Ocho entidades de la sociedad civil presentaron alegaciones al Anteproyecto de Ley, pero el texto del Proyecto de Ley que se ha dado a conocer hace caso omiso a esas recomendaciones. Estas instituciones no descartan otras medidas de presión
¿Quién controla a las administraciones? Deben tener un régimen sancionador similar al de las empresas privadas”. Sobre este tema ya se viene debatiendo desde hace años, con distintos eventos donde han estado involucrados las principales asociaciones de derecho digital y de la sociedad civil.
El proyecto de ley sobre gobernanza de la IA, ya publicado en el Boletín del Congreso de los Diputados, ha hecho caso omiso a las reclamaciones de una parte importante de la sociedad digital, pese a las alegaciones presentadas en ese texto. Ahora denuncian el desamparo de los ciudadanos y la impunidad de las administraciones en estas situaciones.
El colectivo se ha agrupado en una especia de plataforma creada tras el evento del pasado 9 de abril del 2025 en el CGAE, con la participación de entidades como ENATIC, APEP-IA, Asociación de Internautas, Asociación de Usuarios de Internet, OdiseIA, Hay Derecho, Fundación España Digital y RootedCON , coordinadas por Borja Adsuara, abogado y activista digital, uno de los expertos que más se ha significado por plantear ese control y régimen sancionador que falta en la LOPDGDD y que, de momento, en el proyecto de ley de IA no aparece.
En aquel evento de abril del 2025, en la primera mesa, participaron expertos como Miguel Hermosa, Decano de Palencia y miembro de la Comisión Permanente del CGAE, moderador, junto a Idoia Salazar, Presidenta de OdiseIA; José Leandro Núñez Secretario general de ENATIC y Miguel Recio, Vicepresidente de APEP, ahora presidente de APEP- IA.
Por su parte, Borja Adsuara, abogado y experto en Derecho Digital, moderó la segunda mesa. Además, tomaron la palabra Miguel Pérez, Presidente de la Asociación de Usuarios de Internet, Mª Luisa García, miembro de la Unidad de Apoyo Técnico de la Asociación de Internautas y Fernando Dávara, Presidente de la Fundación España Digital.
Todos ellos coincidieron en la necesidad de dicha regulación y creación del régimen sancionador. Según nos comentan ahora contactan con otras asociaciones para que se incorporen a dicha reclamación colectiva. El siguiente paso será hablar con los grupos políticos para ver si comparten sus tesis de la necesidad de crear ese régimen sancionador para las administraciones.
En opinión de Adsuara, “estamos como antes. No nos han hecho caso y se sigue excluyendo la imposición de multas administrativas como dice el artículo 99.8 del RIA. Si ya estaba mal con el RGPD, donde 13 países impusieron multas a las administraciones y España decidió no imponerlas, ahora con el RIA es más peligroso porque hay determinados usos de la inteligencia artificial que solo pueden hacer las autoridades públicas. Eso supone que el daño ya no es al titular de unos datos, a un individuo concreto, sino a toda la sociedad. Tampoco abordan la posible responsabilidad disciplinaria de los empleados públicos. Con el RGPD no tengo constancia que se abriera un expediente a ningún empleado público”.
Debate en el Colegio General de la Abogacía Española sobre la inteligencia artificial y las sanciones en el sector público. De izda. a derecha: Miguel Recio, de APEP, José Leandro Núñez, de ENATIC; Idoia Salazar, de OdiseIA; y Miguel Hermosa, del CGAE, en el primer panel celebrado . (Imagen: Abogacía Española)
Debe haber régimen sancionador
A su juicio, el problema es depurar quién es el responsable. Un empleado público dirá que él simplemente cumplía órdenes, “¿Quién es el responsable de poner en marcha un sistema de inteligencia artificial de alto riesgo sin las debidas garantías o, lo que es peor, un uso prohibido? Sorprende que una autoridad española pueda imponer o aplicar un uso prohibido de la inteligencia artificial, recogido en el artículo cinco del Reglamento, y que no le pase nada”, apunta
En su opinión, con “la nueva redacción han rebajado la responsabilidad personal que no se va a individualizar. Lo único que queda es la posible sanción disciplinaria al pobre empleado público, que además no es el que ha tomado la decisión de ese uso”.
Para este jurista es preocupante la situación de desamparo que se genera porque el uso de la IA es bastante más fuerte que cualquier otra tecnología que se conoce. “Nos vemos inmersos en una situación de indefensión. No hay mecanismo para controlar al que gestiona la IA en las administraciones públicas, pese a que los resultados pueden ser muy perjudiciales para los ciudadanos”:
Desde su punto de vista, “el objetivo sería presentar una enmienda al Proyecto a través de los grupos políticos, que incluyan ese régimen sancionador a las administraciones públicas tanto en la futura Ley de Inteligencia Artificial, como en la de Protección de Datos e, incluso, en la Ley de Transparencia. Son las más importantes, No puede ser que en las tres leyes más importantes de control de la Administración no haya régimen sancionador para la administración”.
Hay que controlar a las administraciones
Por su parte, Miguel Recio, que cumplirá dentro de unos días su primer año al frente de la Asociación Profesional Española de Privacidad e Inteligencia Artificial (APEP·IA) que acaba de celebrar su XII Congreso Internacional de Privacidad e Inteligencia Artificial, fue otra de las entidades que formó parte de aquella mesa redonda en el CGAE que abordó la problemática de las administraciones y la falta de régimen sancionador. Desde su punto de vista esta es una discusión necesaria y pese a no haber tenido suerte con las alegaciones presentadas por este grupo de expertos en derecho digital, la sensación es que el trabajo empieza ahora con los grupos políticos.
“Si hay sanciones importantes para las empresas que no hacen bien la gestión de sus protocolos de protección de datos o de gestión de la IA, con mayor motivo debería haber para las administraciones públicas que gestionan muchos datos de los ciudadanos y cuya actividad en la gestión de la IA debe ser supervisada para evitar cualquier problema”.
Para este jurista es lógico que propuesta como la que señala Borja Adsuara de lograr tres enmiendas en otras tantas leyes como la ley de protección de datos, esta futura de IA o la de transparencia contemplen ese régimen sancionador.
Este experto reconoce que “cada vez hay más voces que reclaman un régimen sancionador más duro contra las Administraciones Públicas, incluyendo que sus dirigentes tuvieran algún tipo de responsabilidad directa, como por ejemplo ceses o despidos si se sigue con el criterio de que no haya sanciones económicas”.
“En cualquier caso, no todo se consigue con multas, sino también con concienciación y con cultura en la importancia de proteger datos personales,” destaca. Desde esta asociación se indica que es importante que las administraciones se doten de buenos profesionales, formados y capacitados, acordes a sus necesidades, no para cubrir el expediente.
En el segundo panel del debate que hubo en el CGAE participaron (de izda. a derecha) Borja Adsuara, jurista digital y firmante de la Carta de Derechos Digitales; Fernando Davara, de España Digital; María Luisa García, de la Asociación de Internautas; y Miguel Pérez, presidente Asociación de Usuarios de Internet. (Imagen: Abogacía Española)
Un texto enrevesado y complejo
Román Ramírez, director y cofundador de RootedCOM, advierte de que básicamente no parece haber ningún cambio y no parece que se haya atendido a ninguno de los comentarios que hicimos desde las asociaciones. Y parece incluso que lo han hecho peor todavía. El texto es más enrevesado y se hace más difícil sancionar al empleado público. No parece que se pueda apercibir a alguien individualmente. Es decir, han metido explícitamente el comentario que dice que “no se podrán individualizar responsabilidades personales ante cualquier mal uso de la IA”
Desde su punto de vista, acudir a la vía de amparo en el Tribunal Constitucional o al Defensor del Pueblo son procedimientos lentos. Puede llegar a pasar unos siete años. “En un espacio de tiempo demasiado grande en el caso de alguna irregularidad donde en principio nadie tendría la culpa de nada, pese a que la Constitución y otras normas se pensaron para protegernos de los poderes del Gobierno y de las élites”, apunta. En su opinión la decepción es importante aunque se temían que se pudiera acabar en ese tipo de situación como la que se describe en el texto final del Proyecto de Ley que ahora se tramitará en el Congreso.
Este experto revela que el colectivo promotor asociativo más otras organizaciones que se incorporen van a seguir presionando para lograr este control de las administraciones. “Creo que todo el mundo tiene que sentir ese yugo y que se le quite presupuesto por mala praxis y que eso luego se ajuste como se tenga que ajustar. Pero con este tema en concreto de la IA, las derivadas malignas y siniestras que esto tiene en manos de un poder al que no se le pueda pedir responsabilidad a nadie. Eso es muy peligroso“. Así nos habla de posibles usos indebidos por nuestra policía o a nivel hospitalario donde el mundo de la IA y Big Data, tiene implicaciones importantes a veces algo opacas
En opinión del director de RootedCOM “sería bueno que todo el mundo sintiera la presión de cumplir diez años de prisión con una sanción de 20 millones de euros para evitar determinadas tipo de decisiones. Ahora el documento indica que no se podrá individualizar las responsabilidades personales . Sorprende que ante algo tan potente como la IA, precisamente las administraciones públicas que tutelan derechos y que tienen una relación estrecha y que ya manejan datos con los ciudadanos, tengan patentes de corso, pueden hacer lo que quieran pese al contrapeso de la Constitución, que intenta poner freno a la actividad de las élites y otros grupos”.
Miguel Pérez, presidente de la Asociación de Usuarios de Internet, otra voz autorizada en la materia celebra que España avance en línea con la UE en la regulación de la IA, pero ha incidido en que una ley de este calado no debe limitarse únicamente a ordenar el mercado y a definir cuáles son las autoridades supervisoras, como en este texto vienen reflejadas.
Para este experto “resulta difícil explica a la ciudadanía que se endurezcan las obligaciones para empresas y usuarios mientras que el propio sector público queda prácticamente blindado frente a sanciones económicas y responsabilidades personales por el uso indebido por sistemas de la IA. Estas administraciones no están incluidas en el régimen sancionador, a pesar del daño que un mal uso de estas tecnologías podría ocasionar en ámbitos como la sanidad, la educación o el empleo y de la vulnerabilidad de los ciudadanos”.
A su juicio, debe reforzarse en ese sentido "la transparencia y la trazabilidad" de esta tecnología en todos los ámbitos y sectores y que se garantice la reparación del daño causado. Si una administración utiliza mal la IA el daño sobre los ciudadanos puede ser mucho más grave que el causado por un operador privado, porque afecta a derechos, expedientes, prestaciones y garantías públicas. Por eso pedimos que el Congreso de los Diputaos corrija este desequilibrio y asegure un régimen de responsabilidad, transparencia y reparación”.
