El Gobierno aprueba la Ley de IA: multas de hasta 35 millones, prohibición de los ‘deepfakes’ sexuales y más control sobre contenidos manipulados

El Consejo de Ministros aprueba el proyecto de Ley para el buen uso y la gobernanza de la inteligencia artificial (IA), con el que España adapta su legislación al Reglamento europeo de IA y fija sanciones para los incumplimientos más graves. El texto prevé multas de entre 6.000 euros y 35 millones, en función de la gravedad, para casos como comercializar o poner en servicio herramientas prohibidas.

El objetivo es garantizar un uso “ético, inclusivo y beneficioso” de esta tecnología, según la formulación utilizada por el Ministerio para la Transformación Digital y de la Función Pública. Para ello, el proyecto establece un marco de control sobre la inteligencia artificial, prohíbe los usos que se consideren de riesgo inaceptable y obliga a advertir cuando determinados contenidos hayan sido generados o manipulados artificialmente.

El texto será remitido ahora a las Cortes Generales para iniciar su tramitación parlamentaria. El Gobierno ya aprobó un primer anteproyecto en marzo de 2025 y después lo sometió a información pública. Desde entonces, ha sido revisado por varios órganos, entre ellos el Consejo General del Poder Judicial, antes de llegar de nuevo al Consejo de Ministros.

Qué usos quedan prohibidos

Uno de los puntos principales de la futura ley es la prohibición de determinadas prácticas consideradas “de riesgo inaceptable”. Entre ellas están las que utilicen técnicas subliminales, manipuladoras o engañosas para alterar la capacidad de decisión de un individuo, cambiar de forma importante su comportamiento y causarle un perjuicio significativo.

También se prohíbe aprovecharse de vulnerabilidades de una persona o de un grupo de personas por razones de edad, discapacidad o situación social o económica.

La norma española sigue el esquema europeo, que clasifica estas tecnologías según su nivel de riesgo. Los usos considerados inaceptables quedan prohibidos. Los de alto riesgo, en cambio, no se vetan de forma general, pero quedan sometidos a obligaciones más estrictas.

Multas de hasta 35 millones

El régimen sancionador es una de las partes más relevantes del proyecto. Las infracciones muy graves vinculadas a prácticas prohibidas podrán castigarse con multas de hasta 35 millones de euros. Si el infractor es una empresa, la sanción podrá llegar también hasta el 7% de su volumen de negocio mundial del ejercicio anterior, si esa cantidad resulta superior.

Para otras infracciones muy graves relacionadas con herramientas de inteligencia artificial consideradas de alto riesgo, las multas podrán alcanzar los 15 millones de euros o el 3% del volumen de negocio mundial. Las graves se moverán entre 500.001 y 7,5 millones, mientras que las leves irán de 6.000 a 500.000 euros.

El texto tiene en cuenta el tamaño de las compañías. En el caso de pymes y empresas emergentes, la regulación europea permite aplicar la cuantía menor entre el importe fijo y el porcentaje sobre facturación, para evitar sanciones desproporcionadas.

Además de las multas, se prevén otras medidas, como la retirada del mercado, la desconexión o la prohibición de una herramienta cuando haya provocado un incidente grave o suponga un riesgo inaceptable.

Contenidos creados con IA y ‘deepfakes’

Otro de los objetivos es que los ciudadanos puedan distinguir cuándo un contenido es real y cuándo ha sido generado o manipulado con IA. Esta obligación afecta a determinadas herramientas que crean o alteran imágenes, audios, vídeos o textos.

El Reglamento europeo ya recoge obligaciones de transparencia para las llamadas ultrasuplantaciones: contenidos de imagen, audio o vídeo que se parecen a personas, objetos, lugares o sucesos reales y pueden inducir a pensar que son auténticos. En esos casos, quienes los utilicen deberán informar de que han sido creados o modificados artificialmente.

El proyecto incorpora además la prohibición específica de los sistemas capaces de generar o manipular imágenes, vídeos o audios realistas de contenido sexual sin consentimiento. Esta medida fue impulsada por España en el debate europeo tras la polémica por la difusión de desnudos falsos de mujeres y menores creados con herramientas de IA.

La cuestión afecta de lleno a los deepfakes, una de las aplicaciones más controvertidas de la IA generativa. Pueden tener usos creativos o informativos, pero también servir para suplantar a una persona, difundir bulos, cometer fraudes o generar contenido sexual falso.

Quién vigilará el cumplimiento

La futura ley también ordena la gobernanza de la IA en España. La Agencia Española de Supervisión de Inteligencia Artificial (AESIA) tendrá un papel central en la vigilancia del cumplimiento y en la coordinación con otras autoridades competentes.

El anteproyecto ya preveía que cualquier ciudadano pudiera comunicar posibles infracciones, incluso de forma anónima. La idea es facilitar que se investiguen usos indebidos, especialmente cuando puedan afectar a derechos fundamentales o causar daños relevantes.

España creó la AESIA antes de completar la adaptación interna del reglamento europeo. Con este proyecto, el Gobierno busca encajar esa estructura nacional dentro del nuevo marco comunitario, que obliga a los Estados miembros a contar con autoridades de supervisión y con sanciones efectivas, proporcionadas y disuasorias.

Las administraciones públicas quedan exentas de las multas

Uno de los aspectos más discutidos durante la tramitación ha sido el trato que reciben las administraciones públicas. Varias asociaciones de internautas, usuarios y expertos en derecho digital han criticado que el texto excluya al sector público del régimen de multas económicas.

Según el anteproyecto, cuando una administración cometa una infracción, la respuesta será una resolución que declare el incumplimiento, acompañada de un apercibimiento y de medidas correctoras. También podrán abrirse actuaciones disciplinarias o amonestaciones a los responsables, pero no se impondrán multas administrativas como las previstas para empresas u otros operadores.

Este punto es sensible porque el sector público puede utilizar sistemas automatizados en ámbitos que afectan directamente a la ciudadanía, como prestaciones, ayudas, empleo, seguridad, justicia o gestión de servicios públicos. Los críticos sostienen que dejar sin sanción económica a las instituciones puede debilitar la protección de los derechos de los ciudadanos.