España aprueba su ley de IA: qué cambia para la industria farmacéutica

Por Alèxia Losada (Manager) y Juan Carlos Soriano (Tech Lead) en BertIA — AI & Data Excellence.

Durante meses, hablar del Reglamento Europeo de Inteligencia Artificial en la industria farmacéutica ha sido moverse en terreno abstracto. Sabíamos que existía, que clasificaba la IA por niveles de riesgo y que la usada en salud entraba en la categoría más exigente. Pero entre conocer una norma europea y notar sus consecuencias en el día a día de un laboratorio hay una distancia enorme. No es que antes no hubiera norma, ya que el Reglamento europeo lleva en vigor desde 2024, pero era un marco lejano, sin un aterrizaje claro en España. Eso es lo que acaba de cambiar.

El 26 de mayo de 2026, el Consejo de Ministros aprobó el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial, que adapta al ordenamiento jurídico español el Reglamento europeo de IA (en vigor desde agosto de 2024).

Traducido: hasta ahora teníamos el reglamento europeo, pero faltaba saber cómo se aplicaría en España. Esta ley lo concreta: autoridades que vigilan, entornos donde probar y, sobre todo, un régimen sancionador con cifras concretas. Si en tu organización la IA dejó de ser un experimento de innovación hace tiempo, esto te afecta directamente.

De "tenemos que cumplir el reglamento" a "¿quién nos vigila y cuánto nos cuesta no hacerlo?"
La pregunta que muchos equipos se hacían no era qué dice el AI Act, sino quién lo iba a hacer cumplir y con qué consecuencias. El proyecto de ley responde a las dos.

Por un lado, designa el mapa de autoridades. Los productos ya regulados por normativa sectorial (entre ellos, los productos sanitarios) mantienen su autoridad de siempre. Es un matiz crucial para la industria farmacéutica: el software que actúa como dispositivo médico no cambia de supervisor. El resto de sistemas se reparten principalmente entre la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA), la Agencia Española de Protección de Datos (AEPD) y el Consejo General del Poder Judicial, según el ámbito, con la AESIA como punto de contacto único.

Por otro lado, pone cifras. El régimen sancionador clasifica las infracciones en muy graves, graves y leves, y las multas pueden alcanzar los 35 millones de euros o el 7% del volumen de negocio en los casos más graves, y hasta 500.000 euros o el 0,5% en los más leves. Hay margen para la proporcionalidad (reducciones por pronto pago, medidas correctoras y consideración del tamaño de la empresa para proteger a pymes y startups), pero el mensaje de fondo es inequívoco: la IA mal gobernada ya tiene un precio explícito.

Por qué esto pesa más en la industria farmacéutica que en casi cualquier otro sector
Pensemos en lo que una compañía farmacéutica ya hace con IA hoy. Un equipo de marketing que apoya sus presentaciones y materiales promocionales con modelos generativos, adaptando los mensajes a cada marca. Un asistente que resuelve consultas sobre productos para el equipo de ventas.

Sistemas que sacan conclusiones sobre los datos en las áreas de excelencia comercial para delegados, cruzando ventas y datos del CRM para priorizar cuentas y preparar visitas. Modelos que ayudan al delegado a llegar a la visita con el histórico del cliente y el próximo mejor contacto a mano. 

El cambio no es que aparezcan obligaciones nuevas de la nada. Es que las obligaciones que antes parecían principios (supervisión humana, trazabilidad, documentación técnica) pasan a tener un organismo que las puede inspeccionar y una multa asociada a su incumplimiento.

La diferencia entre "deberíamos validar las salidas de la IA" y "tenemos que poder demostrar ante una autoridad que las validamos" es, precisamente, la que separa una buena práctica de una defensa jurídica.

Y conviene recordar algo que solemos pasar por alto: cumplir no es solo no equivocarse, es poder demostrar que existe un proceso de control activo y documentado. En un sector donde la precisión de la información no es negociable, la trazabilidad deja de ser higiene técnica para convertirse en escudo.

El sandbox regulatorio: validar la IA bajo supervisión antes de producción
Hay una parte de la norma que en la industria farmacéutica se lee como oportunidad, no como amenaza. El texto incorpora un espacio controlado de pruebas a escala nacional, un sandbox regulatorio, operado por la AESIA, y permite crear entornos adicionales asociados a sectores concretos.

¿Qué significa esto para un laboratorio que quiere desplegar un caso de uso de IA exigente (pensemos en un sistema de apoyo a decisiones que roza la categoría de alto riesgo) pero teme cruzar una línea regulatoria?

Significa que existe un marco para validarlo bajo supervisión, antes de llevarlo a producción, con las autoridades implicadas en la mesa. Para una industria acostumbrada a validar todo antes de lanzarlo, el sandbox habla un idioma familiar. La organización que lo entienda como banco de pruebas estratégico, y no como trámite, partirá con ventaja.

La pregunta incómoda: ¿quién es el dueño de la IA en tu compañía?
La ley introduce, para el sector público, la figura del delegado de IA: alguien que coordina la aplicación de la norma y asesora en proyectos. No es una obligación para la empresa privada, pero plantea una pregunta que toda farmacéutica debería responder por sí misma: en nuestra organización, ¿quién responde cuando un sistema de IA falla?

En muchas compañías, la IA vive repartida entre Comercial, Médico, Market Access, IT y Compliance, sin un propietario claro de su gobierno. Mientras la IA era un piloto, esa ambigüedad era tolerable. Con autoridades de vigilancia y un régimen sancionador en marcha, deja de serlo. Definir quién decide qué sistemas se usan, cómo se validan, cómo se documentan y quién rinde cuentas no es burocracia: es la base sobre la que se construye un uso de la IA que aguante una auditoría.

La regulación no frena la innovación: la ordena
Es tentador leer todo esto como un freno. La lectura más útil es la contraria. Un marco claro de autoridades, sandbox y sanciones convierte la IA de "zona gris donde nadie sabe muy bien qué se puede hacer" en un terreno con reglas conocidas. Y las reglas conocidas son, justamente, lo que permite invertir con confianza.

Las compañías farmacéuticas que integren la IA con gobierno del dato sólido, flujos de validación claros y una cultura de supervisión humana no solo evitarán riesgos regulatorios. Estarán mejor situadas para aprovechar la tecnología de forma sostenible, mientras otras siguen atrapadas en el "esperar a ver".

En BertIA acompañamos a organizaciones del sector salud a dar ese paso con criterio: del diagnóstico de madurez al diseño de arquitecturas de IA gobernadas, trazables y auditables, pensadas para entornos regulados. Porque entendemos primero y construimos después: la mejor IA no es la que más promete, sino la que puedes defender cuando alguien pregunta cómo funciona.

España ya tiene su ley de IA en marcha. La pregunta ya no es si tu compañía va a usarla. Es si va a poder demostrar que la usa bien.