Por Pablo Sáez Hurtado Delvy A.I. Senior Counsel. Presidente de la Comisión Joven de ENATIC. Director General de BeAl Foundation. Gestor Ético de OdiseIA. Responsible and Trustworthy AI Lawyer.
El 25 de marzo de 2026, el Consejo Económico y Social (CES) aprobó el Dictamen 3/2026 sobre el Anteproyecto de Ley para el buen uso y la gobernanza de la inteligencia artificial. Según Servimedia, lo valora positivamente, pero deja constancia de que “habría sido deseable” un diálogo previo con los interlocutores sociales. Un año antes, el 9 de abril de 2025, la sociedad civil ya lo había escenificado en el CGAE, bajo una pregunta: ¿quién vigila a los que nos vigilan? [1]
El Anteproyecto de 11 marzo 2025 y la “doble vara de medir” del art. 30.4.
El anteproyecto aprobado por el Consejo de Ministros el 11 de marzo de 2025 se presenta como la pieza nacional que “aborda” los aspectos que el AI Act deja a los Estados: autoridades competentes, coordinación y régimen de cumplimiento. Su exposición de motivos recuerda que el Reglamento (UE) 2024/1689 impone a los Estados el desarrollo del “régimen de sanciones y otras medidas de ejecución”. [2]
En clave institucional, el texto asume que la gobernanza real se juega en evitar “aplicación diferenciada o incluso contradictoria” entre autoridades sectoriales. Por eso crea una “Comisión mixta de coordinación de autoridades de vigilancia del mercado” y coloca a la AESIA como presidencia, secretaría y gestión. Dicho en términos empresariales… es la parte que convierte una ley en un sistema operativo: sin coordinación, el cumplimiento se vuelve una lotería. El Español lo destacó. [3]
La polémica, sin embargo, se concentra en el artículo 30.4. Su literal fija una especialidad para infracciones cometidas por el sector público: la resolución deberá “apercibir” y ordenar medidas correctoras, “excluyendo la imposición de multas administrativas”. [4]
Ese “blindaje” no surge por accidente. El propio AI Act ordena a cada Estado decidir “en qué medida podrán imponerse multas administrativas a las autoridades y organismos públicos” establecidos en su territorio (art. 99.8). Pero, al mismo tiempo, el mismo artículo 99 fija el techo sancionador para ciertas infracciones en “hasta 35 000 000 EUR” o, si es empresa, “hasta el 7 %” del volumen de negocios mundial (lo que sea mayor). [5]
Aquí entra la lógica de implementabilidad: el precepto no solo manda, también incentiva. Si al sector privado se le disuade con multa y al público con apercibimiento, el legislador debe demostrar —y no solo prometer— que hay responsabilidad equivalente por otras vías. Ahí es donde el abogado deja de ser un mero intérprete normativo y pasa a actuar como arquitecto de gobernanza.
La jornada histórica “¿Quién vigila a los que nos vigilan?” – detalles, conclusiones y alegaciones.
El 9 de abril de 2025, en la sede del CGAE, se celebraron “dos mesas redondas” para debatir la “exoneración de responsabilidad” de las Administraciones, con el foco en el “30.4 del Anteproyecto”. La crónica detalla la moderación de Miguel Hermosa (primera mesa) y Borja Adsuara (segunda). [6]
La jornada fijó dos mensajes clave. El primero: el uso público de IA “no sólo es deseable, sino necesaria” para mejorar servicios públicos; el problema es la responsabilidad cuando el daño impacta “servicios públicos e intereses generales”. [6]
El segundo fue una tesis con forma de aforismo jurídico: “Toda Ley que no tenga sanción deja de ser ley y se convierte en un mero consejo”. La frase funcionó como síntesis mediática de la crítica: sin coste real, la obligación se degrada. [6]
En paralelo, las alegaciones publicadas por la Asociación de Internautas reconocen “puntos fuertes” —incluido un “régimen sancionador detallado y claro” y el papel de la AESIA—, pero piden reforzar independencia y recursos y alertan de cargas para pymes. De fondo: coherencia y proporcionalidad en un ecosistema de autoridades. [7]
Sobre la reunión del 8 de mayo de 2025 con Aleida Alcaide: en las fuentes primarias consultadas aquí solo consta que “está pendiente una reunión con el Ministerio”. Fecha, interlocutora y contenido exacto: No puedo confirmar. [6]
El Dictamen CES 3/2026 – valoración positiva + crítica al diálogo ausente + recomendaciones concretas.
Servimedia resume el dictamen del CES con una validación importante: le merece una “valoración positiva” que el anteproyecto regule en norma con rango de ley el “sistema de autoridades” y el “régimen de infracciones y sanciones”. El Español resaltó el reproche. [8]
El reproche, también según Servimedia, es igual de concreto: “habría sido deseable” un “proceso previo de diálogo con los interlocutores sociales”. Ese “previo” conecta con el estándar de participación pública de la Ley 50/1997: cuando la norma afecta a derechos o intereses legítimos, la Administración debe publicar el texto “con el objeto de dar audiencia” y obtener aportaciones (art. 26.6). [9]
A partir de ahí, el CES introduce una advertencia de gobernanza: no basta con “consultar” al final; hay que construir consenso antes cuando se redistribuye poder sancionador. En esa misma línea, Servimedia recoge que el CES pide “información suficiente y adecuada” para las organizaciones representativas de intereses económicos y sociales. [10]
En recomendaciones de implementación, Servimedia indica que el CES pide “mecanismos de coordinación” entre autoridades de supervisión y vigilancia del mercado y foros de consulta, y subraya coordinar la AESIA con autoridades “económicas, laborales o sociales” en sus ámbitos. Aquí se ve la cirugía de implementación: no basta con asignar competencias; hay que asegurar gobernanza interadministrativa y consistencia decisoria. [10]
Sobre el Dictamen 3/2026 en su PDF oficial (paginado, literales adicionales y referencias internas, incluida una eventual mención a la Ley 15/2022), No puedo confirmar más allá de lo reproducido por Servimedia: el enlace oficial del CES no fue accesible en esta sesión (error 502). [11]
Análisis experto desde ENATIC y OdiseIA – implicaciones prácticas para abogados TIC, sector público, empresas y ciudadanos.
La controversia del 30.4 no es retórica: es un test de diseño sancionador. Si se reduce el coste económico del incumplimiento público, debe reforzarse el coste institucional (control, auditoría, transparencia y disciplina). El propio anteproyecto prevé medidas fuertes, como retirada cautelar o “desconexión o prohibición” del sistema si mantenerlo implica “un riesgo inaceptable”. [12]
Además, en el régimen para sector público, el anteproyecto prevé proponer actuaciones disciplinarias y, en ciertos supuestos, una “amonestación” con denominación del cargo responsable y publicación en BOE. Eso puede acercar el incentivo a la responsabilidad personal, si se aplica con rigor y garantías. [4]
Para empresas, el riesgo no es solo la multa: es la asimetría competitiva y reputacional. El AI Act marca techos de sanción muy elevados y un estándar de disuasión que, si se percibe desigual, puede alimentar litigiosidad y desconfianza en licitaciones y despliegues mixtos público‑privados. [5]
Para despachos, el “reajuste de relojes” es inmediato: el AI Act será aplicable desde el 2 de agosto de 2026, pero ya activa fases previas —capítulos I y II desde 2 de febrero de 2025 y el capítulo XII (sanciones) desde 2 de agosto de 2025, entre otros bloques—. El compliance se planifica por hitos, no por titulares. [13]
Y para ciudadanía, hay un ancla adicional en derecho interno: la Ley 15/2022 impone que administraciones y empresas promuevan una “Inteligencia Artificial ética, confiable y respetuosa con los derechos fundamentales”, e impulsa incluso un “sello de calidad de los algoritmos”. Esa conexión con igualdad y no discriminación hace que la exigencia de ejemplaridad pública no sea solo política: es coherencia normativa. [14]
Perspectiva de tramitación y futuro – oportunidades y riesgos de cara a la plena aplicación del AI Act.
España tiene una ventana para convertir la gobernanza de inteligencia artificial España en ventaja competitiva: coordinación efectiva, criterios homogéneos, recursos para supervisión y seguridad jurídica. El anteproyecto, al menos en su exposición, entiende el riesgo de fragmentación y lo intenta corregir con coordinación. [2]
Pero el coste de oportunidad también existe. Si la ley se percibe como indulgente con lo público y dura con lo privado, el cumplimiento se resentirá, y el ecosistema acabará operando con estrategias defensivas (litigio, informes “para cubrirse”, innovación a la baja). El AI Act no exige perfección: exige disuasión y efectividad. [5]
Conclusión. La pregunta “¿Quién vigila a los que nos vigilan?” ya no es un eslogan: es una prueba de credibilidad institucional. Si la Administración no paga multas administrativas, entonces debe “pagar” en gobernanza: transparencia, responsabilidad y corrección verificable del daño. De lo contrario, la norma corre el riesgo de cumplir aquello que la sociedad civil advirtió en 2025: convertirse en un mero consejo. Eso también es competitividad sostenible. Y eso también es seguridad jurídica. [15]
[1] [9] [10] https://www.noticiasde.es/espana/el-ces-emite-un-juicio-sobre-el-borrador-de-ley-para-regular-el-uso-adecuado-y-la-gobernanza-de-la-inteligencia-artificial/
[2] [4] [12] [16] https://avance.digital.gob.es/_layouts/15/HttpHandlerParticipacionPublicaAnexos.ashx?k=19128
[3] [21] https://cyberlideriamgzn.es/articulo-de-andrea-martinez-quien-vigila-a-los-que-nos-vigilan/
[5] [13] [19] https://eur-lex.europa.eu/eli/reg/2024/1689/oj?locale=es
[6] [15] https://internautas.org/quien-vigila-a-los-que-nos-vigilan/
[7] [17] https://internautas.org/wp-content/uploads/2025/03/comentariosAnteproyecto-IA.pdf
[8] [20] https://es.wikipedia.org/wiki/Quis_custodiet_ipsos_custodes%3F
[11] (no title)
[14] https://www.boe.es/diario_boe/txt.php?id=BOE-A-2022-11589
[18] https://www.boe.es/buscar/pdf/1997/BOE-A-1997-25336-consolidado.pdf
