España aprueba su Ley de IA: multas de hasta 35 millones y el primer veto legal a los deepfakes sexuales
España tiene Ley de IA: lo que cambia, lo que prohíbe y lo que te afecta directamente
El pasado 27 de mayo, el Gobierno español aprobó en Consejo de Ministros el proyecto de ley para el buen uso y la gobernanza de la inteligencia artificial, el texto regulatorio más ambicioso que ha producido España en el ámbito tecnológico. No es solo una transposición del reglamento europeo: va más allá en varios puntos clave, y algunos de ellos afectan directamente a cualquier empresa, profesional o plataforma que opere en el país.
El ministro Óscar López lo presentó como un ejemplo de que España puede "abanderar una IA ética y confiable". Pero más allá del discurso político, lo que importa son los detalles concretos de un texto que establece qué se puede hacer, qué está prohibido y cuánto te puede costar saltarte las reglas.
El catálogo de lo prohibido: usos de IA que desde ahora son ilegales en España
La ley establece una lista de usos de IA inaceptables que quedan directamente prohibidos. No son hipótesis de futuro: son aplicaciones que ya existen y que ahora tienen una frontera legal clara.
Están prohibidos los chatbots que identifiquen a usuarios con adicción al juego para incitarles a entrar en plataformas de juego. Los juguetes infantiles dotados con IA que puedan animar a los niños a completar retos dañinos. Los sistemas que clasifiquen a personas con biometría — orientación política, sexual u otras — a partir del análisis de sus fotos en redes sociales. Y, en uno de los puntos más relevantes socialmente, la generación de deepfakes sexuales queda expresamente prohibida.
Este último punto llegó como respuesta directa a la polémica generada por los desnudos de mujeres creados por Grok, el asistente de la red social X, que obligó a varios países asiáticos a bloquear el servicio a principios de año. España va más allá de lo que la normativa europea requería en este punto.
Las sanciones: cuando la multa duele de verdad
El régimen sancionador distingue tres niveles. Las infracciones más leves pueden suponer multas de 500.000 euros o el 0,5% del volumen de negocio anual. Las graves escalan significativamente. Y las muy graves, las que implican vulneraciones de los usos prohibidos o riesgos inaceptables, pueden alcanzar hasta 35 millones de euros o el 7% del volumen de negocio anual, lo que sea mayor.
Para una startup con 10 millones de facturación, eso podría significar 700.000 euros. Para una multinacional con operaciones en España, el 7% puede ser astronómico. El incentivo para cumplir es económicamente real.
El contexto europeo: agosto de 2026, la fecha que pocas empresas tienen en el calendario
La ley española no opera en el vacío. El Reglamento europeo de IA entró en vigor el 1 de agosto de 2024 y será plenamente aplicable a partir del 2 de agosto de 2026. Quedan menos de dos meses. La mayoría de los sistemas de IA en producción deberán cumplir con obligaciones de transparencia, documentación técnica y evaluación de riesgos que muchas empresas todavía no han abordado.
Además, la Comisión Europea está ultimando el Código de buenas prácticas sobre contenidos generados por IA, cuya versión definitiva está prevista precisamente para junio de 2026. Este código incluirá el marcado obligatorio de imágenes, audio y texto generados por IA, incluyendo los deepfakes, y las directrices para plataformas sobre cómo implementarlo.
Lo que más cambia para las empresas tecnológicas
Más allá de las prohibiciones, la ley introduce obligaciones transversales que impactan directamente el desarrollo de producto. Cualquier sistema de IA que interactúe con usuarios debe revelar su naturaleza artificial. Los sistemas de alto riesgo — los que operan en contratación, educación, servicios públicos o infraestructura crítica — deben someterse a evaluaciones de impacto y registros específicos.
Y una novedad relevante para el sector: tres de cada cinco personas expresan desconfianza ante los sistemas de IA según estudios globales recientes, y el 71% piden activamente más regulación. Las empresas que se adelanten a cumplir no solo evitan sanciones: están respondiendo a una demanda real de sus usuarios.
El debate que viene
La aprobación del texto no cierra el debate, lo abre. Quedan por definir los mecanismos de supervisión, la autoridad competente que aplicará las sanciones en España, y cómo se gestionará la tensión entre innovación y cumplimiento para las empresas de menor tamaño. Lo que sí queda claro es que la era de la autorregulación voluntaria de la IA en Europa está formalmente terminada.
