AESIA: qué es, qué puede exigirte y cómo evitar sanciones

Rechazas a un candidato. Semanas después, denuncia que tu proceso de selección usó IA para cribar currículums sin avisar. Y un día llega una carta desde A Coruña pidiéndote la documentación de ese sistema. Esa carta la firma la AESIA.

De la ley europea, el AI Act, se ha escrito muchísimo. De quién la hace cumplir en España y qué puede hacerte en concreto, casi nada. Y esa es la parte que a un empresario le quita el sueño, con razón: no es lo mismo saber qué dice una norma que saber quién llama a tu puerta si no la cumples.

Esta guía te explica qué es la AESIA, qué te puede exigir, cuánto te puede multar y los mitos que meten a las pymes en un lío. Con un aviso por delante: esto es orientación, no asesoramiento jurídico; la interpretación de tu caso concreto la hace tu abogado.

Qué es la AESIA y por qué España fue la primera de la UE en tenerla

La Agencia Española de Supervisión de la Inteligencia Artificial se creó por el Real Decreto 729/2023, tiene su sede en A Coruña y fue la primera agencia de este tipo en toda la Unión Europea. España se adelantó casi un año a la aprobación formal del AI Act, y no por casualidad: quería llegar a las fechas clave con experiencia inspectora, criterios elaborados y un equipo formado.

Para ti eso tiene una consecuencia práctica. La AESIA no va a improvisar sus primeras inspecciones a partir de agosto de 2026: llega con rodaje, con inspectores y con presupuesto propio. Ya tiene potestad inspectora desde febrero de 2025 sobre las prácticas prohibidas, y a partir del 2 de agosto de 2026 asume competencias sancionadoras plenas sobre el resto de obligaciones vigentes.

Un matiz importante: la AESIA es la autoridad central y coordinadora, pero no está sola. La ley reparte competencias por materia. La propia AESIA supervisa el AI Act en general; la AEPD, cuando hay datos personales; el Banco de España y la CNMV, en el ámbito financiero; el CGPJ, en el judicial. Si tu sistema de IA trata datos de clientes, puedes tener a dos autoridades mirando a la vez.

Qué te puede exigir y qué te puede hacer

Aquí es donde conviene ser concreto, porque «supervisar» suena abstracto hasta que ves la lista de poderes reales. Estos son los que la ley le atribuye.

Ese último punto es el que más duele a muchas empresas: no es solo la multa, es quedarte fuera de las licitaciones. Y lo que la AESIA va a pedirte en la práctica es previsible: información sobre tus sistemas de IA, especialmente los de alto riesgo, inspecciones y requerimientos de documentación. Sin papeles preparados, responder a tiempo es imposible.

Cómo llega a tu puerta: la ventanilla única y la denuncia

La supervisión no depende solo de auditorías programadas. El proyecto de ley española crea una ventanilla única en la AESIA para que cualquier persona o empresa comunique posibles incumplimientos. Un empleado, un cliente, un candidato rechazado o incluso un competidor pueden ser el origen de un expediente. Y la AESIA también puede actuar de oficio, por su cuenta.

Ojo a la conclusión que se saca de ese esquema: no toda denuncia acaba en sanción —muchas se archivan o se resuelven con una corrección—, pero cualquiera puede iniciar el proceso. Por eso el argumento de «somos demasiado pequeños para que nos miren» no protege de nada.

Cuánto te puede multar, y la letra que protege a las pymes

El régimen sancionador del AI Act es de los más severos del derecho europeo, por encima incluso del RGPD en su tramo más alto. Estos son los topes.

Antes de que te dé un vértigo, la letra pequeña que sí te favorece. El artículo 99.6 del Reglamento prevé un régimen específico para pymes y startups: se aplica la menor de las dos cifras, la fija o el porcentaje, no la mayor. Además, hay reducciones por pronto pago y, sobre todo, por adoptar medidas correctoras antes de que concluya el expediente. La norma prioriza que arregles el problema sobre castigarte.

Tres mitos que meten a las pymes en un lío

Buena parte de los problemas no vienen de la norma, sino de tres creencias falsas muy extendidas.

Ese último punto merece una frase aparte, porque es el más ignorado: tu empresa es responsable del uso de IA que hagan tus empleados. Aunque usen una herramienta que no aprobaste, aunque lo hagan por su cuenta, la responsabilidad sigue siendo de la organización.

Conviene cerrar situando bien la pieza legal. La ley española que ordena todo esto —el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la IA— se aprobó como proyecto en el Consejo de Ministros el 26 de mayo de 2026 y se publicó en el boletín del Congreso el 12 de junio, pero todavía está en tramitación y no ha llegado al BOE. Eso no te da tregua: esa ley solo añade la maquinaria nacional de autoridades y sanciones; las obligaciones de fondo vienen del Reglamento europeo, que es de aplicación directa y ya está vigente. Es decir, la AESIA ya tiene dientes aunque la ley española aún no esté publicada.

La conclusión es tranquila pero clara. La AESIA no es una abstracción lejana: es una autoridad operativa, con inspectores, una ventanilla abierta a cualquiera y capacidad para multarte, obligarte a parar y dejarte fuera de los contratos públicos. Pero la otra cara es que, para una pyme que hace bien lo básico, el riesgo es bajo: la proporcionalidad existe y corregir a tiempo rebaja la sanción. La defensa frente a la AESIA no es tener un abogado en marcación rápida; es la carpeta aburrida de documentación que preparas antes de que nadie llame a la puerta —el inventario de tus IA, los registros de formación, el chatbot etiquetado—. Prepararla es cosa de una tarde ahora, o de una improvisación imposible en quince días bajo inspección. Y, de nuevo por honestidad: esto orienta, no sustituye a tu asesor jurídico.