Multas del AI Act: qué arriesga tu empresa y quién supervisa en España

Conviene fijar primero las fechas, que siguen generando confusión. El AI Act se aplica por tramos, y el Ómnibus digital —Reglamento (UE) 2026/1744, publicado el 24 de julio de 2026 y en vigor desde el 27— desplazó las obligaciones de alto riesgo, no el reglamento en su conjunto. Para el alto riesgo hay ahora dos fechas: el 2 de diciembre de 2027 para los sistemas clasificados conforme al artículo 6.2 y el Anexo III —selección de personal, crédito, servicios esenciales—, y el 2 de agosto de 2028 para los vinculados a productos regulados del artículo 6.1 y el Anexo I. El resto de obligaciones sigue su calendario.

Para muchas empresas que utilizan IA, hay tres bloques especialmente relevantes. No son los únicos: los proveedores de modelos de IA de uso general tienen los suyos desde agosto de 2025. Primero, las prácticas prohibidas del artículo 5, como la puntuación social, la inferencia de emociones en el trabajo o en educación salvo motivos médicos o de seguridad, la manipulación subliminal o la extracción no selectiva de imágenes faciales, aplicables desde el 2 de febrero de 2025. Segundo, la alfabetización en IA del artículo 4, aplicable desde la misma fecha y reformulada en julio de 2026. Tercero, las obligaciones de transparencia del artículo 50. Este artículo no impone una única obligación de etiquetado: establece deberes distintos según el sistema, el contenido y el papel de la empresa. Lo desarrollamos en qué exige el artículo 50.

El artículo 4 tiene una particularidad. No figura en la lista del artículo 99.4. Las preguntas frecuentes de la Comisión indican que las autoridades nacionales podrían imponer sanciones y otras medidas por su incumplimiento con base en las leyes nacionales. Explicamos qué exige en AI Act y formación.

El marco sancionador no estrena vigencia ahora: el capítulo XII se aplica desde el 2 de agosto de 2025, salvo el artículo 101. Y la posibilidad de sancionar un incumplimiento concreto depende de que la obligación ya se aplique. Según la Comisión, las autoridades nacionales supervisan desde el 2 de agosto de 2026. En España, esa aplicación tiene una cuestión específica que tratamos más abajo.

Estas fechas ordenan hoy la aplicación del reglamento. Merece la pena tenerlas a la vista, porque buena parte de la confusión nace de mezclarlas.

1. 2 de febrero de 2025 — Se aplican las prácticas prohibidas (artículo 5) y la alfabetización en IA (artículo 4).

2. 2 de agosto de 2025 — Obligaciones de los modelos de IA de uso general, gobernanza y capítulo de sanciones, salvo el artículo 101.

3. 2 de agosto de 2026 — Aplicación general, incluido el artículo 50, y multas de la Comisión a modelos de uso general (artículo 101).

4. 2 de diciembre de 2026 — Se prohíben los sistemas que generan material íntimo no consentido o de abusos sexuales de menores (artículo 5.1 b bis y b ter). Termina el plazo del marcado del artículo 50.2 para sistemas generativos introducidos en el mercado antes del 2 de agosto de 2026.

5. 2 de diciembre de 2027 — Sistemas de alto riesgo del artículo 6.2 y Anexo III

   selección de personal, crédito, servicios esenciales, educación.

6. 2 de agosto de 2028 — Sistemas de alto riesgo del artículo 6.1 y Anexo I

   IA integrada en productos ya regulados.

El Ómnibus digital fija dos novedades para esa fecha. La primera son dos prohibiciones nuevas, con el tramo máximo de multas del artículo 99.3: sistemas que generen o manipulen material íntimo no consentido de personas identificables y material de abusos sexuales de menores. La segunda es un periodo transitorio muy concreto. Los proveedores de sistemas de IA que generan audio, imagen, vídeo o texto sintético —incluidos los de uso general— y que se introdujeron en el mercado antes del 2 de agosto de 2026 disponen hasta el 2 de diciembre de 2026 para implantar el marcado técnico del artículo 50.2: la marca legible por máquina que permite detectar que un contenido ha sido generado o manipulado artificialmente.

El alcance es deliberadamente estrecho: afecta a esa obligación de marcado del proveedor y a los sistemas ya en el mercado, no a todo el artículo 50. Los avisos de los chatbots, la declaración de ultrasuplantaciones y el resto de deberes de transparencia, incluidos los del responsable del despliegue, se aplican desde el 2 de agosto de 2026 sin esa transición. Y un sistema generativo lanzado después de esa fecha nace con la obligación de marcado puesta.

La primera pregunta de cumplimiento no es de cuánto puede ser la multa: es qué papel ocupa tu empresa respecto de cada sistema de IA. El AI Act distingue entre operadores —sobre todo entre el proveedor, que desarrolla el sistema o lo comercializa con su marca, y el responsable del despliegue o deployer, que lo utiliza bajo su autoridad— y de ese papel dependen las obligaciones exigibles y, por tanto, la exposición sancionadora. Muchas empresas no desarrollan sistemas de IA, sino que usan soluciones de terceros, lo que las sitúa como responsables del despliegue.

El matiz que exige atención es que el papel se determina sistema a sistema, no a nivel de organización, y que se puede cambiar de casilla sin advertirlo: poner tu marca sobre un sistema de un tercero, modificarlo sustancialmente o darle una finalidad de alto riesgo te convierte en proveedor. Cómo hacer ese análisis lo detallamos en el checklist del AI Act, y es una de las primeras fases de nuestro servicio de cumplimiento del AI Act.

El artículo 99 del reglamento estructura las sanciones en tres tramos, según la gravedad de la infracción. En cada uno, el tope es la cifra absoluta o el porcentaje de la facturación mundial anual del ejercicio anterior, la que resulte mayor. Para pymes y empresas emergentes la lógica se invierte: se aplica la cifra que resulte menor. Desde el Ómnibus, las pequeñas empresas de mediana capitalización también aplican la cifra menor en los tramos de 15 y 7,5 millones. El artículo 99.1 contempla además advertencias y medidas no pecuniarias.

Hay un cuarto tramo que no gestionan las autoridades nacionales sino la Comisión Europea: las multas a proveedores de modelos de IA de uso general, de hasta 15 millones de euros o el 3 % del volumen de negocios mundial, aplicables desde el 2 de agosto de 2026. Además, el Ómnibus atribuye a la Oficina de IA competencia exclusiva sobre sistemas basados en modelos del mismo proveedor o grupo y sobre los integrados en plataformas y motores de búsqueda muy grandes, con potestad sancionadora. Según el artículo 75.1, al responsable del despliegue solo le alcanza si es también el proveedor o forma parte de su grupo. Cómo se aplica a un caso concreto debe analizarse.

Los importes máximos son eso: máximos. Es muy improbable que una autoridad imponga el tope de 15 millones a una pyme por un chatbot sin aviso: el propio artículo 99 obliga a graduar cada sanción atendiendo a las circunstancias del caso, y conocer esos criterios es útil porque describe, en negativo, cómo reducir la exposición antes de que nadie pregunte.

Los factores que el reglamento manda considerar incluyen la naturaleza, gravedad y duración de la infracción; el número de personas afectadas y el daño causado; si la infracción fue intencionada o negligente; las medidas correctoras adoptadas y su rapidez; las multas ya impuestas al operador por los mismos hechos; el tamaño y la cuota de mercado del infractor; y el grado de cooperación con la autoridad. Nuestra lectura práctica: tener identificados los usos de IA, los avisos que correspondan y un responsable puede ayudar a mostrar diligencia, medidas adoptadas y cooperación. Cada caso se valora según sus circunstancias.

• Gravedad y duración: un aviso de transparencia que faltó dos semanas no es un sistema prohibido operando dos años.
• Intencionalidad o negligencia: documentar las decisiones puede ayudar a mostrar diligencia.
• Medidas correctoras: corregir rápido y poder demostrarlo pesa a favor; esperar a la inspección pesa en contra.
• Cooperación: el grado de colaboración con la autoridad para subsanar la infracción también se tiene en cuenta.
• Tamaño de la empresa: se tienen en cuenta el tamaño, el volumen de negocios y la cuota de mercado. Para pymes, el tope es la cifra menor entre el importe absoluto y el porcentaje.

Situación a 1 de noviembre de 2026. La AESIA, Agencia Española de Supervisión de la Inteligencia Artificial, tiene sede en A Coruña y su Estatuto, el Real Decreto 729/2023, le atribuye funciones de supervisión, inspección, comprobación y sanción, en especial en materia de IA, conforme a la normativa europea que le resulte de aplicación.

El Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial, aprobado por el Consejo de Ministros el 26 de mayo de 2026, debía concretar el reparto de autoridades, las infracciones y el procedimiento. Su ficha en el Congreso lo da por caducado desde el 6 de octubre de 2026, al disolverse las Cortes tras la convocatoria de elecciones para el 29 de noviembre. Las nuevas Cámaras se constituyen el 23 de diciembre, y no se conoce si el texto se retomará ni con qué contenido.

¿Qué significa esto? El reglamento europeo sigue siendo directamente aplicable y sus obligaciones no dependen de esa ley. El artículo 99 encomienda a los Estados miembros el régimen de sanciones, y no hemos localizado una ley española vigente que lo desarrolle, aunque nuestra búsqueda no es exhaustiva. De ahí no se puede concluir que exista una moratoria ni que no puedan imponerse multas, como tampoco que se puedan imponer sin más. Es una cuestión que debe analizar un profesional jurídico en cada caso.

Centrar el análisis solo en la probabilidad de inspección puede ser un error, porque el AI Act también puede llegar a una empresa por el mercado. Es razonable esperar una evolución parecida a la del RGPD, en la que el cumplimiento acabó apareciendo en contratos y compras: un cliente o una licitación pueden pedir información sobre el uso de IA. Es una hipótesis nuestra, no un efecto legal del reglamento.

A eso se pueden sumar costes que no salen en la tabla de sanciones: retirar un producto o una funcionalidad, una posición débil en una disputa contractual o el coste reputacional de un expediente. También pueden aplicarse otras normas, como el RGPD o la normativa laboral. En esa etapa, la visibilidad de un sistema, las reclamaciones de personas afectadas y la facilidad para detectar un incumplimiento pueden convertirse en factores relevantes de exposición — y los tres apuntan al mismo sitio: lo que se ve y no está documentado.

• Cuestionarios de proveedores: la due diligence de clientes corporativos puede incluir preguntas sobre el AI Act.
• Licitaciones públicas: los pliegos pueden pedir información o compromisos sobre el uso de IA.
• Contratos: las cláusulas de conformidad regulatoria pueden alcanzar al reglamento.
• Seguros: es posible que los cuestionarios de ciberriesgo y D&O vayan incorporando preguntas sobre gobernanza de IA.

Si tienes obligaciones aplicables y poco o nada documentado, el camino es el checklist de seis pasos. Si te aplica alguna obligación del artículo 50 y no la cumples, el incumplimiento es actual, no una preparación pendiente.

El orden que recomendamos es: eliminar primero cualquier práctica prohibida, revisar después qué avisos del artículo 50 te corresponden y ordenar a continuación la documentación: inventario de sistemas, papel de la empresa en cada uno, clasificación de riesgo, responsable interno y medidas de alfabetización con registro interno. Si usas IA en selección de personal, añade el análisis laboral y de protección de datos. Es también el material que puede ayudarte a responder a un cuestionario de cliente.