Confianza y cumplimiento · 2026-09-11
Ley de IA en España y AESIA: qué cambia si consume una API de LLM
Qué obligaciones del Reglamento Europeo de IA están ya en vigor, en qué punto está el proyecto de ley orgánica española, qué papel tiene AESIA y qué le toca hacer a un equipo que solo consume una API de modelos de lenguaje.
Qué está en vigor hoy y qué llega después
El Reglamento (UE) 2024/1689 no entró en vigor de golpe: sus obligaciones se activan por tramos. Las obligaciones de transparencia del artículo 50 son aplicables desde el 2 de agosto de 2026, e incluyen informar a la persona de que está interactuando con un sistema de IA y marcar el contenido sintético que se genere.
Para los sistemas que ya estaban en el mercado antes de esa fecha existe un margen adicional para adecuarse a lo previsto en el artículo 50, apartado 2. Las obligaciones ligadas a los sistemas de alto riesgo se aplican más tarde, en fechas escalonadas que llegan hasta 2027 y 2028.
La consecuencia práctica para un equipo de producto es que no hay una única fecha que recordar. Hay una fecha que ya pasó y que afecta a casi cualquier producto que genere texto, imagen o voz, y hay fechas posteriores que dependen de para qué se use el sistema.
La pieza española: AESIA y el régimen sancionador
El Reglamento europeo necesita, en cada Estado miembro, una norma que designe autoridades y fije sanciones. En España esa norma es el proyecto de ley orgánica para el buen uso y la gobernanza de la inteligencia artificial, aprobado por el Consejo de Ministros el 26 de mayo de 2026 y publicado en el Boletín Oficial de las Cortes Generales el 12 de junio de 2026.
El texto designa a la Agencia Española de Supervisión de la Inteligencia Artificial, con sede en A Coruña, como órgano central de supervisión, y articula el régimen sancionador nacional junto con los entornos controlados de pruebas.
Conviene decirlo con precisión: a la fecha de publicación de este artículo se trata de un proyecto en tramitación parlamentaria, no de una ley vigente. Lo que ya obliga es el Reglamento europeo; lo español define quién supervisa y con qué consecuencias.
Dónde encaja quien solo consume una API
La mayoría de los equipos que leen esto no entrenan modelos: integran uno a través de una API. Eso normalmente los sitúa del lado del responsable del despliegue, no del proveedor del modelo de propósito general, y cambia qué obligaciones le llegan directamente.
No las elimina. Las de transparencia hacia la persona que interactúa con el sistema, y el marcado del contenido generado, recaen sobre quien pone el producto delante del usuario final. Que el modelo sea de un tercero no traslada esa conversación al tercero.
El otro efecto es documental. Un proveedor de modelo de propósito general debe poder entregar información técnica a quien integra el modelo aguas abajo. Si su proveedor no puede decirle qué modelo respondió y con qué versión, usted no puede construir su propia documentación encima.
Qué pedir a su proveedor de API antes de firmar
Estas cinco preguntas se responden con documentos o con una llamada a la API, no con una declaración comercial. Si alguna no tiene respuesta comprobable, eso ya es una respuesta.
- Identidad exacta del modelo que responde, con versión, y no un alias que pueda cambiar por debajo sin aviso.
- Qué ocurre cuando un modelo se retira: si la llamada falla en silencio, si devuelve un error explicable o si se redirige a otro modelo.
- Qué documentación técnica del modelo original puede trasladarle el proveedor.
- Si el registro de uso le permite reconstruir, meses después, qué modelo atendió una petición concreta.
- Quién es el responsable y quién el encargado del tratamiento en su contrato, por escrito.
Frequently asked questions
¿Me afecta el Reglamento de IA si solo llamo a una API desde mi aplicación?
Normalmente sí, pero por la vía del despliegue y no por la del proveedor de modelo. Las obligaciones de transparencia del artículo 50 miran a quien pone el sistema delante de la persona, y esa suele ser su aplicación.
¿Ya puede sancionarme AESIA?
El proyecto de ley orgánica que designa a AESIA y fija el régimen sancionador estaba en tramitación parlamentaria cuando se publicó este artículo. El Reglamento europeo, en cambio, ya es aplicable en los tramos que han entrado en vigor.
¿Sirve de algo elegir modelos alojados en la UE para el Reglamento de IA?
Son dos cosas distintas. El lugar de tratamiento es una cuestión de protección de datos; el Reglamento de IA mira al uso, al riesgo y a la transparencia. Elegir alojamiento en la UE no sustituye a las obligaciones de transparencia, y cumplirlas no resuelve la cuestión de las transferencias.