la CNMV supervisan la IA financiera, y la Junta Electoral Central los usos electorales.

¿A quién mirará primero la AESIA? Todo apunta a los casos de mayor impacto social: deepfakes, sistemas biométricos, IA en selección de personal y modelos generativos sin etiquetado. Las pymes que usan IA de terceros para tareas ordinarias no son el objetivo prioritario, pero sí pueden verse arrastradas por denuncias de competidores o de consumidores.

Cómo afecta a tu empresa según lo que hagas con IA

Una forma rápida de situarte:

• Solo usas herramientas de IA (asistentes, generación de contenido, automatizaciones): tus deberes son etiquetar el contenido sintético que publiques, formar a tu plantilla y no emplear la IA en prácticas prohibidas. Riesgo bajo si te ordenas.
• Integras IA en tus productos o procesos de cliente (chatbots, scoring, recomendadores): añade transparencia con el usuario (debe saber que habla con una IA) y revisa si tu caso entra en alto riesgo según el AI Act.
• Desarrollas sistemas de IA: te aplican las obligaciones completas de proveedor: documentación técnica, gestión de riesgos, marcado del contenido y registro cuando proceda.

El error más común que vemos es el contrario al que imaginas: no es hacer demasiado poco, es paralizarse. La ley no prohíbe usar IA en la empresa; prohíbe usos concretos y exige transparencia en otros. Quien entiende la frontera puede avanzar con tranquilidad, como explicamos en la guía de IA para empresas. Y si te preocupan los riesgos de fondo de esta tecnología, tenemos un análisis sereno en ¿es peligrosa la inteligencia artificial?

Preguntas frecuentes sobre la ley de IA española

¿La ley española de IA sustituye al AI Act europeo?

No. El AI Act es un reglamento europeo de aplicación directa en España. La ley española lo complementa: designa a la AESIA y al resto de autoridades de supervisión, concreta el régimen sancionador con cuantías específicas y añade prohibiciones propias, como la de los deepfakes sexuales sin consentimiento.

¿Tengo que etiquetar los textos escritos con ChatGPT?

La obligación de marcado se centra en imagen, vídeo y audio sintéticos. Para texto, el deber de indicar el origen artificial aplica cuando se publica informando al público sobre asuntos de interés general sin revisión editorial humana. Un post corporativo revisado por tu equipo no requiere etiqueta, aunque declararlo es buena práctica.

¿Qué pasa si mi empresa usa un deepfake con fines publicitarios?

Los deepfakes con fines creativos o publicitarios no están prohibidos con carácter general, pero deben etiquetarse de forma clara y visible como contenido generado por IA. Si utilizas la imagen o la voz de una persona real, además necesitas su consentimiento expreso; sin él te expones a sanciones y a reclamaciones civiles.

¿Desde cuándo puede multar la AESIA a una empresa?

Las prohibiciones del AI Act rigen desde febrero de 2025 y las obligaciones de transparencia y etiquetado desde el 2 de agosto de 2026. Con la ley española aprobada en mayo de 2026, la AESIA dispone del instrumento sancionador nacional para instruir expedientes y multar conforme a los tramos de leves, graves y muy graves.

Si no tienes claro si tus usos de IA cumplen con la ley española y el AI Act, mejor salir de dudas ahora que con un expediente encima de la mesa. En IAmanos ayudamos a empresas españolas y europeas a implantar IA útil y conforme: etiquetado de contenido, transparencia en chatbots y documentación de sistemas. Reserva una consultoría gratuita de 30 minutos y revisamos tu caso contigo.