Llei d'IA espanyola: avui tanca el termini d'esmenes

El projecte de llei orgànica per al bon ús i la governança de la intel·ligència artificial tanca avui, 2 de setembre de 2026, el termini ampliat per presentar esmenes al Congrés dels Diputats. No és un tràmit menor: és la norma que fixarà, amb noms i cognoms, qui pot inspeccionar una empresa espanyola pel seu ús d’IA, amb quines sancions i amb quin repartiment de competències. A Evicron, estudi d’IA i software a mida de Barcelona, seguim de prop la tramitació perquè condiciona directament com aconsellem els clients que ens demanen ajuda amb compliment normatiu. Això és el que diu el text, el que pot canviar encara i el que ja pots fer sense esperar que es publiqui al BOE.

Què aporta aquesta llei més enllà del Reglament europeu

El Reglament (UE) 2024/1689 —l’AI Act— ja és d’aplicació directa a tota la UE i ja fixa què està prohibit, què és alt risc i quines sancions hi caben. El que falta, i el que aporta la llei espanyola, és l’aterratge nacional: qui vigila, com es reclama i quin paper té cada autoritat. El projecte, tramès pel Govern al Congrés el 28 de maig de 2026 i publicat al Butlletí Oficial de les Corts Generals el 12 de juny, designa l’AESIA com a autoritat de vigilància de mercat, punt de contacte únic davant la Comissió Europea i gestora del sandbox regulatori obligatori. No actua sola: l’AEPD conserva la seva competència sobre dades personals i biometria, el CGPJ intervé quan hi ha sistemes d’IA en l’àmbit de la justícia, i els supervisors sectorials —Banc d’Espanya, CNMV, consum— mantenen el seu terreny quan la IA es fa servir dins dels seus àmbits (més detall a l’anàlisi de Law&Trends).

El text fixa a més una escala sancionadora —des de 500.000 € o el 0,5 % de la facturació en les infraccions més lleus fins a 35 milions o el 7 % en les més greus, els mateixos sostres que ja marca el Reglament europeu— i crea una finestreta única de reclamacions a l’AESIA, perquè qualsevol persona o empresa pugui denunciar un incompliment sense haver d’esbrinar abans a quin organisme adreçar-se.

Avui acaba el termini d’esmenes: què pot canviar encara

El projecte porta des de juny a la Comissió d’Economia, Comerç i Transformació Digital del Congrés, en fase d’esmenes, i aquest termini —ja ampliat una vegada— es tanca avui (pots seguir l’expedient 121/000096 al Congrés). A partir d’aquí comença el treball en ponència i comissió, on els grups parlamentaris encara poden modificar articles concrets abans de la votació al Ple. Fins que el text s’aprovi definitivament i es publiqui al BOE, continua sent un projecte de llei, no una llei vigent: el que pot moure’s són detalls de procediment, terminis o repartiment de competències entre autoritats, no el marc de fons, que ja ve tancat pel Reglament europeu i no admet rebaixes.

Per a una empresa, la lectura pràctica és que no té sentit esperar a la redacció final per començar a preparar-se: les obligacions de transparència de l’article 50 de l’AI Act ja se sancionen des d’agost, amb llei espanyola aprovada o sense, i el repartiment de qui vigila què —AESIA, AEPD, CGPJ— ja està prou definit com per saber a qui hauràs de respondre.

Mentre es tramita: les guies de l’AESIA que ja pots fer servir

Encara que la llei no estigui tancada, l’AESIA no ha esperat per donar eines pràctiques: el 21 d’agost de 2026 va actualitzar les seves 16 guies i llistes de comprovació per aplicar el Reglament europeu d’IA, ja adaptades al paquet conegut com a Ómnibus Digital (resum de Garrigues Digital). Estan organitzades en tres blocs —introductòries, tècniques i d’autoavaluació— i neixen del pilot espanyol del sandbox regulatori, així que no són teoria jurídica sinó material pensat per convertir l’obligació en controls i evidències concretes. Són de caràcter no vinculant, però són, avui dia, la referència més completa en català i castellà per saber quina documentació exigir a un proveïdor d’IA o què li falta a un sistema propi. El calendari de fons per als sistemes d’alt risc de l’annex III segueix fixat al 2 de desembre de 2027, però com abans es faci servir aquesta documentació, menys feina de darrera hora quedarà per llavors.

Què fer a la teva empresa, sense esperar el BOE

1. No confonguis “projecte de llei” amb “no hi ha res a complir encara”. El Reglament europeu ja obliga i ja sanciona; la llei espanyola només afegeix el repartiment d’autoritats i el procediment.
2. Descarrega i fes servir les guies de l’AESIA per al sistema d’IA concret que et preocupa, en lloc d’esperar una guia genèrica de “compliment d’IA” de tercers.
3. Identifica ja qui seria el teu interlocutor —AESIA, AEPD o totes dues— segons si el teu sistema toca dades personals, decisions sobre persones, o les dues coses alhora.

Com ho treballem a Evicron

No som un despatx jurídic i la interpretació fina del text correspon als teus advocats. El que fem a la nostra consultoria d’IA per a empreses és la part tècnica: auditar quins sistemes d’IA fa servir realment la teva empresa, aplicar les guies de l’AESIA al teu cas concret i deixar la documentació i la traçabilitat a punt per quan toqui una inspecció —ja sigui el 2026 o el 2027. Si vols aprofundir abans en els conceptes base, també hem escrit sobre què és l’AESIA i en quin nivell de risc cau cada sistema.

En resum

La llei espanyola d’IA encara no s’ha aprovat, i avui només es tanca una fase més de la seva tramitació —no la definitiva—. Però el marc de fons (el Reglament europeu, les seves sancions i les guies de l’AESIA) ja és utilitzable, i esperar a veure en què queda el text final no eximeix de les obligacions que ja són exigibles.

Vols saber què et falta per complir amb el que ja és obligatori avui? Escriu-nos: la primera sessió de descobriment és gratuïta i responem en menys de 24 hores.