Qué es un sandbox regulatorio

Un sandbox regulatorio es un entorno controlado en el que las empresas pueden desarrollar, probar y validar sistemas de IA durante un periodo limitado de tiempo, con acceso a orientación directa de la autoridad competente y con ciertas flexibilidades en la aplicación de la normativa.

No es una zona libre de regulación. Es un espacio de aprendizaje supervisado donde las empresas trabajan de la mano de la autoridad para entender cómo cumplir, mientras la autoridad aprende sobre la tecnología para regular mejor. Ambas partes salen del proceso con más información.

Qué dice el AI Act sobre los sandboxes

El artículo 57 del AI Act obliga a los Estados miembros a establecer al menos un sandbox regulatorio de IA antes del 2 de agosto de 2026. España lo desarrolla a través de la AESIA.

El Reglamento establece que los sandboxes deben dar acceso prioritario a startups y pymes; incluir la posibilidad de tratar datos personales con garantías específicas para el entorno de prueba; proporcionar orientación sobre cumplimiento y sobre la aplicación del Reglamento al sistema en desarrollo; y no requerir el cumplimiento pleno de todas las obligaciones del AI Act durante el periodo de prueba.

El sandbox español y la AESIA

La AESIA gestiona el sandbox regulatorio de IA en España. El organismo está en proceso de consolidación y desarrollo de los instrumentos operativos del sandbox. Las empresas interesadas en participar deben consultar directamente el portal de la AESIA para conocer los requisitos actualizados, los plazos de convocatoria y el proceso de solicitud.

España tiene precedente en este tipo de instrumentos: el sandbox financiero de la CNMV, regulado por la Ley 7/2020, lleva años funcionando y ha servido de modelo para el diseño del sandbox de IA.

Quién puede participar

El AI Act no restringe el sandbox a un sector o tecnología concretos. Cualquier empresa que esté desarrollando un sistema de IA puede solicitar participar, aunque la prioridad es para startups y pymes.

Los criterios de selección habituales en sandboxes de IA en otros países incluyen: innovación genuina del sistema, potencial de impacto significativo sobre personas, necesidad de orientación regulatoria para el desarrollo, y capacidad de la empresa de documentar y registrar el proceso.

Qué se puede hacer dentro del sandbox

Dentro del sandbox, las empresas pueden tratar datos personales reales de acuerdo con un protocolo aprobado por la autoridad; recibir orientación directa sobre si su sistema entra en categoría de alto riesgo; probar mecanismos de supervisión humana y documentación técnica con retroalimentación directa de la AESIA; y operar con flexibilidad regulatoria durante el periodo de prueba, sin el peso de cumplimiento pleno que aplica fuera del sandbox.

El periodo de participación es limitado en el tiempo, habitualmente entre seis meses y un año, con posibilidad de prórroga en casos justificados.

Por qué importa más de lo que parece

El sandbox no es solo una ayuda para la empresa participante: es también un mecanismo de aprendizaje para el regulador. La AESIA todavía está construyendo su conocimiento práctico sobre estos sistemas. Cada sandbox activo es una fuente de información real sobre cómo funciona la IA en contextos de negocio concretos.

Las empresas que participan en sandboxes tienen además un canal directo con la AESIA que puede ser valioso más allá del periodo de prueba, cuando llegue el momento de notificar el sistema o de someterse a vigilancia de mercado.

¿Estás desarrollando un sistema de IA y te interesa el sandbox regulatorio? En Adapta RGPD te orientamos sobre los requisitos y el proceso, y gestionamos tu cumplimiento del AI Act desde el inicio del desarrollo, desde 199€/año.

La entrada Sandbox regulatorio del AI Act en España: qué es, quién puede acceder y cómo participar en la AESIA se publicó primero en Adaptación RGPD.