Anthropic desembarca en España: crea una filial en Madrid para comercializar software de IA

Para comercializar software de inteligencia artificial (IA) en España, una compañía extranjera no se limita a “vender licencias”: debe encajar en el marco europeo (Reglamento de IA, Reglamento general de protección de datos) y en varias normas españolas sobre datos, ciberseguridad y consumo. No siempre es obligatorio constituir una filial en España, pero sí cumplir una serie de trámites previos, de lanzamiento y de seguimiento continuo.

1. Punto de partida: establecimiento y representante en la UE

• Establecimiento en la UE: si la empresa ya tiene sede en cualquier Estado miembro (filial, sucursal u otro establecimiento estable), normalmente puede operar en España desde ahí, aplicando el principio de mercado único.
• Empresa de tercer país sin establecimiento en la UE: el futuro Reglamento europeo de IA exigirá, como regla general, que los proveedores de sistemas de IA que ofrezcan productos o servicios en la UE nombren un representante autorizado en la Unión, responsable de ser el punto de contacto frente a autoridades como la Agencia Española de Supervisión de la IA (AESIA).
• No es un trámite mercantil clásico (no es obligatorio constituir siempre una sociedad en España), pero sí un requisito regulatorio de “puerta de entrada” al mercado europeo.

2. Antes de lanzar el producto

• Clasificar el sistema según el Reglamento de IA: determinar si el software es:
  • De alto riesgo (por ejemplo, en salud, empleo, educación, vigilancia biométrica, infraestructuras críticas).
  • De riesgo limitado (requerirá sobre todo obligaciones de transparencia).
  • De riesgo mínimo (obligaciones mucho más ligeras, pero no inexistentes).
  De esta clasificación dependen los trámites técnicos y de marcado.
• Sistema de gestión de riesgos y documentación técnica: los sistemas de alto riesgo deberán contar con:
  • Gestión de riesgos a lo largo del ciclo de vida del sistema.
  • Gobernanza de datos (calidad, no discriminación, trazabilidad).
  • Registro detallado de diseño, entrenamiento, pruebas y supervisión humana.
• Evaluación de conformidad y, en su caso, marcado CE:
  • Los sistemas de IA integrados en productos regulados (sanitarios, maquinaria, equipos radioeléctricos, etc.) se someten a los procedimientos de marcado CE de su norma sectorial, incorporando los requisitos de IA.
  • En otros casos, el Reglamento de IA prevé esquemas de evaluación (auto-evaluación o evaluación por tercero notificado) antes de poner el sistema en el mercado.
• Protección de datos personales (RGPD + LO 3/2018):
  • Identificar si la empresa actúa como responsable o encargado del tratamiento para clientes españoles o europeos.
  • Realizar una evaluación de impacto en protección de datos (EIPD) cuando el uso de IA pueda implicar alto riesgo (perfiles, decisiones automatizadas, vigilancia, etc.).
  • Establecer bases jurídicas, información clara a los usuarios, medidas de minimización y seguridad.
  • Si no hay establecimiento en la UE pero se dirigen ofertas a residentes en la UE, designar también un representante en la UE a efectos de RGPD.
• Ciberseguridad: en función de si el software presta servicios digitales esenciales o se integra en infraestructuras críticas, pueden aplicarse el Real Decreto-ley 12/2018 y su desarrollo reglamentario, que exigen:
  • Medidas técnicas y organizativas de seguridad proporcionadas al riesgo.
  • Capacidad de detección y notificación de incidentes graves a los CSIRT y autoridades competentes.
• Contratos y condiciones con clientes: adaptación de términos de licencia, SLA, cláusulas de responsabilidad, política de uso aceptable y condiciones sobre decisiones automatizadas, garantizando la protección de consumidores y usuarios conforme al texto refundido de la Ley General para la Defensa de los Consumidores y Usuarios.

3. En el momento del lanzamiento en España

• Información y transparencia hacia el usuario:
  • Indicar claramente que se está interactuando con un sistema de IA cuando no sea obvio.
  • Informar sobre la lógica general de las decisiones automatizadas relevantes, sus efectos y los derechos de oposición o revisión humana cuando proceda.
• Documentación disponible para autoridades: el proveedor debe poder presentar, a requerimiento de la AESIA, AEPD u otras autoridades:
  • Expediente técnico del sistema.
  • Registros de uso y de incidencias.
  • Políticas internas de gobernanza de IA y de datos.
• Adaptación sectorial: si el software se utiliza en sectores regulados (sanitario, financiero, transporte, justicia, educación, seguridad, etc.), pueden existir:
  • Requisitos de autorización previa o registro del producto o servicio.
  • Limitaciones específicas al tipo de decisiones automatizadas admisibles.

4. Obligaciones de seguimiento y supervisión

• Vigilancia posterior a la comercialización: el proveedor de IA de alto riesgo deberá:
  • Monitorizar el funcionamiento del sistema en condiciones reales.
  • Detectar degradaciones de rendimiento, sesgos o impactos imprevistos.
  • Actualizar el sistema y, cuando corresponda, revisar la evaluación de conformidad.
• Gestión de incidencias y notificaciones:
  • Notificar incidentes de seguridad significativos relacionados con redes y sistemas de información cuando entren en el ámbito de la normativa NIS.
  • Notificar brechas de datos personales a la AEPD y, en su caso, a los afectados, con arreglo al RGPD.
  • Cooperar con requerimientos de AESIA u otras autoridades sobre riesgos para derechos fundamentales.
• Revisión continua de cumplimiento: la empresa deberá ir adaptando su sistema a:
  • Las normas técnicas armonizadas europeas que se vayan aprobando.
  • Guías y criterios de supervisión de AESIA y otras autoridades.
  • Eventuales cambios en el Reglamento de IA y en la normativa española de datos, ciberseguridad y consumo.

En la práctica, el “trámite adicional” clave para una compañía extranjera respecto a un desarrollo puramente local es asegurar una arquitectura de cumplimiento integrada a nivel europeo (representante en la UE, expediente técnico y evaluación de conformidad comunes, gobernanza de datos y riesgos) y después aterrizarla en España con ajustes sectoriales, de protección de datos y de consumo, en diálogo con asesores especializados y, cuando proceda, con las autoridades supervisoras.

En una sociedad limitada española, el administrador único es el órgano de administración cuando los estatutos atribuyen la gestión y representación de la compañía a una sola persona. Su marco general se encuentra en la legislación mercantil vigente (especialmente la Ley de Sociedades de Capital), que regula sus facultades de gestión y representación, sus deberes legales y su régimen de responsabilidad.

Ámbito de funciones y facultades

El administrador único concentra todas las competencias de administración no reservadas por ley a la junta general. Esto se traduce en:

• Gestión ordinaria: dirección del día a día del negocio (contratación de personal, proveedores, clientes, gestión de cobros y pagos, apertura y cierre de cuentas bancarias, supervisión operativa, etc.).
• Gestión extraordinaria: decisiones relevantes como la adquisición o transmisión de activos significativos, concertación de financiación importante (préstamos, garantías), modificación de la estructura operativa o cierre de establecimientos, siempre que no estén reservadas a la junta.
• Organización interna: implantación de políticas y procedimientos internos, sistemas de control y, en su caso, delegación de funciones ejecutivas en personal directivo (sin delegar la responsabilidad última).

Poder de representación

Salvo que los estatutos limiten de forma válida la forma de representación, el administrador único ostenta la representación orgánica general de la sociedad:

• Puede obligar a la sociedad frente a terceros mediante su sola firma o actuación.
• Su poder de representación se extiende a todos los actos comprendidos en el objeto social y a los necesarios para su desarrollo.
• Frentes a terceros de buena fe, la sociedad queda vinculada incluso si internamente el administrador ha excedido ciertas instrucciones, salvo supuestos de nulidad o ilicitud manifiesta.

Relación con la junta general

La junta general conserva competencias indelegables (por ejemplo, aprobación de cuentas, aplicación del resultado, nombramiento y cese de administradores, modificaciones estatutarias, aumento o reducción de capital, disolución, operaciones estructurales). El administrador único:

• Debe convocar la junta en los supuestos previstos por la ley y los estatutos.
• Debe ejecutar los acuerdos válidamente adoptados por la junta, incluso si personalmente discrepa, salvo que sean contrarios a la ley.
• Tiene un deber de información hacia los socios en los términos legales (puesta a disposición de cuentas, informes, documentación de operaciones relevantes, respuesta a solicitudes de información en junta, etc.).

Deberes legales del administrador único

La ley configura un estatuto de deberes especialmente exigente:

• Deber de diligencia: actuar con la diligencia de un ordenado empresario, informándose adecuadamente antes de decidir, supervisando la marcha de la sociedad y estableciendo controles razonables.
• Deber de lealtad: actuar en interés de la sociedad, evitando anteponer su interés personal o el de terceros. Incluye:
  • Abstenerse de aprovechar oportunidades de negocio de la sociedad.
  • No utilizar en beneficio propio activos o información de la empresa.
  • Evitar conflictos de interés y, cuando existan, comunicarlos y abstenerse de intervenir.
• Deber de confidencialidad: no revelar información sensible de la sociedad, incluso tras el cese, salvo obligación legal.
• Deber de evitar situaciones de insolvencia desatendida: si concurren causas de disolución o insolvencia, debe promover la adopción de las medidas legalmente previstas (convocar junta, instar concurso cuando proceda).

Responsabilidad frente a sociedad, socios y terceros

El administrador único responde frente a:

• La sociedad, mediante la acción social de responsabilidad, por daños derivados de actos u omisiones contrarios a la ley, los estatutos o realizados sin la diligencia debida.
• Los socios y terceros, mediante acción individual, cuando su conducta les cause un daño directo (por ejemplo, información falsa, ocultación de datos relevantes, operaciones en fraude de acreedores).
• En supuestos de deudas sociales, si incumple su deber de reaccionar ante causas de disolución, puede llegar a responder personalmente de determinadas deudas posteriores al acaecimiento de la causa.

Límites y controles a su actuación

Aunque concentra un gran poder, su actuación está sometida a importantes límites:

• Acuerdos reservados a la junta: no puede, por sí solo, adoptar decisiones que la ley reserva a la junta general.
• Prohibiciones y conflictos de interés: restricciones a la competencia con la sociedad, a las operaciones vinculadas no transparentes o en condiciones de mercado, y obligación de autorización o ratificación por la junta en ciertos casos.
• Control de socios y órganos externos: aprobación de cuentas, posibilidad de cese ad nutum por la junta, auditorías, y control judicial en caso de abuso o infracción de deberes.

En resumen, el administrador único dispone de amplias facultades de gestión y representación, pero sometidas a un régimen estricto de deberes de diligencia y lealtad, con importantes mecanismos de responsabilidad y control para proteger a la sociedad, a los socios y a los terceros que se relacionan con ella.

En España no existe, a día de hoy, una “licencia administrativa” específica para poder usar software de inteligencia artificial (IA). Las licencias de uso se rigen principalmente por el derecho común de propiedad intelectual y contratos, pero quedan condicionadas por normativa horizontal sobre protección de datos, ciberseguridad, consumo, contratación pública y, progresivamente, por el despliegue del Reglamento europeo de IA (AI Act) y de la supervisión nacional especializada.

1. Marco general de licencias de software e IA

Las licencias de uso de software de IA se apoyan en el régimen general de propiedad intelectual:

• Texto refundido de la Ley de Propiedad Intelectual, aprobado por el Real Decreto Legislativo 1/1996, de 12 de abril (modificada, entre otras, por la Ley 23/2006 y la Ley 2/2019). El programa de ordenador es una obra protegida, y solo el titular puede autorizar su reproducción, transformación (incluidos desarrollos derivados) y puesta a disposición de terceros.
• La licencia (OEM, SaaS, open source, on‑premise, etc.) es un contrato que define el alcance de los derechos del usuario (número de usuarios, ámbito territorial, modificaciones permitidas, sublicencias, uso comercial, etc.). No hay requisitos formales especiales por ser IA, pero toda licencia debe respetar los límites y derechos de autor del TRLPI.

2. Protección de datos y tratamiento automatizado

Cuando el software de IA trata datos personales, la concesión y el uso de la licencia quedan condicionados por:

• El Reglamento (UE) 2016/679 (RGPD) y la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales, cuyo preámbulo explicita la adaptación del ordenamiento español al RGPD. Imponen:
  • Base jurídica adecuada (consentimiento, contrato, obligación legal, interés público, interés legítimo).
  • Evaluación de impacto en protección de datos (EIPD) cuando el tratamiento implique evaluación sistemática y amplia de aspectos personales basada en tratamientos automatizados o elaboración de perfiles.
  • Principios de minimización, limitación de finalidad, exactitud y conservación limitada.
  • Derechos de acceso, rectificación, supresión, oposición, limitación y, según el caso, a no ser objeto de decisiones exclusivamente automatizadas con efectos jurídicos relevantes.
• La LO 7/2021, sobre datos tratados con fines penales, que refuerza las garantías cuando la IA se utiliza en prevención, investigación o enjuiciamiento de infracciones.

En la práctica, muchas licencias de IA deben incorporar cláusulas sobre:

• Responsabilidades y roles RGPD (responsable/encargado).
• Transferencias internacionales y ubicación de datos.
• Medidas técnicas y organizativas y, en su caso, EIPD y auditorías.

3. Ciberseguridad y seguridad de los sistemas

La comercialización y uso de software de IA se ve afectada por la normativa de seguridad de redes y sistemas:

• Real Decreto‑ley 12/2018, de seguridad de las redes y sistemas de información, que transpone la Directiva NIS, obliga a operadores de servicios esenciales y determinados proveedores de servicios digitales a:
  • Gestionar riesgos de seguridad de la información con medidas proporcionadas.
  • Notificar incidentes relevantes a las autoridades competentes o CSIRT.
• Real Decreto 311/2022, Esquema Nacional de Seguridad, aplicable al sector público, que fija requisitos mínimos (clasificación de información, control de acceso, registro de actividad, continuidad, etc.) que se trasladan, vía pliegos y contratos, a los licenciatarios y proveedores de IA que trabajen con la Administración.

4. Contratación pública de soluciones de IA

Cuando la licencia de IA se concede a una Administración o entidad del sector público, se aplica la Ley 9/2017, de Contratos del Sector Público. Ello implica que:

• La selección del licenciante se realiza mediante procedimientos concurrenciales y transparentes.
• Los pliegos suelen introducir requisitos adicionales de:
  • Seguridad (alineación con ENS y normativa NIS).
  • Propiedad intelectual (derechos de uso, acceso al código en ciertos supuestos, garantías de actualización).
  • Transparencia y explicabilidad de los algoritmos cuando tengan impacto en derechos ciudadanos.

5. Startups, sandboxes y supervisión específica de IA

La Ley 28/2022, de fomento del ecosistema de las empresas emergentes, y el Real Decreto 817/2023 (entorno controlado de pruebas en materia de IA) introducen:

• Entornos de “sandbox” donde se pueden ensayar sistemas de IA bajo supervisión, antes de su comercialización plena.
• Requisitos adicionales de reporte, evaluación de riesgos y cumplimiento durante la fase de pruebas.

El Real Decreto 729/2023 aprueba el Estatuto de la Agencia Española de Supervisión de Inteligencia Artificial (AESIA), que será la autoridad nacional de supervisión del futuro Reglamento europeo de IA y emitirá guías, sellos de calidad y criterios técnicos que, previsiblemente, afectarán a las condiciones de licenciamiento (evaluaciones de conformidad, documentación técnica, etc.).

6. AI Act y requisitos materiales emergentes

El Reglamento europeo de IA (AI Act), de aplicación directa en España, establece obligaciones graduadas según el riesgo del sistema:

• Para sistemas de IA de alto riesgo: sistema de gestión de riesgos, gobernanza de datos de entrenamiento, documentación técnica detallada, registro en bases de datos europeas y supervisión humana adecuada.
• Obligaciones transversales de transparencia (informar al usuario de que interactúa con una IA, etiquetado de contenidos sintéticos, etc.).

Aunque el AI Act no sustituye a las licencias contractuales, sus requisitos se integran de facto en ellas: cláusulas sobre conformidad con el Reglamento, acceso a documentación, auditorías, gestión de incidentes y responsabilidades frente a terceros.

En síntesis, en España la “concesión de licencias” de software de IA es un contrato de propiedad intelectual condicionado por un entramado de normas horizontales: protección de datos, ciberseguridad, contratación pública, fomento de startups y, cada vez más, por el AI Act y la supervisión de la AESIA, que imponen requisitos materiales de transparencia, evaluación de riesgos, seguridad y respeto a los derechos fundamentales a quienes desarrollan o explotan estos sistemas.