Multas del AI Act para pymes en España: tramos, AESIA y fechas
9 de noviembre de 20267 min
El Reglamento (UE) 2024/1689, conocido como AI Act, entró en vigor el 1 de agosto de 2024 y fija en su artículo 113 el 2 de agosto de 2026 como fecha general de aplicación. El texto completo está en EUR-Lex. Desde esa fecha, el régimen sancionador del artículo 99 es derecho aplicable en España.
La pregunta que llega a una pyme no es si existen multas de 35 millones de euros. Existen. La pregunta es a quién se le aplican, con qué importe y qué autoridad instruye el expediente.
Las fechas que están fijadas
El calendario se ha movido. El Reglamento (UE) 2026/1744, de 8 de julio de 2026, llamado Ómnibus digital sobre IA, modifica el Reglamento de IA y aplaza obligaciones del capítulo III, relativo a los sistemas de alto riesgo, además de ampliar medidas de apoyo a pymes, según el resumen de Iberley.
2 de agosto de 2026: aplicación general del Reglamento, incluidas las obligaciones de transparencia del artículo 50, por el calendario del artículo 113 del propio Reglamento. Son los avisos de que el usuario habla con una IA y la revelación de contenido generado o manipulado.
2 de diciembre de 2027: sistemas de alto riesgo del anexo III, tras el aplazamiento del ómnibus, como recoge esta
Redactado con ayuda de inteligencia artificial y revisado por el equipo de Sofyer.
¿Listo para empezar tu proyecto?
Describe lo que necesitas y recibe un precio cerrado en 2 minutos.
El aplazamiento del alto riesgo no afecta a lo que más toca a una pyme de servicios: transparencia, prácticas prohibidas y la obligación de que el personal sepa usar la herramienta.
Los tres tramos del artículo 99
El artículo 99 ordena las multas en tres niveles. El texto del artículo es el que manda, por encima de cualquier resumen.
1Prácticas prohibidas (art. 99.3): hasta 35.000.000 EUR o, si el infractor es una empresa, hasta el 7 % de su volumen de negocios mundial total del ejercicio anterior, si esta cuantía fuese superior. Corresponde al artículo 5: manipulación subliminal, puntuación social, explotación de vulnerabilidades o categorización biométrica con datos sensibles, entre otras.
2Incumplimiento del resto de obligaciones (art. 99.4): hasta 15.000.000 EUR o el 3 % de la facturación mundial. Aquí entran los deberes de operadores y organismos notificados que no son prácticas prohibidas.
3Información inexacta a las autoridades (art. 99.5): hasta 7.500.000 EUR o el 1 %. Sanciona presentar información inexacta, incompleta o engañosa a organismos notificados o a las autoridades nacionales competentes en respuesta a una solicitud.
El tramo de 35 millones es el que menos probabilidades tiene de tocar a una pyme normal: exige usar un sistema prohibido por el artículo 5, no olvidarse de un aviso en un chatbot.
Cómo se gradúa el importe
Las multas no son automáticas. El mismo artículo 99 obliga a tener en cuenta las circunstancias de cada caso: la naturaleza, gravedad y duración de la infracción, su carácter intencionado o negligente, las medidas adoptadas para mitigar los daños, el tamaño y el volumen de negocios del operador y las sanciones anteriores. También exige que las sanciones sean efectivas, proporcionadas y disuasorias. Una empresa que puede enseñar un inventario, unos avisos y un registro de formación llega a ese examen en otra posición que una que no tiene nada por escrito.
La regla del apartado 6: el techo de una pyme es el menor
El artículo 99 contiene una regla específica para pequeñas empresas. El apartado 6 establece que, en el caso de las pymes, incluidas las empresas emergentes, cada multa será de hasta el porcentaje o el importe de los apartados 3, 4 y 5, si esa cifra es inferior. Es la regla inversa a la general, según el texto del artículo.
La diferencia es grande. Para una empresa grande se aplica la cifra mayor entre el importe fijo y el porcentaje. Para una pyme se aplica la menor. Con una facturación de 800.000 euros, el 7 % son 56.000 euros, el 3 % son 24.000 y el 1 % son 8.000: esos son los techos relevantes, no los millones.
A eso se añade el mandato del apartado 1 del propio artículo 99: al fijar las sanciones, las autoridades tendrán en cuenta los intereses de las pymes, incluidas las empresas emergentes, y su viabilidad económica. No es una exención. Es un criterio de graduación que el expediente debe motivar.
La AESIA no es la única autoridad. El reparto de la vigilancia del mercado previsto en la norma española se resume así, según este análisis del reparto de competencias:
AESIA: vigilancia del mercado con carácter general, incluidos los sistemas sujetos a las obligaciones de transparencia del artículo 50, y punto de contacto único.
AEPD: biometría, migración y fronteras, además de lo ligado a datos personales, donde se concentran varias prácticas prohibidas.
CGPJ: uso de IA en el ámbito de la justicia.
Junta Electoral Central: procesos electorales.
Autoridades sectoriales: Banco de España, CNMV y Dirección General de Seguros en sus respectivos ámbitos.
Para un despacho, una clínica o una tienda que usa un chatbot o genera contenido con IA, la ventanilla previsible es la AESIA.
El proyecto de ley español de gobernanza de la IA
El Reglamento es directamente aplicable, pero el procedimiento sancionador y el reparto de autoridades los concreta una ley nacional. El recorrido es este:
11 de marzo de 2025: el Consejo de Ministros aprueba el Anteproyecto de Ley para el buen uso y la gobernanza de la Inteligencia Artificial, que desarrolla el sistema de infracciones y sanciones conforme al Reglamento, según Cuatrecasas.
26 de mayo de 2026: el Consejo de Ministros aprueba el proyecto de ley, con multas de hasta 35 millones por infracciones muy graves vinculadas a prácticas prohibidas y hasta 15 millones o el 3 % para otras muy graves de alto riesgo, según la información publicada sobre el acuerdo.
Tramitación en el Congreso: el Proyecto de Ley Orgánica 121/000096 designa a la AESIA como autoridad de vigilancia del mercado para determinados sistemas y atribuye potestad sancionadora a las autoridades de vigilancia.
Escala de infracciones: prácticas prohibidas hasta 35 millones o el 7 %; otras muy graves hasta 15 millones o el 3 %; graves hasta 7,5 millones o el 1 %; leves hasta 500.000 euros, según el análisis del proyecto de ley orgánica.
A julio de 2026 el texto español no estaba aprobado definitivamente ni en vigor, según este seguimiento. Conviene comprobar el estado de tramitación antes de dar por cerrada cualquier cifra nacional. Lo que sí está en vigor y es exigible es el Reglamento europeo.
Qué mira primero una revisión en una pyme
La mayoría de las pymes no desarrolla sistemas de IA: los usa. Eso sitúa el riesgo en tres puntos concretos.
Transparencia del artículo 50: avisar de que se interactúa con una IA y revelar el contenido generado o manipulado. Es la obligación aplicable desde agosto de 2026 y la que deja rastro público en una web.
Formación del personal: el artículo 4 exige un nivel suficiente de alfabetización en IA entre quienes operan los sistemas por cuenta de la empresa.
Prueba documental: saber qué herramientas se usan, para qué, con qué datos y quién es el responsable interno. Sin registro, no hay forma de acreditar diligencia ante un requerimiento.
Sofyer trabaja esos tres puntos con precio cerrado. El Kit Cumplimiento AI Act cuesta 890 € + IVA en pago único: cuestionario de 20 minutos, expediente de 6 documentos en PDF (registro de sistemas, política de uso, formación, avisos, informe ejecutivo y acta de responsable), curso online del equipo con certificado por persona para el artículo 4 y panel de cliente. Para la parte de transparencia por separado, el Sello IA cuesta 149 € + IVA al año e incluye escáner gratuito del artículo 50, avisos listos para pegar, sello verificado con página pública de verificación y re-comprobación automática mensual.
Orden de trabajo para las próximas semanas
1Inventaria: lista cada herramienta de IA que usa la empresa, quién la usa y con qué datos.
2Descarta prácticas prohibidas: revisa el artículo 5 del Reglamento. Es el único tramo con techo de 35 millones.
3Coloca los avisos del artículo 50: chatbot, contenido generado, imágenes o vídeos manipulados.
4Forma al equipo y guarda el certificado: la prueba vale tanto como la formación.
5Documenta el responsable interno: un nombre, por escrito, con fecha.
Para encargar el expediente cerrado en lugar de montarlo a mano, el punto de partida es el Kit Cumplimiento AI Act.
