Multas del Reglamento de IA (AI Act): cuánto, por qué infracción y quién las impone en España

Contexto

El Reglamento (UE) 2024/1689 de Inteligencia Artificial (RIA o AI Act) fija los topes de las multas y los criterios para graduarlas, pero deja a cada Estado miembro el régimen sancionador concreto: qué autoridad sanciona, con qué procedimiento y con qué tipos de infracción (art. 99, apartado 1).

El capítulo de sanciones aplica desde el 2 de agosto de 2025 (art. 113, párrafo tercero, letra b)), salvo las multas a proveedores de modelos de uso general, que aplican desde el 2 de agosto de 2026.

Qué cambia: las multas máximas

El art. 99, apartado 4, enumera las obligaciones incluidas: las de los proveedores (art. 16), representantes autorizados (art. 22), importadores (art. 23), distribuidores (art. 24), responsables del despliegue (art. 26), organismos notificados y la transparencia (art. 50). El Ómnibus añade las del art. 25, apartados 2 y 4 (cadena de valor).

Qué cambia, por tamaño de empresa

• Grandes empresas: se aplica la cuantía mayor entre el importe fijo y el porcentaje.
• Pymes y empresas emergentes: se aplica la cuantía menor (art. 99, apdo. 6).
• Pequeñas empresas de mediana capitalización: desde el Ómnibus, también la cuantía menor en las multas de los apartados 4 y 5 (art. 99, apdo. 6 bis).
• Al fijar el régimen, los Estados deben tener en cuenta los intereses y la viabilidad económica de pymes y pequeñas empresas de mediana capitalización (art. 99, apdo. 1, en la redacción del Ómnibus).

Cómo se gradúa una multa

El art. 99, apartado 7, obliga a tener en cuenta, entre otras circunstancias:

• la naturaleza, gravedad y duración de la infracción, la finalidad del sistema y el número de personas afectadas;
• si ya hay multas de otras autoridades por los mismos hechos;
• el tamaño, el volumen de negocios y la cuota de mercado del infractor;
• el beneficio obtenido o las pérdidas evitadas;
• la cooperación con las autoridades y si el operador notificó la infracción;
• la intencionalidad o negligencia y las medidas para reparar a los afectados.

Las multas del RIA son independientes de las del RGPD: si un sistema incumple las dos normas, se pueden imponer ambas. Ver RGPD y Reglamento de IA.

Impacto en España

No hay todavía régimen sancionador español. El proyecto de ley orgánica de gobernanza de la IA, que lo establecía, caducó el 6 de octubre de 2026 con la disolución de las Cortes (Real Decreto 806/2026).

Según la referencia oficial del Consejo de Ministros de 26 de mayo de 2026, ese proyecto preveía infracciones muy graves, graves y leves, multas de hasta 35 millones o el 7 % en los casos más graves y de hasta 500.000 euros o el 0,5 % en los más leves, y reducciones por pronto pago o por adoptar medidas correctoras. No está vigente: sirve solo como orientación. Detalle en el análisis de la ley española.

Cada Estado decide también si pueden multarse autoridades y organismos públicos (art. 99, apdo. 8).

Qué hacer ahora

1. Prioriza lo más sancionado: revisa que no usas prácticas prohibidas.
2. Documenta el cumplimiento: el grado de responsabilidad, la cooperación y las medidas adoptadas cuentan al graduar la multa.
3. Ten un procedimiento de incidentes: notificar y corregir pronto es un atenuante.
4. Revisa tu rol en cada sistema: las obligaciones sancionables dependen de él. Ver la guía del Reglamento.
5. Calcula tu tope máximo con la calculadora de multas según tu tipo de infracción, tu tamaño y tu volumen de negocios.

Puntos abiertos

• Qué autoridad española sanciona cada infracción y con qué procedimiento.
• Si se mantendrán en la nueva ley los tramos y reducciones del proyecto caducado.