Un sandbox de IA (en el AI Act, «espacio controlado de pruebas para la IA») es un entorno creado por una autoridad donde un proveedor prueba un sistema de IA innovador durante un tiempo limitado, con un plan acordado y bajo supervisión. El Reglamento Europeo de IA (RIA) exige uno nacional antes del 2 de agosto de 2027.
Es una pieza de la IA en España: normativa, AESIA y ayudas, junto con la ley de IA en España.
¿Qué es un sandbox de IA según el AI Act?
El RIA lo define en su artículo 3, punto 55, que el Ómnibus digital (Reglamento (UE) 2026/1744) no ha modificado.
«un marco controlado establecido por una autoridad competente que ofrece a los proveedores y proveedores potenciales de sistemas de IA la posibilidad de desarrollar, entrenar, validar y probar, en condiciones reales cuando proceda, un sistema de IA innovador, con arreglo a un plan del espacio controlado de pruebas y durante un tiempo limitado, bajo supervisión regulatoria»
La pieza central es el plan acordado entre proveedor y autoridad (art. 57.5, en la redacción del Ómnibus). Los artículos 57 a 59 se aplican desde el 2 de agosto de 2026 (art. 113).
El sandbox español piloto: Real Decreto 817/2023
Antes del RIA, el Gobierno creó un entorno para ensayar la propuesta de reglamento: el Real Decreto 817/2023, en vigor desde el 10 de noviembre de 2023. Su órgano competente era la Secretaría de Estado de Digitalización e Inteligencia Artificial (art. 3.1), no la AESIA.
- Quién podía participar: proveedores de sistemas de alto riesgo, de propósito general o modelos fundacionales, residentes o con establecimiento permanente en España (art. 5.1). Los usuarios solo junto con su proveedor (art. 5.2).
- Selección por convocatoria, valorando positivamente a empresas emergentes y pymes (art. 8.2 j), y sin contraprestación económica (art. 4.3).
- Resultado: una autoevaluación que «no tiene efectos fuera del estricto ámbito de este entorno» (art. 13.10) y guías técnicas (art. 22), origen de las 16 guías de la AESIA.
«Este real decreto tendrá una vigencia de máximo treinta y seis meses desde su entrada en vigor o, en su caso, hasta que sea aplicable en el Reino de España el Reglamento del Parlamento Europeo y del Consejo por el que se establecen normas armonizadas en materia de inteligencia artificial.»
Hay dos límites: noviembre de 2026 o el momento en que el RIA sea aplicable en España, que se aplica con carácter general desde el 2 de agosto de 2026 (art. 113). Las fuentes de esta guía no recogen qué fecha se ha tomado como fin ni, a 20 de octubre de 2026, una convocatoria abierta.
El sandbox del RIA tras el Ómnibus: plazo de 2027
El Ómnibus retrasó un año la fecha del artículo 57.1: el texto original exigía el sandbox nacional a más tardar el 2 de agosto de 2026.
«Los Estados miembros se asegurarán de que sus autoridades competentes establezcan al menos un espacio controlado de pruebas para la IA a escala nacional, que estará operativo a más tardar el 2 de agosto de 2027.»
Además, la Oficina de IA podrá crear un sandbox europeo para los sistemas que supervisa en exclusiva, con acceso prioritario para pymes y pequeñas empresas de mediana capitalización (art. 57.3 bis). Si hay datos personales, las autoridades de protección de datos quedan vinculadas al sandbox (art. 57.10); ver RGPD e inteligencia artificial. Más cambios en el Ómnibus digital sobre IA.
Fuera del sandbox, el artículo 60 permite a los proveedores de alto riesgo del anexo III y, tras el Ómnibus, del anexo I, sección A, hacer pruebas en condiciones reales con plan aprobado, registro, plazo limitado y consentimiento informado (arts. 60.4 y 61).
¿Quién puede participar en un sandbox de IA?
El sandbox está pensado para proveedores y proveedores potenciales. Debe estar abierto a cualquiera que cumpla criterios transparentes y la autoridad debe decidir en tres meses (art. 58.2 a). El responsable del despliegue puede entrar en asociación con su proveedor (art. 58.2 b).
Las pymes con domicilio social o sucursal en la Unión tienen acceso prioritario (art. 62.1 a), gratuito salvo costes excepcionales (art. 58.2 d) y con procedimientos sencillos (art. 58.2 g).
Ejemplo (hipotético): una empresa de 20 personas que desarrolla un sistema de evaluación de solvencia (anexo III) podría pedir probarlo antes de comercializarlo. Una pyme que solo usa un asistente comercial no es proveedora; repasa tu papel en proveedor o responsable del despliegue y comprueba si tu sistema es de IA de alto riesgo según el AI Act.
Infografía
El piloto español frente al sandbox del RIA
El Real Decreto 817/2023 y el espacio controlado de pruebas del art. 57
| Piloto español (RD 817/2023) | Sandbox del RIA (art. 57) | |
|---|---|---|
| Plazo | En vigor desde el 10.11.2023; máximo 36 meses o hasta que el RIA sea aplicable en España | Uno nacional operativo a más tardar el 2.8.2027 (art. 57.1, tras el Ómnibus) |
| Quién lo gestiona | Secretaría de Estado de Digitalización e Inteligencia Artificial, no la AESIA (art. 3.1) | Autoridades competentes (art. 57.1); esta guía no recoge su designación |
| Quién participa | Proveedores de alto riesgo, de propósito general o modelos fundacionales, en España (art. 5.1) | Proveedores y proveedores potenciales; el responsable del despliegue, con su proveedor (art. 58.2 b) |
| Pymes | Se valora positivamente a empresas emergentes y pymes (art. 8.2 j) | Acceso prioritario si tienen domicilio social o sucursal en la Unión (art. 62.1 a) |
| Coste | Sin contraprestación económica (art. 4.3) | Gratuito para pymes, salvo costes excepcionales (art. 58.2 d) |
Ver y descargar como imagen
Descargar la infografía «El piloto español frente al sandbox del RIA» (PNG)
Qué aporta y qué no exime el sandbox
El participante recibe orientación y, si lo pide, un informe de salida que se tendrá en cuenta positivamente en la evaluación de la conformidad (art. 57.7). Y, si cumple el plan de buena fe, no le multarán por el RIA durante las pruebas:
«Los proveedores y proveedores potenciales que participen en el espacio controlado de pruebas para la IA responderán, con arreglo al Derecho de la Unión y nacional en materia de responsabilidad, de cualquier daño infligido a terceros […]. Sin embargo, siempre que los proveedores potenciales respeten el plan específico y las condiciones de su participación y sigan de buena fe las orientaciones proporcionadas por la autoridad nacional competente, las autoridades no impondrán multas administrativas por infracciones del presente Reglamento.»
| Qué establece la norma | Qué supone para la empresa |
|---|---|
| Las autoridades conservan sus facultades y pueden suspender las pruebas si un riesgo considerable no se reduce (art. 57.11). | Entrar en un sandbox no es un certificado de cumplimiento. Sigues necesitando gestión de riesgos y documentación. |
- No exime de la evaluación de conformidad sectorial (Real Decreto 817/2023, art. 4.2) ni de protección de datos (art. 16); el RIA solo permite reutilizar datos personales en el sandbox para sistemas de interés público y con condiciones (art. 59).
- No permite prácticas prohibidas (art. 5 y art. 60.1).
- No altera las fechas clave del AI Act ni el régimen de multas y sanciones.
Antes de pedir entrar en un sandbox de IA
Información general, actualizada a 20 de octubre de 2026. No es asesoramiento para un caso concreto.
Volver a la Guía de uso seguro de la IA en la empresa
Preguntas frecuentes
¿Qué es un sandbox de IA?
Un espacio controlado de pruebas creado por una autoridad donde un proveedor prueba un sistema de IA innovador durante un tiempo limitado, con un plan acordado y bajo supervisión regulatoria (art. 3.55 del RIA).
¿Hay un sandbox de IA en España?
España tuvo un piloto (Real Decreto 817/2023), vigente como máximo 36 meses o hasta que el RIA sea aplicable en España. El RIA exige un sandbox nacional operativo a más tardar el 2 de agosto de 2027 (art. 57.1). A 20 de octubre de 2026, las fuentes de esta guía no recogen una convocatoria abierta.
¿Puede una pyme participar en el sandbox de IA?
Sí, si es proveedora o proveedora potencial de un sistema innovador y cumple los criterios, con acceso prioritario (art. 62.1 a) y gratuito salvo costes excepcionales (art. 58.2 d). Si sigue el plan de buena fe, no la multarán por el RIA, pero responde de los daños (art. 57.12).
¿Quién gestiona el sandbox de IA en España?
En el piloto, la Secretaría de Estado de Digitalización e Inteligencia Artificial (Real Decreto 817/2023, art. 3.1). El Estatuto de la AESIA le encarga promover entornos de prueba (art. 10.1 a). Las fuentes de esta guía no incluyen la designación de la autoridad del sandbox del artículo 57.
Fuentes
- Reglamento (UE) 2024/1689 (RIA), arts. 3.55, 5, 57, 58, 59, 60, 61, 62 y 113 · DOUE L, 12.7.2024
- Reglamento (UE) 2026/1744 (Ómnibus digital sobre IA), modificaciones de los arts. 57, 58 y 60 y nuevo art. 60 bis · DO L, 24.7.2026
- Real Decreto 817/2023, de 8 de noviembre, entorno controlado de pruebas de IA, arts. 1, 3, 4, 5, 8, 13, 16, 22 y disposición final segunda · BOE núm. 268, 9.11.2023
- Real Decreto 729/2023, Estatuto de la AESIA, art. 10.1 a)
Información general sobre la normativa vigente, comprobada el 20 de octubre de 2026 con el Reglamento (UE) 2024/1689 en su versión consolidada a 27 de julio de 2026, tras el Reglamento (UE) 2026/1744 (Ómnibus digital sobre IA). No constituye asesoramiento para un caso concreto. Las citas literales proceden de las versiones en español publicadas en el Diario Oficial de la Unión Europea y en el BOE.