España y Reglamento de IA: lo que AESIA y AEPD esperan de las empresas
España creó la AESIA, primera agencia nacional de supervisión de la IA en la UE. Lo que las empresas deben preparar con la AEPD y la LOPDGDD.
España no esperó a Bruselas para organizarse. En agosto de 2023, el Gobierno aprobó por real decreto el Estatuto de la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA), con sede en A Coruña. Así, España se convirtió en el primer país de la Unión Europea en contar con una agencia nacional dedicada a supervisar la inteligencia artificial, antes incluso de la aprobación del Reglamento europeo de IA.
Para las empresas españolas, esto cambia las reglas del juego. Ahora tienen dos interlocutores: la AESIA para los sistemas de IA y la Agencia Española de Protección de Datos (AEPD) para los datos personales. Y las dos ya miran lo que la plantilla escribe en ChatGPT, Copilot o Gemini.
Una agencia pensada para el Reglamento de IA
La AESIA nació de una decisión política clara: tener una autoridad preparada el día en que se aplicaran las obligaciones europeas. Empezó su actividad presencial en A Coruña a principios de 2025. El proyecto de ley orgánica para el buen uso y la gobernanza de la inteligencia artificial, en tramitación en el Congreso de los Diputados en 2026, la convierte en la principal autoridad de vigilancia del mercado, con potestad sancionadora, una ventanilla única de reclamaciones y la gestión del sandbox regulatorio nacional.
El texto recoge los límites del Reglamento europeo. Para las prácticas prohibidas, la multa puede llegar a 35 millones de euros o al 7 % del volumen de negocio mundial. El proyecto añade además una infracción muy grave por no notificar un incidente grave.
La AEPD y la LOPDGDD siguen en primera línea
La llegada de la AESIA no resta competencias a la AEPD. En cuanto un prompt contiene un nombre, un DNI, un IBAN o un historial médico, se aplica el RGPD, completado en España por la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales, la conocida LOPDGDD.
Esta ley tiene una particularidad que los responsables de sistemas deben tener presente: reconoce derechos digitales en el trabajo, como la intimidad en el uso de los dispositivos que facilita la empresa o el derecho a la desconexión digital. En la práctica, cualquier control del uso de la IA debe ser proporcionado, comunicado a la plantilla y respaldado por normas escritas. Vigilar a escondidas no es una opción.
El calendario: lo que ya se aplica y lo que llega
El Reglamento de IA se aplica por fases, y varias obligaciones ya están en vigor:
Desde el 2 de febrero de 2025: prohibición de ciertas prácticas y obligación de alfabetización en IA (artículo 4).
Desde el 2 de agosto de 2025: normas para los modelos de IA de uso general y regímenes sancionadores nacionales.
Próximamente: el acuerdo político provisional sobre el Ómnibus Digital, alcanzado el 7 de mayo de 2026, prevé aplazar las obligaciones de transparencia al 2 de diciembre de 2026 y las de los sistemas de alto riesgo del anexo III al 2 de diciembre de 2027.
Este aplazamiento no es una excusa. La alfabetización en IA y el RGPD se aplican hoy, y son lo primero que la AEPD y la AESIA pueden revisar.
El riesgo real del día a día: los datos en los prompts
En la mayoría de las empresas españolas, la IA no llega con un gran proyecto. Llega con un comercial que pega un contrato en un chatbot, una abogada que resume un expediente o un contable que pide ayuda con una hoja de nóminas. Buena parte de estos usos son IA en la sombra, fuera de cualquier control del departamento de sistemas.
En la banca, los seguros, la sanidad o el turismo, sectores con mucho peso en España, esos textos contienen DNI, NIE, números de la Seguridad Social, IBAN o datos de salud. Una vez enviados a un servicio de IA externo, salen del perímetro de la empresa. Para la AEPD, es una cuestión de base jurídica y de seguridad. Prohibir ChatGPT no resuelve nada: la plantilla encuentra otra herramienta. La verdadera pregunta, que también plantea la IA soberana, es adónde van los datos.
Cinco tareas para empezar ya
Mapear los usos: qué herramientas de IA se usan, quién las usa y con qué datos. Sin inventario es imposible clasificar los riesgos según el Reglamento de IA.
Formar, y poder demostrarlo: el artículo 4 exige un nivel suficiente de alfabetización en IA. Guarde registro de las formaciones, sin confiar solo en ellas.
Redactar una política de uso clara, compartida con la representación de los trabajadores y coherente con los derechos digitales de la LOPDGDD.
Proteger los datos en origen: detectar y anonimizar los identificadores españoles antes de que salgan del equipo.
Conservar pruebas: registrar los incidentes evitados para poder responder a una inspección de la AEPD o de la AESIA.
Nuestro checklist del Reglamento de IA y del artículo 32 del RGPD detalla estos puntos paso a paso.
Cómo ayuda ZeusLock a las empresas españolas
ZeusLock funciona directamente en el equipo y en el navegador de cada empleado. Antes de que un prompt o un archivo llegue a un asistente de IA, detecta los datos sensibles (DNI, NIE, IBAN, números de la Seguridad Social, datos de clientes), los anonimiza conservando su formato, avisa al usuario o bloquea el envío según sus reglas. Cada incidente queda registrado, lo que le da pruebas concretas para presentar en una inspección. Para empezar, nuestro manual de despliegue en 90 días propone un plan realista.
En resumen
España es el primer país de la UE en crear una agencia nacional de supervisión de la IA, la AESIA.
La AEPD sigue siendo competente en cuanto hay datos personales, junto con la LOPDGDD.
La alfabetización en IA y el RGPD ya se aplican, aunque algunos plazos del Reglamento se muevan.
El principal riesgo se esconde en los prompts del día a día.
¿Quiere ver cómo proteger los datos de sus equipos en España sin frenar el uso de la IA? Solicite una demo de ZeusLock.
Proteja sus datos de las fugas hacia la IA
Vea cómo ZeusLock detiene los datos sensibles antes de ChatGPT, Claude, Gemini y otros, en una demo de 30 minutos.
