Ruta de navegación
Publicaciones
BOCG. Congreso de los Diputados, serie A, núm. 97-1, de 12/06/2026
cve: BOCG-15-A-97-1
PDF
BOLETÍN OFICIAL DE LAS CORTES GENERALES
CONGRESO DE LOS DIPUTADOS
XV LEGISLATURA
Serie A: PROYECTOS DE LEY
12 de junio de 2026
Núm. 97-1
PROYECTO DE LEY
121/000096
Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial.
La Mesa de la Cámara, en su reunión del día de hoy, ha adoptado el acuerdo que se indica respecto del asunto de referencia.
(121) Proyecto de ley.
Autor: Gobierno
Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial.
Acuerdo:
Encomendar Dictamen, conforme al artículo 109 del Reglamento, a la Comisión de Economía, Comercio y Transformación Digital. Asimismo, publicar en el Boletín Oficial de las Cortes Generales, estableciendo plazo de enmiendas, por un período
de quince días hábiles, que finaliza el día 30 de junio de 2026.
En ejecución de dicho acuerdo se ordena la publicación de conformidad con el artículo 97 del Reglamento de la Cámara.
Palacio del Congreso de los Diputados, 8 de junio de 2026.P.D. El Secretario General del Congreso de los Diputados, Fernando Galindo Elola-Olaso.
PROYECTO DE LEY ORGÁNICA PARA EL BUEN USO Y LA GOBERNANZA DE LA INTELIGENCIA ARTIFICIAL
Exposición de motivos
I
La inteligencia artificial (en adelante, IA) es una pieza clave en la actual revolución tecnológica, con un enorme potencial de crecimiento y transformación, tanto en las relaciones económicas como en los hábitos de comportamiento sociales.
La capacidad y capilaridad de esta tecnología la convierten en un instrumento transversal, con incidencia en un amplio espectro de sectores y con potencial para generar un impacto positivo en la productividad de la economía a nivel global.
Los sistemas de IA pueden llegar a funcionar con un elevado grado de autonomía y autoaprendizaje. Una vez entrenados, estos sistemas pueden inferir por sí mismos recomendaciones, decisiones, predicciones o contenidos, sin que sea necesario
conocer y programar previamente qué datos y qué valoraciones originaron esos resultados ofrecidos por el sistema.
Esta autonomía puede, por otro lado, suponer un desafío en cuanto a la transparencia y trazabilidad de estos sistemas. La adaptación con la que estos sistemas son capaces de funcionar tras su despliegue conlleva riesgos cuando el uso de los
mismos tenga un impacto sobre las personas, la sociedad o la economía. Por ello, es necesario disponer de un adecuado marco normativo para el uso de esta tecnología que promueva la adopción de una IA fiable y centrada en el ser humano.
Respecto al impacto en el empleo, la inteligencia artificial actúa sustituyendo algunas tareas, complementando otras y creando ocupaciones nuevas, dependiendo el efecto neto de cuál de estos tres vectores prevalezca. Una regulación adecuada
puede favorecer que en la implementación de la IA prime la complementariedad, favoreciendo la compatibilidad de las potenciales ganancias de productividad con crecimiento del empleo.
Muchos Estados y entidades supranacionales, en particular la Unión Europea, han abordado el desarrollo de estos marcos normativos conceptuales. La Recomendación del Consejo sobre la inteligencia artificial que la OCDE publicó en 2019, y que
actualizó en 2024, abordando los avances tecnológicos recientes, en particular, la IA generativa, destaca el principio de que la tecnología debe respetar los derechos humanos y los valores democráticos, incluyendo además en su principio de
responsabilidad en el desarrollo de la IA los aspectos ligados a la seguridad, la protección y la privacidad, así como con los derechos laborales y de propiedad intelectual. También en 2019, la Comisión Europea creó el Grupo de Expertos de Alto
Nivel en Inteligencia Artificial, que publicó ese mismo año su documento angular, Directrices éticas para una IA fiable, dando forma al concepto cada vez más universal de la IA confiable. Sobre esa base, el Grupo de Expertos publicó en 2020 el
Libro Blanco sobre inteligencia artificial, un documento estratégico que establece un enfoque europeo para promover el desarrollo de la IA, basado en dos pilares: la excelencia técnica y la confianza en la IA, que se ha de sustentar en instrumentos
jurídicos vinculantes. Esta trayectoria hace a la Unión Europea pionera en una regulación que ya entonces se adivinaba imprescindible para abordar la nueva realidad tecnológica.
Desde entonces, no han sido pocos los esfuerzos realizados por Estados, entidades supraestatales o internacionales, o asociaciones empresariales, para llegar a consensos sobre las cuestiones éticas que envuelven el uso de la IA, protegiendo
al mismo tiempo el fomento de la innovación. Así, la Recomendación sobre la ética de la inteligencia artificial, publicada por la UNESCO en 2021, y adoptada por 193 Estados, se centra en cómo puede afectar la IA a los colectivos vulnerables, la
sostenibilidad medioambiental y la alfabetización digital. Por otro lado, la Declaración de Bletchley adoptada en la Cumbre de seguridad de la IA de 2023, destaca la necesidad de colaboración entre los
Estados participantes para identificar los riesgos comunes de seguridad de la IA, así como para impulsar el desarrollo conjunto de políticas para mitigarlos. En 2023 adquiere especial relevancia la IA generativa, ámbito en el que el Proceso
de IA de Hiroshima, tomando como referencia los principios de la OCDE, concentra sus esfuerzos, mediante la introducción de un código de conducta dotado de mecanismos de monitorización y la promoción de la colaboración internacional. En mayo de
2024, el Comité sobre Inteligencia Artificial del Consejo de Europa aprobó el Convenio Marco sobre Inteligencia Artificial, Derechos Humanos, Democracia y Estado de Derecho, que constituye el primer tratado internacional jurídicamente vinculante
orientado a garantizar el respeto de los derechos humanos, del Estado de derecho y las normas jurídicas democráticas en el uso de los sistemas de IA.
Asimismo, la Organización de las Naciones Unidas ha mantenido su impulso hacia una IA responsable. Tras la recomendación de la UNESCO de 2021, en 2023 creó el Órgano Consultivo de Alto Nivel sobre Inteligencia Artificial de las Naciones
Unidas. Posteriormente, en marzo de 2024, se aprobó por aclamación una resolución liderada por los Estados Unidos, en la que exhortaba a los Estados a abstenerse de utilizar sistemas de inteligencia artificial que no cumplieran las normas
internacionales de derechos humanos o que pudieran ponerlas en riesgo. En septiembre del mismo año, el Órgano Consultivo sobre IA publicó su informe Gobernanza de la IA en beneficio de la humanidad, en el que se propone la creación de un grupo
internacional de científicos, foros internacionales sobre normas y políticas de gobernanza IA, una red de centros de desarrollo de capacidades en IA, un marco mundial de datos, y un fondo de financiación para reducir la brecha en la de adopción de
IA. En esta línea, durante la Cumbre del Futuro, celebrada el 22 de septiembre de 2024 en Nueva York, se adoptó el Pacto Digital Global, que aboga por una inteligencia artificial segura y fiable e impulsa la gobernanza internacional de una
inteligencia artificial en beneficio de la humanidad. Queda, por tanto, patente la actividad de muchos Estados para alcanzar consensos internacionales para la protección de las personas, sus derechos fundamentales y laborales, así como para acordar
unos valores éticos en el uso de la IA que no deberían ser cuestionables.
La Unión Europea, por su parte, ha sido pionera en la regulación del uso de la IA con la aprobación del Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo, de 13 de junio, por el que se establecen normas armonizadas en materia de
inteligencia artificial y por el que se modifican los Reglamentos (CE) n.º 300/2008, (UE) n.º 167/2013, (UE) n.º 168/2013, (UE) 2018/858, (UE) 2018/1139 y (UE) 2019/2144 y las Directivas 2014/90/UE, (UE) 2016/797 y (UE) 2020/1828 (Reglamento de
Inteligencia Artificial) (en adelante, Reglamento (UE) 2024/1689, de 13 de junio).
El Reglamento (UE) 2024/1689, de 13 de junio, es una norma armonizada que establece un marco jurídico uniforme, en particular para el desarrollo, la introducción en el mercado, la puesta en servicio y la utilización de sistemas de IA,
incardinada en el artículo 114 del Tratado de Funcionamiento de la Unión Europea (TFUE) y firmemente asentada en el acervo normativo de la Unión en materia de seguridad de los productos. Asimismo, el Reglamento se coordina de manera plena y
coherente con el marco europeo de protección de datos personales, cuya aplicabilidad acepta y refuerza, de conformidad con lo dispuesto en el artículo 16 del TFUE.
Las normas armonizadas que se establecen en el Reglamento (UE) 2024/1689, de 13 de junio, deben entenderse sin perjuicio del Derecho vigente de la Unión, en particular en materia de protección de datos, protección de los consumidores,
derechos fundamentales, empleo, protección de las personas trabajadoras y el resto de las legislaciones que complementan al Reglamento. En nuestro país, destaca la aprobación de la Ley 12/2021, de 28 de septiembre, por la que se reconoce el derecho
de las representaciones de los trabajadores a ser informada por la empresa de los parámetros, reglas e instrucciones en los que se basan los algoritmos o sistemas de inteligencia artificial que afectan a la toma de decisiones que pueden incidir en
las condiciones de trabajo, el acceso y mantenimiento del empleo, incluida la elaboración de perfiles.
A este respecto, cabe destacar que el Reglamento define infracciones de mercado relacionadas con IA, no vulneraciones de las leyes ya establecidas que puedan derivarse a través de un mal uso de la IA. En ese sentido, las infracciones
recogidas en el Reglamento, y que tienen su reflejo en el régimen sancionador definido en esta ley deben entenderse sin perjuicio de todos los derechos y vías de recurso que el citado Derecho de la Unión otorga a los consumidores, que permanecen
inalterados y siguen siendo plenamente aplicables como indica el Considerando 9 de dicho Reglamento.
El Reglamento (UE) 2024/1689, de 13 de junio, regula los usos de la inteligencia artificial introduciendo medidas mitigadoras proporcionadas a los riesgos que un uso suponga sobre los derechos fundamentales de las personas, la salud o la
seguridad de los productos. Establece unos usos prohibidos de la IA por su impacto inasumible sobre los derechos fundamentales. Para los usos permitidos, y según la severidad del riesgo que éstos supongan, se establecen medidas para asegurar que
la IA se utilice de forma ética y confiable.
Este Reglamento tiene, además, un alcance universal, estando en general sujetos a su cumplimiento cualquier sistema de IA puesto en el mercado o utilizado en la Unión Europea, los agentes que intervengan en la cadena de distribución y las
personas afectadas por su uso, incluso para aquellos sistemas que no hayan sido desarrollados dentro de ella. Como Reglamento de la Unión, es de aplicación directa en todos los Estados miembros, aunque delega en ellos el desarrollo de algunos de
sus aspectos, que se abordan en esta ley.
El Reglamento (UE) 2024/1689, de 13 de junio introduce mecanismos de gobernanza a escala de la Unión, que se apoyan en organismos de la Unión Europea creados con objeto de armonizar la aplicación de la legislación. Así, la Oficina de IA es
el órgano de la Comisión encargado del desarrollo del conocimiento y las capacidades de la unión en el ámbito de la IA; el Comité Europeo de IA, formado por representantes de los Estados, asiste y asesora a la Comisión y los Estados en la
aplicación coherente del Reglamento; y el Foro Consultivo, formado por representantes de partes interesadas, incluyendo industria, academia y sociedad, junto con el Grupo de Expertos Independientes, aportan sus conocimientos técnicos.
Para la gobernanza a escala nacional, el Reglamento (UE) 2024/1689, de 13 de junio, apoyándose en el acervo normativo de la Unión en materia de seguridad de los productos, define las figuras de las autoridades nacionales competentes, que
incluyen a las autoridades notificantes y las autoridades de vigilancia de mercado, e impone a los Estados miembros el mandato de establecer o designar al menos a una de cada tipo. Dando cumplimiento a esta obligación, esta ley designa cuáles serán
estas autoridades nacionales competentes en España, y cuáles sus mecanismos de gobernanza nacional.
Cabe señalar la relación existente entre el ejercicio de la potestad sancionadora y las competencias de supervisión atribuidas a autoridades nacionales. Esta relación debe ponerse en contraste con las competencias de supervisión que el
Derecho de la Unión Europea reserva a la Comisión Europea -como ocurre, entre otras, con la supervisión de modelos de propósito general-. En consecuencia, las infracciones cuya supervisión se encuentra reservada a dicho ámbito supranacional quedan
excluidas del ámbito de aplicación de esta ley.
Por otro lado, el Reglamento (UE) 2024/1689, de 13 de junio, en su capítulo XII, presenta un marco sancionador, e impone el mandato a los Estados miembros de desarrollar el régimen de sanciones y otras medidas de ejecución, como advertencias
o medidas no pecuniarias, aplicables a las posibles infracciones. Este régimen sancionador resulta imprescindible para asegurar el cumplimiento de las obligaciones que establece el Reglamento a los proveedores, responsables del despliegue,
importadores y distribuidores, representantes autorizados y personas afectadas por sistemas de IA establecidos o ubicados en la Unión Europea.
El marco regulatorio de la IA en el que se integra la presente ley forma parte de un conjunto de actuaciones más amplias destinadas al desarrollo de la IA en España. A través de estas actuaciones se ha avanzado en aunar la acción de los
diferentes
sectores estratégicos, para favorecer el impulso y fomento de la innovación, tanto en la Administración Pública como en el sector privado.
Consecuentemente, se han puesto en marcha diversos planes estratégicos siguiendo la senda europea para promover un desarrollo de la IA ético, inclusivo y beneficioso para la sociedad que, además de fortalecer el crecimiento económico y
social, se realice de forma alineada con la Carta de Derechos Digitales aprobada en 2021. Precisamente, esta Carta situó al Reino de España a la vanguardia de la defensa de los derechos más relevantes en el entorno y los espacios digitales, y ha
sido tomada como modelo en otras iniciativas similares desarrolladas posteriormente a nivel internacional.
En 2020, fue presentado el plan estratégico España Digital 2025, luego actualizado como España Digital 2026, con el objetivo de impulsar el proceso de transformación digital del país. En el marco de dicho plan, dentro del eje 9 Economía del
dato e Inteligencia Artificial, se integró la Estrategia Nacional de Inteligencia Artificial (ENIA), publicada ese mismo año. Paralelamente, el alcance de sus medidas se amplió a través del Componente 16 del Plan de Recuperación, Transformación y
Resiliencia. La ENIA ya definía dentro de su eje estratégico 6 Establecer un marco ético y normativo que refuerce la protección de los derechos individuales y colectivos, a efectos de garantizar la inclusión y el bienestar social, poniendo así el
foco en la necesidad de desarrollar un trabajo normativo que permitiera regular el uso de la IA basándose en principios éticos.
La ENIA fue actualizada a través de la Estrategia de Inteligencia Artificial 2024, aprobada por Consejo de Ministros en mayo de 2024. Esta se estructura en torno a tres ejes fundamentales: i) reforzar las palancas clave para el desarrollo
de la inteligencia artificial, ii) facilitar la expansión de la inteligencia artificial en el sector público y privado fomentando la innovación y la ciberseguridad y iii) desarrollar una inteligencia artificial transparente, responsable y
humanística.
Sobre el tercer eje de la Estrategia de Inteligencia Artificial 2024 se asienta la base para vertebrar la supervisión de los usos de la IA, destacando en el ámbito nacional la Agencia Española de Supervisión de Inteligencia Artificial (en
adelante, AESIA), cuyos estatutos fueron publicados a través del Real Decreto 729/2023, de 22 de agosto, por el que se aprueba el Estatuto de la Agencia Española de Supervisión de Inteligencia Artificial, y la regulación de un marco de pruebas
seguro de IA a través del Real Decreto 817/2023, de 8 de noviembre, que establece un entorno controlado para el ensayo del cumplimiento de la propuesta de Reglamento del Parlamento Europeo y del Consejo por el que se establecen normas armonizadas en
materia de inteligencia artificial.
II
La ley consta de cuarenta y un artículos, agrupados en cinco capítulos, dos disposiciones adicionales, una disposición derogatoria única y ocho disposiciones finales.
El primer capítulo recoge las disposiciones generales, incluyendo el objeto, las definiciones y el ámbito de aplicación. El objeto de esta ley es, en cumplimiento del Reglamento (UE) 2024/1689, de 13 de junio, el establecimiento de la
gobernanza y la regulación del régimen sancionador aplicable en España a los sistemas de IA, la regulación de la gobernanza de los espacios controlados de pruebas para la IA definidos por el artículo 57 de dicho Reglamento, así como la previsión de
actuaciones enmarcadas en el buen uso de la IA en el sector público estatal.
Esta ley se aplica a los operadores de sistemas de IA definidos en el marco de dicho Reglamento, incluyendo proveedores, responsables del despliegue de sistemas de IA, fabricantes de productos que introduzcan en el mercado o pongan en
servicio un sistema de IA junto o con su producto y con su propio nombre o marca, representantes autorizados de proveedores que no estén establecidos en la Unión, importadores y distribuidores de sistemas de IA y a los organismos notificados
encargados de verificar la conformidad de dichos sistemas.
La ley igualmente aplica al sector público, con excepción del capítulo IV, el cual es de aplicación exclusiva a las actuaciones para el buen uso de la IA en el sector público estatal en atención al principio de distribución competencial, y
concretamente de la organización de sus instituciones de autogobierno recogido en el artículo 148.1.1.ª de la Constitución Española, en atención a los principios de distribución competencial y de autoorganización de las administraciones públicas.
El segundo capítulo regula la gobernanza y supervisión establecida en el Reglamento (UE) 2024/1689, de 13 de junio, con el fin de adaptar las diferentes previsiones que dicho Reglamento contiene respecto de las funciones atribuidas en
materia de IA a los Estados miembros. Así, se define la autoridad notificante y las autoridades de vigilancia de mercado, otorgándolas de potestad sancionadora y en el caso de estas últimas, se habilita que, por Acuerdo de Consejo de Ministros a
propuesta de la Secretaría de Estado de Digitalización e Inteligencia Artificial, se puedan realizar nuevas designaciones en caso de que se añadan nuevos sistemas prohibidos o sistemas de alto riesgo en el Reglamento (UE) 2024/1689, de 13 de junio.
De igual forma, se habilita la potencial asunción temporal de competencias por la AESIA previa comunicación de insuficiencia de medios por parte de una autoridad de vigilancia del mercado en un sector armonizado de los enumerados en la sección A del
anexo I del Reglamento. Asimismo, se contempla la posibilidad de que dicha Agencia preste, previo convenio, asistencia técnica y apoyo en el ejercicio de potestades públicas o administrativas, a otras autoridades de vigilancia de mercado sin
comprometer, en ningún caso, su independencia o especialización sectorial.
Con respecto a las autoridades notificantes se designa a la Dirección General de Inteligencia Artificial, dentro de la Secretaría de Estado de Digitalización e Inteligencia Artificial, como autoridad notificante del Reglamento (UE)
2024/1689, de 13 de junio, para los sistemas de IA correspondientes al anexo III. Este órgano directivo de la Administración General del Estado es el encargado, entre otras competencias, del desarrollo normativo en materia de IA, de acuerdo con el
artículo 4.1.c) del Real Decreto 210/2024, de 27 de febrero, por el que se establece la estructura orgánica básica del Ministerio para la Transformación Digital y de la Función Pública. La evaluación y supervisión de los organismos de evaluación de
la conformidad por parte de esta autoridad notificante se apoyará en el organismo nacional de acreditación (ENAC), atendiendo a lo dispuesto en el artículo 28.2 del Reglamento (UE) 2024/1689, de 13 de junio.
Se mantienen las autoridades notificantes correspondientes a la legislación armonizada recogida en el anexo I en aras de preservar, en la medida de lo posible, la gobernanza de supervisión ya establecida en esta legislación.
En cuanto a las autoridades de vigilancia de mercado, dada la diversidad y complejidad de los sistemas de IA existentes, se ha optado por configurar un sistema de supervisión de mercado descentralizado, a efectos de garantizar que dispongan
de la pericia necesaria para ejercer sus funciones Esta estructura se refuerza en el artículo 74.4 del Reglamento (UE) 2024/1689, de 13 de junio, que atribuye la supervisión de los sistemas de IA regulados por los actos legislativos del anexo I,
sección A, a las autoridades designadas en virtud de dichos actos. Asimismo, el artículo 74.6 reconoce explícitamente el papel de las autoridades responsables de la supervisión financiera, reforzando así la necesidad de una supervisión
especializada y distribuida. Respecto a los sistemas de IA recogidos en el anexo III del Reglamento (UE) 2024/1689, de 13 de junio, se tiene presente lo contemplado en el artículo 74.8 del mismo, en el que se determinan condiciones a las
autoridades de vigilancia de mercado respecto a los sistemas de IA enumerados en el anexo III, puntos 6, 7 y 8, es decir, para garantía del cumplimiento del Derecho, la gestión de fronteras y la justicia y la democracia. En concreto, se requiere
que las autoridades de vigilancia de mercado en estos ámbitos estén dotadas de un particular estatuto de independencia. Es por ello que se designa a la AEPD autoridad de vigilancia de mercado para sistemas de IA utilizados para la gestión de
fronteras, y por razón de su especialización sectorial también de sistemas de
identificación y categorización biométrica, y al CGPJ autoridad de vigilancia de mercado para sistemas de IA para la justicia. En el resto de los casos, se designa a la AESIA como autoridad de vigilancia de mercado.
Se confiere la potestad sancionadora a las autoridades competentes designadas por la presente ley, en particular a las autoridades de vigilancia del mercado responsables de la supervisión en el ámbito que opere el sistema de IA en el que se
hubiera cometido la presunta infracción, así como, en su caso, a la autoridad notificante competente en relación con el cumplimiento de las obligaciones que el Reglamento impone a los organismos notificados.
En el ámbito de la vigilancia y la supervisión del mercado, las autoridades competentes podrán adoptar medidas de carácter provisional cuya adopción no exige necesariamente la previa comisión de una infracción, sino que responde a la
necesidad de garantizar de manera inmediata la protección de los derechos y bienes jurídicos afectados. Estas medidas, que pueden ser adoptadas por las autoridades de vigilancia de mercado en el ejercicio de sus funciones, tienen por finalidad
prevenir o evitar la materialización de riesgos o daños para la seguridad, la salud o los derechos fundamentales, en línea con lo previsto en el Reglamento (UE) 2024/1689, de 13 de junio, y en el marco de la normativa de la Unión sobre vigilancia
del mercado y conformidad de los productos.
En dicho ámbito, la ley incorpora un sistema de reclamaciones que permite a cualquier persona física o jurídica poner en conocimiento de las autoridades competentes posibles incumplimientos del Reglamento (UE) 2024/1689, de conformidad con
su artículo 85, y estructurado a través de la implantación de una ventanilla única en la AESIA, con el ánimo de simplificar el procedimiento para la ciudadanía y asegurar el principio de eficiencia administrativa. Estas reclamaciones se configuran
como un instrumento de detección y análisis en el marco de las funciones de supervisión, sin generar por sí mismas la condición de interesado en un eventual procedimiento sancionador. De este modo, se refuerza la capacidad de las autoridades para
identificar riesgos, adoptar medidas correctoras y, en su caso, promover la incoación de procedimientos sancionadores, garantizando al mismo tiempo la coherencia del sistema con el régimen general del procedimiento administrativo.
Asimismo, se establece un régimen específico de protección de las personas informantes, en línea con la Ley 2/2023, de 20 de febrero, garantizando la confidencialidad y la protección frente a posibles represalias de quienes comuniquen
presuntas infracciones del Reglamento. Este mecanismo se integra en el sistema de gobernanza y supervisión, facilitando la detección temprana de incumplimientos y su adecuada canalización hacia las autoridades competentes, que podrán valorar, con
arreglo a sus funciones, la adopción de actuaciones de vigilancia o, en su caso, la incoación de un procedimiento sancionador de oficio.
El tercer capítulo regula el establecimiento de espacios controlados de pruebas para la IA, fomentando la innovación y facilitando el desarrollo, la formación, las pruebas y la validación de sistemas de IA innovadores antes de su
comercialización o puesta en funcionamiento en el territorio nacional.
En este contexto, además de establecer el espacio controlado de pruebas para la IA de obligada creación de acuerdo con el artículo 57.1 del Reglamento (UE) 2024/1689, de 13 de junio a través de la AESIA, se habilita la creación de espacios
controlados de pruebas para la IA adicionales de acuerdo con el artículo 57.2 de dicho Reglamento por parte de autoridades competentes, esto es autoridades notificantes o autoridades de vigilancia de mercado, y circunscritos a su ámbito de
competencia.
El motivo de limitar la creación a estas entidades es que se trata de espacios controlados de pruebas para la IA cuyo principal cometido es aportar certidumbre jurídica a las entidades participantes, proporcionando la autoridad encargada de
su gestión, supervisión jurídica e informes de actividades. Es necesario, por tanto, que el criterio aportado en estos espacios sea, por un lado, uniforme, y por otro, alineado con los criterios de supervisión, cuya competencia ostentan estas
autoridades.
La creación de estos espacios de pruebas controlados para la IA deberá cumplir, por parte de la autoridad encargada de su gestión, con la obligación de proporcionar información sobre su funcionamiento a la Comisión Europea y a la Oficina de
IA, así como asegurar en dicha comunicación la disponibilidad de recursos técnicos y humanos necesarios, de acuerdo con lo establecido en el artículo 57.4 del Reglamento.
Dichos espacios deberán, además, contar con la participación en su gobernanza de las autoridades encargadas de la definición de políticas públicas, así como las autoridades de defensa de derechos fundamentales en el ámbito afectado por el
desarrollo de los mismos, garantizando así la eficacia de dichas iniciativas en el ámbito del fomento de la innovación segura en materia de IA, motivo para el cual el Reglamento de IA los concibe.
Especialmente en el ámbito sanitario y sociosanitario, el despliegue de sistemas de IA deberá preservar la dignidad de la persona humana, el respeto a la autonomía de su voluntad y a su intimidad, así como la seguridad del paciente, la
calidad asistencial y la autonomía técnica y científica de los profesionales.
El cuarto capítulo recoge expresamente, como actuaciones para el buen uso de la IA en el sector público estatal, la obligación de ofrecer información sobre la utilización de sistemas de IA en el ejercicio de sus funciones, así como la de
registrar dichos sistemas, y designar un delegado de inteligencia artificial encargado de coordinar la correcta aplicación del marco regulatorio de la IA y el buen uso de esta tecnología.
El quinto capítulo establece la clasificación de las infracciones y regula el régimen sancionador para el Reglamento (UE) 2024/1689, de 13 de junio, en cumplimiento de la obligación impuesta a los Estados miembros por su artículo 99.
En primer lugar, se procede a la clasificación de todas las infracciones, tomando como referencia las conductas sancionables recogidas en el artículo 99 del Reglamento, que remite a los Estados miembros la configuración de su régimen
sancionador y de las correspondientes medidas de ejecución. Conforme a este mandato, y en atención a los principios de tipicidad y proporcionalidad propios del ordenamiento jurídico español, las infracciones se califican como muy graves, graves y
leves, respetando en todo caso los límites sancionadores establecidos por la normativa europea.
Se califican como muy graves, en atención a los máximos sancionadores previstos en el Reglamento, las infracciones relativas a las prácticas prohibidas. Asimismo, se considera de esta naturaleza la falta de notificación de incidentes graves
por parte de los proveedores de sistemas de IA a las autoridades, en la medida en que dificulta el adecuado funcionamiento de los mecanismos de control destinados a prevenir o mitigar daños.
Se consideran infracciones graves la mayor parte de los incumplimientos de las obligaciones impuestas a los operadores, especialmente aquellos derivados del quebrantamiento de los requisitos técnicos, de seguridad y de registro aplicables a
los sistemas de alto riesgo. Igualmente, se incluyen en esta categoría las infracciones más relevantes en materia de transparencia, así como el suministro de información engañosa a las autoridades nacionales competentes, por el potencial riesgo que
tales conductas comportan para las personas y para la eficacia del sistema de supervisión.
Finalmente, tienen la consideración de infracciones leves aquellas conductas de alcance limitado y fácilmente subsanables, entre las que se incluye la falta o incompleta aportación de información en respuesta a requerimientos formulados por
las autoridades competentes.
En segundo lugar, se introducen una serie de artículos orientados a las sanciones. Inicialmente, se determina la cuantía de las sanciones estableciendo los límites superiores de las sanciones correspondientes a las infracciones leves,
graves y muy graves previstas en dicho Reglamento, con el fin de garantizar una aplicación proporcionada, disuasoria y efectiva, dentro de los márgenes que establece. Los límites máximos establecidos en la presente ley se ajustan a los umbrales
previstos en el artículo 99 del Reglamento, preservando la proporcionalidad en función de la gravedad de la infracción y reforzando la seguridad jurídica tanto de los operadores de IA como de
la ciudadanía. La precisión de estos límites contribuye, asimismo, a dotar de una base homogénea al ejercicio de la potestad sancionadora, sin perjuicio del margen de apreciación reconocido a las autoridades competentes, favoreciendo así
una aplicación flexible y coherente del régimen sancionador.
Se prevé también un conjunto de medidas accesorias, complementarias a las sanciones administrativas, orientadas a asegurar el cumplimiento efectivo de las obligaciones establecidas en el Reglamento. Entre ellas se incluyen multas
coercitivas y otras medidas, como la prohibición de uso o la desconexión de sistemas que puedan constituir un riesgo inaceptable para las personas físicas. Asimismo, se contemplan las circunstancias en las que podrán adoptarse medidas de carácter
provisional, tales como la restricción o retirada de sistema de IA.
Se aborda, a continuación, la aplicación de las sanciones, mediante la introducción de criterios que deberán valorarse obligatoriamente cuando resulten aplicables y que, en su mayoría, se establecen en el Reglamento (UE) 2024/1689, de 13 de
junio, y que presentan una configuración sustancialmente coincidente con los previstos en el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de datos personales.
Los plazos de prescripción de las sanciones quedan establecidos, de forma proporcional, en un año para las infracciones leves, tres años para las graves y cinco para las muy graves. En el cómputo del período de prescripción, se tiene en
cuenta la fecha de la última infracción en los supuestos de infracción continuada.
En particular, se establecen reglas sobre la concurrencia de sanciones, en coherencia con el principio non bis in idem, así como mecanismos destinados a garantizar la efectividad de las resoluciones sancionadoras, incluyendo la imposición de
multas coercitivas y la adopción de medidas de ejecución orientadas a la restauración de la situación alterada.
Respecto a la publicidad de las sanciones, la ley articula un sistema de publicación coordinada a través de la AESIA, en su condición de punto de contacto único de la presente ley, como mecanismo dirigido a facilitar la coordinación en
materia sancionadora entre las distintas autoridades de vigilancia del mercado. La publicación de las sanciones llevará, además, aparejada su comunicación a la Comisión Europea y, en su caso, a los órganos de gobernanza previstos en el Reglamento
(UE) 2024/1689, de 13 de junio.
En tercer lugar, en materia de procedimiento sancionador, la ley establece un régimen plenamente alineado con la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, iniciado de oficio, con
posibilidad de actuaciones previas y plena sujeción a los principios de contradicción, audiencia, prueba y presunción de inocencia. Se regulan de forma expresa los plazos de tramitación diferenciados según la gravedad de la infracción, así como los
supuestos de suspensión y caducidad, y se prevé la adopción de medidas cautelares para asegurar la eficacia de la resolución. El procedimiento culmina mediante resolución motivada, recurrible conforme al régimen general, asegurando así la
coherencia del sistema sancionador con las garantías propias del Derecho administrativo sancionador y su adecuada integración en el marco jurídico vigente.
Se regula la posibilidad de que, con carácter previo al inicio del procedimiento sancionador, el órgano competente pueda desarrollar actuaciones previas de investigación con el fin de determinar, con la mayor precisión posible, los hechos,
la eventual identificación de los responsables y las circunstancias concurrentes. Estas actuaciones, alineadas con el artículo 55.2 de la Ley 39/2015, de 1 de octubre, se configuran como un instrumento esencial para fundamentar adecuadamente la
decisión de incoar el procedimiento, permitiendo recabar la información necesaria, incluso mediante requerimientos dirigidos a las posibles personas infractoras o a otras Administraciones públicas, y garantizando su integración coherente con las
facultades de supervisión e inspección previstas en la normativa europea de vigilancia del mercado.
Finalmente, la ley regula los aspectos relativos a la aplicación, ejecución y efectos del régimen sancionador, asegurando su coherencia con las garantías propias del Derecho administrativo sancionador y su adecuada integración en el
ordenamiento jurídico.
Asimismo, se incorpora un régimen específico aplicable a las entidades del sector público y a los órganos constitucionales o con relevancia constitucional, en línea con lo previsto en el Reglamento (UE) 2024/1689, de 13 de junio, que se
articula mediante el apercibimiento y la adopción de medidas correctoras, sin perjuicio de la eventual exigencia de responsabilidad disciplinaria conforme a la normativa aplicable en cada caso.
La disposición adicional primera expresa la vigencia de las obligaciones en el orden social y las funciones de la Inspección de Trabajo y Seguridad Social, en relación con el uso de sistemas de IA en el contexto del empleo y la protección de
las personas trabajadoras, en línea con la protección de los derechos de las personas trabajadoras respecto al uso de sistemas de IA por parte de los empleadores estipulada en el artículo 2.11 del Reglamento (UE) 2024/1689, de 13 de junio.
La disposición adicional segunda establece un plazo máximo de seis meses desde la aprobación de la ley para la adaptación de la AESIA a una entidad de derecho público de las previstas en el artículo 84 de la Ley 40/2015, de 1 de octubre, de
Régimen Jurídico del Sector Público, con el fin de garantizar el adecuado ejercicio de las funciones que esta ley y el Reglamento (UE) 2024/1689, de 13 de junio, le atribuyen.
La disposición derogatoria única deroga cuantas disposiciones de igual o inferior rango se opongan a lo dispuesto en esta ley, y en especial el Real Decreto 817/2023, de 8 de noviembre, que establece un espacio controlado de pruebas para la
IA para el ensayo del cumplimiento de la propuesta de Reglamento del Parlamento Europeo y del Consejo por el que se establecen normas armonizadas en materia de inteligencia artificial, ante la obligación de establecer un nuevo espacio controlado de
pruebas para la IA.
La disposición final primera modifica la Ley 58/2003, de 17 de diciembre, General Tributaria, para reforzar el carácter reservado de los sistemas automatizados, algorítmicos y de IA utilizados en la prevención y control del fraude
tributario.
La disposición final segunda modifica el texto refundido de la Ley General de la Seguridad Social para prever expresamente la colaboración de sus entidades gestoras con las autoridades competentes en materia de IA.
La disposición final tercera añade una disposición adicional novena a la Ley Orgánica 5/1985, de 19 de junio, del Régimen Electoral, con objeto de designar a la AESIA como autoridad de vigilancia del mercado de los siguientes sistemas de IA
de alto riesgo cuando éstos se utilicen en procesos democráticos, conforme a los establecido en el anexo III.8 del Reglamento (UE) 2024/1689, de 13 de junio.
La disposición final cuarta recoge los títulos competenciales que amparan esta ley.
La disposición final quinta recoge los preceptos de esta ley que tienen carácter orgánico.
La disposición final sexta habilita el desarrollo reglamentario de esta ley.
La disposición final séptima prevé la creación y regulación de una base de datos nacional en España para registrar los sistemas de IA dedicados a la gestión de infraestructuras críticas que, por su importancia para la seguridad, se han
establecido como excepciones en el Reglamento para su registro europeo, el cual será publicado.
La disposición final octava recoge la entrada en vigor de esta ley.
III
La ley cumple con los principios de buena regulación del artículo 129.1 de la Ley 39/2015, de 1 de octubre, entre ellos, los de necesidad, eficacia, proporcionalidad, seguridad jurídica, transparencia y eficiencia.
La inteligencia artificial contribuye a generar beneficios económicos y sociales en todos los sectores de la economía. Al mismo tiempo, puede generar riesgos y menoscabar los intereses públicos y los derechos fundamentales. Su uso
transversal acentúa la necesidad de un marco jurídico nacional para establecer un sistema institucional claro de gobernanza y supervisión. Asimismo, un régimen sancionador específico es imprescindible para asegurar el cumplimiento de las
obligaciones establecidas por el Reglamento (UE) 2024/1689, de 13 de junio y corregir conductas contrarias al mismo. De esta manera, la presente ley cumple el principio de necesidad, al ser una razón de interés general la regulación de estos
aspectos.
Esta ley se configura como el instrumento más adecuado para alcanzar estos objetivos y concretar la gobernanza prevista en el Reglamento (UE) 2024/1689, de 13 de junio de acuerdo con el principio de eficacia. A tal fin, designa las
autoridades nacionales, delimita las competencias, articula los mecanismos de coordinación entre las autoridades de vigilancia del mercado y establece los procedimientos necesarios de supervisión e inspección. La efectividad de esta estructura de
gobernanza requiere una previsión normativa de rango legal que garantice su coherencia, eficacia y correcta aplicación en el marco de nuestro ordenamiento jurídico, especialmente cuando concurren distintos niveles territoriales y ámbitos sectoriales
regulados. Del mismo modo, constituye el instrumento idóneo para asegurar la implantación del régimen sancionador previsto en el Reglamento (UE) 2024/1689, de 13 de junio, dado que únicamente una norma con rango de ley puede tipificar infracciones,
graduar sanciones y atribuir competencias sancionadoras de conformidad con los principios de legalidad, proporcionalidad y seguridad jurídica.
La ley se ajusta al principio de proporcionalidad en la medida en que se limita a desarrollar los aspectos precisos de ejecución del Reglamento (UE) 2024/1689, de 13 de junio en nuestro ordenamiento jurídico, particularmente en materia de
gobernanza y aplicación del régimen sancionador, sin introducir exigencias adicionales a las derivadas de la norma europea. Las sanciones previstas en esta ley se han configurado con arreglo a niveles de infracciones, criterios de graduación y
garantías propias de la potestad sancionadora, de modo que la respuesta pública resulte disuasoria y adecuada a la entidad y gravedad de las conductas infractoras. Con ello, se asegura un marco jurídico de aplicación proporcionada del Reglamento
(UE) 2024/1689, de 13 de junio que protege el interés general y los derechos fundamentales, sin imponer obligaciones adicionales que no resulten indispensables para su cumplimiento.
El principio de seguridad jurídica asegura que las normas sean claras, predecibles y coherentes con el resto del ordenamiento jurídico. En este sentido, se ha trabajado en la redacción de un marco normativo estable y predecible, que
facilite el conocimiento y la comprensión de las disposiciones por parte de las empresas, las autoridades de supervisión y la ciudadanía. Esto contribuye a generar confianza en el sistema legal y a garantizar que las decisiones administrativas
derivadas de esta norma se tomen de manera coherente y consistente. Con el propósito de ajustar la ley a este principio, se concibe en estricta coherencia y compatibilidad con el Derecho de la Unión Europea y con el conjunto del ordenamiento
interno, evitando duplicidades, contradicciones o solapamientos y reforzando el marco regulatorio aplicable a la inteligencia artificial, de modo que se preserve la unidad y consistencia del sistema normativo. La técnica normativa empleada persigue
la claridad, la previsibilidad y la certidumbre, mediante remisiones precisas y conceptos alineados con la norma europea, así como el establecimiento de reglas que permitan anticipar con seguridad las consecuencias jurídicas, facilitando el
cumplimiento y reduciendo los costes derivados de interpretación y aplicación.
En aplicación del principio de transparencia, esta ley se ha elaborado garantizando la disponibilidad del texto y los documentos que integran el procedimiento de su elaboración en los términos exigidos en la Ley 19/2013, de 9 de diciembre,
de transparencia, acceso a la información y buen gobierno, de manera que se ha facilitado su conocimiento a la ciudadanía y los operadores económicos. Se han articulado
mecanismos de participación adecuados que han permitido a los potenciales interesados intervenir de forma efectiva en el proceso legislativo, promoviendo un trámite de audiencia pública en el que se recabaron numerosas valoraciones
provenientes de la ciudadanía, el ámbito empresarial, las entidades civiles, el sector judicial y el académico, complementado con reuniones con asociaciones sectoriales y organismos públicos.
Por último, esta ley se adecua al principio de eficiencia, pues se limita a disponer lo estrictamente necesario para la aplicación del Reglamento (UE) 2024/1689, de 13 de junio, evitando reproducir obligaciones ya previstas en la norma
europea y previniendo duplicidades en nuestro ordenamiento jurídico, de modo que se optimiza el cumplimiento sin imponer exigencias superfluas. En coherencia con este objetivo, esta ley promueve la simplificación procedimental y la coordinación
entre autoridades nacionales, reduciendo trámites, plazos y costes de cumplimiento para los operadores mediante mecanismos de interoperabilidad y puntos de contacto. Asimismo, el diseño institucional y procedimental racionaliza el empleo de
recursos públicos, favoreciendo la asignación eficiente de funciones de supervisión, inspección y sanción con criterios de proporcionalidad y evitando estructuras o procesos redundantes.
El fundamento competencial de la presente ley se articula en torno a diversos títulos del artículo 149.1 de la Constitución Española, en atención al carácter transversal de la inteligencia artificial, cuya incidencia se proyecta de manera
directa sobre un amplio conjunto de ámbitos materiales y de derechos constitucionales.
En primer lugar, la competencia estatal para aprobar la presente ley se fundamenta de modo prevalente en el apartado 1.ª del artículo 149.1 de la Constitución Española, en la medida en que tiene por objeto establecer un marco común destinado
a garantizar unas condiciones básicas uniformes en la protección de los derechos y libertades de las personas frente a los riesgos derivados del uso de sistemas de IA, en coherencia con el artículo 1 del Reglamento (UE) 2024/1689, de 13 de junio que
promueve la adopción de una IA centrada en el ser humano y fiable. La creciente implantación de estas tecnologías, así como su capacidad de afectar de manera significativa a derechos fundamentales y a bienes constitucionalmente protegidos,
determina la necesidad de articular un estándar mínimo común en todo el territorio nacional que asegure la igualdad en su ejercicio, evitando la fragmentación normativa y garantizando un nivel homogéneo de protección.
En este sentido, la presente ley responde asimismo a los principios de seguridad jurídica, confianza legítima y unidad de mercado, que exigen la existencia de un marco regulador coherente y uniforme que permita tanto a los operadores
económicos como a la ciudadanía desenvolverse en condiciones de certeza, previsibilidad y equidad. La dimensión transfronteriza de los sistemas de inteligencia artificial, su integración en cadenas de valor complejas y su impacto en el
funcionamiento del mercado interior justifican, en consecuencia, la intervención del legislador estatal en garantía de tales principios. Se trata, en definitiva, de articular, de forma homogénea, un uso de la IA centrado en el ser humano y fiable,
garantizando un elevado nivel de protección de la salud, la seguridad y los derechos fundamentales, incluidos los valores democráticos, el Estado de Derecho y la protección del medio ambiente.
Junto al título competencial señalado, la ley se incardina de manera relevante en las competencias exclusivas del Estado en materia de telecomunicaciones y seguridad pública, previstas en los apartados 21.ª y 29.ª del artículo 149.1 de la
Constitución Española, en la medida en que la norma proyecta, de modo horizontal, mecanismos de supervisión que tienen efectos en la seguridad de las redes de comunicaciones, sobre las que la IA tiene una clara influencia. Estas materias presentan,
por tanto, una conexión directa con el despliegue y funcionamiento de los sistemas de IA, así como con la prevención de riesgos para la seguridad colectiva.
Asimismo, la ley se apoya en el apartado 13.ª del artículo 149.1 de la Constitución Española, en cuanto habilita al Estado para establecer las bases y la coordinación de la planificación general de la actividad económica. Este título
resulta especialmente relevante, en la medida en que la inteligencia artificial constituye un elemento estratégico
para el desarrollo económico, la competitividad y la innovación, siendo necesario garantizar un marco común que asegure la mejora del funcionamiento del mercado interior europeo y promueva la adopción de la IA de forma homogénea, evitando
distorsiones en el funcionamiento del mercado.
Igualmente, determinadas previsiones de la norma encuentran cobertura en el apartado 18.ª del artículo 149.1 de la Constitución Española, en lo relativo a las bases del régimen jurídico de las Administraciones públicas y del procedimiento
administrativo común, singularmente en lo que respecta al ejercicio de la potestad administrativa, incluido el régimen sancionador y disciplinario, en el ámbito del sector público y de los órganos constitucionales o con relevancia constitucional.
Este título permite asegurar una actuación administrativa homogénea en la aplicación de la ley y en el ejercicio de las funciones de supervisión y control.
Por otro lado, además de los títulos competenciales citados que fundamentan la competencia exclusiva del Estado para aprobar la presente ley, procede señalar la concurrencia de otros títulos competenciales derivados de la propia distribución
constitucional de competencias, cuya relevancia se circunscribe a aspectos concretos y sectoriales de la regulación proyectada. Así, el apartado 5.ª del artículo 149.1 de la Constitución Española resulta de aplicación en relación con la supervisión
de sistemas de IA de alto riesgo en el ámbito de la Administración de Justicia; el artículo 149.1.15.ª, en conexión con la regulación de la creación de espacios de pruebas controlados regulatorios, en tanto dichos entornos tienen por objetivo
fomentar la innovación; y el artículo 149.1.17.ª, en relación con la disposición final segunda, en tanto modifica la legislación básica y el régimen económico de la Seguridad Social. Estos títulos actúan, en consecuencia, como fundamento
competencial complementario y limitado a los aspectos específicos en los que dichas materias se ven directamente concernidas.
Finalmente, debe señalarse que aquellas previsiones de la ley que se refieren exclusivamente al sector público estatal encuentran su fundamento en la competencia del Estado para la organización y régimen de su propia Administración, en
particular en relación con las medidas de buen uso de la IA definidas en el capítulo IV de la norma.
En definitiva, la presente ley configura un marco normativo que, respetando el orden constitucional de distribución de competencias, permite dar respuesta a los desafíos que plantea la IA desde una perspectiva integral, garantizando, al
mismo tiempo, la protección de los derechos, la cohesión del mercado y la actuación coordinada de los poderes públicos.
CAPÍTULO I
Disposiciones generales
Artículo 1. Objeto.
Esta ley tiene por objeto adaptar el régimen jurídico español al Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo, de 13 de junio, por el que se establecen normas armonizadas en materia de inteligencia artificial y por el que
se modifican los Reglamentos (CE) n.º 300/2008, (UE) n.º 167/2013, (UE) n.º 168/2013, (UE) 2018/858, (UE) 2018/1139 y (UE) 2019/2144 y las Directivas 2014/90/UE, (UE) 2016/797 y (UE) 2020/1828 (Reglamento de Inteligencia Artificial), para lo que
regula:
a) El régimen de gobernanza y supervisión en el ámbito jurídico nacional, a través de la designación de las autoridades nacionales competentes, cumpliendo el mandato establecido en el artículo 70.1 del Reglamento (UE) 2024/1689, de 13 de
junio, de designar al menos una autoridad notificante y una autoridad de vigilancia del mercado.
b) La gobernanza de los espacios controlados de pruebas para la IA definidos por el artículo 57 de dicho Reglamento.
c) Las medidas organizativas para promover el buen uso de la IA en el ámbito del sector público estatal.
d) La definición de un régimen sancionador aplicable a los sistemas de IA introducidos en el mercado, puestos en servicio y utilizados en territorio español, por incumplimientos del Reglamento (UE) 2024/1689, de 13 de junio, y respetando lo
dispuesto en el artículo 99.2 de dicho Reglamento.
Artículo 2. Definiciones.
1. A los efectos de esta ley, serán de aplicación las definiciones del artículo 3 del Reglamento (UE) 2024/1689, de 13 de junio.
2. Asimismo, se tendrán en cuenta las siguientes definiciones:
a) Empresa: aquella entidad que cumpla con la definición de establecida en el anexo I del Reglamento (UE) 651/2014 de la Comisión, de 17 de junio de 2014, por el que se declaran determinadas categorías de ayudas compatibles con el mercado
interior en aplicación de los artículos 107 y 108 del Tratado.
b) Pyme: aquella entidad que cumpla con la definición de pequeñas y medianas empresas establecida en el anexo I del Reglamento (UE) 651/2014 de la Comisión, de 17 de junio de 2014, por el que se declaran determinadas categorías de ayudas
compatibles con el mercado interior en aplicación de los artículos 107 y 108 del Tratado.
c) Empresa emergente: aquella que cumpla con la definición establecida en el artículo 3 de la Ley 28/2022, de 21 de diciembre, de fomento del ecosistema de las empresas emergentes.
d) Autoridad competente: una autoridad notificante o una autoridad de vigilancia de mercado
e) Sector público estatal: aquel recogido en el artículo 2 de la Ley 47/2003, de 26 de noviembre, General Presupuestaria.
Artículo 3. Ámbito de aplicación.
1. Esta ley se aplica, en los términos que establece el artículo 2 del Reglamento (UE) 2024/1689, de 13 de junio, y de conformidad con las definiciones que establece el artículo 3 de dicho Reglamento, a:
a) Proveedores de sistemas de IA y de modelos IA de uso general.
b) Responsables del despliegue de sistemas de IA.
c) Fabricantes de productos que introduzcan en el mercado o pongan en servicio un sistema de IA junto con su producto y con su propio nombre o marca.
d) Representantes autorizados de proveedores que no estén establecidos en la Unión.
e) Importadores y distribuidores de sistemas de IA.
2. Se aplica igualmente a las autoridades notificantes, los organismos notificados y a las autoridades de vigilancia del mercado designadas en esta ley.
Quedan excluidas de esta ley las autoridades competentes del anexo I, sección B del Reglamento (UE) 2024/1689, de 13 de junio, que se regirán por su propia normativa sectorial.
3. El capítulo IV de esta ley se aplica únicamente al sector público estatal.
CAPÍTULO II
Gobernanza y Supervisión del Mercado
Artículo 4. Autoridad notificante.
1. Corresponde a la autoridad notificante el ejercicio de todas las funciones a las que se refiere el artículo 28 del Reglamento (UE) 2024/1689, de 13 de junio, así como la potestad sancionadora sobre los organismos notificados cuando
incumplan los requisitos y obligaciones previstos en el artículo 99.4 letra f) del citado Reglamento.
2. Se designa a la Dirección General de Inteligencia Artificial, dentro de la Secretaría de Estado de Digitalización e Inteligencia Artificial, como autoridad notificante a efectos de lo dispuesto en el artículo 28.1 del Reglamento (UE)
2024/1689, de 13 de junio, siendo el órgano responsable de establecer y llevar a cabo los procedimientos necesarios para la evaluación, designación y notificación de los organismos de evaluación de la conformidad, así como de su supervisión y
sanción, en caso de haber sido notificados, conforme al artículo 35 de esta ley.
3. La Dirección General de Inteligencia Artificial se apoyará, mediante el encargo de tareas para la evaluación de los organismos de evaluación de la conformidad y su supervisión, en caso de ser notificados, en el organismo nacional de
acreditación, regulado en el Real Decreto 1715/2010, de 17 de diciembre, por el que se designa a la Entidad Nacional de Acreditación (ENAC) como organismo nacional de acreditación de acuerdo con lo establecido en el Reglamento (CE) n.º 765/2008 del
Parlamento Europeo y del Consejo, de 9 de julio de 2008, por el que se establecen los requisitos de acreditación y vigilancia del mercado relativos a la comercialización de los productos y por el que se deroga el Reglamento (CEE) n.º 339/93, en
virtud del artículo 28.2 del Reglamento (UE) 2024/1689, de 13 de junio.
4. En el caso de los sistemas de IA de alto riesgo regulados por los actos legislativos de armonización de la Unión enumerados en el anexo I, sección A, de dicho Reglamento, las autoridades notificantes serán las ya designadas por sus
respectivos actos legislativos, en virtud del artículo 43.3 del Reglamento (UE) 2024/1689, de 13 de junio.
5. De acuerdo con lo recogido en el artículo 36.4 del Reglamento (UE) 2024/1689, de 13 de junio, cuando la autoridad notificante designada compruebe que un organismo notificado previamente designado no está cumpliendo sus obligaciones, o
que ya no satisface los requisitos establecidos en el artículo 31 del Reglamento (UE) 2024/1689, de 13 de junio, limitará, suspenderá o retirará la designación, según el caso, dependiendo de la gravedad del incumplimiento de dichos requisitos u
obligaciones, previa tramitación del correspondiente procedimiento administrativo, con audiencia al organismo, e informará de ello a la Comisión Europea y a los demás Estados miembros.
6. A efectos de lo dispuesto en el presente artículo, cuando se prevea la puesta en marcha de un sistema de IA de alto riesgo por parte de las autoridades garantes del cumplimiento del Derecho, las autoridades de inmigración o las
autoridades de asilo, la autoridad de vigilancia del mercado mencionada en el artículo 74.8, del Reglamento (UE) 2024/1689, de 13 de junio, actuará como organismo notificado en virtud de lo establecido en el artículo 43.1 de dicho Reglamento, y no
estarán sujetos a la supervisión y potencial sanción de la autoridad notificante designada.
Artículo 5. Autoridades de vigilancia del mercado.
1. Corresponden a las autoridades de vigilancia del mercado todas las funciones de vigilancia, inspección y la potestad sancionadora de los sistemas de inteligencia artificial establecidas en el capítulo IX, sección 3 del Reglamento (UE)
2024/1689, de 13 de junio.
2. Se designa a la AESIA como autoridad de vigilancia del mercado de los siguientes sistemas de IA:
a) Los que realicen prácticas de IA prohibidas recogidas en los apartados a), b), c) y f) del artículo 5.1 del Reglamento (UE) 2024/1689, de 13 de junio.
b) Los sistemas de IA de alto riesgo descritos en el anexo III del Reglamento (UE) 2024/1689, de 13 de junio, apartado 1, relativo al ámbito de la biometría, letra c), siempre que los sistemas no se utilicen en el ámbito de la migración,
asilo y gestión del control transfronterizo o a efectos de la garantía del cumplimiento del derecho y de la administración de justicia.
c) Los sistemas de IA de alto riesgo descritos en el anexo III del Reglamento (UE) 2024/1689, de 13 de junio, apartado 2, relativo al ámbito de infraestructuras críticas.
d) Los sistemas de IA de alto riesgo descritos en el anexo III del Reglamento (UE) 2024/1689, de 13 de junio, apartado 3, relativo al ámbito de la educación y formación profesional.
e) Los sistemas de IA de alto riesgo descritos en el anexo III del Reglamento (UE) 2024/1689, de 13 de junio, apartado 4, relativo al ámbito del empleo y gestión de las personas trabajadoras.
f) Los sistemas de IA de alto riesgo descritos en el anexo III del Reglamento (UE) 2024/1689, de 13 de junio, apartado 5, relativo al ámbito de los servicios y prestaciones esenciales, exceptuando aquellos descritos en las letras b) y c),
relativos a sistemas para la evaluación de solvencia o calificación crediticia y a los de evaluación de riesgos y la fijación de precios en relación con las personas físicas en el caso de los seguros de vida y de salud, respectivamente.
g) Los sistemas de IA de alto riesgo descritos en el anexo I del Reglamento (UE) 2024/1689, de 13 de junio, apartado 6, relativo a aquellos sujetos a la Directiva 2014/53/UE del Parlamento Europeo y del Consejo, de 16 de abril de 2014,
relativa a la armonización de las legislaciones de los Estados miembros sobre la comercialización de equipos radioeléctricos, y por la que se deroga la Directiva 1999/5/CE.
h) Los sistemas de IA sujetos a las obligaciones de transparencia establecidas por el artículo 50 Reglamento (UE) 2024/1689, de 13 de junio, u otra obligación establecida en dicho Reglamento y no recogida en el presente artículo.
3. Se designa a la Agencia Española de Protección de Datos y las autoridades autonómicas de protección de datos, dentro del ámbito de sus respectivas competencias, como autoridades de vigilancia del mercado de los siguientes sistemas de IA:
a) Los que realicen prácticas de IA prohibidas recogidas en los apartados e) y g) del artículo 5.1 del Reglamento (UE) 2024/1689, de 13 de junio.
b) Los sistemas de IA de alto riesgo descritos en el anexo III del Reglamento (UE) 2024/1689, de 13 de junio, apartado 1, relativo al ámbito de la biometría, letras a) y b), excepto cuando los sistemas se utilicen a efectos del cumplimiento
del derecho, la administración de justicia o los procesos democráticos, excluyendo, en consonancia con el anexo III.1 a) de dicho Reglamento, los sistemas para identificación biométrica remota cuya única finalidad sea confirmar que una persona
física concreta es la persona que afirma ser.
c) Los sistemas de IA de alto riesgo descritos en el anexo III del Reglamento (UE) 2024/1689, de 13 de junio, apartado 1, relativo al ámbito de la biometría, letra c) siempre que esos sistemas se usen en el ámbito de la migración, asilo y
gestión del control transfronterizo.
d) Los sistemas de IA de alto riesgo descritos en el anexo III.7 del Reglamento (UE) 2024/1689, de 13 de junio, relativo al ámbito de migración, asilo y gestión del control fronterizo.
4. Se designa al Consejo General del Poder Judicial, de conformidad con lo previsto en el capítulo I bis del título III del libro III de la Ley Orgánica 6/1985, de 1 de julio, del Poder Judicial, como autoridad de vigilancia del mercado de
los siguientes sistemas de IA:
a) Los que realicen prácticas de IA prohibidas recogidas en el apartado d) y h) del artículo 5.1 del Reglamento (UE) 2024/1689, de 13 de junio.
b) Los sistemas de IA de alto riesgo descritos en el anexo III.1 del Reglamento (UE) 2024/1689, de 13 de junio, relativo al ámbito de la biometría, cuando los sistemas se utilicen a efectos de la administración de justicia y del cumplimiento
del derecho, excluyendo, en consonancia con el anexo III.1 a) de dicho Reglamento, los sistemas para identificación biométrica remota cuya única finalidad sea confirmar que una persona física concreta es la persona que afirma ser.
c) Los sistemas de IA de alto riesgo descritos en el anexo III.6 del Reglamento (UE) 2024/1689, de 13 de junio, relativo al ámbito de la garantía del cumplimiento del derecho.
d) Los sistemas de IA de alto riesgo descritos en el anexo III.8.a) del Reglamento (UE) 2024/1689, de 13 de junio, relativo a los ámbitos de la administración de justicia.
5. Se designa de acuerdo con el artículo 74.6 del Reglamento (UE) 2024/1689, de 13 de junio, al Banco de España como autoridad de vigilancia del mercado con respecto de los sistemas de IA de alto riesgo descritos en el anexo III.5 b) del
Reglamento (UE) 2024/1689, de 13 de junio, relativo a sistemas de IA destinados a ser utilizados para evaluar la solvencia de personas físicas o establecer su calificación crediticia, introducidos en el mercado, puestos en servicio o utilizados por
entidades financieras para las que el Banco de España sea la autoridad financiera nacional con funciones supervisoras competente por razón de la materia, de conformidad con lo dispuesto en el artículo 7 de la Ley 13/1994, de 1 de junio, de Autonomía
del Banco de España, en la medida en que la introducción en el mercado, la puesta en servicio o la utilización del sistema de IA esté directamente relacionada con la prestación de dichos servicios financieros.
6. Se designa a la Comisión Nacional del Mercado de Valores (en adelante, CNMV), como autoridad de vigilancia del mercado con respecto de los sistemas de IA de alto riesgo descritos en el anexo III.5 b) del Reglamento (UE) 2024/1689, de 13
de junio, relativo a sistemas de IA destinados a ser utilizados para evaluar la solvencia de personas físicas o establecer su calificación crediticia, en el ámbito de operadores cuya supervisión le haya sido atribuida por la Ley 6/2023, de 17 de
marzo, de los Mercados de Valores y de los Servicios de Inversión y el resto de leyes que establezcan sus competencias.
7. Se designa a la Dirección General de Seguros y Fondos de Pensiones, en el área de competencia que ostenta con arreglo a la legislación relativa a la supervisión de seguros de vida y de salud, como autoridad de vigilancia del mercado de
los sistemas de IA de alto riesgo descritos en el anexo III.5 c) del Reglamento (UE) 2024/1689, de 13 de junio, relativo a sistemas de IA destinados a ser utilizados para la evaluación de riesgos y la fijación de precios en relación con las personas
físicas en el caso de los seguros de vida y de salud.
8. Las autoridades de vigilancia del mercado designadas en virtud de los actos legislativos enumerados en el anexo I, sección A del Reglamento (UE) 2024/1689, de 13 de junio, actuarán como autoridades de vigilancia del mercado de los
sistemas de IA de alto riesgo asociados a los productos regulados por dichos actos legislativos de armonización.
Se exceptúa la autoridad designada de conformidad con el apartado 6 de dicho anexo I, que cita la Directiva 2014/53/UE del Parlamento Europeo y del Consejo, de 16 de abril de 2014, relativa a la armonización de las legislaciones de los
Estados miembros sobre la comercialización de equipos radioeléctricos, y por la que se deroga la Directiva 1999/5/CE. En este supuesto, la autoridad competente será la especificada en el presente artículo.
Cuando una de estas autoridades de vigilancia del mercado comunicase a la AESIA la carencia de medios técnicos, financieros y humanos idóneos para la supervisión, inspección y sanción de sistemas de IA, asumirá tales funciones la Agencia,
garantizando la coordinación con la autoridad sectorial de vigilancia del mercado pertinente, hasta que dicha autoridad comunique fehacientemente disponer de los medios idóneos para ejercer las funciones de vigilancia, inspección y sanción de
sistemas de IA.
9. Para los supuestos no contemplados expresamente en esta ley, así como para aquellos derivados de nuevas áreas de supervisión de prácticas prohibidas de IA que pudieran establecerse mediante la aprobación de actos delegados o modificación
del Reglamento (UE) 2024/1689, de 13 de junio, corresponderá al Consejo de Ministros, mediante Acuerdo y a propuesta de la Secretaría de Estado de Digitalización e Inteligencia Artificial, designar a las autoridades de vigilancia del mercado para
dichos casos.
La AESIA será la autoridad competente por defecto hasta que se produzca, en su caso, dicha designación.
10. Corresponden a la Secretaría de Estado de Digitalización e Inteligencia Artificial las comunicaciones a la Comisión Europea sobre las identidades y funciones de las autoridades de vigilancia de mercado que establece el artículo 70.2 del
Reglamento (UE) 2024/1689, de 13 de junio.
11. En cualesquiera supuestos en los que las decisiones o las actuaciones de una autoridad de vigilancia puedan afectar a los intereses o a las competencias de otras, deberá aquella recabar informe preceptivo de estas antes de resolver.
Dicho informe deberá ser remitido a la autoridad solicitante en un plazo máximo de diez días hábiles.
12. Con carácter excepcional, y cuando sea necesario para evitar o mitigar las consecuencias derivadas de incidentes graves causados por sistemas de IA, la AESIA podrá proponer, promover o, en su caso, coordinar cuantas medidas sean
necesarias, con la colaboración de las autoridades antes descritas, con la Comisión Europea, y de acuerdo con sus respectivas competencias.
13. Las autoridades de vigilancia de mercado presentarán a la Comisión Europea, a través del punto de contacto único, y con carácter bienal, un informe sobre el estado de sus recursos financieros y humanos, incluyendo una evaluación de su
idoneidad, de conformidad con los términos establecidos en el artículo 70.6 del Reglamento (UE) 2024/1689, de 13 de junio.
14. La AESIA podrá prestar, en el ámbito del Reglamento (UE) 2024/1689, de 13 de junio, asistencia técnica a las autoridades de vigilancia de mercado competentes. Esta asistencia técnica podrá comprender apoyo técnico y apoyo en la
tramitación de expedientes en sus aspectos auxiliares.
La AESIA podrá prestar apoyo en el ejercicio de potestades públicas o administrativas a otras autoridades de vigilancia de mercado siempre que no afecte a la independencia o a la especialización sectorial de esas autoridades.
Los términos de la asistencia técnica como el apoyo en el ejercicio de las potestades públicas o administrativas bajos los límites establecidos deberán instrumentarse en los oportunos convenios.
Artículo 6. Punto de contacto único.
1. Se designa a la AESIA como punto de contacto único de acuerdo con lo establecido en el artículo 70.2 del Reglamento (UE) 2024/1689, de 13 de junio.
2. Corresponderá al punto de contacto único previsto en el Reglamento (UE) 2024/1689, de 13 de junio, ejercer la interlocución institucional y la coordinación general de las actuaciones de las autoridades de vigilancia del mercado
competentes en sus relaciones con la Comisión Europea, la Oficina de IA, el Consejo de IA y las autoridades de los demás Estados miembros, todo ello con respeto a las competencias y, en su caso, la independencia de cada autoridad. En concreto, se
le asignan las competencias destinadas a:
a) Mantener públicamente accesible, por medios electrónicos, la información de contacto de las autoridades de vigilancia del mercado competentes y del propio punto de contacto único.
b) Facilitar al público y a otras autoridades un canal único e identificable de contacto, en virtud del considerando 153 del Reglamento (UE) 2024/1689, de 13 de junio.
c) Coordinar, de acuerdo con el artículo 66 apartado o) del Reglamento (UE) 2024/1689, de 13 de junio, la presentación al Consejo de IA de dictámenes sobre alertas cualificadas relativas a modelos de IA de uso general y sobre las
experiencias y prácticas nacionales en materia de supervisión y ejecución de los sistemas de IA, en particular los sistemas que integran los modelos de IA de uso general.
d) Coordinar, de acuerdo con el artículo 70.6 del Reglamento (UE) 2024/1689, de 13 de junio, la presentación de la información bienal a la Comisión Europea del estado de los recursos financieros y humanos de las autoridades competentes.
e) Coordinar, de acuerdo con el artículo 74.2 del Reglamento (UE) 2024/1689, de 13 de junio, la presentación de la información anual a la Comisión Europea y a las autoridades nacionales de competencia pertinentes, de cualquier información
recabada en el transcurso de las actividades de vigilancia del mercado que pueda ser de interés potencial para la aplicación del Derecho de la Unión en materia de normas de competencia.
f) Coordinar, de acuerdo con el artículo 74.2 del Reglamento (UE) 2024/1689, de 13 de junio, la presentación de la información anual a la Comisión Europea sobre el recurso a prácticas prohibidas que se hayan producido durante ese año y sobre
las medidas adoptadas.
g) Coordinar, de acuerdo con el artículo 99.11 del Reglamento (UE) 2024/1689, de 13 de junio, la presentación del informe anual a la Comisión Europea de las multas administrativas que se hayan impuesto de conformidad con esta ley y de
cualquier litigio o proceso judicial relacionados.
Artículo 7. Actuaciones de las autoridades de vigilancia de mercado.
1. Las autoridades de vigilancia del mercado realizarán las actuaciones que sean precisas para el ejercicio de su función de supervisión y control, tanto en actuaciones previas como durante el proceso de instrucción de un procedimiento
sancionador. Estas actuaciones están previstas en el artículo 14 del Reglamento (UE) 2019/1020 del Parlamento Europeo y del Consejo de 20 de junio de 2019 relativo a la vigilancia del mercado y la conformidad de los productos y por el que se
modifican la Directiva 2004/42/CE y los Reglamentos (CE) n.º 765/2008 y (UE) n.º 305/2011.
El personal adscrito a las unidades administrativas competentes que ejerza potestades de inspección será personal funcionario de carrera o personal con condición de autoridad pública de conformidad con su legislación, y tendrá asimismo la
consideración de autoridad pública en la instrucción de los procedimientos sancionadores previstos en la presente ley.
El personal funcionario de carrera de la AESIA que desarrolle actividades de inspección tendrá la consideración de agentes de la autoridad en el ejercicio de sus funciones inspectoras, y estará obligado a guardar secreto sobre las
informaciones que conozca con ocasión de dicho ejercicio, incluso después de haber cesado en ellas.
2. Las autoridades de vigilancia de mercado podrán ser asistidas por la AESIA, así como, de acuerdo con los actos delegados de la Comisión Europea, por los expertos descritos en el artículo 69 del Reglamento (UE) 2024/1689, de 13 de junio,
en las labores de supervisión y control que les asigna dicho Reglamento y la presente ley.
3. Podrá requerirse la realización de pruebas en laboratorios o entidades especializadas para acreditar el cumplimiento de requisitos derivados del Reglamento (UE) 2024/1689, de 13 de junio. Cuando de dichas pruebas resulte la constatación
de un incumplimiento, los costes derivados de su realización serán asumidos por el proveedor responsable, de conformidad con lo establecido en el artículo 15 del Reglamento (UE) 2019/1020, de 20 de junio.
4. En toda actuación de vigilancia del mercado o sancionadora se deberán garantizar los deberes de confidencialidad exigidos en el artículo 78 del Reglamento (UE) 2024/1689, de 13 de junio.
Artículo 8. Coordinación de las autoridades de vigilancia del mercado.
1. Las relaciones entre las autoridades de vigilancia del mercado y las autoridades notificantes se regirán por los principios de cooperación, confianza y lealtad institucional.
2. Con el fin de garantizar una actuación uniforme, coordinada y eficaz en el desarrollo de las actuaciones que les atribuye esta ley, las autoridades de vigilancia del mercado se suministrarán e intercambiarán cualquier información
operativa que asegure la adecuada coordinación en el ejercicio de sus funciones.
En las actuaciones de inspección, vigilancia y control previstas en el Reglamento (UE) 2024/1689, de 13 de junio, las autoridades de vigilancia del mercado tendrán especialmente en cuenta los incumplimientos detectados e intercambios de
información producidos en el contexto del Consejo de Inteligencia Artificial y, en todo caso, las directrices sobre la aplicación del mencionado Reglamento que, conforme a lo previsto en su artículo 96, elabore la Comisión Europea.
3. Las autoridades de vigilancia del mercado, salvo que proceda la exclusión prevista en el artículo 74.4 del Reglamento (UE) 2024/1689, de 13 de junio:
a) Informarán sobre los incidentes graves, de acuerdo con los artículos 73 y 76 del Reglamento (UE) 2024/1689, de 13 de junio.
b) Informarán sobre la evaluación del sistema, las medidas correctoras dictadas al operador y, en su caso, las medidas provisionales adoptadas, de acuerdo con el artículo 79 del Reglamento (UE) 2024/1689, de 13 de junio, ante la
identificación de un riesgo presentado por un sistema de IA y se estime que la infracción excede el territorio nacional.
c) Informará sobre la evaluación del sistema, las medidas correctoras dictadas para el operador y, en su caso, las medidas provisionales adoptadas, de acuerdo con el artículo 80 del Reglamento (UE) 2024/1689, de 13 de junio, cuando estime
que es de alto riesgo un sistema de IA que el operador consideró que no era de alto riesgo, y que la utilización del sistema no se circunscribe al territorio nacional.
d) Informará con detalle sobre las conclusiones obtenidas, de acuerdo con el artículo 82 del Reglamento (UE) 2024/1689, de 13 de junio, cuando concluya que un sistema de IA de alto riesgo que es conforme con dicho Reglamento presenta riesgos
para la salud o la seguridad de las personas, los derechos fundamentales u otros aspectos de protección del interés público.
4. Con el objetivo de garantizar la protección de la ciudadanía, en aquellos casos en que se determine que un sistema de IA de alto riesgo que es conforme con el Reglamento (UE) 2024/1689, de 13 de junio presenta un riesgo que puedan
afectar a la salud pública o a los derechos fundamentales, las autoridades de vigilancia del mercado promoverán la participación y consulta de los departamentos ministeriales competentes por razón de la materia y de las autoridades encargadas de
proteger los derechos fundamentales designadas en virtud del artículo 77 del Reglamento, a fin de determinar las medidas que deban adoptarse.
A este efecto, las autoridades de vigilancia del mercado notificarán el riesgo detectado en un plazo no superior a diez (10) días hábiles a dichos departamentos y autoridades encargadas de proteger los derechos fundamentales, con el objeto
de recabar informe preceptivo que deberá ser emitido en idéntico plazo.
5. Cuando se adopten medidas correctoras, las notificaciones que procedan se realizarán a través del sistema electrónico que esté previsto por las normas de Derecho de la Unión Europea y de conformidad con los plazos legalmente
establecidos.
6. Las autoridades de vigilancia del mercado harán uso del sistema de información y comunicación del artículo 34 del Reglamento de Vigilancia del Mercado y de la Conformidad de los Productos, con el fin de intercambiar datos sobre
cuestiones relativas a la aplicación del Reglamento (UE) 2024/1689, de 13 de junio y de otra legislación de seguridad de producto que pueda ser de aplicación en el ejercicio de sus funciones.
7. La AESIA fomentará la efectiva colaboración de las actuaciones de las autoridades de vigilancia del mercado orientada a la prevención de los riesgos y a la aplicación del régimen de supervisión de sistemas de inteligencia artificial
establecido en el Reglamento (UE) 2024/1689, de 13 de junio.
8. A efectos de garantizar dicha colaboración, se creará, como órgano colegiado, la Comisión mixta de colaboración entre autoridades de vigilancia del mercado, incluidas aquellas que tengan carácter autonómico, que tendrá como fin el
intercambio de
información y buenas prácticas en la aplicación de sus competencias de supervisión, a efectos de asegurar la aplicación de las competencias definidas en esta ley. En calidad de punto de contacto único a efectos del Reglamento (UE)
2024/1689, de 13 de junio, la AESIA ostentará su presidencia, la secretaría y la gestión del órgano.
Las representaciones que formen parte de dicha Comisión mixta establecerán sus propias normas de funcionamiento, que deberán ser publicadas por la AESIA al ostentar su presidencia, de acuerdo con lo establecido en el artículo 15 de la Ley
40/2015, de 1 de octubre.
Las decisiones que, en su caso, sean aprobadas no tendrán carácter vinculante para el Consejo General del Poder Judicial ni para las autoridades de vigilancia de mercado que tengan consideración de autoridades administrativas independientes.
Respecto al resto de autoridades, la Comisión promoverá la adopción de criterios uniformes de actuación basados en el consenso institucional.
Cuando los asuntos a tratar afecten a sistemas de inteligencia artificial vinculados a la seguridad pública, la prevención del terrorismo, la delincuencia organizada o la protección de infraestructuras críticas, participará en la Comisión de
coordinación la Secretaría de Estado de Seguridad, a través del órgano competente.
9. Sin perjuicio de las medidas de coordinación y colaboración que se establezcan reglamentariamente, las autoridades de vigilancia del mercado designadas bajo esta ley intercambiarán información sobre las actividades que realicen para
garantizar la elaboración del informe anual previsto como obligación en los apartados 5 y 6 del artículo 5 del Reglamento (UE) 2024/1689, de 13 de junio.
La misma obligación de remisión de documentación y elementos de prueba corresponderá a la autoridad de vigilancia del mercado competente respecto de las autoridades encargadas de supervisar o hacer respetar las obligaciones contempladas en
el Derecho de la Unión en materia de protección de los derechos fundamentales en virtud del artículo 77 del Reglamento (UE) 2024/1689, de 13 de junio, cuando, en el desarrollo de su actividad, se detecten riesgos para los derechos fundamentales.
10. Cuando en el desarrollo de su actividad, una autoridad encargada de supervisar o hacer respetar las obligaciones contempladas en el Derecho de la Unión en materia de protección de los derechos fundamentales en virtud del artículo 77 del
Reglamento (UE) 2024/1689, de 13 de junio, apreciase indicios de la comisión de alguna de las infracciones previstas en esta ley, trasladará a la autoridad de vigilancia del mercado competente la documentación y los elementos de prueba recabados en
dichas actuaciones.
11. De acuerdo con el artículo 74.4 del Reglamento (UE) 2024/1689, de 13 de junio, los procedimientos a los que se refieren los artículos 79 a 83 no se aplicarán a sistemas de IA asociados a productos regulados por los actos legislativos de
armonización de a la Unión enumerados en el anexo I, sección A, cuando dichos actos legislativos ya prevean procedimientos que garanticen un nivel equivalente de protección que tenga el mismo objetivo. En dichos casos, se aplicarán los
procedimientos sectoriales pertinentes sin menoscabo del cumplimiento del resto de actuaciones de coordinación definidas en la presente ley.
Artículo 9. Reclamaciones ante una autoridad de vigilancia del mercado.
1. Toda persona física o jurídica que tenga motivos para considerar que se ha producido un incumplimiento de lo dispuesto en el Reglamento (UE) 2024/1689 podrá presentar una reclamación ante la autoridad de vigilancia del mercado
competente, de conformidad con el artículo 85 de dicho Reglamento.
2. Asimismo, podrán poner en conocimiento de la autoridad de vigilancia del mercado competente los hechos susceptibles de constituir incumplimientos del Reglamento las demás autoridades de supervisión que en el ejercicio de sus funciones
adviertan indicios de infracción. Dicha comunicación tendrá los efectos que correspondan conforme a la Ley 39/2015 y podrá dar lugar, en su caso, a la realización de actuaciones previas o a la iniciación de oficio del procedimiento sancionador.
3. Las reclamaciones tendrán por objeto poner en conocimiento de la autoridad posibles incumplimientos, a efectos de su análisis en el marco de las funciones de vigilancia del mercado, sin que su presentación confiera al reclamante la
condición de interesado en un eventual procedimiento sancionador.
4. Ante la recepción de una reclamación, la autoridad de vigilancia del mercado competente podrá:
a) Analizar la reclamación y solicitar información adicional cuando resulte necesario.
b) Realizar actuaciones de inspección o comprobación.
c) Requerir la adopción de medidas correctoras al operador económico.
d) Archivar, de forma motivada, la reclamación cuando no se considere que sea constitutiva de infracción, no se aprecien indicios suficientes de incumplimiento o cuando se hayan adoptado medidas adecuadas para corregirlo.
e) Iniciar, en su caso, un procedimiento sancionador de oficio cuando se aprecien indicios de infracción.
5. La AESIA establecerá un sistema de ventanilla única para la presentación de dichas reclamaciones, debiendo remitirlas a las autoridades de vigilancia competentes en un plazo máximo de 10 días hábiles desde su recepción.
Artículo 10. Protección del informante.
1. Las personas que hayan tenido conocimiento en el contexto de su relación laboral o profesional de acciones u omisiones que puedan constituir infracciones del Reglamento (UE) 2024/1689, de 13 de junio, o de las infracciones previstas en
la presente ley, y las comuniquen por las vías previstas en el marco de la Directiva (UE) 2019/1937 del Parlamento Europeo y del Consejo, de 23 de octubre de 2019, relativa a la protección de las personas que informen sobre infracciones del Derecho
de la Unión y de la Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción, tendrán derecho a la protección establecida en dicha norma por parte de la
Autoridad Independiente de Protección del Informante o, en su caso, las autoridades autonómicas.
CAPÍTULO III
Espacios controlados de pruebas para la IA
Artículo 11. Gobernanza de los espacios controlados de pruebas para la IA.
1. Los espacios controlados de pruebas para la IA se sujetarán a lo establecido en el presente artículo, en el capítulo VI del Reglamento (UE) 2024/1689, de 13 de junio y a los actos de ejecución adoptados, en su caso, por la Comisión
Europea, tal y como establece el artículo 58.1 de dicho Reglamento.
2. La AESIA será la autoridad competente responsable de establecer el espacio controlado de pruebas para la IA de obligada creación en virtud del artículo 57.1 del Reglamento (UE) 2024/1689, de 13 de junio.
3. La creación de espacios controlados de pruebas para la IA adicionales conforme al capítulo VI del Reglamento (UE) 2024/1689, de 13 de junio, deberá ser llevada a cabo por, al menos, una autoridad competente designada en los artículos 4 y
5 de la presente ley y solo en el ámbito de su competencia.
Asimismo, podrán crear espacios controlados de pruebas para la IA adicionales las autoridades de vigilancia de mercado de sistemas de IA de alto riesgo asociados a productos regulados por los actos legislativos de armonización de la Unión
enumerados en el anexo I, sección B, en la medida en que los requisitos para los sistemas de IA de alto riesgo en virtud del Reglamento (UE) 2024/1689, de 13 de junio, se hayan integrado en sus actos legislativos de armonización, de acuerdo con el
artículo 2.2 de dicho Reglamento.
4. La autoridad competente responsable del espacio controlado de pruebas para la IA deberá informar a la Oficina de IA y al Consejo de IA de su establecimiento a través del punto de contacto único, según lo establecido en el artículo 57.15
del Reglamento (UE) 2024/1689, de 13 de junio. La autoridad competente deberá acreditar la asignación de recursos suficientes para el desarrollo del espacio controlado de pruebas para la IA, en virtud de lo establecido en el artículo 57.4 de dicho
Reglamento.
Además, cada autoridad competente será responsable de presentar los informes anuales a la Oficina de IA y al Consejo de IA, recogidos en el artículo 57.16 del Reglamento (UE) 2024/1689, de 13 de junio, a través del punto de contacto único a
nivel nacional y hacerlos públicos desde la puesta en funcionamiento del espacio controlado de pruebas para la IA.
5. En la coordinación de los espacios controlados de pruebas para la IA se deberá incluir a las autoridades responsables de definir las políticas públicas en los sectores que abarquen dichos espacios, y, en su caso, a las autoridades
encargadas de proteger los derechos fundamentales relacionados.
CAPÍTULO IV
Buen uso de la IA en el sector público estatal
Artículo 12. Actuaciones para el buen uso de la IA en el sector público estatal.
1. Las entidades que forman el sector público estatal deberán ofrecer información pertinente y actualizada sobre la utilización de sistemas de IA en el ejercicio de sus funciones.
A tal efecto, se elaborará un inventario de sistemas de IA para el sector público estatal interoperable con el registro de sistemas de alto riesgo de la Unión Europea establecido en el artículo 49 del Reglamento (UE) 2024/1689, de 13 de
junio.
La finalidad de este inventario es recoger la información de sistemas de IA que intervengan en los procedimientos administrativos electrónicos, y no sustituye ni altera las obligaciones de registro de sistemas de alto riesgo que establece la
Unión Europea en el artículo 49 del Reglamento.
2. En el cumplimiento de esta obligación se respetarán los límites a la confidencialidad que se establecen a las autoridades involucradas en la aplicación del Reglamento (UE) 2024/1689, de 13 de junio con pleno respeto a las obligaciones de
confidencialidad previstas en el artículo 78.1 de dicho Reglamento.
3. La designación del organismo responsable del desarrollo, mantenimiento y custodia de este inventario, así como los detalles referidos a su contenido, formato o interoperabilidad con el registro europeo de sistemas de IA de alto riesgo,
serán concretados mediante desarrollo reglamentario.
4. La obligación de remisión de información referida en el apartado anterior no será aplicable a:
a) Sistemas de IA que se introduzcan en el mercado, se pongan en servicio o se utilicen con fines militares, de defensa, seguridad nacional, o gestión y mantenimiento de infraestructuras críticas.
b) Sistemas de IA en fase de investigación, prueba o desarrollo antes de su introducción en el mercado o puesta en servicio, en consonancia con el artículo 2.8 del Reglamento (UE) 2024/1689, de 13 de junio.
c) Cualquier medida o sistema directa o indirectamente relacionado con la ciberseguridad de los sistemas del sector público estatal.
d) Sistemas de IA en los que la publicación de la información requerida en el presente artículo pueda suponer un límite de derecho al acceso recogido en el artículo 14 de la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la
información pública y buen gobierno.
e) Sistemas de IA destinados al aseguramiento de la integridad del sistema de prestaciones y cotizaciones, a la prevención, detección e investigación del fraude, o cuya publicidad pudiera incrementar el riesgo de ataque o uso indebido del
servicio, cuando esta circunstancia estuviese debidamente acreditada.
5. La información relativa a sistemas de IA utilizados en la prevención y control del fraude tributario se incorporará, en su caso, al inventario en términos compatibles con el carácter reservado del Plan de control tributario y de los
medios informáticos y sistemas de selección de obligados tributarios previstos en la normativa tributaria, sin que pueda incluirse información que permita conocer, reproducir, inferir o eludir dichos sistemas.
6. A efectos de la elaboración y actualización del inventario previsto en este artículo, la información a proporcionar respecto de cada algoritmo o sistema de IA incluirá al menos:
a) El proveedor y el responsable del despliegue, así como cualquier otro operador involucrado en la comercialización del sistema.
b) La categorización del sistema.
7. Las entidades del sector público estatal promoverán, en su ámbito, actuaciones dirigidas a la concienciación, divulgación y promoción de la formación en el desarrollo y uso responsable, sostenible y confiable de la IA.
8. Cada entidad del sector público estatal deberá designar, en el ejercicio de sus competencias, a un delegado de IA para el desarrollo de las políticas internas y el cumplimiento de los estándares aplicables a los sistemas de IA de acuerdo
con el marco normativo vigente.
Entre dichas competencias se incluirá, cuando sea de aplicación, el asesoramiento en la realización de evaluaciones de impacto que determinen el posible sesgo discriminatorio de acuerdo con el artículo 23.1 de la Ley 15/2022, de 12 de julio,
integral para la igualdad de trato y la no discriminación, así como las evaluaciones de impacto en derechos fundamentales recogidas en el artículo 27 del Reglamento (UE) 2024/1689, de 13 de junio.
9. El delegado de IA deberá ostentar la condición de personal funcionario de carrera o, en el caso de entidades del sector público estatal con empleados con relación laboral, ser personal empleado con relación laboral fija e indefinida con
conocimientos técnicos en materia de IA y de la regulación aplicable a los sistemas de IA para el desarrollo de sus funciones. Las funciones y tareas, así como otras cuestiones en relación con el delegado de IA serán determinadas mediante
desarrollo reglamentario.
CAPÍTULO V
Infracciones y Sanciones
Artículo 13. Clasificación de infracciones.
1. Las infracciones relativas al no respeto de prácticas prohibidas, tal y como recoge el artículo 99.3 del Reglamento (UE) 2024/1689, de 13 de junio, se clasifican como muy graves en el artículo 14 de esta ley.
2. Las infracciones relativas al incumplimiento de las disposiciones recogidas en el artículo 99.4 del Reglamento (UE) 2024/1689, de 13 de junio, así como las demás infracciones cometidas por los operadores que, conforme al artículo 99.1 de
dicho Reglamento, puedan generar riesgos, se clasifican como muy graves, graves o leves en los artículos 15 a 29 de esta ley.
3. Las infracciones relativas a la presentación de información inexacta, incompleta o engañosa a que se refiere el artículo 99.5 del Reglamento (UE) 2024/1689, de 13 de junio se clasifican como graves o leves en los artículos 16 y 23 de
esta ley.
Artículo 14. Infracciones muy graves relativas a las prácticas de IA prohibidas.
Constituye infracción muy grave, relativa a las prácticas de IA prohibidas recogidas en el artículo 5 del Reglamento (UE) 2024/1689, de 13 de junio, la introducción en el mercado, puesta en servicio o utilización de un sistema de IA cuya
práctica se defina como prohibida según lo recogido en el artículo 5.1 apartados a), b), c), d), e), f), g) y h) del Reglamento (UE) 2024/1689, de 13 de junio, fuera de las excepciones determinadas en dicho artículo.
Artículo 15. Infracciones muy graves de proveedores.
Constituye infracción muy grave, relativa a los sistemas de alto riesgo, la ausencia de notificación por un proveedor de sistemas de IA de alto riesgo, o del responsable del despliegue en su defecto, de cualquier incidente grave, a la
autoridad de vigilancia del mercado competente, en los términos establecidos en el artículo 73 del Reglamento (UE) 2024/1689, de 13 de junio.
Artículo 16. Infracciones graves de cualquier operador.
1. Constituyen infracciones graves de cualquier operador:
a) El incumplimiento del artículo 49 del Reglamento (UE) 2024/1689, de 13 de junio, relativo a las obligaciones de registro de sistemas de IA de alto riesgo, en lo que dicho artículo dispone para cada operador, incluyendo el registro a nivel
nacional de aquellos catalogados en el anexo III, apartado 2, relativo a sistemas de IA para infraestructuras críticas, y el registro en la base de datos de la Unión Europea de los de cualquier categoría del anexo III que consideren, en virtud del
artículo 6, apartado 3, que el sistema no es de alto riesgo.
b) La resistencia, obstrucción o negativa ante una actuación de evaluación, de verificación o de inspección de una autoridad de vigilancia del mercado en cualquiera de los procedimientos establecidos en los artículos 79 y 80 del Reglamento
(UE) 2024/1689, de 13 de junio, salvo que proceda la exclusión prevista en el artículo 74.4 del citado Reglamento.
c) El incumplimiento total o parcial por un operador de las medidas provisionales impuestas por una autoridad de vigilancia del mercado, una vez transcurrido el período establecido para la adopción de las medidas correctoras, en cualquiera
de los procedimientos previstos en los artículos 79.5 y 80 del Reglamento (UE) 2024/1689, de 13 de junio, salvo que proceda la exclusión prevista en el artículo 74.4 del citado Reglamento.
d) La resistencia u obstrucción por un operador al ejercicio por una autoridad de vigilancia del mercado de cualquiera de los poderes reconocidos en el artículo 74 del Reglamento (UE) 2024/1689, de 13 de junio.
e) El incumplimiento total o parcial por un operador, en el plazo requerido, de las medidas impuestas por una autoridad de vigilancia del mercado en el procedimiento previsto en el artículo 82 del Reglamento (UE) 2024/1689, de 13 de junio,
salvo que proceda la exclusión prevista en el artículo 74.4 del citado Reglamento.
f) La presentación de información engañosa a organismos notificados o a las autoridades nacionales competentes en respuesta a una solicitud, de acuerdo con el artículo 99.5 del Reglamento (UE) 2024/1689, de 13 de junio.
Artículo 17. Infracciones graves de los proveedores de sistemas de IA.
1. Constituyen infracciones graves de los proveedores de sistemas de IA:
a) El incumplimiento del artículo 50, apartados 1 y 5, del Reglamento (UE) 2024/1689, de 13 de junio, relativos a la obligación, cuando los sistemas de IA estén destinados a interactuar con personas físicas, de informar a estas personas de
que están interactuando con un sistema de IA, salvo en las excepciones previstas en dicho artículo.
b) El incumplimiento del artículo 50, apartados 1 y 5, del Reglamento (UE) 2024/1689, de 13 de junio, relativos a la obligación, cuando los sistemas de IA generen contenido sintético de audio, imagen, video o texto, de marcar los resultados
de salida de tal modo que pueda detectarse su naturaleza artificial.
2. Constituyen infracciones graves de los proveedores de sistemas de IA de alto riesgo:
a) La introducción en el mercado o la puesta en servicio de sistemas de IA de alto riesgo que incumplan, por error u omisión, los requisitos definidos en el capítulo III, sección 2 del Reglamento (UE) 2024/1689, de 13 de junio.
b) El incumplimiento del artículo 17 del Reglamento (UE) 2024/1689, de 13 de junio, relativo a la obligación de haber establecido e integrado, antes de la introducción en el mercado o la puesta en servicio de sistemas de IA de alto riesgo,
un sistema de gestión de la calidad.
c) El incumplimiento del artículo 18 del Reglamento (UE) 2024/1689, de 13 de junio, respecto a las obligaciones de conservación y puesta a disposición de documentación.
d) El incumplimiento del artículo 19 del Reglamento (UE) 2024/1689, de 13 de junio, relativo a la obligación de conservar los archivos de registros generados automáticamente por los sistemas de IA de alto riesgo cuando estos archivos estén
bajo el control del proveedor.
e) El incumplimiento del artículo 20 del Reglamento (UE) 2024/1689, de 13 de junio, relativo a la obligación de informar de las medidas correctoras adoptadas para asegurar la conformidad con el Reglamento al resto de operadores, tal y como
estipula dicho artículo.
f) El incumplimiento del artículo 22 del Reglamento (UE) 2024/1689, de 13 de junio, relativo a no llevar a cabo la introducción en el mercado o la puesta en servicio de sistemas de IA de alto riesgo sin haber nombrado a un representante
autorizado por parte de los proveedores establecidos en terceros países o, habiéndolo nombrado, la obstrucción a la realización de las tareas especificadas en el mandato.
g) El incumplimiento del artículo 43 del Reglamento (UE) 2024/1689, de 13 de junio, relativo a la obligación de llevar a cabo una evaluación de conformidad previa a la introducción en el mercado o la puesta en servicio de sistemas de IA de
alto riesgo.
Artículo 18. Infracciones graves de los representantes autorizados de sistemas de IA.
Constituye infracción grave de los representantes autorizados de sistemas de IA de alto riesgo el incumplimiento de las obligaciones de los representantes autorizados que establece el artículo 22.3 del Reglamento (UE) 2024/1689, de 13 de
junio.
Artículo 19. Infracciones graves de los importadores de sistemas de IA.
Constituyen infracciones graves de los importadores de sistemas de IA de alto riesgo:
a) El incumplimiento del artículo 23.1 del Reglamento (UE) 2024/1689, de 13 de junio, relativo a la obligación de verificar la conformidad del sistema con dicho Reglamento antes de su introducción en el mercado.
b) El incumplimiento del artículo 23.2 del Reglamento (UE) 2024/1689, de 13 de junio, relativo a la obligación de informar al proveedor del sistema, a los representantes autorizados y a las autoridades de vigilancia del mercado en caso de
considerar que el sistema no cumple con los requisitos establecidos por el Reglamento.
c) El incumplimiento del artículo 23.6 del Reglamento (UE) 2024/1689, de 13 de junio, relativo a la obligación de proporcionar a las autoridades competentes la información y documentación necesaria para demostrar la conformidad del sistema.
d) El incumplimiento del artículo 23.7 del Reglamento (UE) 2024/1689, de 13 de junio, relativo a la cooperación con las autoridades competentes en las medidas que éstas adopten en relación con la reducción y mitigación de los riesgos que
pudiera presentar el sistema.
Artículo 20. Infracciones graves de los distribuidores de sistemas de IA.
Constituyen infracciones graves de los distribuidores de sistemas de IA de alto riesgo:
a) El incumplimiento del artículo 24.1 del Reglamento (UE) 2024/1689, de 13 de junio, relativo a la verificación de que el producto venga debidamente marcado y acompañado de los documentos e información necesarios.
b) El incumplimiento del artículo 24, apartados 2 y 4, del Reglamento (UE) 2024/1689, de 13 de junio, relativos a acciones que deben emprender los distribuidores cuando tengan razones para considerar que el sistema no es conforme con los
requisitos que el mismo Reglamento establece en el capítulo III, sección 2.
c) El incumplimiento del artículo 24.5 del Reglamento (UE) 2024/1689, de 13 de junio, relativo a proporcionar, previa solicitud motivada de la autoridad competente, la información y documentación que sean necesarias para demostrar que dicho
sistema cumple los requisitos del Reglamento (UE) 2024/1689, según lo dispuesto en dicho artículo.
d) El incumplimiento del artículo 24.6 del Reglamento (UE) 2024/1689, de 13 de junio, relativo a la cooperación con las autoridades competentes en las medidas que éstas adopten para el sistema.
Artículo 21. Infracciones graves de los responsables del despliegue de sistemas de IA.
1. Constituyen infracciones graves de los responsables del despliegue de sistemas de IA:
a) El incumplimiento del artículo 50.3 del Reglamento (UE) 2024/1689, de 13 de junio, relativo a la obligación de informar a las personas físicas, en los términos que establece el apartado 5 del mismo artículo, de su exposición a la
utilización del sistema cuando se trate de un sistema de reconocimiento de emociones o de categorización biométrica.
b) El incumplimiento del artículo 50.4 del Reglamento (UE) 2024/1689, de 13 de junio, relativo a la obligación de hacer pública, en los términos que establece el apartado 5 del mismo artículo, la naturaleza artificial de los resultados de
salida de un sistema que genere o manipule imágenes o contenidos de audio o vídeo que constituyan una ultrasuplantación, o que genere o manipule texto destinado a informar al público sobre asuntos de interés público.
2. Constituyen infracciones graves de los responsables del despliegue de sistemas de IA de alto riesgo:
a) El incumplimiento del artículo 26.1 del Reglamento (UE) 2024/1689, de 13 de junio, relativo a la necesidad de adoptar medidas técnicas y organizativas adecuadas para garantizar que el uso del sistema se hace de acuerdo con las
instrucciones que lo acompañen.
b) El incumplimiento del artículo 26.2 del Reglamento (UE) 2024/1689, de 13 de junio, relativo a la necesidad de encomendar la supervisión humana del sistema a personas con la adecuada competencia, formación y autoridad.
c) El incumplimiento del artículo 26.4 del Reglamento (UE) 2024/1689, de 13 de junio, relativo a la obligación de asegurar que los datos de entrada sean pertinentes y representativos en vista de la finalidad del sistema.
d) El incumplimiento del artículo 26.5 del Reglamento (UE) 2024/1689, de 13 de junio, relativo a la obligación de vigilancia poscomercialización de los sistemas de IA basada en las instrucciones que los acompañan, de información de riesgos e
incidentes a otros operadores y a la autoridad de vigilancia del mercado, y a la posible necesidad de suspensión de uso del sistema ante la aparición de riesgos.
e) El incumplimiento del artículo 26.6 del Reglamento (UE) 2024/1689, de 13 de junio, relativo a la obligación del responsable del despliegue de conservar los archivos de registros generados automáticamente por sus sistemas de IA de alto
riesgo, cuando estos archivos estén bajo su control.
f) El incumplimiento del artículo 26.9 del Reglamento (UE) 2024/1689, de 13 de junio, relativo a la obligación de utilizar la información sobre el sistema que facilite el proveedor, de conformidad con el artículo 13 del mismo Reglamento,
cuando los responsables del despliegue realicen una evaluación de impacto relativa a la protección de datos en cumplimiento del Reglamento General de Protección de Datos o la Directiva de tratamiento de datos personales en asuntos penales.
g) El incumplimiento del artículo 26.11 del Reglamento (UE) 2024/1689, de 13 de junio, relativo a la obligación de informar a las personas físicas de su exposición a la utilización del sistema cuando se trate de un sistema de alto riesgo de
los descritos en el anexo III de dicho Reglamento que participe en la toma de decisiones relacionadas con estas personas.
h) El incumplimiento del artículo 26.12 del Reglamento (UE) 2024/1689, de 13 de junio, relativo a la obligación de cooperar con las autoridades competentes pertinentes en las medidas que éstas adopten en relación con el sistema para aplicar
el Reglamento.
i) El incumplimiento del artículo 27 del Reglamento (UE) 2024/1689, de 13 de junio, relativo a la obligación de realizar una evaluación de impacto relativa a los derechos fundamentales, en las condiciones establecidas en dicho artículo.
3. Constituyen infracciones graves de los responsables del despliegue de sistemas de IA de alto riesgo con fines de cumplimiento del Derecho:
a) Realizar una operación de identificación mediante un sistema de identificación biométrica remota «en tiempo real» en espacios de acceso público con fines de garantía del cumplimiento del Derecho, fuera de los casos recogidos por el
artículo 5.1.h) del Reglamento (UE) 2024/1689, de 13 de junio.
b) Realizar una operación de identificación mediante un sistema de identificación biométrica remota «en tiempo real» en espacios de acceso público con fines de garantía del cumplimiento del Derecho sin disponer previamente de la autorización
a la que hace referencia el artículo 5.3 del Reglamento (UE) 2024/1689, de 13 de junio, salvo en caso de urgencia debidamente justificada.
c) Realizar una operación de identificación mediante un sistema de identificación biométrica remota «en tiempo real» en espacios de acceso público con fines de garantía del cumplimiento del Derecho cuando, dándose el caso de emergencia, e
iniciándose la operación antes de solicitar la autorización, esta solicitud no se produjera en las 24 horas siguientes al inicio de esta operación, conforme al artículo 5.3 del Reglamento (UE) 2024/1689, de 13 de junio.
d) Realizar una operación de identificación mediante un sistema de identificación biométrica remota «en tiempo real» en espacios de acceso público con fines de garantía del cumplimiento del Derecho, sin respetar las limitaciones temporales,
geográficas o personales, dispuestas en la autorización de la operación, conforme al artículo 5.3 del Reglamento (UE) 2024/1689, de 13 de junio.
e) El incumplimiento de la obligación de eliminar los datos, resultados e información de salida generados por un sistema de identificación biométrica remota «en tiempo real» en espacios de acceso público con fines de garantía del
cumplimiento del Derecho, cuando por causas de emergencia se hubiera iniciado la operación de identificación
antes de la resolución de la solicitud de su autorización, y esta solicitud fuera desestimada, conforme al artículo 5.3 del Reglamento (UE) 2024/1689, de 13 de junio.
f) El incumplimiento de la obligación de notificar cada operación de identificación mediante un sistema de identificación biométrica remota «en tiempo real» en espacios de acceso público con fines de garantía del cumplimiento del Derecho,
conforme al artículo 5.4 del Reglamento (UE) 2024/1689, de 13 de junio.
Artículo 22. Infracciones graves de los organismos notificados.
Constituyen infracciones graves de los organismos notificados:
a) El incumplimiento del artículo 31.4 del Reglamento (UE) 2024/1689, de 13 de junio, relativo a la obligación de independencia del organismo notificado en relación con cualquier otro operador con un interés económico en los sistemas de IA
de alto riesgo que se evalúen, así como de cualquier competidor del proveedor.
b) El incumplimiento del artículo 31.5 del Reglamento (UE) 2024/1689, de 13 de junio, relativo a la obligación de no intervención por parte del personal directivo o del personal responsable de las evaluaciones de tareas de evaluación de
conformidad en el diseño, desarrollo, comercialización o uso de sistemas de IA de alto riesgo, o cualquier otra actividad que pueda entrar en conflicto con su independencia o su integridad, de acuerdo con lo establecido en dicho artículo.
c) El incumplimiento del artículo 31.6 del Reglamento (UE) 2024/1689, de 13 de junio, relativo a la ausencia o la alteración, en sentido negativo, de la estructura y procedimientos documentados por parte de los organismos notificados que
garanticen la independencia, objetividad e imparcialidad de sus actividades.
d) El incumplimiento del artículo 31.7 del Reglamento (UE) 2024/1689, de 13 de junio, relativo a la ausencia o falta de respeto de los procedimientos documentados que garanticen la confidencialidad de la información en los términos
establecidos por el Reglamento.
e) El incumplimiento del artículo 31.9 del Reglamento (UE) 2024/1689, de 13 de junio, relativo a la ausencia de suscripción del seguro de responsabilidad adecuado para las actividades de evaluación de conformidad de los organismos
notificados en los términos establecidos en dicho artículo.
Artículo 23. Infracciones leves de cualquier operador.
Constituye infracción leve de cualquier operador la presentación de información inexacta o incompleta a organismos notificados o a las autoridades nacionales competentes en respuesta a una solicitud, de acuerdo con el artículo 99.5 del
Reglamento (UE) 2024/1689, de 13 de junio, siempre que no constituya una infracción más grave.
Artículo 24. Infracciones leves de los proveedores de sistemas de IA.
1. Constituyen infracciones leves de los proveedores de sistemas de IA:
a) El incumplimiento de los artículos 16.h) y 83 del Reglamento (UE) 2024/1689, de 13 de junio, relativos a subsanar en el plazo establecido por la autoridad de vigilancia del mercado los incumplimientos formales relativos a obligaciones de
marcado aplicables al sistema de IA de alto riesgo, salvo en el supuesto establecido en el artículo 74.4 de dicho Reglamento.
b) El incumplimiento del artículo 16.k) del Reglamento (UE) 2024/1689, de 13 de junio, relativo a demostrar, previa solicitud motivada de la autoridad competente, la conformidad del sistema de IA de alto riesgo con los requisitos definidos
en el capítulo III, sección 2 de dicho Reglamento.
c) El incumplimiento del artículo 16.l) del Reglamento (UE) 2024/1689, de 13 de junio, relativo a los requisitos de accesibilidad de conformidad con las Directivas (UE) 2016/2102 de 26 de octubre de 2016, sobre la accesibilidad de los sitios
web y aplicaciones para dispositivos móviles de los organismos del sector público, y (UE) 2019/882 de 17 de abril de 2019, sobre los requisitos de accesibilidad de los productos y servicios.
d) El incumplimiento del artículo 16.b) del Reglamento (UE) 2024/1689, de 13 de junio, relativo a indicar la información comercial y de contacto en los sistemas de IA de alto riesgo, o cuando no sea posible, en el embalaje del sistema o en
la documentación que lo acompañe, según proceda.
e) El incumplimiento del artículo 47 del Reglamento (UE) 2024/1689, de 13 de junio, relativo a la obligación de elaborar la declaración UE de conformidad.
Artículo 25. Infracciones leves de los representantes autorizados de sistemas de IA.
Constituye infracción leve de los representantes autorizados el incumplimiento del artículo 22.4 del Reglamento (UE) 2024/1689, de 13 de junio, relativo a la obligación de poner fin al mandato como representante autorizado e informar de ello
a la autoridad de vigilancia del mercado, así como, cuando proceda, al organismo notificado pertinente.
Artículo 26. Infracciones leves de los importadores de sistemas de IA.
Constituyen infracciones leves de los importadores:
a) El incumplimiento del artículo 23.3 del Reglamento (UE) 2024/1689, de 13 de junio, relativo a la obligación de indicación de su nombre, su nombre comercial registrado o marca registrada y su dirección de contacto en el embalaje o
documentación que acompaña al sistema.
b) El incumplimiento del artículo 23.4 del Reglamento (UE) 2024/1689, de 13 de junio, relativo a la obligación de asegurar, mientras sean responsables del sistema, que durante el almacenamiento o transporte no queden comprometidos los
requisitos establecidos en el capítulo III, sección 2, del Reglamento.
c) El incumplimiento del artículo 23.5 del Reglamento (UE) 2024/1689, de 13 de junio, relativo a la obligación de conservar la documentación del sistema.
Artículo 27. Infracciones leves de los distribuidores de sistemas de IA.
Constituye infracción leve de los distribuidores de sistemas de alto riesgo el incumplimiento del artículo 24.3 del Reglamento (UE) 2024/1689, de 13 de junio, relativo a la necesidad de asegurar condiciones de almacenamiento y transporte del
sistema que no comprometan el cumplimiento de los requisitos establecidos en el capítulo III, sección 2, del Reglamento.
Artículo 28. Infracciones leves de los responsables del despliegue de sistemas de IA.
Constituye infracción leve de los responsables del despliegue el incumplimiento de la obligación de solicitar autorización para el uso de un sistema de IA para la identificación biométrica remota en diferido con fines de búsqueda selectiva
de una persona sospechosa de haber cometido un delito o condenada por ello, o que guarde relación con un proceso penal, una amenaza real y actual o real y previsible de delito, o con la búsqueda de una persona desaparecida concreta, conforme a lo
establecido en el artículo 26.10 del Reglamento (UE) 2024/1689, de 13 de junio.
Artículo 29. Infracciones leves de los organismos notificados.
Constituyen infracciones leves de los organismos notificados:
a) El incumplimiento del artículo 31 del Reglamento (UE) 2024/1689, de 13 de junio, relativo a los requisitos establecidos por parte de los organismos notificados en materia organizacional, de gestión de la calidad, recursos y procesos
necesarios para el desempeño de sus funciones, así como en materia de ciberseguridad, y que no constituyan infracción grave.
b) El incumplimiento del artículo 31.11 del Reglamento (UE) 2024/1689, de 13 de junio, relativo a la ausencia de competencias técnicas internas suficientes para evaluar las tareas que lleven a cabo agentes externos en su nombre o la falta de
personal adecuado.
c) El incumplimiento del artículo 33, apartados 1, 3 y 4, o al artículo 34 del Reglamento (UE) 2024/1689, de 13 de junio, relativo a las obligaciones operativas y de subcontratación.
d) El incumplimiento del artículo 36.3 del Reglamento (UE) 2024/1689, de 13 de junio, relativo a la obligación de informar a la autoridad notificante y a los proveedores afectados en los términos definidos por dicho artículo.
Artículo 30. Sanciones y medidas accesorias.
1. Las sanciones dispondrán de los siguientes límites en sus cuantías:
a) Infracciones muy graves recogidas en el artículo 13.1: hasta 35.000.000 euros o, si el infractor es una empresa, hasta el 7 % de su volumen de negocios mundial total correspondiente al ejercicio anterior, si esta cuantía fuese superior.
b) Infracciones muy graves recogidas en el artículo 13.2: hasta 15.000.000 euros o, si el infractor es una empresa, hasta el 3 % de su volumen de negocios mundial total correspondiente al ejercicio anterior, si esta cuantía fuese superior.
c) Infracciones graves: hasta 7.500.000 euros o, si el infractor es una empresa, hasta el 1 % de su volumen de negocios mundial total correspondiente al ejercicio anterior, si esta cuantía fuese superior.
d) Infracciones leves: hasta 500.000 euros o, si el infractor es una empresa, hasta el 0,5 % de su volumen de negocios mundial total correspondiente al ejercicio anterior, si esta cuantía fuese superior.
2. En las infracciones muy graves por prácticas de IA prohibidas y en las infracciones en que un sistema de IA haya causado un incidente grave, en los términos del artículo 3.49 del Reglamento (UE) 2024/1689, de 13 de junio, podrá imponerse
adicionalmente la retirada del producto, la desconexión del sistema de IA o su prohibición, cuando la autoridad de vigilancia del mercado resuelva de forma motivada que el sistema de IA constituye un riesgo inaceptable o grave para las personas, de
acuerdo con el procedimiento recogido en los artículos 79 a 83 de dicho Reglamento.
Este procedimiento no se aplicará en el caso de productos regulados por los actos legislativos de armonización de la Unión enumerados en el anexo I, sección A del Reglamento, cuando dichos actos legislativos ya prevean procedimientos que
garanticen un nivel equivalente de protección que tengan el mismo objetivo, de acuerdo con el artículo 74.4 del citado Reglamento.
3. En caso de incumplimiento persistente del deber de subsanar las obligaciones formales a que se refiere el artículo 83 del Reglamento (UE) 2024/1689, de 13 de junio, la autoridad de vigilancia del mercado adoptará en la resolución
sancionadora las medidas necesarias para restringir o prohibir la comercialización del sistema de IA de alto riesgo o para asegurar que se recupera o retira del mercado sin demora.
4. Si las personas infractoras no procedieran a la corrección de los hechos reconocidos o declarados en la resolución que ponga fin al procedimiento sancionador y
una vez transcurrido el plazo señalado en la resolución correspondiente sin haber dado cumplimiento a lo ordenado en ella, la autoridad de vigilancia del mercado competente podrá acordar la imposición de multas coercitivas o la ejecución
subsidiaria. La cuantía de cada multa no superará un 10 % de la multa fijada por la infracción cometida.
5. La imposición de multas coercitivas exigirá que en el requerimiento se indique el plazo de que se dispone para el cumplimiento de la obligación, que en ningún caso podrá ser inferior a un mes, y la cuantía de la multa que puede ser
impuesta. En todo caso, el plazo deberá ser suficiente para cumplir la obligación. En el caso de que, una vez impuesta la multa coercitiva, se mantenga el incumplimiento que la ha motivado, podrá reiterarse por períodos sucesivos que sean
suficientes para cumplir lo ordenado.
6. Las multas coercitivas son independientes y compatibles con las que se puedan imponer en concepto de sanción.
Al igual que las sanciones pecuniarias, tendrán naturaleza de crédito de Derecho público, y su importe podrá ser exigido por la vía administrativa de apremio por parte del órgano competente para la recaudación de las sanciones que se
determine en cada caso.
7. La imposición de sanciones se ajustará a los límites y los principios de efectividad, proporcionalidad y disuasión previstos en el artículo 99 del Reglamento (UE) 2024/1689, de 13 de junio, teniendo en cuenta para ello las circunstancias
individuales de cada caso concreto.
8. En el caso de las pymes, incluidas las empresas emergentes, cada una de las multas a las que se refiere el presente artículo podrá fijarse en el porcentaje del volumen de negocios mundial total correspondiente al ejercicio anterior o el
importe a que se refieren los párrafos anteriores, según cuál de ellos sea menor, tal y como se establece en el artículo 99.6 del Reglamento (UE) 2024/1689, de 13 de junio.
Artículo 31. Aplicación de las sanciones.
1. Las autoridades competentes, en el ejercicio de su potestad sancionadora, deberán guardar la debida proporcionalidad entre la sanción y el hecho constitutivo de la infracción, considerando especialmente su repercusión y su trascendencia
por lo que respecta a la salud y seguridad de las personas y a sus derechos fundamentales. En particular, deberá evaluarse para cada caso concreto:
a) La naturaleza, la gravedad y la duración de la infracción y de sus consecuencias, teniendo en cuenta la finalidad del sistema de IA y, cuando proceda, el número de personas afectadas y el nivel de los daños que hayan sufrido.
b) Si otras autoridades de vigilancia del mercado, tanto en el ámbito nacional como en el de la Unión Europea han impuesto ya multas administrativas de forma reiterada al mismo operador por el mismo tipo infractor.
c) Si otras autoridades han impuesto ya multas administrativas al mismo operador por infracciones de otros actos legislativos nacionales o de la Unión, cuando dichas infracciones se deriven de la misma actividad u omisión que constituya una
infracción pertinente del Reglamento (UE) 2024/1689, de 13 de junio, de acuerdo con el artículo 99.7.c) de dicho Reglamento.
d) El tamaño, el volumen de negocios anual y la cuota de mercado del operador que comete la infracción teniendo para ello en cuenta las consideraciones asociadas a los supuestos de sucesión recogidas en el artículo 39 de esta ley.
e) Cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.
f) El grado de cooperación con las autoridades nacionales competentes con el fin de subsanar la infracción y mitigar sus posibles efectos adversos.
g) El grado de responsabilidad del operador, teniendo en cuenta las medidas técnicas y organizativas aplicadas por este.
h) La forma en que las autoridades nacionales competentes tuvieron conocimiento de la infracción. En particular si el operador notificó la infracción y, en tal caso, en qué medida conforme al artículo 99.7.h) del Reglamento (UE) 2024/1689,
de 13 de junio.
i) Las acciones emprendidas por el operador para mitigar los perjuicios sufridos por las personas afectadas de acuerdo con el artículo 99.7.h) del Reglamento (UE) 2024/1689, de 13 de junio.
j) El grado de culpabilidad o la existencia de intencionalidad, la continuidad o persistencia en la conducta infractora, la naturaleza de los perjuicios causados y la reincidencia, de acuerdo con el artículo 29.3 de la Ley 40/2015, de 1 de
octubre.
2. La aplicación de las sanciones estará sujeta a la compatibilidad con el marco establecido por el Reglamento (UE) 2024/1689, de 13 de junio.
Artículo 32. Prescripción.
1. Las infracciones leves prescribirán al año, las graves a los tres (3) años y las muy graves a los cinco (5) años.
2. Las sanciones impuestas por la comisión de infracciones leves prescribirán al año, las impuestas por infracciones graves a los tres (3) años y las impuestas por infracciones muy graves a los cinco (5) años.
3. El plazo de prescripción de las infracciones comenzará a contarse desde el día en que la infracción se hubiera cometido. En los supuestos de infracciones continuadas, el plazo de prescripción comenzará a correr desde que finalizó la
conducta infractora, de acuerdo con el artículo 30.2 de la Ley 40/2015, de 1 de octubre.
Interrumpirá la prescripción la iniciación, con conocimiento del interesado, de un procedimiento administrativo de naturaleza sancionadora, reiniciándose el plazo de prescripción si el expediente sancionador estuviera paralizado durante más
de un mes por causa no imputable al presunto responsable, de acuerdo con dicho artículo.
4. El requerimiento de medidas correctoras al presunto responsable, de acuerdo con lo recogido en el artículo 38 de esta ley, no tendrá la consideración de paralización del procedimiento a efectos de la prescripción, siempre que derive de
un requerimiento motivado, resulte proporcionado a la naturaleza de las medidas exigidas y recaiga sobre el presunto responsable la carga de su cumplimiento.
5. Si en el curso de las actuaciones previas o durante la instrucción del procedimiento se advirtiera que la infracción ha prescrito, el órgano competente acordará de oficio y sin dilación la finalización de las actuaciones previas o, en su
caso, la conclusión del procedimiento sancionador, notificándolo al interesado.
Artículo 33. Concurrencia de sanciones.
1. No podrán sancionarse los hechos que hayan sido sancionados penal o administrativamente, en los casos en que se aprecie identidad de sujeto, hecho y fundamento.
2. En los supuestos en que los hechos que motivan la incoación del procedimiento sancionador pudieran ser constitutivos de delito, la autoridad competente pasará el tanto de culpa al órgano jurisdiccional competente y se abstendrá de
proseguir el procedimiento sancionador mientras la autoridad judicial no haya dictado sentencia firme o resolución que ponga fin al procedimiento. De no haberse estimado la existencia de delito, la administración competente podrá continuar el
expediente sancionador, quedando vinculada por los hechos declarados probados en resolución judicial firme.
3. Cuando un solo hecho constituya dos o más infracciones con arreglo a esta ley se impondrá al sujeto infractor la sanción correspondiente a la infracción de mayor gravedad, sin perjuicio de lo previsto en el artículo 99.7 del Reglamento
(UE) 2024/1689, de 13 de junio, que establece la necesidad de consideración previa a la decisión de imponer sanciones de situaciones en las que otras autoridades hayan impuesto multas administrativas al mismo operador por infracciones de otros actos
legislativos nacionales
o de la Unión, cuando dichas infracciones se deriven de la misma actividad u omisión que constituya una infracción pertinente de dicho Reglamento.
En cuanto a la concurrencia de infracciones derivadas de prácticas de IA prohibidas, éstas no afectarán a las prohibiciones aplicables cuando una práctica de IA infrinja otras disposiciones de Derecho de la Unión, de acuerdo con los
establecido en el artículo 5.8 del Reglamento (UE) 2024/1689, de 13 de junio.
Artículo 34. Publicidad de las sanciones.
1. Las autoridades competentes comunicarán a la AESIA las sanciones impuestas por la comisión de las infracciones tipificadas en esta ley, los hechos constitutivos de tales infracciones, la identidad del infractor cuando se trate de una
persona jurídica, así como el inicio y evolución de cualquier litigio o proceso judicial relacionados, salvaguardando la confidencialidad de la información y los datos obtenidos de conformidad con el artículo 78 del Reglamento (UE) 2024/1689, de 13
de junio.
2. La AESIA publicará en un plazo no superior a 15 días hábiles desde la comunicación de la información especificada en el apartado anterior las sanciones impuestas por parte de todas las autoridades de vigilancia del mercado.
3. La AESIA, en calidad de punto de contacto único, comunicará a la Comisión Europea las sanciones administrativas que se hayan impuesto durante ese año en virtud de esta ley, así como cualquier litigio o proceso judicial relacionado, en
cumplimiento del artículo 99.11 del Reglamento (UE) 2024/1689, de 13 de junio, y al Consejo de IA, según proceda, en virtud del artículo 101.4 de dicho Reglamento.
4. En toda resolución publicada se excluirá todo dato de carácter personal o que exija confidencialidad.
Artículo 35. Procedimiento sancionador.
1. La tramitación del procedimiento sancionador se ajustará a lo dispuesto en la Ley 39/2015, de 1 de octubre, con pleno respeto a los principios de contradicción, audiencia, prueba y presunción de inocencia.
2. Los procedimientos sancionadores por las infracciones administrativas tipificadas en esta ley se iniciarán siempre de oficio por acuerdo de la autoridad competente, bien por propia iniciativa, o como consecuencia de denuncia, de acuerdo
con el artículo 63 de la Ley 39/2015, de 1 de octubre, o a partir de actuaciones previas de investigación.
3. Con carácter previo al acuerdo de inicio, el órgano competente podrá realizar actuaciones previas con el fin de determinar si concurren circunstancias que justifiquen la incoación del procedimiento, de conformidad con lo previsto en esta
ley y en la normativa de procedimiento administrativo común.
4. El plazo para resolver en estos procedimientos será de dieciocho meses en los expedientes por infracciones muy graves y graves, y de nueve meses cuando se incoen por infracciones leves. Transcurrido este plazo sin que se haya dictado y
notificado resolución expresa, se declarará de oficio la caducidad del procedimiento, sin perjuicio de que la autoridad pueda incoar un nuevo procedimiento si la infracción no ha prescrito.
No obstante, el plazo podrá suspenderse de conformidad en los casos recogidos en el artículo 22 de la Ley 39/2015, de 1 de octubre.
5. El procedimiento sancionador finalizará mediante resolución motivada del órgano competente, que deberá pronunciarse sobre la existencia de infracción y, en su caso, la imposición de las correspondientes sanciones o la inexistencia de
responsabilidad. La resolución que ponga fin al procedimiento será ejecutiva cuando no quepa contra ella ningún recurso ordinario en vía administrativa.
En el caso del Consejo General del Poder Judicial, cuando actúe como autoridad de vigilancia del mercado en virtud de la designación realizada por la presente ley, las resoluciones dictadas en el marco del procedimiento sancionador se
sujetarán al
régimen del libro III, del título III, del capítulo I bis de la Ley Orgánica 6/1985, de 1 de julio, del Poder Judicial.
6. Las resoluciones dictadas en el procedimiento sancionador serán recurribles conforme a lo previsto en la normativa general de procedimiento administrativo y, en particular, en la Ley 39/2015, de 1 de octubre.
7. Podrán adoptarse en cualquier momento del procedimiento las medidas provisionales necesarias y proporcionadas para garantizar la eficacia de la resolución que pudiera recaer, incluyendo, cuando proceda, la posible retirada cautelar del
producto o la desconexión o prohibición del sistema de IA en el ámbito territorial de la autoridad competente.
8. Los sujetos comprendidos en el ámbito subjetivo de esta norma deberán relacionarse con el órgano competente por medios electrónicos en los términos previstos en el artículo 14.2 de la Ley 39/2015, de 1 de octubre.
Artículo 36. Actuaciones previas.
1. Con carácter previo al inicio del procedimiento sancionador, y de conformidad con lo dispuesto en el artículo 55.2 de la Ley 39/2015, de 1 de octubre, el órgano competente podrá acordar la apertura de un período de información o de
actuaciones previas, con la finalidad de determinar, con la mayor precisión posible:
a) los hechos susceptibles de motivar la incoación del procedimiento.
b) la identificación de la persona o personas que pudieran resultar responsables.
c) las circunstancias relevantes que concurran entre unos y otros.
Todo ello sin perjuicio de las facultades de supervisión, inspección y solicitud de información que correspondan a dichas autoridades conforme al capítulo IX del Reglamento (UE) 2024/1689, de 13 de junio, y al capítulo V del Reglamento (UE)
2019/1020, de 20 de junio.
2. En el marco de las actuaciones previas, la autoridad sancionadora podrá requerir a las posibles personas infractoras la información que considere necesaria, adecuada y proporcionada para el esclarecimiento de los hechos y la
determinación de las circunstancias concurrentes, con sujeción a los límites previstos en el artículo 18 de la Ley 39/2015, de 1 de octubre.
3. Cuando no haya sido posible la identificación de los responsables por otros medios, dicha autoridad podrá recabar de las administraciones públicas, incluidas las tributarias y de la Seguridad Social, los datos estrictamente
imprescindibles para dicha identificación, con la exclusiva finalidad de determinar la eventual responsabilidad por los hechos investigados.
Los datos obtenidos por las entidades gestoras y servicios comunes que integran la Administración de la Seguridad Social, a los que se refiere el párrafo anterior, serán cedidos de acuerdo con lo establecido en el artículo 77.1.p) del texto
refundido de la Ley General de la Seguridad Social, aprobado por el Real Decreto Legislativo 8/2015, de 30 de octubre.
Artículo 37. Medidas de carácter provisional en el procedimiento sancionador.
1. Iniciado el procedimiento sancionador, la autoridad de vigilancia del mercado competente podrá adoptar en cualquier momento, mediante acuerdo motivado, las medidas de carácter provisional que estime necesarias para asegurar la eficacia
de la resolución que pudiera recaer y evitar la producción o agravamiento de los efectos de la presunta infracción. Dichas medidas deberán ser proporcionadas a la naturaleza y gravedad de las presuntas infracciones.
2. Con la misma finalidad, la autoridad de vigilancia del mercado competente, en los casos de urgencia inaplazable y para la protección provisional de los intereses
implicados, podrá adoptar de forma motivada las medidas provisionales imprescindibles, con anterioridad a la iniciación del procedimiento, con los límites y condiciones establecidos en el artículo 56.2 de la Ley 39/2015, de 1 de octubre, y
demás normativa aplicable, sin que puedan en ningún caso sobrepasar el plazo de tres meses.
3. Estas medidas de carácter provisional tendentes a evitar la propagación de daños, sin que constituyan un listado exclusivo ni limitante, podrán ser las siguientes:
a) Requerir la adaptación del sistema de IA para que sea conforme, incluso respecto de incumplimientos formales, de acuerdo con lo establecido en el artículo 83 del Reglamento (UE) 2024/1689, de 13 de junio.
b) Impedir la comercialización de un sistema de IA que se encuentra en la cadena de suministro.
c) Devolver al proveedor de un sistema de IA puesto a disposición de los responsables del despliegue, inutilizarlo o desactivar su uso inmediatamente, y alertar al público del riesgo que presenta.
d) Alertar de forma adecuada a las personas usuarias finales del riesgo, incluso mediante la publicación de advertencias en el propio sistema de IA en la lengua o las lenguas que se determine.
4. Lo dispuesto en este artículo se entenderá sin perjuicio de las facultades de intervención que correspondan a las autoridades de vigilancia del mercado en el ejercicio de sus funciones conforme al Derecho de la Unión.
5. En el caso de medidas provisionales adoptadas en el ámbito de sistemas de IA de alto riesgo descritos en el anexo III.2 del Reglamento (UE) 2024/1689, de 13 de junio, relativo al ámbito de infraestructuras críticas, la autoridad de
vigilancia del mercado deberá solicitar informe preceptivo previo al Centro Nacional de Protección de Infraestructuras Críticas para garantizar coordinación en materia de seguridad nacional.
Artículo 38. Requerimiento para la adopción de medidas correctoras.
1. En el caso de infracciones leves, la autoridad de vigilancia del mercado podrá requerir motivadamente al sujeto investigado a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras
que, en cada caso, resulten pertinentes.
2. Cuando el sujeto investigado haya dado cumplimiento, dentro del plazo establecido, a la totalidad de las medidas correctoras y haya reconocido su responsabilidad, la autoridad competente dictará resolución en la que declarará la
existencia de la infracción y hará constar las medidas correctoras adoptadas. La resolución incorporará una advertencia formal sin naturaleza disciplinaria ni efectos sancionadores adicionales y no será objeto de publicación.
Si el requerimiento no fuera atendido en plazo, se reanudará el procedimiento sancionador.
Artículo 39. Apercibimiento y régimen disciplinario en el marco del Sector Público y órganos constitucionales o con relevancia constitucional.
1. Cuando una entidad del sector público, así como los órganos constitucionales o con relevancia constitucional y las instituciones de las comunidades autónomas análogas a los mismos, cometiese alguna de las infracciones recogidas en esta
ley, la autoridad de vigilancia del mercado competente dictará resolución declarando la infracción, apercibiendo a la entidad u órgano actuante, y estableciendo, en su caso, las medidas que proceda adoptar para que cese la conducta o se corrijan los
efectos de la infracción que se hubiese cometido, excluyendo la imposición de multas administrativas de acuerdo con la potestad recogida en el artículo 99.8 del Reglamento (UE) 2024/1689, de 13 de junio.
Lo dispuesto en el apartado anterior se entiende sin perjuicio de la responsabilidad disciplinaria en que pudieran incurrir los empleados públicos que hayan intervenido en los hechos.
En el caso del personal funcionario público de la Administración del Estado, los apercibimientos, previstos en el artículo 14.e) del Reglamento de Régimen Disciplinario de los funcionarios de la Administración del Estado, aprobado por Real
Decreto 33/1986, de 10 de enero, se regirán por lo dispuesto en dicha norma y por las garantías en ella establecidas.
2. La resolución se notificará a la entidad responsable del sistema de IA, al órgano del que dependa jerárquicamente, en su caso, y a las personas afectadas que ostenten la condición de personas interesadas. Cuando la entidad infractora
fuese un órgano constitucional o con relevancia constitucional se dará traslado de la infracción a los servicios técnicos del Congreso de los Diputados o bien a la secretaría general del Consejo de Estado.
3. La resolución podrá ponerse en conocimiento del órgano competente en materia de personal, a los solos efectos de valorar la eventual incoación de actuaciones disciplinarias conforme a la normativa aplicable. Esta comunicación no
determina por sí misma responsabilidad disciplinaria.
4. Cuando se constate la existencia de requerimientos o informes previos no atendidos, la resolución hará constar dicha circunstancia y podrá reforzar las medidas correctoras adoptadas, sin individualizar responsabilidades personales.
Artículo 40. Pago voluntario.
1. Una vez iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. En este caso, el órgano sancionador competente aplicará una
reducción del 25 % sobre el importe de la sanción propuesta.
2. El pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la
indemnización por los daños y perjuicios causados por la comisión de la infracción. En este caso, el órgano sancionador competente aplicará una reducción del 25 % sobre el importe de la sanción propuesta.
3. Las citadas reducciones serán acumulables entre sí, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía
administrativa contra la sanción.
En caso de presentación de cualquier actuación o recurso en vía administrativa, o de la presentación de un recurso contencioso administrativo, el infractor deberá proceder al pago de las reducciones de las que se hubiera beneficiado previo
requerimiento del órgano sancionador competente. Si el infractor realiza el pago de la sanción con una reducción del 50 %, el órgano sancionador entenderá que el infractor reconoce la responsabilidad y se acoge al pago voluntario sin que sea
necesario una comunicación expresa con reconocimiento de responsabilidad.
Artículo 41. Sucesores de personas jurídicas.
En los supuestos de extinción o disolución sin liquidación de sociedades y entidades con personalidad jurídica, las medidas correctivas, sanciones pecuniarias y multas coercitivas pendientes de las mismas se transmitirán a las personas
jurídicas o entidades que sucedan o que sean beneficiarias de la correspondiente operación. Esta norma también será aplicable a cualquier supuesto de cesión global del activo y pasivo de una sociedad y entidad con personalidad jurídica.
Disposición adicional primera. Obligaciones en el orden social y funciones de Inspección de Trabajo y Seguridad Social
En el contexto del empleo y la protección de las personas trabajadoras, lo dispuesto en esta ley ha de entenderse sin perjuicio del cumplimiento de las obligaciones establecidas en las normas del orden social, incluidas las relativas a las
condiciones de empleo y de trabajo, la prevención de riesgos laborales y la notificación e investigación de los daños para la salud de las personas trabajadoras, así como de las funciones y competencias que corresponden a la Inspección de Trabajo y
Seguridad Social en relación con la vigilancia y exigencia del cumplimiento de dichas normas, de conformidad con su normativa específica.
Disposición adicional segunda. Régimen jurídico de la Agencia Española de Supervisión de Inteligencia Artificial.
En el plazo máximo de seis meses desde la entrada en vigor de esta ley, el Gobierno impulsará la correspondiente iniciativa normativa para la adaptación de la Agencia Española de Supervisión de Inteligencia Artificial, de acuerdo con el
artículo 84 de la Ley 40/2015, de 1 de octubre, dotada de personalidad jurídica pública diferenciada, patrimonio propio, autonomía de gestión y potestad administrativa, con el fin de garantizar el adecuado ejercicio de las funciones que esta ley y
el Reglamento (UE) 2024/1689, de 13 de junio, le atribuyen.
La norma establecerá las garantías necesarias para asegurar la plena independencia orgánica y funcional de la Agencia en el ejercicio de sus funciones, su actuación objetiva, transparente e imparcial, así como, en el ejercicio de las
funciones de vigilancia, inspección y la potestad sancionadora con arreglo a lo previsto en la presente ley, la ausencia de instrucciones de cualquier entidad pública o privada, un régimen adecuado de incompatibilidades, un procedimiento
transparente de nombramiento de los órganos directivos, la duración de su mandato y las causas tasadas de cese, así como la suficiencia de sus recursos técnicos, financieros y humanos.
La adaptación prevista en esta disposición no afectará a la continuidad de la actividad de la Agencia ni a la validez de sus actuaciones, bienes, derechos, obligaciones, procedimientos, convenios y relaciones jurídicas existentes, que se
mantendrán en los términos que establezca la norma de adaptación.
Disposición derogatoria única. Derogación normativa.
Quedan derogadas cuantas disposiciones de igual o inferior rango se opongan a lo dispuesto en esta ley, y en especial, el Real Decreto 817/2023, de 8 de noviembre, que establece un entorno controlado de pruebas para el ensayo del
cumplimiento de la propuesta de Reglamento del Parlamento Europeo y del Consejo por el que se establecen normas armonizadas en materia de inteligencia artificial.
Disposición final primera. Modificación de la Ley 58/2003, de 17 de diciembre, General Tributaria.
Se modifica el artículo 116 de la Ley 58/2003, de 17 de diciembre, General Tributaria, que queda redactado del siguiente modo:
«Artículo 116. Plan de control tributario.
1. La Administración tributaria elaborará anualmente un Plan de control tributario que tendrá carácter reservado, aunque ello no impedirá que se hagan públicos los criterios generales que lo informen.
2. Tendrán igualmente carácter reservado los planes parciales de control o inspección, los medios informáticos de tratamiento de información, los sistemas de
selección de obligados tributarios, y cualesquiera sistemas automatizados, algorítmicos, analíticos o de inteligencia artificial utilizados para la prevención y control del fraude tributario, en la medida en que su conocimiento pueda
comprometer la eficacia de las actuaciones de aplicación de los tributos o facilitar su elusión.
3. La información a que se refiere el apartado anterior no será objeto de publicidad, comunicación o acceso público, ni se pondrá de manifiesto a los obligados tributarios ni a órganos ajenos a la aplicación de los tributos.
4. Lo dispuesto en este artículo se entiende sin perjuicio de la publicación de información general, agregada o descriptiva que no comprometa la eficacia de las actuaciones de aplicación de los tributos.»
Disposición final segunda. Modificación del texto refundido de la Ley General de la Seguridad Social, aprobado por el Real Decreto Legislativo 8/2015, de 30 de octubre.
Se añade un nuevo párrafo p) en el apartado 1 del artículo 77 del texto refundido de la Ley General de la Seguridad Social, aprobado por el Real Decreto Legislativo 8/2015, de 30 de octubre, en los siguientes términos:
«p) La colaboración con la autoridad de vigilancia del mercado competente de los sistemas de inteligencia artificial, de conformidad con lo previsto en el artículo 5 de la Ley orgánica XX/2026, de XX de XXX de 2026, para el buen uso y la
gobernanza de la inteligencia artificial, en el suministro de los datos estrictamente imprescindibles para la identificación de los posibles responsables de las infracciones administrativas tipificadas en dicha ley, cuando no haya sido posible la
identificación por otros medios.»
Disposición final tercera. Modificación de la Ley Orgánica 5/1985, de 19 de junio, del Régimen Electoral General.
Se modifica la Ley Orgánica 5/1985, de 19 de junio, del Régimen Electoral, a la que se añade una nueva disposición adicional:
«Disposición adicional novena. Designación de la autoridad de vigilancia de mercado para procesos electorales, conforme al Reglamento UE) 2024/1689, de 13 de junio, por el que se establecen normas armonizadas en materia de inteligencia
artificial y por el que se modifican los Reglamentos (CE) n.º 300/2008, (UE) n.º 167/2013, (UE) n.º 168/2013, (UE) 2018/858, (UE) 2018/1139 y (UE) 2019/2144 y las Directivas 2014/90/UE, (UE) 2016/797 y (UE) 2020/1828 (Reglamento de Inteligencia
Artificial) (en adelante, Reglamento (UE) 2024/1689, de 13 de junio).
Se designa a la AESIA como autoridad de vigilancia de mercado de los siguientes sistemas de IA de alto riesgo cuando éstos se utilicen en procesos democráticos, conforme a los establecido en el anexo III.8 del Reglamento (UE) 2024/1689, de
13 de junio, por el que se establecen normas armonizadas en materia de inteligencia artificial y por el que se modifican los Reglamentos (CE) n.º 300/2008, (UE) n.º 167/2013, (UE) n.º 168/2013, (UE) 2018/858, (UE) 2018/1139 y (UE) 2019/2144 y las
Directivas 2014/90/UE, (UE) 2016/797 y (UE) 2020/1828 (Reglamento de Inteligencia Artificial) (en adelante, Reglamento (UE) 2024/1689, de 13 de junio).
En concreto, sistemas de IA para influir en el resultado de una elección o referéndum o en el comportamiento electoral de personas físicas que ejerzan su derecho de voto en elecciones o referendos. Quedan excluidos los sistemas de IA a
cuyos resultados de salida no estén directamente expuestos las personas
físicas, como las herramientas utilizadas para organizar, optimizar o estructurar campañas políticas desde un punto de vista administrativo o logístico.
Además, se designa la AESIA como autoridad de vigilancia de mercado de sistemas de IA de alto riesgo descritos en el anexo III del Reglamento (UE) 2024/1689, de 13 de junio, apartado 1, relativo al ámbito de la biometría, letras a) y b),
cuando los sistemas se utilicen a efectos de los procesos democráticos, excluyendo los sistemas para identificación biométrica remota cuya única finalidad sea confirmar que una persona física concreta es la persona que afirma ser.»
Disposición final cuarta. Títulos competenciales.
La presente ley se dicta al amparo de lo dispuesto en el apartado 1.ª del artículo 149.1 de la Constitución Española, que atribuye al Estado la competencia para establecer las condiciones básicas que garanticen la igualdad de todos los
españoles en el ejercicio de los derechos y en el cumplimiento de los deberes constitucionales.
Asimismo, la ley se dicta al amparo de las competencias exclusivas del Estado previstas en los apartados 21.ª y 29.ª el artículo 149.1 de la Constitución Española, en materia de telecomunicaciones y seguridad pública, respectivamente, así
como en el apartado 13.ª de dicho artículo, en cuanto habilita para establecer las bases y la coordinación de la planificación general de la actividad económica en el ejercicio de la competencia para dictar legislación básica. Estas competencias,
entendidas como principios generales para garantizar la seguridad y la unidad del mercado, se aplican a todas las previsiones de esta ley.
Igualmente, determinadas previsiones de esta ley se dictan al amparo de lo dispuesto en el apartado 18.ª del artículo 149.1 de la Constitución Española, en lo relativo a las bases del régimen jurídico de las Administraciones públicas y del
procedimiento administrativo común. Concretamente, las previsiones del capítulo IV de esta ley, que resultan de aplicación exclusiva al sector público estatal se dictan al amparo de la competencia que corresponde al Estado para la organización y
régimen de su propia Administración, y el capítulo V, en cuanto define un procedimiento sancionador que se incardina en el marco del procedimiento administrativo.
El capítulo III, relativo a la gobernanza de los espacios controlados de pruebas para la IA, en tanto son instrumentos fundamentales para el desarrollo de la innovación en materia de IA, encuentra amparo en el título competencial recogidos
en el apartado 15.ª del artículo 149.1 de la Constitución Española, relativo al fomento y coordinación general de la investigación científica y técnica.
El artículo 36.3 y la disposición final segunda se dictan al amparo de lo dispuesto en el artículo 149.1.17.ª de la Constitución Española, que atribuye al Estado la competencia exclusiva sobre la legislación básica y el régimen económico de
la Seguridad Social, sin perjuicio de la ejecución de sus servicios por las comunidades autónomas. Dicho título competencial ampara la cesión de datos de la Seguridad Social para identificar a responsables en actuaciones previas y la modificación
del texto refundido de la Ley General de la Seguridad Social para prever esta colaboración.
Finalmente, se dictan al amparo del apartado 5.ª del artículo 149.1 de la Constitución Española, relativo a la Administración de Justicia, los preceptos referidos a la atribución de funciones de autoridad competente y de vigilancia del
mercado en el ámbito de la justicia; en particular, el artículo 5.4 y las previsiones del artículo 35 en lo que se refiere al régimen aplicable cuando el Consejo General del Poder Judicial actúe como autoridad de vigilancia del mercado.
Disposición final quinta. Rango normativo.
Tienen carácter de ley orgánica el artículo 21.3, el artículo 28 y la disposición final tercera. El resto de los preceptos tienen naturaleza de ley ordinaria.
Disposición final sexta. Habilitación para el desarrollo reglamentario.
Se faculta al Gobierno para que pueda dictar cuantas disposiciones sean necesarias para el desarrollo y aplicación de esta ley.
Disposición final séptima. Base de datos nacional para el registro de sistemas de alto riesgo asociados a infraestructuras críticas.
Se regulará mediante real decreto la base de datos nacional para el registro a que se refiere el anexo III del Reglamento (UE) 2024/1689, de 13 de junio, punto 2, referente a sistemas de IA para infraestructuras críticas, de conformidad con
lo dispuesto en el artículo 49.5 de dicho Reglamento.
Esta base de datos será gestionada de forma conjunta entre la autoridad de vigilancia del mercado designada y la Secretaría de Estado de Seguridad de conformidad con lo dispuesto en la normativa de entidades críticas y materias clasificadas.
Disposición final octava. Entrada en vigor.
1. La presente ley entrará en vigor el día siguiente al de su publicación en el «Boletín Oficial del Estado».
2. No obstante lo anterior, la disposición final tercera, por la que se modifica la Ley Orgánica 5/1985, de 19 de junio, del Régimen Electoral General, entrará en vigor en la misma fecha en que lo haga la norma de adaptación del régimen
jurídico de la Agencia Española de Supervisión de Inteligencia Artificial a que se refiere la disposición adicional segunda.