AI Act España (Reglamento IA)

Definición en 30 segundos

El AI Act es el Reglamento europeo (UE) 2024/1689 que establece un marco jurídico armonizado para el desarrollo, comercialización y uso de sistemas de inteligencia artificial en la Union Europea. Clasifica los sistemas de IA en cuatro niveles de riesgo (inaceptable, alto, limitado y mínimo), prohíbe determinadas prácticas (social scoring, manipulación subliminal, identificación biométrica remota en tiempo real), impone obligaciones de transparencia y documentación, y establece sanciones que pueden alcanzar el 7% de la facturación anual global. España fue el primer país de la UE en crear una autoridad de supervisión de IA: la AESIA, con sede en A Coruña. Publicado en el DOUE el 12 de julio de 2024, su aplicación es escalonada entre febrero de 2025 y agosto de 2028.

Qué es el AI Act y por que importa en España

El 13 de junio de 2024, la Union Europea aprobo el Reglamento (UE) 2024/1689, conocido como AI Act o Ley de Inteligencia Artificial. Es la primera legislación integral del mundo que regula la inteligencia artificial de forma horizontal, aplicable a todos los sectores y a todos los sistemas de IA que se comercialicen, pongan en servicio o utilicen en territorio europeo, independientemente de donde este establecido el proveedor.

Para España, el AI Act tiene una relevancia particular por tres razones:

1. Pionerismo regulatorio: España fue el primer país de la UE en crear una autoridad nacional de IA (AESIA, Real Decreto 729/2023) y el primero en poner en marcha un sandbox regulatorio de IA (el «entorno controlado de pruebas», Real Decreto 817/2023).

2. Adopción empresarial acelerada: según la Encuesta sobre el uso de TIC y del comercio electrónico en las empresas del INE —datos definitivos publicados el 22 de octubre de 2025—, el 21,1 % de las empresas de 10 o más empleados usa IA en el primer trimestre de 2025, 8,7 puntos más que el año anterior, y el 13,4 % de las de menos de 10 empleados, 5,9 puntos más. Por sectores, servicios encabeza con el 25,7 % frente al 17,5 % de industria y el 11,4 % de construcción. (Ese 11,4 % de construcción no debe confundirse con el 11,4 % de adopción general que el ONTSI midió para 2024 y que se cita más arriba: coinciden por casualidad y miden cosas distintas.) La progresión es rápida: el ONTSI medía un 11,4 % de empresas de 10 o más empleados con IA en 2024, de modo que la adopción prácticamente se ha duplicado en un año.

3. Ecosistema de startups: hay un tejido de empresas emergentes de IA que debe adaptarse al nuevo marco. No se da aquí un recuento: la cifra de «más de 600 startups» que circula atribuida a Spain AI no tiene documento localizable, ni año, ni metodología, y sin ellos no dice nada.

Este análisis lo firma Jonathan Izquierdo, perito informático forense. En el ámbito del peritaje, el AI Act abre un nuevo campo de actividad profesional: la auditoría de sistemas de IA, la detección de contenido generado por IA (deepfakes), la verificación de sesgos algorítmicos y el análisis de evidencia digital producida o manipulada por sistemas de inteligencia artificial. Cómo perito, ya estoy recibiendo consultas de empresas que necesitan evaluar si sus sistemas de IA cumplen los requisitos del reglamento.

Timeline completo de aplicación del AI Act

Clasificación de riesgos: los 4 niveles del AI Act con ejemplos

El AI Act establece un enfoque basado en riesgos. Cuánto mayor es el riesgo que un sistema de IA plantea para los derechos fundamentales, más estrictas son las obligaciones.

Nivel 1: Riesgo inaceptable (PROHIBIDO) - Título II

Estas prácticas están prohibidas desde el 2 de febrero de 2025. Las sanciones por incumplimiento alcanzan el 7% de la facturación global (hasta 35M EUR).

Excepciones a la prohibición de biometría remota (Art. 5.2-5.3): Solo permitida con autorización judicial previa para: búsqueda de víctimas de secuestro/trata, prevención de amenaza terrorista inminente y específica, y localización de sospechosos de delitos graves listados en art. 5.1.h (incluye terrorismo, trata, homicidio, violación, secuestro, crimen organizado).

Nivel 2: Alto riesgo (REGULADO) - Título III

Los sistemas de alto riesgo son los que tienen impacto significativo en derechos fundamentales. Existen dos vias para ser clasificado como alto riesgo:

Vía 1 — Anexo I (art. 6.1): sistemas de IA integrados en productos ya regulados por normativa sectorial de la UE (maquinaria, juguetes, ascensores, productos sanitarios, vehículos). Aplicable desde el 2 de agosto de 2028, tras la prórroga.

Vía 2 — Anexo III (art. 6.2): sistemas de IA en áreas sensibles. Aplicable desde el 2 de diciembre de 2027, tras la prórroga:

Las 9 obligaciones de los sistemas de alto riesgo (Arts. 8-15):

Nivel 3: Riesgo limitado (TRANSPARENCIA) - Título IV

Nivel 4: Riesgo mínimo (SIN OBLIGACIONES ESPECIFICAS)

La mayoría de los sistemas de IA actuales caen en esta categoría: filtros de spam, vídeojuegos con IA, sistemas de recomendación de contenido, asistentes de navegación, correctores ortográficos con IA. No tienen obligaciones específicas bajo el AI Act, aunque se anima a la adopción voluntaria de códigos de conducta (Art. 95).

AESIA: la autoridad española de inteligencia artificial

La Agencia Española de Supervisión de la Inteligencia Artificial (AESIA) fue creada por Real Decreto 729/2023, de 22 de agosto, con sede en A Coruña (Galicia). Es la autoridad nacional designada bajo el Art. 70 del AI Act, siendo España el primer Estado miembro en designar formalmente su autoridad de supervisión.

Qué consta de AESIA, y qué no:

• Sede: A Coruña (Galicia)
• Dirección: Alberto Gago Fernández, nombrado director con efectos del 7 de enero de 2026.
• Presupuesto, plantilla y expedientes: no se reproducen aquí. Las cifras que circulaban —14,2 millones de euros, 65 efectivos, 89 expedientes informativos y 12 procedimientos sancionadores en 2025— no aparecen ni en la web oficial de la Agencia ni en su memoria accesible, y el ejercicio 2026 arrancó además en prórroga presupuestaria
• Entorno controlado de pruebas (el «sandbox», primero de la UE): creado por el Real Decreto 817/2023, de 8 de noviembre — la norma no emplea la palabra «sandbox», sino «entorno controlado de pruebas», 94 veces.
• Coordinación: AEPD (protección datos), CNMC (competencia), CCN-CERT (ciberseguridad), INCIBE (ciberseguridad empresarial)

AI Act vs RGPD: tabla comparativa

Muchas empresas y abogados confunden el ámbito de ambas regulaciones. Cómo perito, es fundamental distinguirlas porque la auditoría forense varía según la norma aplicable.

Interacción clave: Un sistema de IA que procesa datos personales debe cumplir ambos reglamentos simultáneamente. Ejemplo: un sistema de selección de personal con IA debe cumplir las obligaciones de alto riesgo del AI Act (auditoría sesgos, supervisión humana, documentación) Y las obligaciones del RGPD (base jurídica, minimización, EIPD, información al candidato sobre decisiones automatizadas del Art. 22).

Régimen sancionador: multas del AI Act

El AI Act establece un régimen sancionador proporcional al tamaño de la empresa y la gravedad del incumplimiento:

Comparación con otras regulaciones europeas:

El AI Act se posiciona como la segunda regulación europea con mayor capacidad sancionadora (tras el DMA), y la más severa en el ámbito de la IA.

En la NIS2, la supervisión y la potestad sancionadora corresponden a la autoridad competente que designe la ley de transposición, por sectores —el CCN-CERT y el INCIBE-CERT son equipos de respuesta a incidentes, no órganos sancionadores—, y octubre de 2024 fue el plazo que la Directiva daba a los Estados para transponer, no la fecha desde la que se aplica, como se detalla en el glosario de la NIS2.

Modelos de propósito general (GPAI): GPT, Gemini, Claude

El AI Act dedica los arts. 51 a 56 a los modelos de IA de propósito general, como GPT, Gemini, Claude o Llama. Sus obligaciones son aplicables desde el 2 de agosto de 2025 para los modelos que se comercialicen a partir de esa fecha; los ya comercializados antes disponen de un periodo de adaptación hasta el 2 de agosto de 2027 (art. 111.3). Aplicar una sola fecha a todos los modelos es el error habitual.

Obligaciones para todos los GPAI (Art. 53, desde agosto 2025)

1. Documentación técnica del modelo (arquitectura, datos, evaluaciones)
2. Política de cumplimiento de derechos de autor (copyright)
3. Resumen detallado del contenido de entrenamiento (suficiente para que titulares de derechos identifiquen su contenido)
4. Cooperación con proveedores downstream que integran el modelo

Obligaciones adicionales para GPAI con riesgo sistémico (Art. 55)

Un modelo tiene riesgo sistémico si su capacidad de cómputo de entrenamiento supera los 10^25 FLOPS o si la Comisión lo designa por su impacto.

Deepfakes y el AI Act: obligaciones de transparencia

El AI Act establece obligaciones de transparencia para los deepfakes en el art. 50, aplicable desde el 2 de agosto de 2026. Conviene descartar un atajo que circula: no están «implícitamente vigentes» antes por la vía de la prohibición del art. 5.1.a, que exige acumulativamente una técnica subliminal, manipuladora o engañosa, una distorsión sustancial de la conducta o de la decisión, y un perjuicio considerable. Un deepfake sin etiquetar no cumple por sí solo esos requisitos. Lo que sigue es cómo se reparten las obligaciones a partir de esa fecha; para el detalle de una práctica prohibida de manipulación cuando se usan con fines engañosos):

Excepciones (Art. 50.4, párrafo 2): Uso artistico, satirico o de ficcion claramente identificable como tal. Uso por fuerzas de seguridad en investigaciones autorizadas judicialmente. Contenido editorial sometido a revisión responsable.

Implicaciones para el peritaje forense: Cuando un deepfake se difunde sin las etiquetas requeridas, el perito no solo acredita que el contenido es falso, sino que puede documentar el incumplimiento del Art. 50, proporcionando una via sancionadora adicional (hasta 15M EUR) además de los delitos penales (estafa, suplantación).

Impacto del AI Act en el peritaje informático forense: 8 áreas

El AI Act crea nuevas necesidades de peritaje forense que no existían antes. Cómo perito informático, identifico 8 áreas donde la demanda de servicios forenses va a crecer significativamente:

1. Detección de deepfakes en procedimientos judiciales

El AI Act obliga a etiquetar el contenido generado por IA. Cuando esa obligación se incumple, el perito forense debe determinar si un vídeo, imagen o audio es auténtico o generado por IA. Las técnicas incluyen análisis de artefactos GAN, inconsistencias en iluminacion, análisis de formantes de audio y verificación de metadatos. He peritado ya casos de deepfake en 2025-2026, y la demanda crece cada trimestre.

2. Auditoría de sesgos algorítmicos (empleo, crédito, justicia)

Los sistemas de IA de alto riesgo en empleo, crédito y justicia deben ser auditados para detectar sesgos discriminatorios. El perito analiza los datos de entrenamiento, las métricas de equidad (disparate impact, equalized odds, demographic parity) y los resultados del modelo por grupos demográficos. Un caso típico: empresa que usa IA para filtrar CVs y discrimina sistematicamente a mujeres mayores de 45 años.

3. Análisis de decisiones automatizadas impugnadas

Cuando un ciudadano impugna una decisión automatizada (denegación de crédito, rechazo de empleo, evaluación escolar), el perito debe reconstruir el proceso de decisión del sistema de IA y determinar si se cumplieron las obligaciones de transparencia y supervisión humana del AI Act.

4. Evidencia digital generada o manipulada por IA

Los tribunales necesitan peritos que determinen si una prueba digital fue creada, modificada o fabricada por IA. Un correo electrónico escrito por ChatGPT puede presentarse como prueba de comunicación real. Un documento firmado digitalmente puede haber sido redactado íntegramente por IA. Un audio de una “conversación” puede ser una clonación de voz.

5. Incidentes de seguridad en sistemas de IA

El AI Act exige que los sistemas de alto riesgo sean robustos y ciberseguros (Art. 15). Cuando un sistema de IA es comprometido (adversarial attacks, data poisoning, model extraction, prompt injection), el perito forense investiga el vector de ataque, el impacto y las medidas de seguridad que fallaron.

6. Verificación de conformidad pre-comercializacion

Antes de comercializar un sistema de IA de alto riesgo, los proveedores deben realizar una evaluación de conformidad (Art. 43). El perito puede actuar como auditor independiente, verificando la documentación técnica, los datos de entrenamiento, las medidas de supervisión humana y los tests de robustez.

7. Investigación de uso ilícito de IA prohibida

Las prohibiciones del Art. 5 están vigentes desde febrero 2025. El perito investiga si una empresa o administración implementó social scoring, reconocimiento de emociones en el trabajo, scraping facial masivo u otra práctica prohibida. Los indicios pueden aparecer en logs de sistema, bases de datos internas, configuraciones de software y comunicaciones internas.

8. Peritaje en reclamaciones por daños causados por IA

Se lee a menudo que el AI Act «complementa la Directiva de Responsabilidad por IA». No existe tal directiva: la propuesta COM/2022/496 fue retirada por la Comisión y nunca llegó a aprobarse, de modo que la reclamación por daños se articula hoy con las reglas generales de responsabilidad y con la Directiva de responsabilidad por productos defectuosos, no con un régimen específico de IA. Cuando un sistema de IA causa daño (decisión errónea, sesgo, fallo), la víctima puede reclamar y necesita un perito que acredite el nexo causal entre el sistema de IA y el daño sufrido.

Caso práctico 1: deepfake como prueba falsa en juicio laboral

Nota: Este caso esta basado en situaciones reales combinadas con fines educativos. Los datos han sido anonimizados.

Situación: Una empresa presenta un vídeo de una reunion donde un empleado supuestamente acepta condiciones de despido. El empleado niega haber participado en esa reunion y alega que el vídeo es un deepfake.

Análisis forense:

Marco legal aplicado:

• AI Act art. 50.4: Obligación de etiquetar contenido generado por IA. La empresa no lo hizo.
• Art. 250.1.7.º CP: estafa procesal — «los que, en un procedimiento judicial de cualquier clase, manipularen las pruebas en que pretendieran fundar sus alegaciones… provocando error en el juez». Pena de uno a seis años de prisión y multa.
• Art. 395 CP: falsificación de documento privado por particular (el 390 es el de autoridad o funcionario público, y el 392 el de particular en documento público, oficial o mercantil).
• Art. 5.1.a AI Act: la prohibición no se activa por «presionar». Exige acumulativamente una técnica subliminal, deliberadamente manipuladora o engañosa, que distorsione sustancialmente la conducta o menoscabe la capacidad de decidir de forma informada, y que provoque o pueda provocar un perjuicio considerable. Sostenerlo requiere prueba de cada elemento, no una impresión sobre la finalidad.

Cómo terminaría un supuesto así: no se da aquí un desenlace, porque este escenario no corresponde a un procedimiento identificable y afirmar cómo resolvió un juzgado sería inventarlo. Lo que sí puede decirse es qué decide el resultado: si el dictamen acredita la manipulación del vídeo, la parte que lo aportó se enfrenta a la exclusión de esa prueba y, en su caso, a la vía penal del art. 250.1.7.º. Sobre la indemnización por despido improcedente, conviene además no dar «45 días por año» como regla actual: el régimen general vigente es de 33 días por año con el tope de 24 mensualidades, y los 45 días solo pueden aparecer en el tramo de servicios anterior a febrero de 2012.

Caso práctico 2: sesgo algorítmico en selección de personal

Nota: Caso basado en situaciones reales combinadas con fines educativos. Datos anonimizados.

Situación: Una gran empresa española de retail usa un sistema de IA para filtrar CVs automáticamente. Una candidata de 52 años, con 25 años de experiencia, fue rechazada sin entrevista. Alega discriminación por edad y género.

Análisis forense:

Resultado: el informe pericial demuestra el sesgo discriminatorio de forma cuantificable. A partir de ahí, cada consecuencia sigue su propia vía, y conviene no mezclarlas:

• Vía laboral administrativa: la Inspección de Trabajo levanta acta y propone la sanción; quien la impone es la autoridad laboral competente. La ITSS no sanciona por sí misma, aunque se diga así continuamente.
• Vía judicial: la indemnización por discriminación la fija un juzgado de lo social, no se deriva del acta de la Inspección. Son procedimientos distintos y pueden acabar de forma distinta.
• Vía AI Act: aquí figuraba que la AESIA «abrió expediente por incumplimiento de obligaciones de alto riesgo» y a la vez que esas obligaciones no eran exigibles en esa fecha. Las dos cosas no caben juntas: no hay expediente sancionador por incumplir lo que todavía no obliga. Lo que sí cabe es lo que aporta el peritaje: la medición del impacto adverso, que sirve en la vía laboral hoy, sin esperar al calendario del reglamento.

Caso práctico 3: clonación de voz para fraude del CEO

Nota: Caso basado en investigaciones forenses reales con datos anonimizados.

Situación: El director financiero de una PYME española recibe una llamada del “CEO” (de viaje en Asia) ordenando una transferencia urgente de 230.000 EUR a un proveedor chino. La voz es idéntica a la del CEO. El CFO ejecuta la transferencia. 48 horas después, el CEO real niega haber realizado esa llamada.

Análisis forense de la llamada:

Marco legal: Art. 248 CP (estafa), Art. 250.1.5 CP (agravante cuantía), Art. 50.4 AI Act (deepfake audio no etiquetado). En un supuesto así, la reclamación bancaria para recuperar los fondos se apoya en un informe pericial que acredite la sofisticación del ataque —y no una negligencia del CFO—; cuánto llega a recuperarse depende de la rapidez con que se active el bloqueo interbancario y no puede asegurarse de antemano.

Preguntas relacionadas

1. Una empresa española que usa ChatGPT esta sujeta al AI Act?

Si. El AI Act se aplica a tres categorías de actores: proveedores (quienes desarrollan la IA), deployers (quienes la usan para un fin concreto) e importadores. Cualquier empresa que utilice sistemas de IA en la UE es un deployer y esta sujeta al AI Act, independientemente de donde este el proveedor. Si una empresa española usa ChatGPT para selección de personal (alto riesgo, Anexo III punto 4), debe cumplir las obligaciones del deployer (Art. 26): documentar el uso, informar a los candidatos, supervisar las decisiones, respetar la supervisión humana y realizar evaluación de impacto en derechos fundamentales. OpenAI, como proveedor, debe cumplir las obligaciones de GPAI (Art. 53) y las de proveedor de alto riesgo si su sistema se usa en ese contexto. La responsabilidad es compartida, pero el deployer no puede delegar sus obligaciones en el proveedor.

2. El AI Act prohíbe el uso de IA en los tribunales españoles?

No lo prohíbe, pero lo regula como alto riesgo (Anexo III, punto 8). Los sistemas de IA usados en la administración de justicia (evaluación de riesgo de reincidencia, análisis automatizado de pruebas, asistencia en sentencias, clasificación de asuntos) son clasificados como alto riesgo y requieren supervisión humana obligatoria, transparencia y auditabilidad. El CGPJ público en 2024 un Libro blanco sobre IA en la justicia donde adopta un enfoque cauteloso: la IA puede asistir pero nunca sustituir la decisión judicial (principio de “human-in-the-loop”). En mi labor como perito, considero esencial que los jueces comprendan las limitaciones de estos sistemas, especialmente en herramientas forenses que usan IA para clasificar automáticamente contenido o predecir la autenticidad de evidencias.

3. Cómo se diferencia el AI Act del RGPD en la práctica?

El RGPD protege los datos personales; el AI Act regula los sistemas de inteligencia artificial. Son complementarios y acumulativos: un sistema de IA que procesa datos personales debe cumplir ambos. La diferencia principal es el enfoque: el RGPD se centra en el dato (consentimiento, finalidad, minimización), el AI Act se centra en el sistema (riesgo, transparencia, supervisión humana). Las sanciones del AI Act (7%) superan a las del RGPD (4%). En la práctica forense, cuando audito un sistema de IA que procesa datos personales, verifico el cumplimiento de ambas normas simultáneamente: por ejemplo, un sistema de scoring crediticio debe tener datos de entrenamiento no sesgados (AI Act, Art. 10) Y haber obtenido la base jurídica para tratar esos datos (RGPD, Art. 6).

4. Que pasa si una startup española no cumple el AI Act?

El AI Act contempla sanciones proporcionadas para PYMEs y startups (Art. 99.6). Las multas se calculan sobre la facturación real de la empresa, no se aplican los mínimos absolutos (7.5M-35M EUR) si el porcentaje de facturación resulta inferior. Además, el sandbox regulatorio de AESIA (Art. 57) permite testar sistemas en entorno controlado antes de comercializar, con exenciones temporales de ciertas obligaciones. También existen medidas de apoyo: la AESIA ofrece orientación gratuita y la Comisión pública guías de implementación. No obstante, el incumplimiento de prácticas prohibidas (Art. 5) no tiene atenuantes por tamaño de empresa: social scoring o manipulación subliminal es ilegal independientemente de quien lo haga.

5. El AI Act se aplica a las herramientas forenses que usan IA?

Si. Cellebrite UFED, Magnet AXIOM, Oxygen Forensics y otras herramientas forenses que incorporan módulos de IA (reconocimiento facial en galerias de fotos, clasificación automática de contenido CSAM, análisis predictivo, transcripcion automática) están sujetas al AI Act. Si se usan en el contexto de investigaciones penales o judiciales (Anexo III, punto 6), se clasifican como alto riesgo. Los peritos forenses debemos documentar que herramientas de IA utilizamos, sus limitaciones conocidas, los falsos positivos/negativos, y la supervisión humana aplicada a los resultados automatizados. He incorporado ya una sección específica sobre esto en mis informes periciales desde febrero de 2025.

6. España puede imponer sanciones del AI Act antes de agosto 2026?

Las prohibiciones están vigentes y son directamente aplicables desde el 2 de febrero de 2025, y el capítulo sancionador lo es desde el 2 de agosto de 2025. Pero conviene no confundir una cosa con otra: no puede sancionarse el incumplimiento de una obligación que todavía no es aplicable, de modo que las sanciones ligadas a los sistemas de alto riesgo siguen el calendario prorrogado de sus anexos. AESIA puede actuar contra prácticas prohibidas desde esa fecha. Las obligaciones de GPAI (Título V) están vigentes desde agosto 2025. Sin embargo, las sanciones ligadas a los sistemas de alto riesgo no son exigibles hasta que lo sean las propias obligaciones, que la prórroga trasladó al 2 de diciembre de 2027 (anexo III) y al 2 de agosto de 2028 (anexo I). España tiene margen para establecer su propio régimen sancionador nacional complementario, como hizo con la LOPDGDD (LO 3/2018) respecto al RGPD. Se espera que el Gobierno apruebe en 2026 una Ley de implementación del AI Act que complete el régimen sancionador y asigne competencias específicas a AESIA. La doctora María Luz Guasch, del sector jurídico de AESIA, ha indicado que los primeros procedimientos sancionadores formales se esperan para el cuarto trimestre de 2026.

Referencias y fuentes

1. Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo, de 13 de junio de 2024, por el que se establecen normas armonizadas en materia de inteligencia artificial. DOUE L 2024/1689. Disponible en: https://eur-lex.europa.eu/eli/reg/2024/1689/oj

2. Real Decreto 729/2023, de 22 de agosto, por el que se crea la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA). BOE num. 201, de 23 de agosto de 2023.

3. Comisión Europea, AI Office. (2025). “Guidelines on prohibited AI practices under the AI Act”. Oficina Europea de IA, guías de implementación del Título II.

4. AESIA — Guías para la aplicación del Reglamento de IA: once guías numeradas (introductoria, evaluación de conformidad, gestión de riesgos, vigilancia humana, gobernanza de datos, transparencia, precisión, solidez y ciberseguridad), desarrolladas en el marco del piloto español del entorno controlado de pruebas.

5. INCIBE. (2025). “Ciberseguridad e inteligencia artificial: guía para empresas españolas”. Instituto Nacional de Ciberseguridad de España. Leon.

6. AEPD. (2025). “Guía sobre inteligencia artificial y protección de datos - Actualización AI Act”. Agencia Española de Protección de Datos. Madrid.

7. Consejo General del Poder Judicial (CGPJ) — Instrucción 2/2026, de 28 de enero, sobre la utilización de sistemas de inteligencia artificial en el ejercicio de la actividad jurisdiccional, verificada literal contra el BOE.

8. Stanford HAI. (2025). “AI Index Report 2025: Global regulatory landscape”. Stanford Human-Centered Artificial Intelligence.

9. ONTSI / Red.es. Indicadores de uso de inteligencia artificial en España 2024 (edición de abril de 2025). Adopción del 11,4 % en empresas de 10 o más personas empleadas y, entre las usuarias, análisis de lenguaje escrito (44,7 %) y automatización de flujos de trabajo o apoyo a la decisión (39 %). ontsi.es · PDF

10. Instituto Nacional de Estadística. Encuesta sobre el uso de TIC y del comercio electrónico en las empresas. Año 2024 – Primer trimestre de 2025 (datos definitivos), nota de prensa de 22 de octubre de 2025. ine.es

11. Código Penal español (LO 10/1995). Artículos 248 (estafa), 250 (agravantes), 390 (falsificación), 197 (acceso ilícito a datos), 401 (usurpación estado civil).

12. Spain AI. (2025). “Mapa del ecosistema de startups de IA en España 2025”. Asociación Española de Inteligencia Artificial.

13. European AI Office. (2025). “General-Purpose AI Code of Practice - First Draft”. Comisión Europea, Bruselas.

14. Propuesta de Directiva sobre responsabilidad en materia de IA — COM/2022/496. ⚠️ Retirada por la Comisión: no es derecho vigente y no complementa al AI Act. Se cita solo por contexto de lo que se llegó a proponer sobre responsabilidad civil por daños causados por sistemas de IA.

Última actualización: Septiembre 2026 Categoría: Marco Legal (LEG-035) Nivel técnico: Intermedio-Avanzado Relevancia: muy alta — fecha general el 2 de agosto de 2026; alto riesgo del anexo III el 2 de diciembre de 2027 y del anexo I el 2 de agosto de 2028