IA y AEPD en España: mitos, sanciones reales y riesgos legales
- La cifra de 147 expedientes sancionadores por IA es incorrecta; la AEPD no desglosa sus datos por tecnología.
- Las sanciones reales son escasas pero concretas, afectando a entidades como Aena, BBVA y la Universidad Europea de Valencia.
- El AI Act ya está en vigor desde 2024, con multas que pueden alcanzar los 35 millones de euros por prácticas prohibidas.
- La AEPD ha emitido nuevas orientaciones sobre la IA agéntica para guiar la protección de datos en sistemas autónomos.
El ecosistema empresarial español se encuentra en una fase de adopción acelerada de la inteligencia artificial, pero este entusiasmo convive con una creciente incertidumbre jurídica. En los últimos meses, han circulado datos alarmantes sobre una supuesta ofensiva de la Agencia Española de Protección de Datos (AEPD) contra las empresas que implementan algoritmos. Sin embargo, al analizar los registros oficiales, la realidad es mucho más matizada y, paradójicamente, más compleja de lo que sugieren los titulares sensacionalistas.
El mito de los 147 expedientes
En diversos foros profesionales y notas de prensa de despachos legales ha cobrado fuerza una cifra específica: 147 expedientes abiertos por la AEPD contra el uso de inteligencia artificial. Para cualquier empresario, este número sugiere una persecución sistemática de la tecnología. No obstante, es fundamental aclarar que la AEPD no publica este desglose. La Agencia no clasifica sus procedimientos sancionadores según la tecnología empleada, lo que hace técnicamente imposible que haya emitido un recuento oficial de esa naturaleza.
Lo que sí es un dato verificable y preocupante es el volumen general de actividad de la Agencia. Según su Memoria de 2025, las reclamaciones presentadas ascendieron a 30.931, lo que supone un incremento del 64 % respecto a las 18.855 registradas en 2024. Este es el volumen más alto de toda la serie histórica. Aunque no todas estas quejas se dirijan a sistemas de IA, la presión regulatoria sobre el tratamiento de datos personales es máxima, y cualquier sistema automatizado es un blanco natural para el escrutinio ciudadano y administrativo.
Sanciones reales: los casos que marcan la pauta
Si bien no existen cientos de multas específicas por IA, las resoluciones que sí han sido publicadas son señales claras de dónde están los puntos ciegos de las empresas. Actualmente, los casos comprobables se cuentan con los dedos de una mano, pero su impacto es pedagógico. Destacan los procedimientos contra Aena y BBVA, así como la resolución PS/00447/2025 (expediente EXP202405320), donde se sancionó a la Universidad Europea de Valencia por implementar un sistema de exámenes basado en IA y reconocimiento facial.
Es común leer listados de supuestas multas millonarias a aseguradoras por discriminación algorítmica o a bancos por credit scoring, pero estas resoluciones no aparecen en el buscador oficial de la Agencia con esos importes precisos. La realidad es que la AEPD está construyendo su jurisprudencia sobre la IA paso a paso, centrándose en fallos concretos de transparencia y consentimiento más que en una prohibición general de la tecnología.
La IA agéntica y los nuevos retos de autonomía
Mientras se dirimen las sanciones, la AEPD ha dado un paso proactivo al publicar orientaciones sobre la denominada IA agéntica. A diferencia de los chatbots tradicionales que responden a preguntas, la IA agéntica es capaz de interactuar de forma autónoma para alcanzar objetivos complejos, enriqueciéndose con información del entorno digital.
Esta capacidad de operar sin supervisión humana constante introduce riesgos críticos en la protección de datos. La Agencia subraya que el conocimiento profundo de esta tecnología es la única vía para tomar decisiones informadas. En sus orientaciones oficiales, se insta a los responsables del tratamiento a aplicar la protección de datos desde el diseño, evitando que la autonomía del agente derive en una recolección indiscriminada de datos personales o en decisiones automatizadas opacas.
El calendario real del AI Act
Existe una confusión generalizada sobre la entrada en vigor del Reglamento de Inteligencia Artificial de la UE (AI Act). Muchos empresarios creen erróneamente que el plazo límite es agosto de 2026. La realidad es que el reglamento está en vigor desde 2024 y su aplicación se realiza por tramos, según lo establecido en el artículo 113.
El riesgo financiero es considerable para quienes ignoren este calendario. El tramo con las sanciones más severas se refiere a las prácticas prohibidas detalladas en el artículo 5. En estos casos, las multas pueden alcanzar los 35 millones de euros o el 7 % del volumen de negocios mundial anual de la empresa, aplicándose la cifra que resulte mayor. No se trata de una amenaza futura, sino de un marco normativo ya activo que exige una auditoría inmediata de los sistemas de IA desplegados en las organizaciones.
La vulnerabilidad del tejido empresarial español
El escenario español presenta una particularidad: una estructura empresarial compuesta mayoritariamente por PYMES que están integrando herramientas de IA (muchas veces SaaS externas) sin una capa de gobernanza de datos. Esto crea una brecha peligrosa. Mientras que las grandes corporaciones tienen departamentos de compliance, la pequeña y mediana empresa suele confiar en los términos de servicio del proveedor, ignorando que la responsabilidad legal ante la AEPD recae sobre el responsable del tratamiento de los datos, no solo sobre el desarrollador del software.
La tendencia al alza en las reclamaciones sugiere que los usuarios son cada vez más conscientes de sus derechos. Un error en el cribado automático de currículos o una gestión deficiente de los datos en un CRM potenciado por IA puede desencadenar un proceso sancionador que, aunque no forme parte de una estadística inflada de 147 expedientes, puede ser devastador para la tesorería de una empresa local.
Implicaciones para las empresas en España
Para el empresario español, esta situación implica que la estrategia de digitalización no puede ir separada de la estrategia legal. El AI Act y la vigilancia de la AEPD obligan a pasar de una adopción experimental a una adopción regulada. En el contexto de la agenda digital española, esto significa que la competitividad ya no dependerá solo de quién implemente la IA más rápido, sino de quién lo haga con mayor seguridad jurídica.
Las empresas deben centrarse en tres ejes: primero, verificar si sus sistemas entran en las categorías de riesgo prohibido o alto según el AI Act; segundo, implementar evaluaciones de impacto (EIPD) específicas para algoritmos; y tercero, asegurar que cualquier sistema de IA agéntica tenga límites claros de autonomía. La protección de datos ya no es un trámite administrativo, sino un componente crítico de la gestión de riesgos operativos en la era de la inteligencia artificial.
Preguntas frecuentes
¿Es verdad que la AEPD ha abierto 147 expedientes por IA?
No, esa cifra no es oficial. La AEPD no desglosa sus expedientes por tecnología utilizada, por lo que no puede confirmar ese número específico.
¿Cuándo empieza a aplicarse el AI Act?
El AI Act está en vigor desde 2024 y se aplica de forma gradual por tramos. Algunas prohibiciones y obligaciones ya son exigibles.
¿Qué es la IA agéntica según la AEPD?
Son sistemas de IA que no solo responden, sino que actúan de forma autónoma para cumplir objetivos, interactuando con el entorno digital.
¿Cuál es la multa máxima prevista en el AI Act?
Para las prácticas prohibidas, la multa puede llegar a los 35 millones de euros o al 7 % del volumen de negocios mundial anual, lo que sea mayor.
Fuentes: Digitalperito (2), Aepd ·
glacom · IA para despachos de abogados: los expedientes no salen del despacho →Scrivila qui: Susanna, l assistente AI di glacom, ti risponde via email con un approfondimento gratuito.
Nessuna consulenza personalizzata (finanziaria, legale o medica): solo informazione e fonti. Email usata solo per rispondere.
oppure scrivile su: WhatsApp · Telegram · SimpleX · Delta Chat · Email
