Muchas empresas ya usan inteligencia artificial todos los días: ChatGPT, chatbots en la web, programas que filtran currículums, herramientas que generan imágenes…
Y casi ninguna se ha preguntado qué pasa si lo hace mal.
El Reglamento Europeo de Inteligencia Artificial (el AI Act) tiene su propio régimen de sanciones. Y las cifras son todavía más altas que las del RGPD.
En este artículo te explicamos cuáles son las multas del AI Act, qué conductas se sancionan, qué ocurre con las pymes y qué puede hacer tu empresa para evitarlas.
¿Qué es el AI Act y a quién afecta?
El Reglamento (UE) 2024/1689 de Inteligencia Artificial, conocido como AI Act o RIA, regula cómo se desarrollan y se usan los sistemas de IA en la Unión Europea.
Y no solo afecta a las empresas tecnológicas que crean inteligencia artificial.
También afecta a quien la usa en su actividad profesional. El reglamento lo llama responsable del despliegue.
Es decir: si tu empresa usa ChatGPT para atender clientes, un chatbot en su web o un programa de IA para seleccionar personal, estás dentro.
En julio de 2026 se aprobó el Ómnibus Digital (Reglamento UE 2026/1744), que ha modificado algunas fechas y obligaciones. Pero los importes de las multas siguen siendo los mismos.
| Tipo de infracción | Ejemplos | Multa máxima |
|---|---|---|
| Prácticas de IA prohibidas | Manipulación de personas, puntuación social, reconocimiento de emociones en el trabajo | Hasta 35 millones de euros o el 7 % de la facturación anual mundial |
| Incumplimiento de obligaciones | IA de alto riesgo sin supervisión humana, chatbot sin aviso de que es una IA, contenido sintético sin etiquetar | Hasta 15 millones de euros o el 3 % de la facturación anual mundial |
| Información incorrecta | Dar datos inexactos, incompletos o engañosos a las autoridades | Hasta 7,5 millones de euros o el 1 % de la facturación anual mundial |
Importante: para las grandes empresas se aplica la cifra más alta de las dos. Para las pymes y empresas emergentes, la más baja. Te lo explicamos más abajo.
Tipos de multas del AI Act
El artículo 99 del reglamento divide las sanciones en tres niveles según la gravedad:
1. Prácticas de IA prohibidas
Es el nivel más grave. Se sanciona usar o comercializar sistemas de IA que la Unión Europea ha prohibido directamente, como:
- sistemas que manipulan el comportamiento de las personas con técnicas subliminales o engañosas
- sistemas que se aprovechan de la edad, la discapacidad o la situación económica de una persona
- puntuación social de personas según su comportamiento
- reconocimiento de emociones en el trabajo o en los centros educativos (salvo por motivos médicos o de seguridad)
- categorización biométrica para deducir datos sensibles, como la ideología o la orientación sexual
- creación de bases de datos de reconocimiento facial con imágenes descargadas de internet o de cámaras
Desde el 2 de diciembre de 2026 se añaden dos prohibiciones más: generar contenido íntimo o sexual de personas reales sin su consentimiento y generar material de abuso sexual infantil.
- Multas: hasta 35 millones de euros o el 7 % de la facturación anual mundial.
2. Incumplimiento de otras obligaciones del reglamento
Aquí entran la mayoría de casos. Por ejemplo:
- usar un sistema de IA de alto riesgo sin supervisión humana
- no informar a los trabajadores antes de usar IA de alto riesgo en el trabajo
- no avisar de que un chatbot es una inteligencia artificial
- no indicar que una imagen, un audio o un vídeo que simula a una persona real ha sido generado con IA
- incumplimientos de proveedores, importadores y distribuidores
- Multas: hasta 15 millones de euros o el 3 % de la facturación anual mundial.
3. Información incorrecta a las autoridades
Facilitar información inexacta, incompleta o engañosa a las autoridades o a los organismos de evaluación cuando la piden.
- Multas: hasta 7,5 millones de euros o el 1 % de la facturación anual mundial.
¿Y los proveedores de modelos como ChatGPT?
Los proveedores de modelos de IA de uso general (OpenAI, Google, Meta…) tienen un régimen propio. Los sanciona directamente la Comisión Europea, con multas de hasta 15 millones de euros o el 3 % de su facturación.
Eso es problema suyo. Lo que haga tu empresa con su herramienta es problema tuyo.
Multas por IA de alto riesgo
Los sistemas de alto riesgo son los que pueden afectar de forma importante a los derechos de las personas. Entre otros:
- selección de personal, filtrado de currículums y evaluación de empleados
- decisiones sobre ascensos, despidos o reparto de tareas
- acceso a la educación y evaluación de alumnos
- concesión de créditos y cálculo de solvencia
- precios y acceso a seguros de vida y de salud
- identificación biométrica
Si tu empresa usa uno de estos sistemas, tiene obligaciones concretas como responsable del despliegue:
- usarlo siguiendo las instrucciones del proveedor
- asignar la supervisión humana a personas formadas
- controlar que los datos que se introducen son adecuados
- vigilar su funcionamiento y comunicar los incidentes
- conservar los registros que genera el sistema
- informar a los trabajadores y a las personas afectadas
No cumplir estas obligaciones puede suponer multas de hasta 15 millones de euros o el 3 % de la facturación.
¿Desde cuándo? Con el Ómnibus Digital, las obligaciones de alto riesgo se han aplazado:
- 2 de diciembre de 2027: sistemas de alto riesgo como los de empleo, educación, crédito o biometría.
- 2 de agosto de 2028: sistemas de IA integrados en productos regulados, como productos sanitarios o maquinaria.
Parece mucho tiempo. No lo es. Adaptar los procesos de selección o de evaluación de personal lleva meses.
¿Las pymes pagan lo mismo?
No. Y aquí hay un matiz importante.
Para las grandes empresas se aplica la cifra más alta: el importe fijo o el porcentaje de facturación.
Para las pymes y las empresas emergentes, se aplica la más baja de las dos. Tras el Ómnibus Digital, las autoridades también deben tener en cuenta la viabilidad económica de las pymes, las empresas emergentes y las pequeñas empresas de mediana capitalización al fijar la multa.
Ejemplo: una pyme que factura 2 millones de euros al año incumple una obligación de transparencia. El tope no son 15 millones. Es el 3 % de su facturación: 60.000 euros.
Sigue siendo una cifra que muchas pequeñas empresas no pueden asumir.
Y no hay exención por tamaño. Una pyme puede ser sancionada igual que una multinacional.
¿Cómo se calcula la multa?
El importe máximo es solo eso: un máximo. Para fijar la multa concreta, la autoridad tiene en cuenta, entre otros:
- la naturaleza, la gravedad y la duración de la infracción
- el número de personas afectadas y el daño causado
- el tamaño de la empresa y su facturación
- si ya ha sido sancionada por los mismos hechos por otra autoridad
- si ha sido intencionado o por negligencia
- si la empresa colaboró con la autoridad
- si fue la propia empresa quien comunicó el problema
- las medidas que tomó para reducir el daño
Traducido: tener la documentación en orden y actuar rápido reduce la multa. Improvisar la aumenta.
¿Quién pone las multas en España?
En España, la autoridad principal es la AESIA (Agencia Española de Supervisión de la Inteligencia Artificial), con sede en A Coruña.
La AEPD sigue siendo competente en todo lo que afecte a datos personales. Y casi todo uso de IA en una empresa afecta a datos personales.
El régimen sancionador español concreto está en el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial, que el Gobierno aprobó el 26 de mayo de 2026 y que se tramita en el Congreso. A fecha de publicación de este artículo, todavía no se ha aprobado.
Pero que la ley española esté en tramitación no significa que el reglamento europeo no se aplique. Las prohibiciones están vigentes desde febrero de 2025 y las obligaciones de transparencia, desde agosto de 2026.
¿Por qué se producen estas sanciones?
La mayoría de empresas no incumple por mala fe. Incumple porque no sabe que tiene obligaciones. Los errores más habituales:
- Pensar que el AI Act solo afecta a quien desarrolla la IA.
- Usar herramientas de IA para seleccionar personal sin supervisión humana.
- Poner un chatbot en la web sin avisar de que es una IA.
- Publicar imágenes o vídeos de personas generados con IA sin indicarlo.
- Usar sistemas que analizan las emociones o el comportamiento de los trabajadores.
- No formar al equipo que usa la IA.
- No tener ningún documento que demuestre cómo se usa la IA en la empresa.
No cumplir por desconocimiento… también se sanciona.
¿Y las multas del RGPD?
Siguen ahí. Y son independientes.
Si un sistema de IA trata datos personales de forma ilegal, la empresa puede recibir una multa del AI Act y otra del RGPD por los mismos hechos. Las del RGPD pueden llegar a 20 millones de euros o el 4 % de la facturación. Lo tienes explicado en sanciones por incumplir la LOPD.
Por eso no tiene sentido cumplir una norma y olvidarse de la otra. Si quieres ver cómo se cruzan las dos, te lo contamos en riesgos legales de la inteligencia artificial en protección de datos.
¿Qué puede hacer tu empresa para evitar multas del AI Act?
Cumplir con el AI Act no tiene por qué ser complicado si se hace con orden. Estas son las medidas clave:
- Inventario de sistemas de IA: qué herramientas se usan, quién las usa y para qué.
- Clasificación del riesgo: comprobar si alguna práctica está prohibida o es de alto riesgo.
- Política de uso de IA: normas claras sobre qué se puede hacer, con qué datos y quién revisa.
- Transparencia: avisar en chatbots y etiquetar el contenido generado con IA.
- Supervisión humana: que ninguna decisión importante sobre personas dependa solo de una máquina.
- Formación al equipo: todos los que usan IA deben saber hacerlo con seguridad.
- Protección de datos: revisar contratos con proveedores, textos informativos y, si procede, la evaluación de impacto.
- Revisión periódica: las herramientas y las normas cambian cada pocos meses.
Si usas ChatGPT en el día a día, empieza por aquí: ¿Se puede usar ChatGPT en la empresa?. Y si quieres montar un sistema completo, tienes la guía de compliance en inteligencia artificial y las obligaciones de la Ley de IA para las empresas.
Multas del AI Act: el riesgo no está en usar IA, sino en usarla sin control
Las multas del AI Act están pensadas para impresionar. Y lo consiguen.
Pero la mayoría de empresas no va a usar IA prohibida. Su riesgo real está en lo cotidiano:
- un chatbot sin aviso
- un proceso de selección sin supervisión
- un equipo sin formación
- datos personales metidos donde no deben
Todo eso se puede prevenir.
Muchas empresas incumplen sin saberlo, y eso no las exime de responsabilidad.
Por eso, contar con asesoramiento especializado puede marcar la diferencia entre usar la IA con tranquilidad o enfrentarse a una sanción.
Beatriz Sancho es especialista en protección de datos y cumplimiento normativo. Con experiencia en el sector energético y financiero, completó un Máster en Protección de Datos y Acceso a la Abogacía. Tras ejercer en Canarias, regresó a Zaragoza y en 2023 se unió a DEME Soluciones 360, aportando su experiencia legal en auditoría y consultoría.