La versión corta: si usas una IA de compañía en España, te protegen normas que no se escribieron pensando en ellas, y se acercan otras que todavía no están en vigor. Las normas generales tocan poco los precios y bastante la privacidad, y empiezan a cambiar lo que la app tiene que decirte.
De cero a un mosaico
El Reglamento europeo de IA va por delante. Sus prácticas prohibidas (art. 5) se aplican desde el 2 de febrero de 2025, y las obligaciones de transparencia del art. 50, entre ellas avisar de que hablas con una IA y etiquetar el contenido sintético, desde el 2 de agosto de 2026.
España tiene su propia agencia. La AESIA (Agencia Española de Supervisión de la Inteligencia Artificial), con sede en A Coruña y dependiente del Ministerio para la Transformación Digital, se creó en 2023 y tiene un buzón ciudadano para consultas. Su papel formal como autoridad del Reglamento de IA depende de una ley que todavía no está aprobada.
Dos proyectos de ley siguen en el Congreso. El Consejo de Ministros aprobó el 26 de mayo de 2026 el proyecto de ley orgánica para el buen uso y la gobernanza de la IA, que el Congreso publicó el 12 de junio de 2026 y que está en fase de enmiendas. Y el proyecto de ley orgánica de protección de las personas menores de edad en los entornos digitales, aprobado por el Consejo de Ministros el 25 de marzo de 2025, sigue en la Comisión de Justicia. Ninguno de los dos es ley.
Como contexto, en EE. UU. el camino ha sido distinto: Nueva York (5 de noviembre de 2025) y California (SB 243, 1 de enero de 2026) escribieron las primeras leyes específicas sobre compañeras de IA, y a mediados de 2026 había ya más de una docena de estados con una. Nada equivalente existe en España ni en la UE.
Fechas de las normas principales y estado de los proyectos de ley.
Qué piden las normas
Las normas salen de legisladores distintos, pero comparten cuatro ideas.
- Decir que es una IA. El art. 50 del Reglamento de IA, aplicable desde el 2 de agosto de 2026, exige informar a los usuarios de que interactúan con una IA y etiquetar el contenido sintético.
- Prohibir ciertas prácticas. El art. 5 del mismo Reglamento recoge las prácticas de IA prohibidas, en vigor desde el 2 de febrero de 2025.
- Tratar distinto a los menores. El proyecto de ley de protección de menores en entornos digitales subiría de 14 a 16 años la edad de registro en redes sociales, exigiría mecanismos de verificación de edad a plataformas e influencers cuando el contenido pueda dañar a menores, obligaría a los fabricantes de dispositivos a ofrecer protección gratuita, con control parental, y cambiaría el Código Penal (inhabilitación de acceso digital como pena, difusión indiscriminada de pornografía a menores, deepfakes sexuales, grooming). Todavía no es ley. A escala europea, las directrices de la Comisión sobre protección de menores (14 de julio de 2025) aclaran que la autodeclaración de edad no es verificación de edad.
- Atender al cliente como es debido. La Ley 10/2025, de servicios de atención a la clientela, exige que haya siempre una persona disponible (la IA o la automatización no pueden ser el único canal), plazos de respuesta, aviso previo de 15 días antes de una renovación y una cancelación sencilla. Las empresas tienen hasta el 28 de diciembre de 2026 para adaptarse.
Qué hay en vigor y qué no
| Ámbito | Norma | Aplicable desde | Qué destaca |
|---|---|---|---|
| UE | Reglamento de IA, art. 5 | 2 feb 2025 | Prácticas de IA prohibidas |
| UE | Reglamento de IA, art. 50 | 2 ago 2026 | Avisar de que hablas con una IA; etiquetar contenido sintético |
| UE | Directrices de la Comisión sobre menores | 14 jul 2025 | Orientaciones, no ley: la autodeclaración de edad no basta |
| España | RGPD y LOPDGDD (Ley Orgánica 3/2018) | En vigor | Derechos de acceso y supresión; autoridad: AEPD |
| España | Ley 10/2025, de atención a la clientela | 28 dic 2025 | Persona disponible, aviso de 15 días antes de renovar; adaptación hasta el 28 dic 2026 |
| España | Ley de consumidores (TRLGDCU) | En vigor | Desistimiento de 14 días (art. 102.1), con excepciones (art. 103) |
| España | Proyecto de ley de protección de menores en entornos digitales | No en vigor | Registro en redes a los 16, verificación de edad, control parental |
| España | Proyecto de ley de gobernanza de la IA | No en vigor | Fase de enmiendas en el Congreso (a julio de 2026) |
La tabla refleja el estado a 1 de octubre de 2026 (el proyecto de gobernanza de la IA, a julio de 2026, sin revisar después). Las fechas pueden cambiar si se modifica una norma.
La nota oficial del Gobierno sobre la tramitación del proyecto de ley de protección de menores.
Qué notarás en la práctica
- Un aviso o un primer mensaje que dice que hablas con una IA. En algunas apps se repite en sesiones largas. No significa que la app crea que estás confundido: es un mínimo que se aplica a todo el mundo.
- El personaje saliendo del papel cuando algo suena a autolesión. La detección automática no distingue bien una escena oscura de una frase real. Espera falsos positivos. Si pasa en la ficción, una breve nota fuera del personaje suele permitir que la escena continúe.
- Más comprobaciones de edad. Character.AI retiró en noviembre de 2025 el chat abierto para menores de 18 años y ahora usa señales de comportamiento, verificación de terceros y, como último recurso, el documento de identidad. Otras apps van en la misma dirección. Más detalles en verificación de edad en apps de IA de compañía.
- Menos momentos de «soy real, te lo prometo». En EE. UU., las leyes de Nebraska e Idaho señalan a la IA que afirma falsamente ser humana o consciente. Un personaje que insiste en eso es ya un riesgo de cumplimiento, y las buenas apps lo están corrigiendo.
Qué norma te afecta depende más de dónde vives tú que de dónde esté registrada la empresa. Por ejemplo, los servicios electrónicos a consumidores tributan en el país del cliente, así que a un consumidor en España se le aplica el IVA español, que en el tipo general es del 21 %.
Lo que las normas no resuelven del todo
Tus conversaciones. No hay una ley de compañeras de IA que diga cuánto tiempo se guardan los chats ni si entrenan un modelo. Eso lo regula la protección de datos: el RGPD y la LOPDGDD. Puedes pedir acceso y supresión (arts. 15 y 17 del RGPD) escribiendo primero a la empresa y guardando prueba. El plazo de respuesta es de un mes, ampliable en casos complejos. Si no contesta o la respuesta no te satisface, puedes presentar una reclamación ante la AEPD adjuntando copia de tu solicitud. La AEPD tiene además una infografía con recomendaciones para usar chatbots, y su guía de IA agéntica de 18 de febrero de 2026 define los sistemas de tipo compañía. Nuestras cuatro comprobaciones de privacidad siguen siendo tu mejor herramienta, y cómo pedir tus datos explica el trámite.
La facturación. Las suscripciones trampa, los precios de créditos y los reembolsos caen bajo el derecho de consumo ordinario. En una suscripción continua el desistimiento de 14 días normalmente se mantiene, con pago de la parte ya usada; en el contenido digital sin soporte físico se pierde si empezó la prestación con tu consentimiento expreso y tu reconocimiento de que lo pierdes (art. 103). Si la empresa no te responde, puedes acudir a la OMIC de tu ayuntamiento, que media pero no puede obligar a pagar, o a la Junta Arbitral de Consumo si la empresa está adherida al sistema arbitral. Consulta reembolsos y cancelaciones.
Las decisiones de contenido de los adultos. Ninguna norma restringe lo que adultos que consienten pueden hacer con una compañera. Las reglas de contenido tratan de menores y de imágenes íntimas sin consentimiento. Si te han difundido imágenes o vídeos sexuales sin tu consentimiento, el Canal Prioritario de la AEPD permite pedir su retirada urgente, tras probar los canales de la propia plataforma. El art. 197.7 del Código Penal castiga la difusión de imágenes íntimas obtenidas con consentimiento cuando se menoscaba gravemente la intimidad.
Fuera de España
Europa llegó por otro camino: la protección de datos, no una ley de compañeras. La autoridad italiana de protección de datos multó con 5 millones de euros a Luka Inc., la empresa de Replika, en una decisión del 19 de mayo de 2025. Consideró que no había una base jurídica válida para el tratamiento, que la política de privacidad no era lo bastante transparente y que no había una verificación de edad que funcionara en un servicio que decía ser solo para adultos. Fue el mismo regulador cuya orden de febrero de 2023 precedió a la retirada brusca del rol erótico en Replika, historia que cuenta cuando tu IA de compañía cambia de la noche a la mañana.
Lo práctico
Las normas protegen sobre todo en los peores momentos: a los menores y a quien está en crisis. Para un adulto que usa una app de compañía por compañía o por diversión, los cambios visibles son pequeños: un aviso, algún recordatorio, una tarjeta de ayuda cuando una historia ha ido a un sitio oscuro. El cambio invisible es mayor. Los operadores empiezan a asumir riesgo legal por cómo se comportan sus personajes, y eso tiende a hacer más cuidadosas a las apps cuidadosas y a dejar más a la vista a las descuidadas.