Las sanciones del AI Act, la ley europea de IA, son las multas que el Reglamento (UE) 2024/1689 fija para quien incumple sus normas sobre inteligencia artificial. El artículo 99 establece tres tramos, con un máximo de 35 millones de euros o el 7 % del volumen de negocios mundial para las prácticas prohibidas. Las pymes y las empresas emergentes pagan como máximo la menor de las dos cifras. El Ómnibus digital sobre IA extiende esa regla a las pequeñas empresas de mediana capitalización en dos tramos. Los proveedores de modelos de uso general tienen su propio régimen, con multas de la Comisión desde el 2 de agosto de 2026. El capítulo de sanciones se aplica desde agosto de 2025, pero hoy solo es exigible una parte de las obligaciones que castiga. Y en España no existe todavía la ley que designa a las autoridades y concreta el régimen sancionador, porque el proyecto caducó con la disolución de las Cortes en octubre de 2026.
Si necesitas abogados de inteligencia artificial para tu empresa, solicita una valoración inicial gratuita.
El artículo 99 del Reglamento (UE) 2024/1689 reparte las infracciones en tres tramos según la obligación incumplida. En cada uno, la multa máxima es una cifra fija o un porcentaje del volumen de negocios mundial del ejercicio anterior, y se aplica la mayor.
| Tramo | Qué se incumple | Multa máxima |
|---|---|---|
| Primero | Prohibiciones del artículo 5 | 35 millones de euros o el 7 % |
| Segundo | Obligaciones de proveedores, representantes, importadores, distribuidores y responsables del despliegue, de los organismos notificados y de transparencia del artículo 50 | 15 millones de euros o el 3 % |
| Tercero | Información inexacta, incompleta o engañosa a organismos notificados o autoridades que la han pedido | 7,5 millones de euros o el 1 % |
El porcentaje solo decide en empresas grandes. En el primer tramo, el 7 % supera los 35 millones cuando la facturación mundial pasa de 500 millones de euros. Por debajo, el techo es la cifra fija.
El segundo tramo es el más amplio. Incluye las obligaciones de los proveedores de sistemas de alto riesgo, las de importadores y distribuidores y las del responsable del despliegue del artículo 26. También los deberes de transparencia del artículo 50. El Ómnibus digital sobre IA añadió una letra con las obligaciones de cooperación del artículo 25, apartados 2 y 4. Son las que vinculan a los operadores de la cadena de valor de un sistema de alto riesgo.
Para las pymes, incluidas las empresas emergentes, cada multa del artículo 99 tiene como máximo la menor de las dos cifras de su tramo, según el apartado 6. Una pyme que usa una práctica prohibida arriesga como máximo el 7 % de su facturación, no 35 millones.
El Ómnibus, Reglamento (UE) 2026/1744, añadió el apartado 6 bis para las pequeñas empresas de mediana capitalización definidas en la Recomendación (UE) 2025/1099. Se les aplica la misma regla de la menor cifra, pero solo en el segundo y el tercer tramo. En las prácticas prohibidas responden como una empresa grande.
El Ómnibus también reescribió el apartado 1. Los Estados pueden prever advertencias y medidas no pecuniarias además de multas. Y al sancionar deben tener en cuenta los intereses y la viabilidad económica de pymes, empresas emergentes y pequeñas mid caps.
Los importes del artículo 99 son máximos. La autoridad fija la cuantía concreta con los criterios del apartado 7, entre ellos estos.
Los dos últimos criterios premian la preparación. Haber documentado el sistema y haber avisado a tiempo reduce la multa aunque no evite la infracción.
Los proveedores de modelos de uso general tienen un régimen aparte en el artículo 101. La Comisión puede multarles con hasta el 3 % de su volumen de negocios mundial o 15 millones de euros, la cifra mayor, desde el 2 de agosto de 2026. Castiga las infracciones de sus obligaciones, no atender solicitudes de información y no dar acceso al modelo para su evaluación.
El Ómnibus creó además un régimen para la Oficina de IA. Supervisa en exclusiva los sistemas basados en un modelo de uso general del mismo proveedor y los integrados en plataformas y buscadores de muy gran tamaño. Sus decisiones de incumplimiento pueden ir acompañadas de las multas del artículo 99, apartados 3 a 7. Las obligaciones de los modelos se explican en nuestra guía sobre los modelos de IA de uso general.
El capítulo de sanciones se aplica desde el 2 de agosto de 2025, salvo el artículo 101, desde el 2 de agosto de 2026. Pero una multa solo es posible si la obligación incumplida ya es exigible.
| Obligación | Exigible desde |
|---|---|
| Prácticas prohibidas del artículo 5 | 2 de febrero de 2025 |
| Dos prohibiciones nuevas del Ómnibus | 2 de diciembre de 2026 |
| Transparencia del artículo 50 | 2 de agosto de 2026 |
| Sistemas de alto riesgo del anexo III | 2 de diciembre de 2027 |
| Sistemas de alto riesgo del anexo I | 2 de agosto de 2028 |
El detalle de las prohibiciones está en la guía de prácticas de IA prohibidas, y el del alto riesgo en la de sistemas de IA de alto riesgo.
El artículo 99 obliga a cada Estado a fijar su régimen de sanciones. España iba a hacerlo con el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial, que el Gobierno envió al Congreso y se publicó el 12 de junio de 2026. El proyecto caducó con la disolución de las Cortes, publicada en el BOE el 6 de octubre de 2026. El Gobierno que salga de las elecciones del 29 de noviembre tendrá que volver a presentarlo, y nada garantiza que conserve el mismo contenido.
El proyecto caducado clasificaba las infracciones en muy graves, graves y leves, con máximos ajustados a los del reglamento, y calificaba como muy graves las prácticas prohibidas. Repartía la vigilancia entre varias autoridades.
Lo que queda abierto es si podrán sancionarse después las infracciones cometidas antes de que exista la ley española. El principio de legalidad exige que la sanción esté prevista cuando se comete la infracción. Esa duda no afecta a las medidas sobre el producto, como la retirada del mercado, ni a las multas de la Comisión a los proveedores de modelos.
El caso es ficticio. Talentia Software, S.L. es una pyme de Sevilla con 40 empleados y 6 millones de euros de facturación. Vende un programa que filtra currículums y puntúa candidatos. En 2026 le añade un módulo que analiza por vídeo el nivel de estrés de los empleados de sus clientes en las reuniones de seguimiento.
El filtro de currículums es de alto riesgo por el anexo III, punto 4, y sus obligaciones serán exigibles desde el 2 de diciembre de 2027. Incumplirlas le expondría al segundo tramo. Como pyme, su máximo sería la menor cifra, el 3 % de 6 millones, es decir, 180.000 euros.
El módulo de vídeo plantea un riesgo distinto. Infiere emociones de trabajadores en su lugar de trabajo, así que es una práctica prohibida del artículo 5.1.f, en el primer tramo. El máximo para Talentia sería el 7 % de su facturación, 420.000 euros. Su prohibición es exigible desde febrero de 2025, aunque la multa en España depende de que se apruebe el régimen sancionador. El marco general está en nuestra guía del Reglamento de Inteligencia Artificial para empresas.
Hasta 35 millones de euros o el 7 % del volumen de negocios mundial del ejercicio anterior, la cifra que sea mayor. Es la multa por usar una práctica de IA prohibida del artículo 5. Los otros tramos llegan a 15 millones o el 3 % por incumplir las demás obligaciones. Y a 7,5 millones o el 1 % por dar información inexacta a las autoridades.
No. Para las pymes y las empresas emergentes, cada multa tiene como máximo la menor de las dos cifras de su tramo, según el artículo 99.6. Desde el Ómnibus digital sobre IA, las pequeñas empresas de mediana capitalización también tienen esa regla en el segundo y el tercer tramo, pero no en las prácticas prohibidas.
Las obligaciones ya exigibles, como las prohibiciones del artículo 5 o la transparencia del artículo 50, están en vigor. Pero España no tiene todavía la ley que concreta el régimen sancionador y designa a las autoridades, porque el proyecto caducó con la disolución de las Cortes en octubre de 2026. Si podrán sancionarse después infracciones anteriores a esa ley es una cuestión abierta.
La Comisión Europea, no las autoridades nacionales. El artículo 101 le permite imponer multas de hasta el 3 % del volumen de negocios mundial o 15 millones de euros desde el 2 de agosto de 2026. Además, la Oficina de IA puede sancionar a los sistemas que supervisa en exclusiva tras el Ómnibus.
El artículo 99.7 obliga a tener en cuenta la cooperación con la autoridad, si el operador notificó la infracción y las medidas adoptadas para mitigar el daño. También el grado de responsabilidad según las medidas técnicas y organizativas aplicadas. Tener el sistema documentado y reaccionar a tiempo cuenta a favor.
El régimen sancionador del AI Act llega por fases, como el propio reglamento. Las prohibiciones ya se aplican, la transparencia desde agosto de 2026 y el alto riesgo en 2027 y 2028, mientras España sigue sin su ley. Ese desfase es tiempo útil para documentar los sistemas, cerrar los contratos con proveedores y preparar el circuito de notificación, que son precisamente los criterios que reducen una multa. En Innovatech revisamos tu exposición dentro de nuestro servicio de asesoramiento en inteligencia artificial. Escríbenos y te damos una valoración inicial gratuita.
Marta Suárez-Mansilla, Socia Directora de Innovatech y abogada que ejerce en derecho tecnológico. Formada en Copyright por Harvard Law School y en Blockchain por BerkeleyX, acumula más de 8 años de experiencia asesorando a empresas tecnológicas.