Análisis comparativo de las dos estrategias regulatorias disponibles para founders y equipos legales que desarrollan o integran IA en España
El 2 de agosto de 2026, el EU AI Act (Reglamento (UE) 2024/1689) entró en plena aplicación general. Para las startups españolas que desarrollan o integran inteligencia artificial, esa fecha no es el final de un período de gracia: es el inicio de un régimen sancionador real. La pregunta ya no es si cumplir, sino cómo y a qué ritmo, y si el sandbox regulatorio de AESIA cambia la ecuación.
- Fecha clave: aplicación general del AI Act desde el 2 de agosto de 2026; todas las normas deben ser aplicables a más tardar el 2 de agosto de 2027 según el Reglamento (UE) 2026/1744.
- Regulador en España: AESIA (Agencia Española de Supervisión de la Inteligencia Artificial), bajo el Ministerio para la Transformación Digital.
- Herramienta clave: 16 guías técnicas publicadas por AESIA en diciembre de 2025, con checklist actualizado a 30 de junio de 2026.
- Sandbox: primer sandbox de IA de Europa, concluido con éxito en junio de 2026; segunda convocatoria prevista en 2026 con acceso prioritario y gratuito para PYMEs y startups.
- Régimen especial: las startups se benefician de multas calculadas con el porcentaje más bajo sobre facturación, tasas reducidas y documentación técnica simplificada.
¿Qué es el EU AI Act y qué cambia para las startups españolas en 2026?
El EU AI Act (Reglamento (UE) 2024/1689) es la primera regulación global vinculante sobre inteligencia artificial. Clasifica los sistemas de IA por nivel de riesgo —inaceptable, alto, limitado y mínimo— e impone obligaciones proporcionales a ese riesgo. Para las startups españolas, el cambio esencial es que desde el 2 de agosto de 2026 estas obligaciones son exigibles, no recomendaciones, y el incumplimiento conlleva sanciones administrativas que pueden alcanzar hasta el 3% de la facturación anual global para la mayoría de infracciones de sistemas de alto riesgo.
El calendario que toda startup debe conocer
- 1 de agosto de 2024: entrada en vigor del Reglamento (UE) 2024/1689.
- 2 de febrero de 2025: prohibición de prácticas de IA inaceptables (scoring social, manipulación subliminal, identificación biométrica en tiempo real en espacios públicos con excepciones tasadas).
- 2 de agosto de 2025: inicio de obligaciones para modelos de IA de uso general (GPAI) y los proveedores de esos modelos.
- 2 de agosto de 2026: aplicación general del AI Act, incluyendo sistemas de alto riesgo del Anexo III y obligaciones de transparencia del artículo 50.
- 2 de agosto de 2027: fecha límite para que todas las normas sean plenamente aplicables, según el Reglamento (UE) 2026/1744.
¿Quién está afectado? Los tres perfiles de startup
No todas las startups tienen el mismo problema. Hay tres situaciones claramente distintas:
- Startup que provee un sistema de IA de alto riesgo (Anexo III): aplica en áreas como acceso a servicios esenciales, empleo, educación, infraestructuras críticas, justicia o migración. Obligaciones máximas: gestión de riesgos, gobernanza de datos, documentación técnica, supervisión humana, ciberseguridad, marcado CE y registro en la base de datos de la UE.
- Startup que despliega un chatbot o sistema de IA generativa: le aplica el artículo 50 (transparencia). Debe informar al usuario de que interactúa con una IA, identificar el contenido sintético y etiquetar las ultrafalsificaciones (deepfakes).
- Startup que usa IA internamente o integra herramientas de terceros con riesgo mínimo: obligaciones ligeras. Su trabajo principal es verificar que no usa prácticas prohibidas y que los sistemas de terceros que despliega cumplen.
¿Qué es el sandbox regulatorio de IA en España y qué ofrece?
El sandbox regulatorio de IA en España es un entorno controlado de pruebas donde empresas —principalmente startups y PYMEs— pueden desarrollar y validar sistemas de IA de alto riesgo bajo la supervisión directa de AESIA, antes de comercializarlos o desplegarlos a escala. Lo establece el Real Decreto 817/2023 y fue el primero de este tipo en Europa.
Resultados del primer sandbox (concluido en junio de 2026)
El Gobierno anunció en junio de 2026 la conclusión exitosa del primer sandbox de IA. Su principal resultado tangible: la co-elaboración de las 16 guías técnicas de AESIA, que incorporan aprendizajes reales de las empresas participantes. Estas guías no son documentos teóricos: nacen de iterar sobre sistemas reales en un entorno supervisado.
Las 16 guías se organizan en tres bloques:
- Guías 01 y 02: material introductorio para entender el Reglamento y su ámbito de aplicación.
- Guías 03 a 15: requisitos técnicos específicos — gestión de riesgos, gobernanza de datos, transparencia, supervisión humana, ciberseguridad, entre otros.
- Guía 16: manual de checklist con actualización de 30 de junio de 2026, que permite verificar obligación por obligación el cumplimiento de requisitos de alto riesgo.
AESIA aclara que estas guías no son vinculantes ni sustituyen la normativa, pero están alineadas con el AI Act y sirven de referencia práctica mientras se aprueban los estándares armonizados europeos.
Segunda convocatoria prevista en 2026
Varias fuentes especializadas apuntan a una segunda convocatoria del sandbox en 2026, con acceso prioritario y gratuito para PYMEs y startups. Para las empresas que no participaron en la primera ronda, esta segunda convocatoria representa la oportunidad de acceder a orientación directa de AESIA durante el período más crítico de cumplimiento.
Análisis comparativo: cumplimiento mínimo vs. sandbox regulatorio
La decisión estratégica para un equipo fundador no es binaria. Hay un espectro entre el cumplimiento mínimo obligatorio y la participación activa en el sandbox, con implicaciones distintas según el tipo de startup. A continuación, un análisis dimensión por dimensión.
| Dimensión | Cumplimiento mínimo obligatorio | Participación en sandbox AESIA |
|---|---|---|
| Riesgo regulatorio y sancionador | Alto si no se documenta bien. Multas hasta 3% de facturación global para sistemas de alto riesgo. Sin interlocución previa con la autoridad. | Reducido durante el sandbox: entorno supervisado que permite corregir antes de comercializar. No elimina obligaciones, pero sí el riesgo de errores no detectados. |
| Coste de cumplimiento técnico y documental | Elevado sin guías. Requiere asesoría legal y técnica externa. Sin acceso a plantillas validadas por la autoridad competente. | Reducido por acceso a las 16 guías AESIA (gratuitas), checklists actualizados y orientación directa. Puede sustituir parte de la asesoría externa. |
| Reputación y acceso a clientes corporativos | Neutro a corto plazo. Sin señal diferenciadora frente a competidores. | Señal positiva de IA responsable. Facilita relaciones con grandes empresas y administraciones públicas que exigen cumplimiento verificado a proveedores. |
| Flexibilidad para iterar producto | Mayor autonomía, pero sin red de seguridad. Los errores de diseño se detectan tarde, a menudo en fase de comercialización. | Iteración con feedback de AESIA en un entorno acotado. Ideal para startups que aún no han estabilizado funciones de IA con impacto en derechos fundamentales. |
| Velocidad al mercado | Más rápida si el producto tiene riesgo bajo. Sin proceso de admisión ni calendario externo. | Más lenta inicialmente. El proceso de admisión y el calendario del sandbox añaden tiempo, pero reducen riesgo de bloqueos posteriores. |
| Acceso a información regulatoria | Guías AESIA disponibles públicamente. Interpretación propia o con asesoría externa. | Acceso directo a la autoridad competente para resolver dudas de interpretación sobre casos concretos. |
| Coste económico directo | Sin coste regulatorio específico, pero con coste de asesoría y posibles costes de corrección posterior. | Acceso prioritario y gratuito para PYMEs y startups. Tasas reducidas en evaluaciones de conformidad. |
¿Qué conviene según el tipo de startup?
Startup con sistema de IA de alto riesgo (Anexo III)
Si tu producto cae dentro del Anexo III —por ejemplo, un sistema de selección de personal automatizado, una herramienta de evaluación de crédito o un sistema de diagnóstico médico asistido— el sandbox no es una opción opcional: es la ruta más racional.
Los requisitos de documentación técnica, gestión de riesgos, supervisión humana y ciberseguridad para estos sistemas son exigentes. Sin orientación directa de AESIA, el riesgo de construir una arquitectura de cumplimiento incompleta es alto. El sandbox permite detectar esos errores antes de que el sistema esté en producción y expuesto a sanciones.
La recomendación para este perfil: solicitar participación en la segunda convocatoria del sandbox en cuanto esté disponible. El coste de oportunidad de esperar supera el coste del proceso de admisión.
Startup que desarrolla herramientas de IA generativa o chatbots
Las obligaciones del artículo 50 son claras: informar al usuario de que interactúa con una IA, identificar contenido sintético y etiquetar deepfakes. Son requisitos técnicamente implementables sin sandbox, pero la interpretación de casos límite —¿cuándo un sistema «imita» a una persona real?— puede requerir clarificación con la autoridad.
Para este perfil: el cumplimiento mínimo es suficiente si el producto es transparente por diseño. El sandbox aporta valor si hay dudas de interpretación sobre funciones específicas.
Startup que usa IA de terceros internamente o en funciones de bajo riesgo
Si integras herramientas de terceros (procesamiento de texto, análisis de datos, automatización de procesos internos) sin que el sistema afecte directamente a derechos de personas físicas de forma significativa, el coste del sandbox probablemente no se justifica en esta fase.
Para este perfil: priorizar el inventario de sistemas de IA usados por la empresa, clasificarlos por nivel de riesgo y verificar que ninguno cae en prácticas prohibidas. Las guías AESIA 01 y 02 son el punto de partida suficiente. El checklist de la guía 16 permite hacer ese trabajo internamente sin asesoría externa intensiva.
Ventajas concretas del sandbox que el cumplimiento mínimo no da
- Diálogo directo con AESIA: posibilidad de obtener criterios de interpretación sobre el propio sistema, algo que las guías públicas no pueden reemplazar en casos complejos.
- Co-desarrollo de documentación técnica: las empresas participantes en el primer sandbox contribuyeron a las guías AESIA. Las participantes en la segunda convocatoria pueden beneficiarse de ese marco ya construido y de orientación personalizada.
- Anticipación de requisitos de evaluación de conformidad: las startups que salgan del sandbox conocen de primera mano qué documenta AESIA, lo que simplifica el proceso de certificación posterior.
- Señal verificable hacia inversores y clientes corporativos: la participación en el sandbox de AESIA es un activo de due diligence. Inversores de Serie A en Europa exigen cada vez más garantías de cumplimiento regulatorio en IA antes de cerrar rondas.
- Protección frente a cambios regulatorios: las empresas con relación cercana a AESIA tienen más probabilidad de anticipar cambios en la interpretación de los estándares armonizados, que aún están en proceso de aprobación a nivel europeo.
Riesgo regulatorio real: qué pasa si una startup no cumple
El AI Act establece tres niveles de multa:
- Hasta el 7% de la facturación anual global por incumplimiento de las prohibiciones de prácticas inaceptables.
- Hasta el 3% de la facturación anual global por incumplimiento de otros requisitos del Reglamento, incluyendo los de sistemas de alto riesgo.
- Hasta el 1,5% de la facturación anual global por proporcionar información incorrecta a las autoridades.
Para PYMEs y startups, el Reglamento aplica el porcentaje más bajo entre el límite previsto y el importe máximo fijo, lo que reduce la exposición absoluta. Pero para una startup con 2 millones de euros de facturación, el 3% son 60.000 euros: una sanción que puede condicionar la continuidad operativa.
Más allá de la multa, el riesgo reputacional en B2B es mayor. Un cliente corporativo que descubra que su proveedor de IA incumple el AI Act tiene incentivos legales propios para terminar la relación: el desplegador también asume responsabilidades bajo el Reglamento.
Evaluación de Impacto en Derechos Fundamentales (FRIA): el requisito que más sorprende
El artículo 27 del AI Act obliga a los desplegadores de determinados sistemas de alto riesgo a realizar una Evaluación de Impacto en Derechos Fundamentales (FRIA, por sus siglas en inglés) antes del despliegue. Esto afecta especialmente a startups que venden a administraciones públicas o a entidades que gestionan servicios esenciales.
La FRIA no es un formulario: requiere identificar los derechos potencialmente afectados, analizar cómo el sistema puede impactar en grupos vulnerables y documentar las medidas de mitigación. Es el requisito que más startups desconocen y el que AESIA señala como prioritario en sus guías técnicas.
Tendencias que emergen del análisis regulatorio en España
Tres patrones son claros a mediados de 2026:
- El sandbox como estándar de mercado B2B: las grandes empresas y administraciones públicas empiezan a incluir en sus pliegos de contratación requisitos de cumplimiento del AI Act verificado. Participar en el sandbox de AESIA se convierte en diferencial comercial, no solo en cumplimiento normativo.
- Concentración del coste de cumplimiento en el primer año: las startups que invirtieron en cumplimiento antes de agosto de 2026 tienen una ventaja estructural. Las que lo retrasan acumulan deuda técnica regulatoria que es más cara de resolver en producción que en diseño.
- Las guías AESIA como sustituto parcial de asesoría externa: los 16 documentos publicados en diciembre de 2025 y actualizados en junio de 2026 tienen un nivel de detalle técnico suficiente para que startups con equipo técnico propio reduzcan significativamente la dependencia de consultoras externas. El checklist de la guía 16 es especialmente útil para equipos sin experiencia regulatoria previa.
Preguntas Frecuentes
¿Cuándo entra en aplicación el EU AI Act para startups españolas?
La aplicación general del EU AI Act es desde el 2 de agosto de 2026. Esto incluye las obligaciones para sistemas de alto riesgo del Anexo III y las obligaciones de transparencia del artículo 50. Las prácticas prohibidas llevan vigentes desde el 2 de febrero de 2025. El Reglamento (UE) 2026/1744 establece que todas las normas deben ser plenamente aplicables a más tardar el 2 de agosto de 2027.
¿Qué es AESIA y qué papel juega para las startups?
AESIA es la Agencia Española de Supervisión de la Inteligencia Artificial, bajo el Ministerio para la Transformación Digital. Es la autoridad competente en España para el AI Act. Gestiona el sandbox regulatorio de IA, publica las 16 guías técnicas de cumplimiento y será el organismo que instruya expedientes sancionadores por incumplimiento del Reglamento en España.
¿Qué ventajas tiene el sandbox de AESIA frente al cumplimiento directo?
El sandbox permite iterar el diseño de sistemas de alto riesgo con feedback directo de AESIA antes de comercializarlos, detectar errores de cumplimiento en un entorno sin sanciones, anticipar requisitos de evaluación de conformidad y obtener una señal verificable de compromiso con la IA responsable. El acceso es prioritario y gratuito para PYMEs y startups.
¿Todas las startups tienen que cumplir el AI Act por igual?
No. Las obligaciones dependen del nivel de riesgo del sistema de IA. Las startups con sistemas de bajo riesgo tienen obligaciones muy limitadas. Las que desarrollan sistemas de alto riesgo (Anexo III) tienen las obligaciones más exigentes. Para PYMEs y startups, el Reglamento prevé multas calculadas con el porcentaje más bajo, tasas reducidas y documentación técnica simplificada, pero no exime del cumplimiento de fondo.
¿Qué pasa si una startup usa IA de terceros en lugar de desarrollarla?
El desplegador de un sistema de IA también asume responsabilidades bajo el AI Act, aunque menores que el proveedor. Si integras herramientas de un tercero en un sistema de alto riesgo, debes verificar que el proveedor cumple sus obligaciones y que el despliegue no genera nuevas obligaciones (como la FRIA en ciertos contextos). Las guías AESIA 03 a 15 detallan qué corresponde a cada rol.
¿Cómo puede una startup acceder al segundo sandbox de AESIA?
AESIA publicará la convocatoria de la segunda edición del sandbox a lo largo de 2026. Las startups interesadas deben seguir los canales oficiales de AESIA en aesia.digital.gob.es y del Ministerio para la Transformación Digital. El acceso es prioritario para PYMEs y startups y, según fuentes especializadas, gratuito. Es recomendable preparar previamente un inventario de los sistemas de IA de la empresa y su clasificación de riesgo.
Fuentes
- Reglamento (UE) 2024/1689 (EU AI Act) – EUR-Lex: eur-lex.europa.eu
- Reglamento (UE) 2026/1744 – BOE: boe.es
- AESIA – Guías de cumplimiento del AI Act: aesia.digital.gob.es/en/guides
- AESIA – Publicación de guías (diciembre 2025): aesia.digital.gob.es
- AESIA – Manual de checklist (guía 16, junio 2026): aesia.digital.gob.es
- Gobierno de España – Primer sandbox de IA concluido (junio 2026): digital.gob.es
- Comisión Europea – AI Act (Shaping Europe’s digital future): digital-strategy.ec.europa.eu
- Javadex – EU AI Act: Guía práctica para empresas (2026): javadex.es
- Regulatory AI – La Ley de IA en España, AESIA, el sandbox y los plazos: regulatoryai.eu
Este artículo también está disponible en nuestras redes sociales:
El post de LinkedIn está disponible inmediatamente. Instagram y Facebook se publican poco después.
