La AESIA ya puede inspeccionar tu empresa: qué mirará

El AI Act dejó de ser un texto de Bruselas el pasado 2 de agosto, cuando entró en aplicación general. Un mes después, la parte que le toca a España se pone seria: la AESIA, la Agencia Española de Supervisión de la Inteligencia Artificial, ya opera con plenas competencias de inspección y sanción, y las consultoras del sector esperan las primeras inspecciones masivas entre septiembre y diciembre de este año. Es buen momento para separar lo que ya es obligatorio de lo que se ha aplazado, porque hay confusión interesada en las dos direcciones.

Lo que ya es obligatorio (y barato de cumplir)

Las obligaciones vigentes son las de transparencia, y afectan a muchas más empresas de las que se dan por aludidas. Si tienes un chatbot de atención al cliente, hay que decir que es una IA salvo que sea evidente. Si publicas imágenes, audios o vídeos generados o retocados con IA, hay que identificarlos como tales. Si usas deepfakes con cualquier fin, el etiquetado es innegociable. Nada de esto exige consultores caros: exige saber qué herramientas de IA usa tu empresa y añadir los avisos donde falten.

Ahí está la trampa de la tranquilidad: el aplazamiento de los sistemas de alto riesgo a diciembre de 2027 (y a agosto de 2028 para los integrados en productos regulados, como maquinaria o dispositivos médicos) ha hecho creer a muchas empresas que "el AI Act se ha pospuesto". No: la aplicación general y la transparencia van a pleno rendimiento desde agosto, y son justo las normas que una inspección puede comprobar en una tarde mirando tu web.

Qué pide la AESIA cuando llama

Las inspecciones pueden ser anunciadas (con 10 a 30 días de preaviso) o por sorpresa, presenciales o por requerimiento documental, de oficio o por denuncia de un tercero, incluida la competencia. La lista de lo que pueden pedir es pública y conviene tenerla cubierta antes de que suene el teléfono: inventario de sistemas de IA en uso, registro de formación del personal (la alfabetización en IA es obligatoria desde 2025), política interna de uso, contratos con proveedores de IA, registro de decisiones automatizadas y evaluaciones de impacto donde apliquen.

Para una pyme, el desenlace más habitual de una primera inspección con fallos leves no es la multa sino el plan de adecuación: 30 a 90 días para subsanar, con verificación al cierre y sin sanción si se corrige. Las multas gordas (35 millones o el 7% de la facturación para prácticas prohibidas, 15 millones o el 3% para incumplimientos de transparencia) están pensadas para quien ignora o engaña, y mentir a la autoridad tiene su propio tramo: hasta 7,5 millones por información falsa o incompleta.

La lectura sin humo

La probabilidad de que la AESIA visite tu pyme este trimestre es baja; la probabilidad de que un cliente, un competidor o un exempleado denuncie un chatbot sin avisos o un catálogo de imágenes sin etiquetar es bastante mayor, porque denunciar es gratis. El deber mínimo cabe en una tarde: lista qué IA usa tu empresa, pon los avisos del artículo 50 donde falten y guarda un registro de la formación que des. Con eso, una inspección se convierte en un trámite y no en un susto. Lo que no conviene es la estrategia del avestruz con argumentario: "esto se aplazó a 2027" solo es verdad para la mitad de la ley que probablemente no te aplica.

Fuentes: Comisión Europea · ActuIA · Lis Data Solutions · agosto-septiembre 2026