Multas del AI Act: riesgo para tu empresa

El ruido mediático del AI Act se ha concentrado en las multas de "hasta 35 millones de euros". La realidad es más matizada: hay tres tramos diferenciados, excepciones explícitas para PYMEs y una aplicación escalonada que entra en efecto sólo desde agosto de 2026. Este post desglosa el artículo 99 del Reglamento para que una empresa española pueda calcular su exposición real.

Los tres tramos del artículo 99

El reglamento distingue tres categorías de infracción con multas asimétricas:

En cada tramo, el importe efectivo es la mayor cifra entre el valor fijo y el porcentaje de facturación mundial del ejercicio anterior. Para una multinacional con 10.000 M€ de facturación, el tramo 1 puede suponer 700 M€. Para una pyme de 5 M€, el porcentaje cambia la lógica (ver siguiente apartado).

La excepción para PYMEs y startups

El artículo 99.6 del Reglamento establece que para PYMEs, incluidas las startups, se aplica la menor de las dos cuantías. Esto cambia completamente el cálculo:

Para calificar como PYME se usa la definición de la Recomendación 2003/361/CE de la Comisión Europea: menos de 250 empleados y facturación anual ≤50 M€ o balance total ≤43 M€. La verificación del estatus de PYME es un proceso formal; no basta con auto-declararse.

Calendario de aplicación de las sanciones

Quién puede imponer la multa en España

La autoridad nacional designada para el AI Act en España es la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA), creada por el Real Decreto 729/2023 y con sede en A Coruña. AESIA actúa como autoridad nacional de vigilancia del mercado (market surveillance authority) y podrá:

• Iniciar investigaciones de oficio o tras denuncia.
• Solicitar información y documentación a empresas usuarias y proveedoras.
• Inspeccionar sistemas de IA en uso.
• Imponer las sanciones del artículo 99.
• Coordinarse con autoridades sectoriales (CNMV, AEPD, Banco de España, Ministerio de Sanidad) cuando el sistema opera en un sector específico.

Relación con el RGPD y otras sanciones

El régimen sancionador del AI Act es independiente del RGPD. Un mismo incidente puede acumular dos sanciones:

• Si el sistema de IA procesa datos personales sin base legal válida → sanción RGPD (AEPD), hasta 20 M€ o 4% facturación.
• Si además es alto riesgo sin cumplir obligaciones del AI Act → sanción AI Act (AESIA), tramos del art. 99.
• Si afecta a derechos fundamentales protegidos por otras normas sectoriales (discriminación laboral, crédito, etc.) → sanciones específicas adicionales.

El art. 74 del AI Act obliga a AESIA y AEPD a coordinarse e intercambiar información, pero no fusiona los procedimientos. Es posible recibir varias resoluciones sancionadoras paralelas.

Qué incrementa y qué reduce la multa

El artículo 99.7 del reglamento fija los criterios de graduación. AESIA tendrá en cuenta:

Factores agravantes

• Gravedad y duración de la infracción.
• Número de personas afectadas y daño causado.
• Intencionalidad o negligencia.
• Infracciones anteriores del mismo operador.
• Beneficio económico obtenido por la infracción.

Factores atenuantes

• Cooperación con la autoridad durante la investigación.
• Medidas técnicas y organizativas previas (ver checklist de cumplimiento).
• Notificación voluntaria de la infracción.
• Subsanación rápida del incumplimiento tras conocerlo.
• Certificaciones voluntarias (adhesión al código de buenas prácticas AI Pact de la Comisión).

En la práctica, esto significa que tener el checklist de cumplimiento operativo antes de agosto de 2026 no solo previene la infracción — también actúa como atenuante si algo acaba saliendo mal.

Preguntas frecuentes

¿El AI Act tiene sanciones penales?

El Reglamento solo prevé sanciones administrativas (multas). Las conductas que también infrinjan el Código Penal (por ejemplo, tratamiento ilícito de datos personales) pueden derivar en procedimientos penales paralelos, pero eso es competencia nacional y depende de cada Estado miembro.

¿Puedo apelar una sanción?

Sí. Las resoluciones de AESIA son recurribles en alzada ante la Secretaría de Estado de Digitalización e Inteligencia Artificial y, agotada la vía administrativa, ante la jurisdicción contencioso-administrativa.

¿Desde qué fecha exactamente puedo ser multado por usar un sistema de alto riesgo sin documentación?

Desde el 2 de agosto de 2026. Antes de esa fecha, la obligación existe pero las sanciones no aplican al sistema de alto riesgo concreto del Anexo III. Los sistemas del Anexo I (productos armonizados) ven sus sanciones activarse el 2 de agosto de 2027.