España castigará con 35 millones los deepfakes

El Gobierno español ha aprobado una ley nacional de inteligencia artificial con multas de hasta 35 millones de euros y una prohibición expresa de las ultrafalsificaciones sexuales. La decisión llega tres semanas después de que la UE aplazara parte del calendario de aplicación de sus propias normas. Esa distancia explica bien el momento regulatorio que vive Europa.

El 26 de mayo, el Consejo de Ministros aprobó la ley para el buen uso y la gobernanza de la inteligencia artificial, tramitada como ley orgánica, una categoría reservada en España para normas que afectan a derechos fundamentales. El texto va más allá del Reglamento de IA de la UE en dos aspectos: prohíbe las ultrafalsificaciones sexuales generadas por IA y el material de explotación infantil, y crea la figura del «delegado de IA» en cada administración pública que utilice sistemas automatizados.

La ley también hace responsables jurídicamente tanto a los proveedores de IA como a las empresas que implantan esas herramientas. La lógica se parece a la seguridad alimentaria: si un cliente enferma, pueden responder tanto quien fabrica el producto como el restaurante que lo sirve.

Bruselas dio más tiempo. España no quiso esperar.

El Reglamento de IA de la UE entró en vigor en agosto de 2024, pero sus obligaciones más exigentes, las que afectan a sistemas usados en contratación, diagnóstico médico o aplicación de la ley, han sufrido retrasos sucesivos. El 7 de mayo, el Parlamento y el Consejo acordaron aplazar esas obligaciones más de un año dentro de un paquete legislativo conocido como Ómnibus Digital. La mayoría de Estados miembros ni siquiera había creado todavía sus autoridades nacionales de IA, y las normas técnicas que las empresas necesitan para acreditar el cumplimiento seguían sin estar listas.

España se adelantó. En junio de 2024, antes incluso de que el Reglamento de IA entrara en vigor, ya había puesto en marcha AESIA, la primera agencia europea dedicada específicamente a la supervisión de la IA. La nueva ley le da ahora capacidad real para sancionar.

Cinco países, cinco manuales

En Europa empieza a verse un mosaico de respuestas nacionales a la IA, condicionado por la política interna y por las tradiciones jurídicas de cada país.

Italia ha optado por la vía penal. Su Ley 132/2025 convirtió la difusión de ultrafalsificaciones en un delito autónomo, en parte tras un caso de gran repercusión con imágenes manipuladas de la primera ministra Giorgia Meloni. La vicepresidenta de la Cámara, Anna Ascani, calificó de «inútil» penalizar estas conductas sin dar a las autoridades poder para obligar a las plataformas a retirar contenidos.

Alemania ha dejado que marquen el paso los tribunales. El 12 de mayo, el Oberlandesgericht de Hamm, un tribunal regional de apelación, dictaminó que las empresas responden plenamente por las afirmaciones falsas de sus asistentes conversacionales de IA, incluso cuando se han entrenado con datos correctos. El asistente de una clínica estética había inventado credenciales médicas de sus doctores. La ley alemana de aplicación nacional sigue tramitándose en el Parlamento.

Francia ha preferido la coordinación institucional a una nueva ley. La CNIL, la autoridad francesa de protección de datos, actúa como coordinadora de la regulación de la IA entre más de 15 agencias sectoriales. Arthur Mensch, fundador de Mistral AI, dijo ante la Asamblea Nacional que la carga regulatoria favorece a los gigantes estadounidenses frente a las empresas emergentes europeas, porque un pequeño equipo de cumplimiento debe moverse entre decenas de aplicaciones nacionales de una misma ley europea.

Irlanda parte casi de cero. Su Oficina de IA empezará a funcionar el 1 de agosto con una plantilla mínima y sin director ejecutivo designado. La primera prueba de calado será la actuación frente a Grok, de X, señalado por los reguladores irlandeses por generar imágenes íntimas no consentidas.

El vacío que nadie había previsto

La ley española también deja zonas grises. Las administraciones públicas que hagan un uso indebido de la IA se exponen a apercibimientos, no a multas. En Italia, el mapa de supervisores está repartido entre varias agencias que los críticos consideran mal coordinadas. Irlanda aún no ha completado la plantilla de su regulador, mucho menos ha probado su capacidad de intervención.

El Reglamento de IA de la UE nació para dar al continente un marco común. El aplazamiento del Ómnibus concedió tiempo a los Estados miembros, pero también abrió un espacio que los gobiernos nacionales han llenado con sus propias prioridades. Cuando entren en vigor las obligaciones más duras, Europa puede encontrarse con 27 versiones distintas de una misma norma. Para una empresa que desarrolle IA en 2026, el mapa queda así: España prohíbe las ultrafalsificaciones sexuales, Italia castiga penalmente a quienes las difunden, Alemania responsabiliza a los operadores de asistentes conversacionales por sus errores e Irlanda aún no ha nombrado a su principal regulador. Un marco común, todavía no.