L’Espagne a présenté devant le parlement son Projet de Loi Organique pour une utilisation responsable et une gouvernance efficace de l’intelligence artificielle. Publié dans le Bulletin Officiel des Cortes Generales, ce texte ne remplace pas le Règlement Européen sur l’IA (AI Act), mais construit l’architecture nationale de son application : désignation des autorités compétentes, régime de sanctions, espaces d’expérimentation contrôlés et obligations spécifiques pour le secteur public. La Commission de l’Économie du Congrès examinera le texte, avec une période d’amendements ouverte jusqu’au 30 juin 2026.

Un dispositif national pour appliquer l’AI Act européen

Le projet repose sur une logique claire : l’AI Act s’applique directement en droit européen, mais il laisse aux États membres la responsabilité de désigner les autorités nationales, d’organiser la surveillance du marché et de définir le régime de sanctions. L’Espagne utilise ce projet de loi pour bâtir cette infrastructure.

Quatre grands axes structurent le texte : gouvernance et supervision du marché, espaces d’expérimentation contrôlés, utilisation responsable de l’IA dans le secteur public, et sanctions pour non-respect du Règlement Européen. Il ne crée pas une réglementation parallèle, mais adapte le cadre juridique espagnol aux exigences de l’AI Act.

L’AESIA au centre, mais un modèle de supervision distribuée

L’Agence Espagnole de Surveillance de l’Intelligence Artificielle (AESIA) est le pivot du système. Le projet la désigne comme autorité de surveillance du marché pour la majorité des systèmes d’IA, et comme point de contact unique avec la Commission Européenne, le Bureau de l’IA et les autorités des autres États membres.

Le modèle n’est pas entièrement centralisé. La supervision est distribuée selon les secteurs : la AEPD et les autorités autonomes de protection des données récupèrent des compétences sur la biométrie, l’identification, la migration, l’asile et le contrôle aux frontières. Le Conseil Général du Pouvoir Judiciaire (CGPJ) gère certains systèmes d’IA utilisés dans le domaine judiciaire. La Banque d’Espagne couvre l’évaluation de crédit dans les entités supervisées.

Le texte insiste sur un point : l’AESIA peut apporter une assistance technique aux autres autorités, mais cette assistance ne doit pas remettre en cause leur indépendance ni leur spécialisation sectorielle. Cette tension entre centralisation et expertise sectorielle sera l’une des épreuves réelles de la gouvernance.

Inventaire public et délégué IA dans toute l’administration

L’une des obligations les plus concrètes concerne le secteur public national. Les entités publiques devront déclarer régulièrement l’utilisation de systèmes d’IA dans l’exercice de leurs missions. Un inventaire interopérable avec le registre européen des systèmes à haut risque sera créé à cette fin.

Cet inventaire ne remplace pas les obligations d’enregistrement propres à l’AI Act, mais ajoute une couche de transparence nationale sur l’usage de l’IA dans les démarches administratives. Les données minimales incluront le fournisseur, le responsable de déploiement et la catégorisation du système. Certaines exceptions sont prévues pour des raisons de sécurité, défense nationale, lutte antifraude ou cybrosécurité, lorsque la publication pourrait compromettre l’efficacité du système.

Le projet introduit également la figure du délégué à l’intelligence artificielle dans chaque entité publique, chargé de coordonner les politiques internes, d’assurer la conformité et de conseiller sur les évaluations d’impact liées aux biais et aux droits fondamentaux. C’est une approche similaire à ce que le secteur privé commence à mettre en place, comme le montre le débat autour de la gouvernance des coûts IA et des agents automatiques dans les entreprises.

Sanctions : jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires mondial

Le régime disciplinaire reprend les seuils principaux de l’AI Act. Les infractions sont classées en légères, graves et très graves.

Pour les PME et start-ups, les amendes seront calculées sur la base du chiffre d’affaires ou d’un montant absolu, selon la plus faible des deux valeurs. Les infractions graves incluent le non-respect des règles de transparence, l’absence d’enregistrement des systèmes à haut risque, la résistance aux inspections ou la présentation de fausses informations. Les délais de prescription vont de un an (légères) à cinq ans (très graves).

Sandboxes réglementés pour tester l’IA avant le déploiement

Le projet réglemente la création d’espaces contrôlés d’expérimentation pour l’IA. L’AESIA sera responsable du sandbox obligatoire prévu par l’AI Act, mais d’autres autorités pourront créer des espaces supplémentaires dans leur domaine. Ces environnements visent à faciliter le développement, la validation et l’expérimentation de systèmes innovants avant leur mise sur le marché.

Le secteur de la santé est cité spécifiquement : le déploiement de l’IA dans ce domaine doit respecter la dignité humaine, l’autonomie des patients, l’intimité, la sécurité et l’indépendance scientifique des professionnels de santé.

Ce que les organisations doivent faire dès maintenant

Le projet n’est pas encore adopté, mais sa direction est claire. Toute organisation utilisant de l’IA en Espagne doit considérer que la gouvernance IA devient une obligation concrète. La conformité ne repose pas uniquement sur le fournisseur technologique : le responsable du déploiement a aussi des obligations, surtout dans les systèmes à haut risque (emploi, éducation, crédit, assurance, biométrie, secteur public).

Les priorités immédiates : inventorier tous les systèmes d’IA utilisés (fournisseur, finalité, données, responsable), les classer selon leur niveau de risque, documenter leur fonctionnement et préparer des protocoles de gestion d’incidents. C’est également un contexte qui donne du sens à des outils comme la concurrence croissante dans l’IA d’entreprise : les équipes technique et conformité devront s’aligner sur des exigences qui évoluent vite.

Le vrai changement ne sera pas seulement dans les amendes. Il sera dans la nécessité de prouver une maîtrise effective : connaître les IA en usage, leur niveau de risque, qui en répond et comment leur supervision est organisée. Cette traçabilité sera indispensable pour se conformer à la loi, mais aussi pour limiter les risques opérationnels et réputationnels.

Un cadre en construction, avec des impacts immédiats sur la planification

La publication du projet permet d’anticiper la direction que prend la réglementation españole. L’Espagne place l’AESIA au centre de la coordination, répartit les compétences dans les secteurs sensibles, crée des espaces d’expérimentation et dote l’AI Act d’un régime interne de sanctions. C’est une architecture de gouvernance publique, pas un texte purement technique.

Pour le secteur technologique, le message est direct : vendre ou déployer de l’IA en Espagne ne se résumera plus à une démonstration technique. Documentation, évaluation des risques, transparence, gestion des incidents et relations claires avec les autorités deviennent des prérequis. Pour l’administration publique aussi, l’inventaire et le délégué IA vont transformer la manière dont les algorithmes sont achetés, déployés et expliqués. L’IA publique devra être plus traçable.

Questions fréquentes

Qu’est-ce que le Projet de Loi Organique espagnol sur l’IA ?

Un texte en cours d’adoption qui adapte le cadre juridique espagnol au Règlement Européen sur l’IA. Il désigne les autorités compétentes, réglemente les sandboxes, introduit des obligations pour le secteur public et définit le régime de sanctions national.

Ce texte remplace-t-il l’AI Act européen ?

Non. L’AI Act est un règlement européen directement applicable. La loi espagnole en organise la mise en œuvre nationale : autorités, procédures et sanctions. Elle ne crée pas d’obligations supplémentaires au-delà de l’AI Act pour les opérateurs privés.

Quel est le rôle de l’AESIA ?

L’AESIA sera l’autorité de surveillance du marché pour la majorité des systèmes d’IA, le point de contact unique avec l’UE, et responsable du sandbox obligatoire. D’autres autorités sectorielles (AEPD, Banque d’Espagne, CGPJ) exerceront leurs compétences dans leurs domaines respectifs.

Quelles sont les sanctions maximales prévues ?

Les infractions très graves liées aux pratiques interdites peuvent atteindre 35 millions d’euros ou 7 % du chiffre d’affaires mondial annuel, selon le montant le plus élevé.

Qu’est-ce que l’inventaire des systèmes d’IA du secteur public ?

Un registre que les entités publiques devront tenir, interopérable avec le registre européen, recensant les systèmes d’IA utilisés, leurs fournisseurs et responsables, et leur catégorisation. Des exceptions sont prévues pour des raisons de sécurité ou défense nationale.