Respuesta corta: la AESIA (Agencia Española de Supervisión de la Inteligencia Artificial) es el organismo público que vigila en España que los sistemas de inteligencia artificial cumplan el Reglamento europeo de IA. Tiene su sede en A Coruña, depende del Ministerio para la Transformación Digital y de la Función Pública y su estatuto se aprobó con el Real Decreto 729/2023. Supervisa e inspecciona, y la ley orgánica que se tramita en el Congreso le dará el cauce para imponer las multas del reglamento. Mientras tanto, gestiona el sandbox español de IA y publica guías para ayudar a las empresas a cumplir.
Si tu empresa usa ChatGPT, un sistema de cribado de candidatos con IA o un chatbot de atención al cliente, la AESIA es la autoridad que, llegado el caso, puede pedirte explicaciones. Por eso conviene saber qué hace, qué puede exigir y qué tienes que tener preparado. Este artículo forma parte de nuestra guía sobre el reglamento europeo de IA para empresas.
Qué es la AESIA
La Agencia Española de Supervisión de la Inteligencia Artificial es una entidad de derecho público con personalidad jurídica propia y autonomía de gestión. El Gobierno aprobó su estatuto el 22 de agosto de 2023 con el Real Decreto 729/2023, publicado en el BOE el 2 de septiembre de 2023. Fue una de las primeras agencias de Europa creadas específicamente para supervisar la inteligencia artificial, antes incluso de que se aprobara el reglamento europeo.
| Dato | Detalle |
|---|---|
| Nombre completo | Agencia Española de Supervisión de la Inteligencia Artificial |
| Norma que aprueba su estatuto | Real Decreto 729/2023, de 22 de agosto |
| Sede | A Coruña (edificio de La Terraza) |
| Ministerio | Transformación Digital y de la Función Pública, a través de la Secretaría de Estado de Digitalización e Inteligencia Artificial |
| Web oficial | aesia.digital.gob.es |
Qué funciones tiene
El artículo 10 de su estatuto le encarga, entre otras, estas funciones:
- Supervisar que los sistemas de IA cumplen la normativa nacional y europea y, cuando proceda, sancionar los incumplimientos.
- Promover entornos controlados de pruebas (sandboxes) en los que probar sistemas innovadores antes de llevarlos al mercado.
- Crear marcos de certificación voluntaria para un diseño responsable de la IA.
- Analizar tendencias y evaluar el impacto social de la inteligencia artificial.
- Formar y concienciar sobre un uso ético y responsable de la IA.
- Colaborar con el sector público y el privado para facilitar una adopción responsable.
En la práctica, su trabajo tiene dos caras: la del supervisor que inspecciona (y sancionará cuando se apruebe la ley española) y la del organismo que acompaña a las empresas con guías y pruebas en un entorno controlado.
Su papel con el Reglamento europeo de IA
El Reglamento (UE) 2024/1689, conocido como AI Act, obliga a cada Estado miembro a designar autoridades que vigilen su cumplimiento. En España ese papel recae principalmente en la AESIA, que actúa como autoridad de vigilancia del mercado y como interlocutor con la Comisión Europea y con las autoridades de otros países. En ámbitos concretos la supervisión se reparte con otros organismos, como la Agencia Española de Protección de Datos, el Banco de España, la CNMV o el Consejo General del Poder Judicial.
El reglamento se aplica por fases. Este es el calendario después del aplazamiento aprobado con el Reglamento (UE) 2026/1744 (el llamado Ómnibus digital):
| Desde | Qué se aplica |
|---|---|
| 2 de febrero de 2025 | Prácticas prohibidas (art. 5) y obligación de alfabetización en IA del personal (art. 4) |
| 2 de agosto de 2025 | Normas para los modelos de IA de uso general, gobernanza y régimen de sanciones |
| 2 de agosto de 2026 | Obligaciones de transparencia y la mayor parte del resto del reglamento |
| 2 de diciembre de 2027 | Sistemas de alto riesgo del anexo III, como los de empleo, educación o crédito |
| 2 de agosto de 2028 | Sistemas de alto riesgo integrados en productos regulados (anexo I) |
Las prohibiciones, la alfabetización y la transparencia no se han movido. Lo explicamos con detalle en los cambios de la ley europea de IA en 2026.
La ley española que completa su papel
Para aplicar del todo el reglamento, España prepara una ley propia. El Consejo de Ministros aprobó el 26 de mayo de 2026 el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial, que en septiembre de 2026 seguía en tramitación en el Congreso. El texto:
- designa a las autoridades de supervisión y refuerza a la AESIA como punto de contacto único;
- fija un régimen sancionador nacional, con multas que en los casos más graves llegan a 35 millones de euros o al 7 % de la facturación mundial, el máximo que permite el reglamento europeo;
- regula los entornos controlados de pruebas y añade obligaciones para el sector público estatal.
Hasta que esa ley se publique en el BOE, la AESIA no tiene todavía el cauce para imponer las multas del reglamento. Eso no es una moratoria: el reglamento europeo se aplica directamente, sus obligaciones ya son exigibles y la AEPD puede actuar desde hoy cuando el uso de IA trata datos personales.
En las multas de la ley de IA desglosamos los tramos y a quién afectan.
El sandbox de IA y las 16 guías
El Real Decreto 817/2023, de 8 de noviembre, creó un entorno controlado de pruebas para comprobar cómo cumplen el reglamento los sistemas de IA, sobre todo los de alto riesgo, antes de que sus obligaciones fueran exigibles. La primera convocatoria se publicó el 20 de diciembre de 2024 y en abril de 2025 se seleccionaron 12 sistemas de alto riesgo para la fase de pruebas.
De ese piloto salieron las 16 guías prácticas de la AESIA. Cubren la evaluación de la conformidad, el sistema de gestión de la calidad, la gestión de riesgos, la supervisión humana, los datos, la transparencia, la precisión, la solidez, la ciberseguridad, los registros, la vigilancia poscomercialización, la gestión de incidentes y la documentación técnica, e incluyen listas de comprobación. No son vinculantes, pero hoy son la referencia más práctica en español para preparar un sistema de IA, y la agencia las irá actualizando a medida que se aprueben las normas técnicas europeas.
Qué debe hacer tu empresa
Aunque no desarrolles IA, si la usas en tu trabajo eres «responsable del despliegue» y tienes obligaciones. Un punto de partida razonable:
- Haz un inventario de las herramientas de IA que usa tu equipo, incluidas las que cada persona usa por su cuenta.
- Clasifica el riesgo de cada uso: prácticas prohibidas, alto riesgo (por ejemplo, filtrar candidatos o evaluar a empleados), riesgo limitado o mínimo.
- Comprueba que nada entra en las prácticas prohibidas del artículo 5, que se aplican desde febrero de 2025.
- Forma a tu plantilla. El artículo 4 exige que quien usa sistemas de IA tenga un nivel suficiente de alfabetización en IA. Te lo contamos en formación en IA obligatoria y en qué debe saber tu equipo.
- Avisa cuando haya IA de por medio: chatbots, contenido generado o manipulado y el resto de casos de transparencia.
- Usa las guías de la AESIA como lista de control si alguno de tus usos puede ser de alto riesgo.
Si eres una pyme, en la ley de IA para pymes separamos lo que te afecta de verdad de lo que no.
Por dónde empezar
La obligación que ya se aplica a casi todas las empresas es la de formación del artículo 4. Con AI Fluency tu equipo aprende a usar la IA en su trabajo con criterio, y la formación queda documentada por rol, que es lo que conviene poder enseñar si la AESIA pregunta.