Multas del AI Act: cuánto pueden llegar a costar y quién las pondrá en España
Redacción Lexdara · Publicado: · Última actualización: · 6 min de lectura
Revisado por Aldara Fernández Hernández
El AI Act fija tres niveles de multas, con topes de hasta 35 millones de euros o el 7 % del volumen de negocios mundial. Qué conducta se castiga con cada uno, qué pasa con las pymes, quién sanciona a los modelos de uso general y en qué punto está el régimen español.
Los tres niveles de multas
El artículo 99 del Reglamento (UE) 2024/1689 (AI Act) obliga a los Estados miembros a fijar sanciones efectivas, proporcionadas y disuasorias, y establece los importes máximos de las multas administrativas:
| Infracción | Multa máxima |
|---|---|
| Usar o comercializar prácticas de IA prohibidas (artículo 5) | 35 millones de euros o el 7 % del volumen de negocios mundial anual |
| Incumplir otras obligaciones: de proveedores, responsables del despliegue, importadores, distribuidores, organismos notificados o de transparencia (artículo 50) | 15 millones de euros o el 3 % |
| Dar información inexacta, incompleta o engañosa a organismos notificados o autoridades | 7,5 millones de euros o el 1 % |
Para las empresas se aplica la cantidad más alta de las dos: la cifra fija o el porcentaje del volumen de negocios mundial del ejercicio anterior.
La regla de las pymes
Para las pymes, incluidas las empresas emergentes, el artículo 99.6 invierte la regla: cada multa tendrá como tope la cantidad más baja de las dos. Es una diferencia relevante: para una pyme con 5 millones de facturación, el 3 % son 150.000 euros, muy lejos de los 15 millones.
Cómo se decide la cuantía
Los topes son máximos, no importes automáticos. El artículo 99.7 obliga a tener en cuenta, entre otros factores, la naturaleza, gravedad y duración de la infracción, el número de personas afectadas, si otras autoridades ya han multado la misma conducta, el tamaño y la cuota de mercado del infractor, el beneficio obtenido, el grado de cooperación, el grado de responsabilidad y si la infracción fue intencionada o negligente.
Modelos de IA de uso general: sanciona la Comisión
Los proveedores de modelos de IA de uso general (los que están detrás de los grandes asistentes) tienen un régimen propio. Según el artículo 101, la Comisión Europea puede imponerles multas de hasta 15 millones de euros o el 3 % del volumen de negocios mundial, la cantidad más alta. Esta potestad es aplicable desde el 2 de agosto de 2026.
Instituciones de la UE
Cuando quien infringe es una institución, órgano u organismo de la UE, sanciona el Supervisor Europeo de Protección de Datos, con topes de 1,5 millones de euros para prácticas prohibidas y 750.000 euros para el resto (artículo 100).
¿Quién pondrá las multas en España?
Salvo en los casos anteriores, las multas las imponen las autoridades nacionales. España ha creado la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA), con sede en A Coruña, pero el régimen sancionador nacional depende de la ley orgánica de gobernanza de la IA, que a la fecha de esta pieza es un proyecto de ley en tramitación en el Congreso, no una ley en vigor.
Según el texto remitido a las Cortes, la AESIA sería la autoridad principal, junto con otras autoridades en sus ámbitos, como la Agencia Española de Protección de Datos o las autoridades financieras. Ese reparto puede cambiar durante la tramitación.
Hay que añadir dos matices:
- Si un sistema de IA trata datos personales, la AEPD ya puede sancionar hoy con el RGPD, que tiene sus propias multas de hasta 20 millones de euros o el 4 %.
- Las obligaciones de alto riesgo no se aplicarán hasta el 2 de diciembre de 2027 o el 2 de agosto de 2028, así que hasta entonces no pueden sancionarse.
Qué es exigible ya
- Prácticas prohibidas: aplicables desde el 2 de febrero de 2025. Las dos nuevas prohibiciones del Ómnibus se aplicarán a partir del 2 de diciembre de 2026.
- Obligaciones de transparencia del artículo 50: aplicables desde el 2 de agosto de 2026.
- Modelos de uso general: obligaciones desde el 2 de agosto de 2025 y multas de la Comisión desde el 2 de agosto de 2026.
La posibilidad real de sancionar a nivel nacional dependerá de que el régimen español esté en vigor.
Qué vigilar
La aprobación de la ley orgánica española, con las infracciones y sanciones concretas, y las primeras actuaciones de la Oficina de IA de la Comisión frente a proveedores de modelos de uso general.
Preguntas frecuentes
¿Cuál es la multa máxima del AI Act?
35 millones de euros o el 7 % del volumen de negocios mundial anual, la cantidad más alta, por usar o comercializar prácticas de IA prohibidas (artículo 99.3).
¿Las pymes pagan lo mismo?
No. Para las pymes y empresas emergentes el tope es la cantidad más baja entre la cifra fija y el porcentaje del volumen de negocios (artículo 99.6).
¿Quién pone las multas del AI Act en España?
Las autoridades nacionales, con la AESIA como autoridad principal según el proyecto de ley orgánica en tramitación. A los proveedores de modelos de uso general los sanciona la Comisión Europea.
Sigue leyendo en Lexdara
Qué cambia en la práctica
- Prioriza lo que ya es exigible: prácticas prohibidas y transparencia del artículo 50.
- Si eres pyme, calcula tu exposición real con la regla de la cantidad más baja.
- Recuerda que el RGPD ya se aplica hoy a cualquier sistema de IA que trate datos personales.
Referencias normativas
- Reglamento (UE) 2024/1689 (AI Act), arts. 99, 100, 101 y 113
- Reglamento (UE) 2016/679 (RGPD), art. 83