El AI Act tiene su propio régimen sancionador, y es de los más duros de Europa
Cuando se habla de multas por incumplimiento normativo en Europa, el RGPD acapara la atención. Pero el AI Act establece un régimen sancionador propio que en su tramo más alto supera incluso al del RGPD. Saber cuánto puede multar, qué conductas lo activan y quién tiene potestad para hacerlo en España es información básica para cualquier empresa que desarrolle o use sistemas de inteligencia artificial.
Cuánto puede multar el AI Act: los tres tramos
El artículo 99 del AI Act fija tres niveles de sanción según la gravedad de la infracción.
Tramo 1: hasta 35 millones de euros o el 7% de la facturación anual mundial
El más alto. Se aplica a las infracciones de las prohibiciones del artículo 5: las prácticas de IA expresamente vetadas —manipulación subliminal, sistemas de puntuación social, identificación biométrica en tiempo real en espacios públicos, reconocimiento emocional en entornos laborales y educativos—. Se aplica la cifra mayor entre los 35 millones y el 7% de la facturación global. Para una empresa con 20 millones de facturación, la multa máxima sería de 35 millones. Para una multinacional con mil millones, podría llegar a 70.
Tramo 2: hasta 15 millones de euros o el 3% de la facturación anual mundial
Cubre el incumplimiento de las obligaciones para sistemas de alto riesgo y otros requisitos del reglamento: transparencia, documentación técnica, registro, supervisión humana. También incluye facilitar información incorrecta a las autoridades de supervisión.
Tramo 3: hasta 7,5 millones de euros o el 1,5% de la facturación anual mundial
El más bajo. Se aplica a incumplimientos menores: no cooperar con las autoridades competentes o incumplir obligaciones de transparencia en sistemas de riesgo limitado.
Régimen especial para pymes y startups
El AI Act prevé una protección para empresas pequeñas: cuando la multa calculada como porcentaje de la facturación resulte inferior al límite absoluto en euros, se aplica el porcentual. Eso reduce el impacto sobre empresas con facturación baja, aunque no las exime de cumplir las obligaciones.
Comparativa con las sanciones del RGPD
El RGPD fija su techo en 20 millones de euros o el 4% de la facturación global. El AI Act lo supera en su tramo alto (35 millones / 7%), aunque el tramo medio es similar (15 millones / 3%). Lo relevante en la práctica: una empresa que infrinja los dos reglamentos a la vez puede enfrentarse a sanciones acumuladas de ambas autoridades.
Quién impone las sanciones del AI Act en España
La Agencia Española de Supervisión de la Inteligencia Artificial (AESIA), creada mediante Real Decreto 729/2023 y con sede en A Coruña, es el organismo designado en España como autoridad nacional competente para el AI Act. Sus competencias incluyen supervisar el cumplimiento, investigar posibles infracciones —de oficio o por reclamación— e imponer las sanciones previstas dentro del marco que establezca la legislación nacional.
España tiene pendiente aprobar una ley nacional que desarrolle el régimen sancionador del AI Act en el ordenamiento jurídico español, como se hizo con el RGPD y la LOPDGDD. Hasta entonces, el reglamento europeo es directamente aplicable aunque pueda haber incertidumbres procedimentales.
Cuando una infracción del AI Act supone también una vulneración del RGPD —lo que ocurrirá con frecuencia en sistemas que traten datos personales— la AEPD puede actuar en paralelo a la AESIA.
Cuándo empiezan a aplicarse las sanciones del AI Act
El calendario es escalonado:
- 2 de febrero de 2025: sanciones por infracción de las prohibiciones del artículo 5. El tramo de 35 millones / 7% ya es aplicable desde esta fecha.
- 2 de agosto de 2025: sanciones asociadas al incumplimiento de los requisitos de transparencia para modelos de IA de uso general.
- 2 de agosto de 2026: sanciones por incumplimiento de las obligaciones para sistemas de alto riesgo del Anexo III.
- 2 de agosto de 2027: sistemas de alto riesgo integrados en productos regulados (Anexo I).
Qué conductas concentran el mayor riesgo sancionador
Desde una perspectiva práctica, las situaciones con más probabilidad de generar una sanción significativa a corto plazo son: operar sistemas con prácticas prohibidas del artículo 5 sin haberlos revisado desde febrero de 2025; comercializar sistemas de alto riesgo sin evaluación de conformidad ni marcado CE a partir de agosto de 2026; no llevar los registros de uso exigidos; no informar a los usuarios cuando interactúan con sistemas de IA; y dificultar la supervisión de la AESIA.
Cómo prepararse antes de que llegue la inspección
El enfoque que funciona no es el reactivo —esperar a recibir una notificación— sino el preventivo: inventariar los sistemas de IA que usa la empresa, clasificarlos por nivel de riesgo, documentar las decisiones tomadas y establecer procedimientos de supervisión.
Las empresas ya adaptadas al RGPD tienen ventaja. Los procesos de evaluación de riesgos, los registros de actividades y la cultura de documentación son directamente transferibles al cumplimiento del AI Act. El esfuerzo incremental es menor de lo que parece.
Si quieres analizar el riesgo sancionador concreto de los sistemas que usa tu empresa, consulta nuestra página de consultoría AI Act España. Hacemos auditorías de cumplimiento del AI Act con clasificación de riesgo, las 193 medidas AESIA y seguimiento continuo desde 199€/año.
