Inspección de la AESIA: qué puede revisar en tu empresa

Desde el 2 de agosto de 2026, la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA) puede comprobar si las empresas cumplen el Reglamento europeo de IA. No hace falta fabricar inteligencia artificial para estar en su radar: basta con usarla en el trabajo, aunque solo sea ChatGPT.

Este artículo resume qué obligaciones tiene una pyme que usa IA y, por tanto, qué tiene sentido que te pidan si llega una inspección o un requerimiento.

Quién es la AESIA y desde cuándo actúa

La AESIA es la autoridad española encargada de vigilar que se cumple el Reglamento (UE) 2024/1689, la Ley de IA. Las primeras obligaciones para las empresas que usan IA están en vigor desde el 2 de febrero de 2025, y desde el 2 de agosto de 2026 la agencia puede supervisarlas.

Cuando la IA trata datos personales, como los de clientes, pacientes o empleados, entra también la Agencia Española de Protección de Datos (AEPD), con el RGPD. En la práctica, muchas revisiones tocarán las dos cosas a la vez.

Lo que la ley pide a una empresa que usa IA

La ley llama «responsable del despliegue» a cualquier empresa que usa un sistema de IA en su actividad. Para la mayoría de las pymes, sus obligaciones se resumen en cuatro:

• Formar a quien usa IA (art. 4). La empresa debe tomar medidas para que cada persona conozca la IA que usa, adaptadas a su puesto. Tras el Ómnibus Digital es expresamente una obligación de medios: no se exige garantizar un nivel ni un título, sino medidas proporcionadas y poder demostrarlas.
• No cruzar las líneas rojas (art. 5). Hay usos prohibidos, como inferir las emociones de los empleados en el trabajo. Son las infracciones más graves.
• Avisar cuando hay IA (art. 50). Desde el 2 de agosto de 2026, quien habla con un chatbot debe saber que es una IA, y el contenido realista generado con IA debe indicarlo.
• Controlar los usos de alto riesgo (art. 26 y anexo III). Si usas IA para seleccionar personal, conceder créditos o evaluar alumnos, hay obligaciones adicionales. Están aplazadas al 2 de diciembre de 2027 por el Ómnibus Digital.

Qué papeles conviene tener preparados

Una inspección no se conforma con un «sí, lo tenemos controlado». Lo que se puede enseñar es lo que cuenta. Con lo anterior, lo razonable es tener a mano:

1. Un inventario de las herramientas de IA: cuáles se usan, en qué departamento, con qué cuenta y con qué datos.
2. Una política de uso por escrito, con la versión vigente y quién la ha aceptado.
3. El registro de formación: quién se ha formado, cuándo, en qué y con qué resultado.
4. La revisión de usos prohibidos y de alto riesgo, aunque la conclusión sea que no hay ninguno.
5. Los avisos de transparencia, si tienes un chatbot o publicas contenido generado con IA.

Si tienes esto con fechas, puedes demostrar qué medidas has adoptado. Si no lo tienes, lo más probable es que no puedas demostrar nada, aunque el equipo use la IA con cuidado.

Las multas, en su contexto

Las cifras que más circulan son las de las prácticas prohibidas: hasta 35 millones de euros o el 7 % de la facturación mundial. Para el resto de obligaciones el techo es de 15 millones o el 3 %, y dar información incorrecta a la autoridad puede costar hasta 7,5 millones o el 1 %.

Para pymes y startups se aplica la cantidad más baja entre el importe fijo y el porcentaje, y la autoridad tiene en cuenta el tamaño de la empresa, la gravedad y lo que haya hecho para corregirlo. Tienes más detalle en la guía sobre las multas de la Ley de IA.

Por dónde empezar esta semana

Lo primero no es comprar nada: es saber qué IA se usa de verdad en tu empresa. Pregunta a cada departamento qué herramientas usa, con qué cuenta y para qué. Casi siempre aparecen cuentas personales de ChatGPT con datos que no deberían estar ahí.

Con esa lista, el orden lógico es el mismo que seguiría una inspección: reglas por escrito, formación por puesto y un registro que lo demuestre. Si quieres saber en qué punto estás, el diagnóstico gratuito te lo dice en diez minutos.