El Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial decayó el 6 de octubre de 2026 con la disolución de las Cortes. El Reglamento europeo sigue siendo plenamente aplicable, pero España se queda sin la norma que debía designar autoridades y tipificar sanciones. Analizamos las consecuencias jurídicas y qué riesgos siguen vivos.
El texto adaptaba el ordenamiento español al Reglamento (UE) 2024/1689. No creaba obligaciones nuevas para las empresas distintas de las europeas: designaba a la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA) como autoridad principal de vigilancia del mercado, junto a autoridades sectoriales como la AEPD; regulaba los espacios controlados de pruebas (sandboxes); clasificaba las infracciones en muy graves, graves y leves dentro de las horquillas del artículo 99 del Reglamento, con un régimen modulado para pymes; y preveía medidas para el sector público estatal, entre ellas la figura del delegado de IA en cada entidad.
Tras su calificación por la Mesa del Congreso, el plazo de enmiendas se amplió en sucesivas ocasiones. La disolución de las Cortes Generales, publicada en el BOE el 6 de octubre de 2026, con elecciones generales convocadas para el 29 de noviembre, produce por imperativo reglamentario la caducidad de todos los proyectos de ley pendientes. No hay forma de «rescatar» la tramitación: el Gobierno que se forme tras las elecciones tendrá que aprobar y remitir un proyecto nuevo, que empezará desde cero y no tiene por qué reproducir el contenido del anterior.
El AI Act no necesita transposición. Las prohibiciones del artículo 5, la alfabetización del artículo 4 y la transparencia del artículo 50 son derecho vigente y exigible en España desde sus respectivas fechas, con independencia de lo que ocurra en el Congreso. El calendario del alto riesgo, por su parte, lo ha fijado el Ómnibus Digital (diciembre de 2027 y agosto de 2028).
El artículo 99 del Reglamento encomienda a cada Estado miembro establecer el régimen de sanciones y adoptar las medidas necesarias para su aplicación. Las cifras que se repiten —hasta 35 millones de euros o el 7 % del volumen de negocio— son máximos que el legislador nacional debe concretar, no tipos sancionadores directamente aplicables por cualquier autoridad.
Aquí entran en juego dos garantías constitucionales. La primera, el principio de legalidad sancionadora del artículo 25.1 CE, que exige una norma con rango de ley que tipifique infracciones y sanciones. El Estatuto de la AESIA (Real Decreto 729/2023) le atribuye funciones de inspección y sanción «cuando la normativa le atribuya competencia», pero un real decreto no puede suplir la ley que falta. La segunda, la irretroactividad de las disposiciones sancionadoras desfavorables (art. 9.3 CE): la ley que se apruebe en la próxima legislatura no podrá aplicarse a conductas anteriores a su entrada en vigor.
La Comisión Europea puede multar directamente a los proveedores de modelos de IA de uso general desde el 2 de agosto de 2026 (art. 101). La AEPD sigue sancionando con el RGPD cualquier sistema de IA que trate datos personales: biometría, perfilado o decisiones automatizadas. Y el incumplimiento del AI Act puede alegarse en reclamaciones de responsabilidad civil, en conflictos laborales o en litigios contractuales con clientes y proveedores.
Fuentes: Congreso de los Diputados, ficha del expediente 121/000096; BOCG, Serie A, núm. 97-1, de 12 de junio de 2026; Real Decreto 806/2026, de disolución de las Cortes Generales; Reglamento (UE) 2024/1689, arts. 99 y 101; Real Decreto 729/2023 (Estatuto de la AESIA).
Abogado mercantil · ICAS nº 7291 · Sevilla
Especialista en regulación de inteligencia artificial y derecho digital
calderongodoy.com · LexQuark.com
Sí. El AI Act es un reglamento europeo directamente aplicable. Las prohibiciones, la alfabetización en IA y la transparencia del artículo 50 son exigibles en España con independencia de la tramitación parlamentaria.
Es, como mínimo, discutible. El principio de legalidad sancionadora del artículo 25.1 de la Constitución exige una norma con rango de ley que tipifique infracciones y sanciones, y el Estatuto de la AESIA (Real Decreto 729/2023) no puede suplirla.
La AEPD sigue sancionando con el RGPD los sistemas de IA que tratan datos personales; la Comisión Europea puede multar a los proveedores de modelos de uso general desde el 2 de agosto de 2026; y el incumplimiento puede invocarse en reclamaciones civiles, laborales y contractuales.
No. El artículo 9.3 de la Constitución prohíbe la retroactividad de las disposiciones sancionadoras desfavorables: la ley que se apruebe solo se aplicará a hechos posteriores a su entrada en vigor.