Las sanciones del AI Act pueden alcanzar 35 millones de euros o el 7 % de la facturación mundial. Desglose de multas por tipo de infracción y comparación con el RGPD.
El Reglamento Europeo sobre Inteligencia Artificial (Reglamento 2024/1689) instaura uno de los sistemas sancionadores más severos del derecho digital europeo. Con multas de hasta 35 millones de euros o el 7 % de la facturación mundial, el AI Act envía un mensaje claro: el incumplimiento en materia de IA no es un riesgo abstracto — es un riesgo financiero de primer orden.
Artículo 99 — Règlement (UE) 2024/1689
Los Estados miembros establecerán el régimen de sanciones y otras medidas de ejecución, que también podrán incluir apercibimientos y medidas no pecuniarias, aplicables a las infracciones del presente Reglamento por parte de los operadores, y adoptarán todas las medidas necesarias para garantizar que se apliquen correcta y efectivamente […].
El Artículo 99 del reglamento define tres niveles de sanciones, según la gravedad de la infracción.
El nivel sancionador más elevado se aplica a las infracciones del Artículo 5 (prácticas prohibidas):
La multa puede alcanzar 35 millones de euros o el 7 % de la facturación anual mundial, prevaleciendo el importe más elevado.
Para una empresa con 500 millones de euros de facturación, esto supone potencialmente 35 millones de euros de multa. Para un grupo mundial con 10.000 millones de euros de facturación, la multa teórica asciende a 700 millones de euros.
El segundo nivel sanciona las infracciones de las obligaciones relativas a los sistemas de IA de alto riesgo y a los modelos de IA de uso general:
Este último punto es crucial: la falta de formación de los colaboradores en IA está incluida en este nivel. Una empresa que no haya tomado ninguna medida para garantizar un nivel suficiente de competencia en IA de su personal se expone a multas de hasta 15 millones de euros o el 3 % de la facturación mundial.
El tercer nivel se aplica cuando una empresa proporciona información inexacta, incompleta o engañosa a las autoridades competentes o a los organismos notificados:
La multa puede alcanzar 7,5 millones de euros o el 1,5 % de la facturación anual mundial.
Para medir la severidad del régimen del AI Act, la comparación con el RGPD es reveladora:
| Criterio | RGPD | AI Act |
|---|---|---|
| Multa máxima (importe fijo) | 20 millones de euros | 35 millones de euros |
| Multa máxima (% de facturación) | 4 % de la facturación mundial | 7 % de la facturación mundial |
| Número de niveles | 2 | 3 |
| En vigor desde | Mayo 2018 | Progresivo (2025-2027) |
| Autoridad de control | Autoridades de protección de datos | Autoridades nacionales + Oficina Europea de IA |
El legislador europeo fijó deliberadamente las sanciones del AI Act por encima de las del RGPD. El mensaje es claro: los riesgos asociados a una IA mal gestionada se consideran al menos tan graves como los relativos a la protección de datos — y las empresas serán sancionadas en consecuencia.
Como referencia, las sanciones del RGPD no han sido meramente teóricas. En 2023, Meta recibió una multa de 1.200 millones de euros de la autoridad irlandesa. Amazon fue multada con 746 millones de euros en Luxemburgo en 2021. La AEPD en España también ha impuesto sanciones significativas en materia de protección de datos. Las autoridades europeas han demostrado que no dudan en aplicar las sanciones máximas a las grandes corporaciones.
El reglamento prevé un tratamiento adaptado para las pequeñas empresas. El Artículo 99(6) precisa que las multas deben ser “efectivas, proporcionadas y disuasorias”. Para las pymes y startups, las autoridades deben tener en cuenta la viabilidad económica de la empresa.
Concretamente:
Cada Estado miembro debe designar una o varias autoridades nacionales competentes encargadas de la vigilancia del mercado y de la aplicación del reglamento. En España, esta responsabilidad se reparte entre varios actores:
Creada en el seno de la Comisión Europea, la Oficina Europea de IA desempeña un papel de coordinación y dispone de competencias directas sobre los modelos de IA de uso general. Puede:
Más allá de las multas, el mecanismo del AI Act se basa en un principio fundamental: la carga de la prueba recae en la empresa. No corresponde a la autoridad demostrar que usted no cumple — le corresponde a usted demostrar que sí.
Un score de competencia medible y trazable para cada colaborador constituye una prueba particularmente sólida para el Artículo 4. Del mismo modo, un historial completo de las formaciones realizadas, con fechas, contenidos y resultados, permite demostrar el cumplimiento de forma objetiva.
En caso de inspección, la situación más desfavorable no es tener un programa de cumplimiento imperfecto — es no tener ninguno. Las autoridades tendrán en cuenta los esfuerzos realizados por la empresa. Haber iniciado un enfoque estructurado, aunque incompleto, siempre es preferible a la inacción total.
📄Auditoría de IA en la empresa: guía práctica paso a paso→Las sanciones se aplican progresivamente, en consonancia con la entrada en vigor de las diferentes obligaciones:
| Fecha | Obligaciones en vigor | Sanciones aplicables |
|---|---|---|
| 1 de febrero de 2025 | Prácticas prohibidas (Artículo 5) | Hasta 35 millones / 7 % |
| 2 de agosto de 2025 | Competencia en IA (Artículo 4) + Modelos de uso general | Hasta 15 millones / 3 % |
| 2 de agosto de 2026 | Sistemas de IA de alto riesgo | Hasta 15 millones / 3 % |
| 2 de agosto de 2027 | Sistemas de alto riesgo integrados en productos regulados | Hasta 15 millones / 3 % |
Los dos primeros plazos ya han vencido. Las empresas que aún no han tomado medidas sobre prácticas prohibidas y competencia en IA se encuentran ya en zona de riesgo.
Las sanciones financieras son solo la parte visible. El incumplimiento del AI Act expone a otros riesgos igualmente importantes:
Ce que ça implique pour vous
El AI Act instaura las sanciones más severas del derecho digital europeo: 35 millones de euros o el 7 % de la facturación mundial para prácticas prohibidas, 15 millones para sistemas de alto riesgo y la falta de formación. La clave para minimizar el riesgo: demostrar el cumplimiento mediante documentación rigurosa, formaciones trazadas y evaluaciones medibles. Los primeros plazos ya han vencido — cada día sin acción aumenta la exposición.