Sanciones del AI Act: multas por artículo y cómo evitarlas
El Reglamento (UE) 2024/1689 sanciona con tres tramos de multa según la gravedad: hasta 35 millones de euros o el 7% de la facturación mundial por prácticas prohibidas, hasta 15 millones o el 3% por incumplir el resto de obligaciones y hasta 7,5 millones o el 1% por engañar a las autoridades. Son los techos del artículo 99 — y alrededor de ellos circula tanto alarmismo como complacencia. Aquí explicamos qué infracción cae exactamente en cada tramo con ejemplos de pyme, la regla de modulación que casi nadie cita — para pymes se aplica el importe menor, no el mayor — y, sobre todo, qué hacer para que ninguna de estas cifras te afecte.
Las multas del AI Act: los tres tramos del artículo 99
El artículo 99 del Reglamento (UE) 2024/1689 organiza las sanciones en tres tramos según la gravedad de la infracción: 35 M€ o el 7% de la facturación mundial anual para las prácticas prohibidas, 15 M€ o el 3% para el incumplimiento del resto de obligaciones y 7,5 M€ o el 1% para la información engañosa a las autoridades — en cada caso, el importe que resulte mayor. Esa arquitectura no es caprichosa: replica la lógica del RGPD, con techos altos pensados para las grandes tecnológicas y una obligación expresa de graduar cada multa para que resulte «efectiva, proporcionada y disuasoria».
La tabla resume los tres tramos con lo que de verdad importa a una empresa: qué conducta cae en cada uno.
| Tramo 1 — prácticas prohibidas | Tramo 2 — resto de obligaciones | Tramo 3 — información engañosa | |
|---|---|---|---|
| Base legal | Art. 99, apartado 3 | Art. 99, apartado 4 | Art. 99, apartado 5 |
| Multa máxima | Hasta 35 M€ o el 7% del volumen de negocios mundial anual — el importe mayor | Hasta 15 M€ o el 3% del volumen de negocios mundial anual — el importe mayor | Hasta 7,5 M€ o el 1% del volumen de negocios mundial anual — el importe mayor |
| Qué infracción | Prácticas prohibidas del art. 5: usos de IA de riesgo inaceptable | Incumplir las demás obligaciones del reglamento — proveedores, importadores, distribuidores, responsables del despliegue y organismos notificados | Facilitar información incorrecta, incompleta o engañosa a organismos notificados o autoridades |
| Ejemplo típico en pyme | Contratar una herramienta que infiere emociones de los empleados en el puesto de trabajo, o un scoring social de clientes | Un chatbot de cara al cliente que no se identifica como IA (art. 50), o desplegar un sistema de alto riesgo sin supervisión humana (art. 26) | Responder a un requerimiento de la autoridad con documentación incompleta o maquillada |
| Regla pyme (art. 99.6) | La multa se limita al importe MENOR de los dos | La multa se limita al importe MENOR de los dos | La multa se limita al importe MENOR de los dos |
Contexto imprescindible para leer la tabla: estas cuantías sancionan incumplimientos de obligaciones que se activan por fases. Cuáles están ya vigentes y cuáles llegan en 2026-2028 — con el aplazamiento del Digital Omnibus incluido — lo detallamos en el calendario completo del AI Act; la visión de conjunto del reglamento, en la guía del AI Act para empresas españolas.
Qué infracción cae en cada tramo (con ejemplos de pyme)
Tramo 1 — hasta 35 M€ o el 7%: las prácticas prohibidas del art. 5
El tramo máximo se reserva para los usos de riesgo inaceptable: manipulación subliminal que causa daño, explotación de vulnerabilidades de colectivos, scoring social generalizado, policía predictiva sobre perfiles, scraping indiscriminado de imágenes faciales, inferencia de emociones en el trabajo y en centros educativos (salvo motivos médicos o de seguridad) y categorización biométrica sobre datos sensibles. Están prohibidos desde el 2 de febrero de 2025.
¿Cómo acaba una pyme aquí? Casi nunca desarrollando esos sistemas — sino contratándolos sin saberlo. El ejemplo típico: una herramienta de vídeo-entrevistas que promete «detectar la actitud del candidato» analizando sus emociones, o un software de monitorización que puntúa el estado anímico del equipo. El deber de la empresa usuaria es de verificación: antes de contratar IA que actúe sobre personas, comprobar que ninguna función cae en el art. 5. Es un chequeo de horas, contra el tramo sancionador más alto del reglamento.
Tramo 2 — hasta 15 M€ o el 3%: el incumplimiento «normal» (el que te afecta)
Este es el tramo relevante para la inmensa mayoría: cubre el incumplimiento de las obligaciones del reglamento por parte de proveedores, importadores, distribuidores, responsables del despliegue y organismos notificados — todo lo que no sea práctica prohibida ni información engañosa. Incluye, entre otras, las obligaciones de los proveedores de alto riesgo (art. 16), las de la empresa que usa un sistema de alto riesgo (art. 26: seguir las instrucciones, supervisión humana, vigilancia del funcionamiento) y la transparencia del art. 50, aplicable desde el 2 de agosto de 2026: chatbots que se identifican como IA, contenido sintético marcado, deepfakes etiquetados.
El ejemplo de pyme más realista de todo el artículo está aquí: un asistente conversacional en la web que no dice ser una IA, o campañas con imágenes sintéticas sin marcar. Son incumplimientos baratísimos de evitar en el diseño — y encajan en un tramo de hasta 15 M€ o el 3% si se ignoran de forma persistente.
Tramo 3 — hasta 7,5 M€ o el 1%: mentir (o maquillar) ante la autoridad
El tercer tramo castiga facilitar información incorrecta, incompleta o engañosa a los organismos notificados o a las autoridades nacionales. Traducido: cuando llegue un requerimiento, la estrategia de «responder lo mínimo y adornar el resto» es en sí misma una infracción autónoma. La respuesta correcta ante un requerimiento es documentación veraz — otra razón por la que el inventario de sistemas y los registros de formación conviene tenerlos hechos antes de que nadie los pida.
La regla que casi nadie cita: para pymes, el importe menor
El apartado 6 del artículo 99 establece que, en el caso de las pymes y las empresas emergentes, cada multa se limitará al porcentaje o al importe fijo de los apartados 3, 4 y 5 «si éste fuera inferior» — es decir, exactamente la regla inversa a la general. Donde a una gran tecnológica se le aplica el importe mayor de la horquilla, a una pyme se le aplica el menor. Lo hemos verificado contra el texto oficial del reglamento antes de escribir esta pieza, porque es el dato que separa el análisis serio del alarmismo.
Y la modulación no acaba ahí. El apartado 7 obliga a la autoridad a graduar cada sanción atendiendo, entre otros criterios, a la naturaleza, gravedad y duración de la infracción y sus consecuencias, a si hubo sanciones previas, al tamaño y cuota de mercado del infractor, al beneficio obtenido o la pérdida evitada, al grado de cooperación con la autoridad, a las medidas técnicas adoptadas y a si la infracción fue intencionada o negligente. La sanción máxima es un techo, no una tarifa.
Quién sanciona y desde cuándo
El régimen sancionador del reglamento es aplicable desde el 2 de agosto de 2025, pero las multas de los tres tramos las imponen las autoridades nacionales de vigilancia de mercado de cada Estado miembro. En España esa arquitectura está terminando de montarse: el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial — aprobado por el Consejo de Ministros el 26 de mayo de 2026, remitido al Congreso y en tramitación por vía de urgencia a fecha de este artículo — designa a AESIA como autoridad principal y concreta el cuadro de infracciones y sanciones nacional dentro de las horquillas del art. 99.
Dos matices para calibrar la urgencia sin caer en extremos. Primero: que la ley española esté en tramitación no suspende nada — el reglamento europeo es directamente aplicable y las obligaciones vigentes (prácticas prohibidas y alfabetización desde febrero de 2025, GPAI desde agosto de 2025, transparencia desde el 2 de agosto de 2026) son exigibles. Segundo: las obligaciones de alto riesgo tienen su propia línea temporal, con el aplazamiento del Digital Omnibus aprobado en junio de 2026 y pendiente de publicación en el DOUE — las dos capas de fechas están desglosadas en el calendario del AI Act.
Una aclaración más, porque el mercado la enreda: cumplir para no ser sancionado no pasa por comprar ningún certificado. No existe un «certificado AI Act» que te inmunice — lo que existe y lo que de verdad revisa una autoridad lo explicamos en ¿Existe el certificado AI Act?.
Cómo evitar las sanciones: el checklist honesto
La buena noticia de todo el artículo: para una empresa usuaria típica, quedar fuera del radar sancionador cuesta días de trabajo, no años. Lo que una autoridad puede exigirte hoy se cubre con cinco movimientos:
Este criterio — cumplir desde el diseño en lugar de hacer retrofit regulatorio — es el mismo que aplicamos en la implementación y gestión de agentes de IA: un agente que se identifica como IA y escala a una persona cuando toca nace ya alineado con el art. 50. Y si lo que necesitas es criterio sobre tu caso concreto — qué te aplica, qué no y en qué orden —, ese diagnóstico es trabajo de consultoría de IA con método, no de un PDF genérico. Aviso honesto: no somos un despacho de abogados; para cuestiones estrictamente jurídicas — un expediente sancionador en curso, por ejemplo — recomendamos validar con abogado colegiado.
Preguntas frecuentes
¿Cuáles son las sanciones previstas en la Ley de IA de la UE?
El artículo 99 del Reglamento (UE) 2024/1689 fija tres tramos de multas administrativas. Primero: hasta 35 millones de euros o el 7% del volumen de negocios mundial anual del ejercicio anterior — el importe que resulte mayor — por incurrir en las prácticas prohibidas del artículo 5. Segundo: hasta 15 millones de euros o el 3% por incumplir el resto de obligaciones del reglamento, lo que afecta a proveedores, importadores, distribuidores, responsables del despliegue y organismos notificados. Tercero: hasta 7,5 millones de euros o el 1% por facilitar información incorrecta, incompleta o engañosa a las autoridades. Para pymes y empresas emergentes rige una regla propia: cada multa se limita al importe que resulte menor de los dos, no al mayor.
¿Cuál es la sanción máxima por incumplimiento del reglamento de IA en la UE?
La sanción máxima es de hasta 35 millones de euros o el 7% del volumen de negocios mundial total del ejercicio anterior, el importe que resulte mayor. Ese techo se reserva exclusivamente para las prácticas prohibidas del artículo 5 — los usos de riesgo inaceptable, como la manipulación subliminal dañina, el scoring social o la inferencia de emociones en el trabajo. Para el resto de incumplimientos el máximo baja a 15 millones o el 3%, y para la información engañosa a las autoridades, a 7,5 millones o el 1%. En una pyme, además, se aplica el importe menor de la horquilla, no el mayor.
¿Cuáles son las sanciones por usar inteligencia artificial en la empresa?
Usar IA no se sanciona: se sanciona usarla incumpliendo el reglamento. Los riesgos reales de una empresa usuaria son tres. Uno, que alguna herramienta contratada caiga en una práctica prohibida del artículo 5 — tramo de hasta 35 M€ o el 7%. Dos, incumplir obligaciones como responsable del despliegue: transparencia del artículo 50 (chatbots que no se identifican como IA, contenido sintético sin marcar), uso de un sistema de alto riesgo sin seguir las instrucciones o sin supervisión humana — tramo de hasta 15 M€ o el 3%. Y tres, responder mal a un requerimiento de la autoridad — hasta 7,5 M€ o el 1%. Todo ello con la modulación por gravedad, tamaño y cooperación del artículo 99, y con la regla del importe menor para pymes.
¿Las multas del AI Act ya se están aplicando? ¿Quién sanciona en España?
El régimen sancionador del reglamento es aplicable desde el 2 de agosto de 2025, pero quien impone las multas son las autoridades nacionales de vigilancia de cada Estado miembro. En España esa arquitectura se está terminando de montar: el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial — aprobado por el Consejo de Ministros el 26 de mayo de 2026 y en tramitación parlamentaria por vía de urgencia — designa a AESIA como autoridad principal y concreta el cuadro de infracciones nacional dentro de las horquillas del artículo 99. Mientras se aprueba, las obligaciones europeas ya vigentes son plenamente exigibles: la ausencia de ley nacional no es un salvoconducto.
¿Una pyme puede recibir la multa de 35 millones de euros?
En la práctica, no: los titulares de «35 millones de multa a tu pyme» son mal periodismo. El apartado 6 del artículo 99 ordena que, para pymes y empresas emergentes, cada multa se limite al importe que resulte inferior entre la cifra fija y el porcentaje del volumen de negocios. Y el apartado 7 obliga a graduar cada sanción según la naturaleza y gravedad de la infracción, su duración, el tamaño y cuota de mercado de la empresa, el beneficio obtenido, la cooperación con la autoridad y si hubo intencionalidad o negligencia. Proporcional no significa simbólica: para una pyme, un porcentaje de su facturación anual sigue siendo una cifra muy seria.