Las sanciones del Reglamento de IA: tres tramos y un límite para pymes
Las sanciones del Reglamento de IA: tres tramos (35 M€/7%, 15 M€/3%, 7,5 M€/1%), el límite del 99(6) para pymes, el nuevo 99(6 bis) y, en España, la AESIA.
El régimen sancionador del Reglamento de IA de la UE (Reglamento (UE) 2024/1689) está en vigor desde el 2 de agosto de 2025. Las multas son altas, pero el sistema es más sencillo de lo que parece: hay exactamente tres tramos en el artículo 99, cada uno fijado como "la cantidad que sea mayor" entre una suma fija y un porcentaje del volumen de negocios anual mundial total. No existen otros importes; cualquier otra cifra que circule por internet es inventada.
Y hay una buena noticia para las pequeñas empresas: el propio artículo 99 incluye un límite pensado para ellas, que el Ómnibus Digital ha extendido en parte a las pequeñas empresas de mediana capitalización.
Los tres tramos del artículo 99
| Infracción | Multa máxima | Apartado |
|---|---|---|
| Prácticas prohibidas (artículo 5) | 35 millones de euros o el 7% del volumen de negocios anual mundial total | 99(3) |
| La mayoría de los incumplimientos (requisitos de alto riesgo, deberes de proveedores y responsables del despliegue, cooperación en la cadena de valor del artículo 25, artículo 50, etc.) | 15 millones de euros o el 3% | 99(4) |
| Información incorrecta, incompleta o engañosa a organismos notificados o autoridades | 7,5 millones de euros o el 1% | 99(5) |
Dos precisiones que evitan los errores más comunes. El tercer tramo es el 1%, nunca el 1,5% —es una cifra que conviene desterrar. Y el tramo se fija siempre por "la cantidad que sea mayor" entre la suma fija y el porcentaje: para una gran empresa pesa el porcentaje; para una empresa pequeña, la suma fija.
El tramo superior, además, crece: desde el 2 de diciembre de 2026 el 99(3) cubre también las dos prohibiciones que añadió el Ómnibus Digital, la IA que genera o manipula imágenes, vídeo o audio realistas de carácter íntimo o sexualmente explícito de una persona identificable sin su consentimiento explícito (artículo 5(1)(ba)) y la que genera material de abuso sexual infantil (artículo 5(1)(bb)).
El límite para pymes: artículo 99(6)
Aquí está la matización que más tranquiliza a una pyme. Para las pymes y las empresas emergentes, el artículo 99(6) invierte la regla general: la multa es la cantidad menor entre el porcentaje y la suma fija, no la mayor. Es una protección deliberada para que una sanción no sea desproporcionada respecto al tamaño de la empresa. Si eres una pyme, este apartado es el que debes recordar.
El Ómnibus Digital, Reglamento (UE) 2026/1744, en vigor desde el 27 de julio de 2026, añade un escalón intermedio con el nuevo artículo 99(6 bis): las pequeñas empresas de mediana capitalización (no pyme, menos de 750 empleados y hasta 150 millones de euros de volumen de negocios o 129 millones de balance) también pagan la cantidad menor, pero solo en las multas del 99(4) y del 99(5), no en las del 99(3).
El artículo 99 también exige que cada sanción sea efectiva, proporcionada y disuasoria, atendiendo a la gravedad, la duración, la intencionalidad y la cooperación de la empresa, entre otros factores.
¿A quién se aplica el artículo 99? (y a quién no)
El artículo 99 sanciona a los operadores de sistemas de IA —proveedores (artículo 16) y responsables del despliegue (artículo 26)— y lo aplican las autoridades nacionales de cada Estado miembro. No cubre todo:
- Proveedores de modelos de IA de uso general (GPAI): sus multas no van por el artículo 99, sino por el artículo 101, hasta 15 millones de euros o el 3%, y las impone directamente la Comisión Europea, facultada para ello desde el 2 de agosto de 2026, no las autoridades nacionales.
- Instituciones de la UE: las sanciona el Supervisor Europeo de Protección de Datos (artículo 100), no es una multa empresarial.
Cita el apartado correcto: el incumplimiento de un deber de proveedor o de responsable del despliegue (artículo 16/26) es del 99(4), no del 99(3).
En España: la AESIA
En España, la autoridad que supervisará la aplicación del Reglamento —y, por tanto, la imposición de estas sanciones a los sistemas de IA— es la AESIA (Agencia Española de Supervisión de la Inteligencia Artificial), creada por el Real Decreto 729/2023 y con sede en A Coruña, operativa desde principios de 2025. La AESIA es la autoridad líder y el punto de contacto único ante la UE, y el proyecto de ley nacional prevé una supervisión compartida: la AEPD asumiría biometría y migración/fronteras, el CGPJ la administración de justicia y la Junta Electoral Central los procesos democráticos.
Las cuantías son las del artículo 99 del Reglamento; no hay multas específicas distintas para España. El marco nacional se completará con el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial, aprobado por el Consejo de Ministros y remitido al Congreso de los Diputados el 26 de mayo de 2026 (expediente 121/000096), que sigue en tramitación en el Congreso de los Diputados: no está aprobado ni publicado en el BOE.
Ejemplo práctico: Brisa Datos S.L., ~25 personas, ~3,2 M€ de facturación
Brisa Datos, una pyme sevillana, comercializa un asistente analítico. Imaginemos dos escenarios.
- Escenario A — información engañosa. Brisa entrega documentación incompleta y engañosa a la autoridad durante una inspección. Es el tramo del 99(5): 7,5 millones o el 1%, la que sea mayor… salvo que, por ser pyme, el 99(6) fija la menor: el 1% de 3,2 M€ son 32.000 €, frente a 7,5 M€, así que el techo aplicable es 32.000 €.
- Escenario B — prácticas prohibidas. Brisa despliega, sin darse cuenta, una función de reconocimiento de emociones de su plantilla, prohibida por el artículo 5(1)(f). Es el tramo del 99(3), el más alto; el 99(6) vuelve a aplicar la cifra menor (el 7% de 3,2 M€ = 224.000 €, frente a 35 M€). La protección para pymes existe, pero el riesgo reputacional y la orden de cese siguen ahí: lo barato es no desplegar la práctica prohibida.
Cómo ayuda Confir
Confir clasifica cada uso de la IA y le indica a una pyme qué tramo del artículo 99 está en juego y por qué, citando el artículo y el apartado, además de señalar el límite del 99(6) cuando procede. El motor es determinista y basado en reglas: el mismo dato de entrada produce siempre el mismo resultado, con la regla aplicada en lenguaje claro —sin inferencia de modelo, sin alucinaciones.
Preguntas frecuentes
¿Cuáles son los tramos de sanción del Reglamento de IA?
Tres, todos en el artículo 99: hasta 35 millones de euros o el 7% del volumen de negocios anual mundial por prácticas prohibidas (99(3)); hasta 15 millones o el 3% por la mayoría de los incumplimientos, incluido el artículo 50 (99(4)); y hasta 7,5 millones o el 1% por información incorrecta o engañosa a las autoridades (99(5)). Es "la cantidad que sea mayor".
¿El tercer tramo es del 1% o del 1,5%?
Es del 1%, nunca del 1,5%. El artículo 99(5) fija 7,5 millones de euros o el 1% del volumen de negocios anual mundial, la cantidad que sea mayor, para la información incorrecta, incompleta o engañosa a organismos notificados o autoridades. La cifra del 1,5% es un error que conviene no repetir.
¿Hay un límite de las multas para las pymes?
Sí. El artículo 99(6) establece que, para las pymes y las empresas emergentes, la multa es la cantidad menor entre el porcentaje y la suma fija, no la mayor. Es una protección deliberada para que la sanción sea proporcional al tamaño de la empresa. Desde el Reglamento (UE) 2026/1744, el artículo 99(6 bis) aplica también la cantidad menor a las pequeñas empresas de mediana capitalización, pero solo en las multas del 99(4) y del 99(5), no en las de prácticas prohibidas.
¿Quién impone las multas a los proveedores de modelos de uso general?
No las autoridades nacionales por el artículo 99, sino la Comisión Europea por el artículo 101, con un máximo de 15 millones de euros o el 3% del volumen de negocios anual mundial. El artículo 99 se aplica a los operadores de sistemas de IA (proveedores y responsables del despliegue).
¿Quién aplica las sanciones en España?
La AESIA (Agencia Española de Supervisión de la Inteligencia Artificial), creada por el Real Decreto 729/2023 y con sede en A Coruña, como autoridad líder. El proyecto de ley orgánica en tramitación en el Congreso prevé compartir la supervisión con la AEPD (biometría, migración), el CGPJ (justicia) y la Junta Electoral Central (procesos democráticos). Las cuantías son las del artículo 99.
¿Desde cuándo se pueden imponer estas sanciones?
El régimen sancionador del artículo 99 está en vigor desde el 2 de agosto de 2025, junto con las obligaciones de los modelos de uso general y la gobernanza. Las prohibiciones del artículo 5 y la alfabetización del artículo 4 se aplican desde el 2 de febrero de 2025, la transparencia del artículo 50 desde el 2 de agosto de 2026, las nuevas prohibiciones del artículo 5(1)(ba) y (bb) desde el 2 de diciembre de 2026 y las obligaciones de alto riesgo desde el 2 de diciembre de 2027 (anexo III) y el 2 de agosto de 2028 (anexo I): cada obligación solo puede sancionarse desde que se aplica.
Guías relacionadas
- Las sanciones de la AESIA en España
- El Reglamento de IA en España
- Prácticas prohibidas (artículo 5)
- Obligaciones del Reglamento de IA para pymes
- Calendario y plazos del Reglamento de IA
Gestiona el cumplimiento de la Ley de IA de la UE en un solo lugar
Confir automatiza la clasificación de riesgo, la documentación técnica y los registros de auditoría para cualquier empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 14 días.
Empieza la prueba gratuita →