¿Quién controla el cumplimiento del Reglamento de IA en España?
Con el RGPD, la respuesta a "¿quién puede venir a revisarnos?" es clara desde 2018: la Agencia Española de Protección de Datos (AEPD). Con el Reglamento de IA, España tomó una decisión distinta a la de otros países vecinos: en lugar de ampliar las competencias de la AEPD, creó una agencia completamente nueva. El resultado es que, hoy, una pyme española puede tener que lidiar con dos autoridades distintas para el mismo sistema de IA, según la pregunta que se esté planteando.
El artículo 70 dejaba la puerta abierta, y España construyó algo nuevo
El artículo 70 del Reglamento de IA obligaba a cada Estado miembro a designar, como mínimo, una autoridad notificante y una autoridad de vigilancia del mercado antes del 2 de agosto de 2025. El texto no exigía crear un organismo nuevo: permitía explícitamente reutilizar reguladores ya existentes. Alemania, por ejemplo, optó por asignar ese papel a un regulador sectorial ya existente, la Bundesnetzagentur. España eligió el camino opuesto y creó la Agencia Española de Supervisión de Inteligencia Artificial (AESIA), establecida por el Real Decreto 729/2023 y con sede en A Coruña — la primera agencia nacional de este tipo, dedicada específicamente a la supervisión de la IA, en toda la Unión Europea.
AESIA y AEPD: dos autoridades, dos lógicas distintas
En España, la AEPD sigue aplicando el RGPD exactamente igual que antes: si su empresa trata datos personales, sea o no mediante IA, la AEPD conserva su competencia habitual. La vigilancia del mercado bajo el Reglamento de IA, en cambio, corresponde a AESIA, que revisa la conformidad del sistema de IA como producto, con independencia de si trata datos personales o no. A esto se suma una tercera pieza que no depende de ninguna autoridad española: los modelos de IA de propósito general (GPAI) quedan bajo la Oficina de IA de la Comisión Europea, apoyada en el Código de Buenas Prácticas para GPAI publicado en julio de 2025.
Una coordinación que se está construyendo, no un mecanismo terminado
La AEPD y AESIA han empezado a coordinarse públicamente, y el anteproyecto español de ley de IA prevé una comisión conjunta pensada precisamente para evitar que ambas autoridades abran investigaciones duplicadas sobre el mismo sistema. Pero, a día de hoy, esa coordinación sigue en construcción. En la práctica, esto significa que un mismo sistema de IA que trata datos personales, por ejemplo una herramienta de selección de personal o de scoring de clientes, puede ser objeto de escrutinio por parte de las dos autoridades a la vez, cada una siguiendo su propia lógica: una centrada en el tratamiento de los datos, la otra en el sistema como producto de IA.
Qué cambia esto en la práctica para una pyme
Para la mayoría de las pymes españolas, el punto de partida sigue siendo el mismo de siempre: la documentación RGPD que ya tienen o deberían tener con la AEPD. Lo que es nuevo es que, para los sistemas de IA que entren en las categorías de alto riesgo, AESIA puede requerir, además, una documentación de conformidad específica del Reglamento de IA, con sus propios plazos y formatos. Preparar ambos expedientes como un único paquete coherente desde el principio, en lugar de reaccionar por separado a cada autoridad si llega a preguntar, es la forma más eficiente de no duplicar el trabajo.
Una checklist para saber a qué autoridad se enfrentaría
Cinco preguntas bastan para hacerse una idea razonable de su situación:
- ¿Su sistema de IA trata datos personales, aunque sea de forma indirecta? Entonces la AEPD sigue siendo competente, como lo era antes del Reglamento de IA.
- ¿Su sistema entra en alguna de las categorías de alto riesgo del Anexo III (selección de personal, evaluación crediticia, acceso a servicios esenciales)? Entonces AESIA probablemente también lo es.
- ¿Utiliza o distribuye un modelo de IA de propósito general? Entonces la Oficina de IA de la Comisión Europea puede entrar en juego, al margen de las autoridades españolas.
- ¿Tiene ya localizada, para su sistema de IA más relevante, tanto la base jurídica del tratamiento de datos como la categoría de riesgo bajo el Reglamento de IA?
- ¿Podría presentar hoy mismo un expediente único, útil tanto ante la AEPD como ante AESIA, en lugar de tener que reconstruirlo por separado para cada una?
Información general, no asesoramiento legal: la coordinación entre AESIA y la AEPD, así como el desarrollo reglamentario español del Reglamento de IA, siguen evolucionando. Cuando Komplya publica contenido como este, distinguimos claramente lo que ha sido revisado jurídicamente de lo que permanece como documento de trabajo, para que pueda utilizarlo con conocimiento de causa.
La forma más rápida de saber qué autoridad, o autoridades, corresponden a su situación concreta es partir de sus usos reales de IA, no de una lista general. Responda un breve cuestionario sobre el uso de IA en su empresa y obtenga una lectura clara, autoridad por autoridad, de su situación probable.