Las multas del Reglamento Europeo de IA llegan hasta 35 millones de euros o el 7% de la facturación mundial, la cifra que sale en todos los titulares. Pero esa cifra no es la tuya. El artículo 99 fija un régimen distinto para pymes y startups: se aplica la cantidad menor de las dos, no la mayor. Para una empresa que factura 3 millones, el techo de la multa más grave no son 35 millones, son 210.000 euros.
Sigue siendo mucho dinero. Pero es una conversación distinta, y conviene tenerla con los números correctos delante.
¿Cuánto son las multas del AI Act exactamente?
El Reglamento (UE) 2024/1689 no tiene una multa, tiene tres tramos según lo que incumplas. De más grave a menos:
| Qué incumples | Multa máxima | Porcentaje de facturación mundial |
|---|---|---|
| Prácticas prohibidas (artículo 5) | 35 M€ | 7% |
| Resto de obligaciones: alto riesgo, transparencia del artículo 50, obligaciones del proveedor | 15 M€ | 3% |
| Dar información incorrecta o engañosa a la autoridad | 7,5 M€ | 1% |
Para una empresa grande se aplica la cantidad mayor de las dos. Para una pyme o una startup, la menor. Esa inversión está en el artículo 99 y es lo que separa un titular de una cifra real.
Un ejemplo con números. Una asesoría que factura 2 millones de euros al año y usa un sistema de IA para cribar currículums (uso de alto riesgo del Anexo III) se expone, como máximo, al 3% de esos 2 millones: 60.000 euros. No a 15 millones.
¿Qué es exactamente una práctica prohibida?
El tramo de 35 millones no es para quien se despista con el papeleo. Es para los usos que el Reglamento saca del mercado directamente, sin periodo de adaptación y sin régimen simplificado para pymes. Están prohibidos desde el 2 de febrero de 2025.
Los que más se cruzan con una empresa normal son tres:
Reconocimiento de emociones en el trabajo. Software que analiza la voz o la cara de un empleado para inferir su estado emocional, en el puesto de trabajo o en un proceso de selección. Prohibido, con excepciones muy estrechas por seguridad o motivos médicos.
Puntuación social. Clasificar a personas por su comportamiento para tratarlas peor en contextos que no tienen nada que ver con el dato original.
Técnicas de manipulación subliminal. Sistemas diseñados para alterar el comportamiento de alguien de forma que le cause un perjuicio, aprovechando su edad, su discapacidad o su situación económica.
Si crees que ninguno de estos va contigo, probablemente tengas razón. La mayoría de los usos de IA en una pyme española son de riesgo mínimo y el Reglamento no les impone requisitos.
¿Desde cuándo pueden multarme?
Este es el punto donde casi todo el mundo se hace un lío, porque el calendario se ha movido. El Digital Omnibus adoptado en junio de 2026 aplazó la parte de alto riesgo, pero no tocó el resto.
| Fecha | Qué entra en vigor |
|---|---|
| 2 de febrero de 2025 | Prácticas prohibidas y obligación de alfabetización en IA |
| 2 de agosto de 2025 | Modelos de IA de uso general y régimen sancionador |
| 2 de agosto de 2026 | Transparencia del artículo 50 |
| 2 de diciembre de 2027 | Alto riesgo del Anexo III (aplazado desde agosto de 2026) |
| 2 de agosto de 2028 | Alto riesgo del Anexo I (aplazado desde agosto de 2027) |
La fecha que importa ahora mismo es la del medio, y es la que casi nadie tiene en el calendario.
El artículo 50 es el que te va a tocar a ti
El artículo 50 no se aplazó. Entra en vigor el 2 de agosto de 2026 y dice algo muy simple: si una persona está interactuando con una IA, tiene que saberlo.
Eso afecta a cualquier empresa con un chatbot en la web, un agente telefónico que contesta llamadas o un asistente de WhatsApp. No importa el tamaño de la empresa ni el sector. Si tu cliente habla con una máquina y puede creer que habla con una persona, estás en el ámbito del artículo 50.
La buena noticia es que cumplir cuesta muy poco. En la práctica se resuelve con tres cosas: que el sistema lo diga al empezar la conversación, que el contenido generado por IA esté marcado como tal, y que quede constancia por escrito de cómo lo haces. Es media tarde de trabajo, no un proyecto.
La mala noticia es que el incumplimiento está en el tramo de 15 millones o el 3%. Para la asesoría del ejemplo anterior, 60.000 euros por no poner una frase.
¿Quién pone las multas en España?
La autoridad de supervisión española es la AESIA, la Agencia Española de Supervisión de la Inteligencia Artificial, con sede en A Coruña. España fue el primer país de la Unión en crear una agencia específica para esto.
Eso tiene una consecuencia práctica que conviene entender: no hace falta esperar a que Bruselas actúe. La supervisión es nacional y la instrucción de los expedientes también.
Por qué esto importa más de lo que parece
La reacción normal ante todo esto es archivarlo para más adelante. Es un error por dos motivos.
El primero es que la obligación viva no es la de alto riesgo, que se ha aplazado a diciembre de 2027, sino la de transparencia, que entra en agosto de 2026. Y esa afecta a muchísimas más empresas, porque cualquiera con un chatbot está dentro.
El segundo es que la multa casi nunca es el coste real. El coste real es el cliente que pide tu documentación de cumplimiento en un concurso y no la tienes, o la due diligence que se atasca porque nadie sabe qué sistemas de IA usa la empresa ni con qué datos. Esto se parece más al RGPD de 2018 que a una inspección de Hacienda: el papeleo se convierte en requisito de venta antes que en riesgo sancionador.
Y hay una obligación anterior a todas que casi nadie ha visto: la alfabetización en IA del artículo 4, en vigor desde febrero de 2025. Obliga a que quien usa estos sistemas en tu empresa tenga formación suficiente para entender lo que hace. No lleva multa propia asociada, pero es lo primero que te van a preguntar si alguna vez hay un expediente.
Lo que no te van a contar los titulares
Tres matices honestos, porque la mayoría de lo que se publica sobre esto está diseñado para asustar.
La mayoría de tus usos de IA son de riesgo mínimo. Filtros antispam, previsión de demanda, clasificación de documentos internos, transcripción de reuniones. El Reglamento no impone requisitos sobre eso. Solo recomienda códigos de conducta voluntarios.
Nadie ha sido multado todavía por el AI Act en España. El régimen sancionador es reciente y las autoridades están en fase de organización. Eso no significa que puedas ignorarlo, significa que tienes margen para llegar ordenado en vez de a la carrera.
El calendario se ha movido una vez y puede volver a moverse. El Digital Omnibus retrasó el alto riesgo casi año y medio. Planificar con fechas de la normativa europea como si fueran inamovibles es una forma cara de equivocarse. Lo que no se mueve es el trabajo de fondo: saber qué sistemas de IA usas, para qué, y con qué datos.
Por dónde empezar sin gastar un euro
El orden que tiene sentido es este.
Primero, inventario. Una lista de los sistemas de IA que usa tu empresa, quién los usa y qué datos les entran. Suele ser más larga de lo que el gerente cree, porque incluye las herramientas que la gente se ha instalado por su cuenta.
Segundo, clasificación. Para cada uno, en qué nivel de riesgo cae. La mayoría caerán en mínimo y ahí acaba el trabajo.
Tercero, el artículo 50. Si hay chatbot, agente telefónico o generación de contenido de cara al cliente, resolver el aviso antes de agosto de 2026.
Cuarto, dejarlo por escrito. Un documento de dos páginas con el inventario, la clasificación y quién es responsable de cada sistema. Eso es lo que enseñas cuando alguien lo pide.
Si quieres el punto de partida sin hacerlo a mano, el test de riesgo del EU AI Act te clasifica el uso en diez preguntas y te devuelve la puntuación de preparación y el requisito por requisito. Y si buscas el recorrido completo, está en la guía para cumplir el EU AI Act siendo pyme.
La conclusión
Las multas del AI Act son reales, pero para una pyme española son un orden de magnitud más pequeñas de lo que sugieren los titulares, porque el artículo 99 aplica la cifra menor y no la mayor.
Lo que sí es real y sí es inminente es el artículo 50. Agosto de 2026, cualquier empresa con un chatbot o un agente telefónico, y una solución que cuesta una tarde. La asimetría entre lo poco que cuesta cumplir y lo mucho que cuesta no hacerlo es la razón por la que esto no debería estar en la carpeta de pendientes.
Si tienes un chatbot o un agente telefónico funcionando y no sabes si cumple el artículo 50, es media hora de conversación. Agenda una llamada y lo miramos juntos.
Enlaces internos
- Cómo cumplir el EU AI Act siendo pyme
- Test de riesgo del EU AI Act
- Diagnóstico completo con informe en PDF
- Cómo usar IA generativa sin incumplir el RGPD
Referencias externas
- Reglamento (UE) 2024/1689, texto consolidado: https://eur-lex.europa.eu/eli/reg/2024/1689/oj
- Artículo 99 del Reglamento de IA, sanciones: https://artificialintelligenceact.eu/article/99/
- Artículo 50 del Reglamento de IA, obligaciones de transparencia: https://artificialintelligenceact.eu/article/50/
- Comisión Europea, marco regulatorio de la IA: https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai
- Nota sobre el "Digital Omnibus": el calendario de este artículo recoge el aplazamiento del alto riesgo del Anexo III al 2 de diciembre de 2027. Es un desarrollo legislativo posterior al texto consolidado enlazado arriba; conviene comprobar su estado de tramitación antes de tomar decisiones con esas fechas.
