España somete a prueba 11 sistemas de IA de alto riesgo en su sandbox

España ha sometido durante más de un año a once sistemas de inteligencia artificial de alto riesgo a un entorno controlado de pruebas para comprobar hasta qué punto podían adaptarse al Reglamento Europeo de IA. El ensayo, el primero de estas características desarrollado en España, ha incluido tecnologías aplicadas a ámbitos tan delicados como la salud, la biometría, el empleo, el acceso a servicios, las infraestructuras críticas o la maquinaria.

El resultado deja una conclusión bastante menos abstracta que el habitual debate sobre algoritmos y regulación: para las empresas, el gran problema no será entender qué dice la ley europea, sino convertir esas obligaciones en procedimientos concretos, documentarlos, vigilar los riesgos y demostrar que existe control humano sobre sistemas capaces de influir en decisiones importantes para una persona.

El informe elaborado tras la experiencia por la Secretaría de Estado de Digitalización e Inteligencia Artificial recoge lo aprendido por empresas emergentes, pymes, grandes compañías y centros de investigación. El tamaño, de hecho, no parece ser la frontera decisiva. Un sistema complejo y poco maduro puede exigir mucho más trabajo de adaptación que otro desarrollado por una organización pequeña pero mejor preparado desde el principio.

España lleva el Reglamento europeo de IA al terreno real

El llamado sandbox de inteligencia artificial funciona, simplificando bastante, como un laboratorio regulatorio. Las organizaciones pueden probar cómo encajan sus sistemas en las nuevas obligaciones europeas dentro de un marco supervisado, antes de enfrentarse plenamente al cumplimiento normativo en el mercado.

No es una zona franca donde la regulación desaparezca —el término inglés puede inducir a imaginar algo bastante más alegre—, sino precisamente lo contrario: un espacio controlado donde se localizan fallos y dificultades antes de que una tecnología se utilice a gran escala.

La experiencia española ha trabajado con sistemas relacionados con productos sanitarios, reconocimiento biométrico, selección de personal, acceso a determinados servicios, industria e infraestructuras críticas. Son precisamente algunos de los terrenos donde una decisión automatizada equivocada puede dejar de ser una simple molestia informática y convertirse en un problema de seguridad, discriminación, privacidad o derechos fundamentales.

Entre las entidades participantes aparecen compañías como Airbus Operations, Adevinta Jobs, Veridas, Bit&Brain Technologies, Herta Security, Imotion Analytics, Tucuvi Care, Made of Genes, Dedomena Artificial Intelligence y Shakers Global Solutions, además de la Fundación Centro de Investigación en Tecnologías de la Información y las Comunicaciones de Galicia. El banco de pruebas ha reunido así proyectos y empresas muy diferentes bajo las mismas exigencias regulatorias.

De un asistente industrial a sistemas médicos

Los casos ensayados sirven para entender de qué tipo de inteligencia artificial se está hablando. Airbus, por ejemplo, ha trabajado con un asistente destinado a ayudar a operadores a consultar instrucciones operativas. Tucuvi ha participado con un sistema médico que utiliza IA conversacional para monitorizar pacientes mediante llamadas telefónicas, mientras que Made of Genes ha desarrollado tecnología que combina información clínica, analítica y genética para evaluar riesgos de enfermedades metabólicas.

Es decir, no estamos ante el chatbot que recomienda una receta con lo que queda en la nevera. Aquí una respuesta incorrecta, un dato mal tratado o una supervisión deficiente pueden tener consecuencias bastante más serias.

Los datos y la supervisión humana, entre los mayores problemas

El banco de pruebas ha identificado varias áreas especialmente exigentes. La gestión de riesgos aparece entre las principales, pero comparte escenario con la calidad y gobernanza de los datos, la documentación técnica, la gestión de posibles incidentes y la vigilancia del sistema una vez puesto en funcionamiento.

La supervisión humana ocupa otro lugar central. Europa pretende que determinadas decisiones tomadas o apoyadas por inteligencia artificial no funcionen como una caja negra ante la que una empresa pueda encogerse de hombros. Debe quedar claro quién controla el sistema, cómo puede intervenir, qué información recibe y qué sucede cuando el modelo produce un resultado anómalo.

También hay una cuestión menos vistosa, pero esencial: dejar rastro. La normativa exige que numerosos sistemas dispongan de registros y documentación suficientes para reconstruir su funcionamiento y evaluar qué ocurrió si algo sale mal. El algoritmo puede ser sofisticadísimo; un expediente regulatorio basado en «el modelo decidió esto» resulta bastante menos impresionante.

El ensayo español apunta precisamente ahí. Muchas organizaciones comprenden los principios generales del Reglamento, pero encuentran la dificultad cuando deben convertir palabras como transparencia, trazabilidad o control de riesgos en procesos cotidianos que puedan auditarse.

Cumplir no depende solo del tamaño de la empresa

Una de las conclusiones más interesantes rompe una asociación bastante automática: que las grandes empresas tendrán fácil adaptarse por disponer de más recursos y las pequeñas lo tendrán necesariamente peor. El esfuerzo depende en buena medida de cómo se haya construido y documentado cada sistema.

El trabajo realizado durante el sandbox señala que la carga depende sobre todo de la complejidad y el grado de madurez de la IA. Una empresa pequeña con una tecnología bien documentada, riesgos delimitados y responsabilidades claras puede encontrarse en mejor posición que una gran organización que haya incorporado inteligencia artificial de forma dispersa y sin una estructura sólida de control.

Eso cambia también la conversación empresarial. Adaptarse al Reglamento europeo no consiste únicamente en contratar a alguien que lea la norma y rellene formularios. Obliga a conectar equipos jurídicos, técnicos, responsables de datos y especialistas en seguridad con las personas que conocen el uso real del sistema.

El informe reclama por ello instrumentos bastante terrenales: plantillas, herramientas prácticas, guías interpretativas y acompañamiento especializado. Europa puede escribir una regulación minuciosa; alguien tendrá que convertir después cientos de páginas jurídicas en decisiones que entienda un ingeniero un martes por la mañana.

Qué considera Europa una IA de alto riesgo

El Reglamento Europeo de Inteligencia Artificial establece un modelo basado en el riesgo. No todas las herramientas reciben el mismo tratamiento. Cuanto mayor sea la posibilidad de afectar a la seguridad, la salud o los derechos fundamentales, mayores serán las obligaciones para quienes desarrollan o utilizan el sistema.

En el grupo de alto riesgo entran determinados usos vinculados, entre otros campos, a la biometría, las infraestructuras críticas, la educación, el empleo, la migración y el acceso a servicios esenciales. También existen sistemas incorporados a productos sujetos a regulación específica, como determinadas máquinas o dispositivos.

El calendario europeo, además, no cae entero sobre las empresas en una sola fecha. Tras los cambios introducidos en 2026, parte de las obligaciones aplicables a determinados sistemas de alto riesgo comenzarán a exigirse desde el 2 de diciembre de 2027, mientras que para algunos sistemas integrados en productos regulados el horizonte se extiende hasta el 2 de agosto de 2028.

Ese margen no convierte la preparación en un asunto remoto. Precisamente el sandbox español intenta localizar los problemas antes de que el cumplimiento deje de ser un ejercicio experimental y pase a formar parte de la actividad ordinaria de las empresas.

Las multas convierten la regulación en algo más que teoría

El Reglamento europeo no se limita a recomendaciones éticas. Su régimen sancionador contempla multas que pueden llegar hasta 35 millones de euros o el 7 % de la facturación mundial anual de una empresa, si esta cantidad es superior, por determinadas infracciones relacionadas con prácticas prohibidas.

Para otros incumplimientos previstos en la norma, las sanciones pueden alcanzar los 15 millones de euros o el 3 % del volumen de negocio mundial, dependiendo del supuesto y del tamaño de la compañía. La regulación introduce mecanismos específicos para tener en cuenta la situación económica de las pymes y empresas emergentes, pero el mensaje general resulta difícil de confundir: la gobernanza de la IA entra en el terreno del cumplimiento empresarial serio.

De ahí que la experiencia española insista en el seguimiento continuo. Un sistema no queda necesariamente bajo control porque superara una evaluación meses antes. Los modelos cambian, los datos evolucionan, aparecen nuevos usos y también nuevos riesgos. La vigilancia posterior a la comercialización será una pieza relevante de esa arquitectura.

El sandbox deja una advertencia antes de la aplicación plena

El primer gran ensayo español permite ver dónde empezará a chirriar la maquinaria cuando las obligaciones europeas lleguen plenamente al mercado. No parece que el obstáculo principal vaya a ser interpretar qué entiende Bruselas por una inteligencia artificial responsable. El problema estará unos metros más abajo, entre bases de datos, protocolos internos, controles humanos, documentación y responsabilidades.

España comenzó a construir este entorno de pruebas antes de que los espacios controlados previstos por el Reglamento europeo se convirtieran en una pieza obligatoria de la arquitectura regulatoria comunitaria. La experiencia acumulada tiene así una utilidad doble: preparar a las empresas participantes y comprobar, sobre casos reales, qué partes del nuevo marco europeo son más difíciles de aplicar.

La inteligencia artificial suele venderse como una tecnología capaz de hacer en segundos lo que antes requería horas. La regulación funciona al ritmo contrario: obliga a detenerse, dejar constancia y explicar quién responde cuando una máquina participa en una decisión relevante. Menos espectacular, desde luego. Pero justamente ahí empieza la IA de alto riesgo que Europa quiere mantener bajo control.