En España no vigila la IA una sola autoridad. El proyecto de ley del Gobierno designa como organismo central a la Agencia de Supervisión de Inteligencia Artificial (AESIA), con sede en A Coruña. A ella se suman la Agencia Española de Protección de Datos (AEPD) cuando hay datos personales de por medio y otras autoridades de vigilancia del mercado, según el sector. Una advertencia importante: esa ley era todavía un proyecto en las Cortes en las fuentes que hemos consultado, así que conviene comprobar su estado actual.
Si usas un agente de IA para atender a clientes, preparar presupuestos o ordenar documentos, es normal que te preguntes si alguien te va a pedir cuentas y quién. Una gran empresa tiene un departamento de cumplimiento que sabe a qué puerta llamar. En una pyme esa figura no existe, y la duda se queda en el aire. Este mapa no pretende convertirte en jurista; sirve para que sepas qué ventanilla es cada una y qué conviene tener a mano.
¿Quién vigila el uso de IA en España?
Hay tres niveles, y conviene no mezclarlos.
La AESIA, el organismo central
El Consejo de Ministros aprobó el 26 de mayo de 2026 el proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial y lo remitió a las Cortes. Ese texto designa a la AESIA, con sede en A Coruña, como organismo central de supervisión. Es, por tanto, la agencia a la que mirar si tu duda es de IA en general.
La AEPD, cuando hay datos personales
La Agencia Española de Protección de Datos ya era la autoridad que recibe las reclamaciones de la gente cuando cree que se han usado mal sus datos. Según su Memoria de 2025, ese año recibió más de 30.000 reclamaciones, la cifra más alta de su historia, aunque se trata de protección de datos en general y no solo de IA. Si tu agente toca datos de clientes o de empleados, esta es la autoridad que más probablemente conocerás primero.
Otras autoridades de vigilancia del mercado
El proyecto de ley habla de la AESIA junto a otras autoridades de vigilancia del mercado, entre ellas la AEPD en lo relativo a datos. Qué autoridad concreta te correspondería en tu sector (sanidad, finanzas, educación, transporte…) es algo que debe confirmarte tu asesor, porque depende de para qué uses la IA.
Y, por encima, la Comisión Europea
La Comisión Europea comunicó que desde el 2 de agosto de 2026 su Oficina de IA y las autoridades nacionales empiezan a hacer cumplir el Reglamento de IA. Es decir, las dos capas trabajan juntas: Bruselas por arriba y las autoridades de cada país por abajo.
¿A quién te puede tocar responder?
Depende de qué hayas hecho o dejado de hacer, no de que uses IA a secas. Tres situaciones típicas para una pyme:
- Un cliente o un empleado se queja por el uso de sus datos. La puerta de entrada suele ser la AEPD, que es quien recibe las reclamaciones y revisa cómo se tratan los datos personales.
- Tu equipo usa IA y no ha recibido ninguna orientación. La Comisión Europea recuerda que la obligación de apoyar la alfabetización en IA del personal se aplica desde el 2 de febrero de 2025, y que su supervisión corresponde a las autoridades nacionales de vigilancia del mercado, no a la Oficina de IA.
- Tu chatbot atiende a clientes sin avisar de que es IA. Desde el 2 de agosto de 2026 se aplican reglas de transparencia: los chatbots deben avisar de que son IA. Es un punto fácil de cumplir y fácil de olvidar.
Ninguna de las tres cosas es complicada de preparar. Lo difícil es no haber pensado en ellas.
¿Qué ocurre mientras la ley española no esté aprobada?
A propósito de la obligación de formar al personal, la Comisión señala que las autoridades nacionales podrán sancionar las infracciones sobre la base de leyes nacionales que los Estados miembros debían adoptar antes del 2 de agosto de 2025, y añade que toda sanción debe ser proporcionada. En España, la ley que ordena el reparto de competencias seguía siendo un proyecto en las fuentes consultadas. No es una razón para esperar: lo que el Reglamento europeo ya exige, como apoyar la formación del personal o avisar de que un chatbot es IA, conviene tenerlo resuelto cuanto antes, sin aguardar a ver cómo queda la ley nacional. Lo prudente es preparar tus papeles ahora y confirmar con tu asesor jurídico cómo queda el reparto de competencias cuando se apruebe.
Cinco cosas que puedes tener preparadas
- Una lista de las herramientas de IA que usáis y para qué. Una hoja con nombre, uso, quién la utiliza y si toca datos personales.
- Un registro interno de la formación. La Comisión aclara que no hace falta ningún certificado: basta con llevar un registro interno de las formaciones y otras iniciativas de orientación.
- Aviso claro en los canales automáticos. Si un cliente habla con un asistente automático, que lo sepa desde el primer mensaje.
- Una norma sobre qué datos no se meten en herramientas de IA. La AEPD recomienda no incluir información confidencial de la entidad, de su personal ni de sus clientes. Es una recomendación, no una obligación por sí misma, pero es buen sentido.
- Un responsable por cada agente. Una persona de tu equipo que sepa qué hace, qué datos toca y a quién avisar si algo sale mal.
Para profundizar en lo que exige la norma europea a una empresa pequeña, tienes el EU AI Act explicado para pymes y un checklist de cumplimiento del AI Act para pymes. Si tu preocupación es el uso de datos, en IA y RGPD lo planteamos desde ese ángulo.
Qué puede hacer un agente y qué tiene que hacer una persona
Un agente puede ayudarte a llevar ese orden: mantener la lista de herramientas y usos, recordar quién ha hecho la formación, avisarte de revisiones pendientes y reunir la documentación si te la piden. Lo que no puede hacer es interpretar la norma por ti, decidir si un uso concreto tiene más riesgo del que parece ni responder a un requerimiento de una autoridad. Eso corresponde a tu asesor jurídico, a tu delegado de protección de datos si lo tienes, y a ti como responsable de la empresa. El agente prepara y organiza; el profesional decide.
Fuentes
- Comisión Europea, Preguntas y respuestas sobre alfabetización en IA
- La Moncloa, Consejo de Ministros de 26 de mayo de 2026
- Comisión Europea, comunicado sobre el inicio de la aplicación del Reglamento de IA el 2 de agosto
- AEPD, memoria de 2025 y reclamaciones recibidas
- AEPD, decálogo de recomendaciones para proteger la privacidad al usar herramientas de IA
Conclusión
La vigilancia de la IA en España se reparte entre una agencia específica, la AESIA, la AEPD para todo lo que afecta a datos personales y otras autoridades según el sector, con la Comisión Europea por encima. Para una pyme, lo útil no es memorizar siglas, sino tener a mano lo que cualquiera de ellas te pediría: qué herramientas usas, quién las maneja, qué datos tocan y cómo has formado a tu equipo.
En MG Solutions construimos agentes de IA específicos para cada empresa, adaptados a tu forma de trabajar y a tus herramientas, no una plantilla genérica, y los dejamos documentados para que sepas siempre qué hacen y con qué datos.
Si quieres ver cómo encajaría en tu empresa, escríbenos y lo hablamos.