Sanciones del AI Act: cuánto arriesga de verdad una pyme
Los 35 millones son la cifra para las grandes tecnológicas. El artículo 99(6) aplica a pymes la sanción menor, no la mayor, y el riesgo real es otro.
Publicado el 2026-08-09.
El titular dice 35 millones. El artículo 99(6) dice otra cosa
Casi todos los artículos sobre el Reglamento (UE) 2024/1689 abren con la misma cifra: multas de hasta 35 millones de euros. Es cierto, pero es la cifra pensada para una gran tecnológica con facturación global, no para una pyme española. El propio reglamento lo corrige en el artículo 99, apartado 6: para pymes, incluidas las startups, cada multa de las previstas en el artículo se aplica hasta el importe o el porcentaje que sea menor de los dos, no el mayor. Es la regla inversa a la que se usa con las grandes empresas, y cambia por completo el cálculo de riesgo.
El régimen sancionador del artículo 99 es exigible desde el 2 de agosto de 2025, junto con las obligaciones de gobernanza y las de los modelos de uso general, según el artículo 113. Esto significa que, aunque las prácticas prohibidas del artículo 5 llevan siendo exigibles desde el 2 de febrero de 2025, el marco de multas que las respalda no entró en aplicación hasta seis meses después.
Los tres tramos de sanción, y por qué no es «lo mayor» para ti
El artículo 99 distingue tres niveles de infracción, cada uno con su propio techo:
- Artículo 99(3): incumplir la prohibición de prácticas de IA del artículo 5 (manipulación subliminal, scoring social, ciertos usos biométricos, etc.) — hasta 35.000.000 € o el 7 % de la facturación mundial del ejercicio anterior, la que sea mayor para una gran empresa.
- Artículo 99(4): incumplir las obligaciones de proveedores (art. 16), representantes autorizados (art. 22), importadores (art. 23), distribuidores (art. 24), responsables del despliegue (art. 26) u organismos notificados (arts. 31, 33 y 34), así como las obligaciones de transparencia del artículo 50 — hasta 15.000.000 € o el 3 % de la facturación.
- Artículo 99(5): dar información incorrecta, incompleta o engañosa a un organismo notificado o a una autoridad — hasta 7.500.000 € o el 1 % de la facturación.
Para una gran empresa, en los tres casos se aplica la cifra que resulte más alta entre el importe fijo y el porcentaje. Para una pyme o startup, el artículo 99(6) invierte el criterio: se aplica la que resulte más baja. En la práctica, esto casi siempre significa que el techo real es el porcentaje, no el importe fijo, porque la facturación de una pyme rara vez alcanza los cientos de millones necesarios para que el 7 % supere los 35 millones. Una empresa que factura 2 millones de euros al año, en el peor de los escenarios del artículo 5, tiene un techo teórico de 140.000 € (el 7 % de su facturación), no de 35 millones.
| Tramo (artículo) | Qué sanciona | Techo para gran empresa | Techo para pyme/startup (art. 99.6) |
|---|---|---|---|
| Art. 99(3) | Prácticas prohibidas del art. 5 | 35 M € o 7 % facturación, la mayor | 35 M € o 7 % facturación, la menor |
| Art. 99(4) | Obligaciones de proveedor, deployer, importador, distribuidor, organismo notificado o transparencia (art. 50) | 15 M € o 3 % facturación, la mayor | 15 M € o 3 % facturación, la menor |
| Art. 99(5) | Información incorrecta o engañosa a autoridades | 7,5 M € o 1 % facturación, la mayor | 7,5 M € o 1 % facturación, la menor |
El artículo 99(7) añade además una lista de factores que la autoridad debe valorar antes de fijar el importe: gravedad y duración de la infracción, número de personas afectadas, si hay reincidencia, el grado de cooperación con la autoridad, y si la infracción fue intencionada o negligente. Y el apartado 1 es explícito: las sanciones deben ser «efectivas, proporcionadas y disuasorias» pero tienen que tener en cuenta «los intereses de las pymes, incluidas las startups, y su viabilidad económica». No es una cláusula decorativa: condiciona toda la aplicación práctica del régimen.
Quién sanciona en España (y por qué esto todavía se está montando)
España no tiene todavía una ley definitiva de régimen sancionador nacional del AI Act: el Consejo de Ministros aprobó el 26 de mayo de 2026 el proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial y lo remitió al Congreso, pero a fecha de esta guía sigue en trámite parlamentario. Lo relevante de ese proyecto, que desarrolla el marco del artículo 99 a nivel nacional:
- Las infracciones se clasifican en leves, graves y muy graves, con sanciones desde 500.000 € o el 0,5 % de la facturación en las más leves hasta los 35 millones o el 7 % en las más graves (siempre sujeto a la regla del artículo 99.6 para pymes).
- Para sistemas de IA integrados en productos ya regulados (maquinaria, juguetes, vehículos, productos sanitarios), la autoridad notificante y de vigilancia sigue siendo la del sector correspondiente.
- Para el resto de sistemas —empleo, biometría, educación, servicios esenciales— la supervisión recae principalmente en la Agencia Española de Supervisión de Inteligencia Artificial (AESIA), con la AEPD y el CGPJ interviniendo según el ámbito. AESIA actúa además como punto de contacto único.
- El proyecto prioriza medidas correctoras y reducciones por pronto pago frente a la sanción directa, en línea con lo que ya prevé el artículo 99(1) sobre advertencias y medidas no pecuniarias.
Hasta que esa ley se apruebe definitivamente, el régimen aplicable es el del propio Reglamento, con las autoridades de vigilancia de mercado ya operativas actuando conforme a los artículos 74 y 79.
El riesgo real no es la multa: es el requerimiento y la retirada
Aquí está la parte que rara vez se explica: para una pyme, el escenario más probable no es una resolución sancionadora de seis o siete cifras. Es un requerimiento de información o de corrección. El artículo 21 obliga a cooperar con las autoridades competentes, y el artículo 79 regula el procedimiento nacional cuando una autoridad detecta que un sistema de IA «presenta un riesgo»: primero pide información, después puede exigir medidas correctoras y, si no se atienden, puede ordenar la retirada del sistema del mercado o de servicio. El artículo 99(1) permite explícitamente que la sanción sea un aviso o una medida no monetaria, no necesariamente una multa.
Para una pyme, el coste real de este proceso no suele estar en el importe de la multa —que, como hemos visto, tiende a ser bajo por el artículo 99(6)— sino en: rehacer la documentación técnica en pocas semanas, paralizar un sistema que ya usas en producción (por ejemplo, un filtro de currículums o un scoring de crédito), y el daño reputacional de que un cliente o un organismo público sepa que has recibido un requerimiento. Hacer bien el inventario de sistemas de IA de tu empresa es, en la práctica, la medida que más reduce ese riesgo, porque te permite responder a un requerimiento con documentación ya lista en lugar de empezar de cero.
Proveedor o responsable del despliegue: la distinción que decide qué artículo te toca
El artículo 99(4) agrupa obligaciones muy distintas bajo el mismo techo de sanción, y la mayoría de las pymes confunde su papel. Si compras una herramienta de IA a un proveedor externo y la usas en tu empresa —un asistente de selección de personal, un chatbot de atención al cliente, un sistema de scoring—, eres responsable del despliegue (art. 26): tus obligaciones son usar el sistema conforme a las instrucciones del proveedor, garantizar supervisión humana y, en determinados casos, informar a las personas afectadas. Si además desarrollas o adaptas sustancialmente ese sistema y lo comercializas, pasas a tener también obligaciones de proveedor (art. 16), mucho más exigentes: gestión de calidad, documentación técnica, evaluación de conformidad. La mayoría de las pymes españolas son deployers, no proveedores, pero conviene revisarlo caso por caso porque de ahí depende qué artículo del 99(4) se te podría aplicar.
Esta distinción es también la que marca cuándo entra realmente en juego cada obligación. Las prácticas prohibidas ya son exigibles desde febrero de 2025 para cualquier operador, con independencia de su papel. En cambio, el alto riesgo del Anexo III (empleo, crédito, educación, biometría) no se aplica hasta el 2 de diciembre de 2027, y el del Anexo I hasta el 2 de agosto de 2028: ambas fechas se aplazaron respecto al calendario original. Si quieres el detalle completo de qué cambia y qué no en la fecha que más ruido ha generado, tenemos la guía de qué entra en vigor el 2 de agosto de 2026: ese día llegan las obligaciones de transparencia del artículo 50, no el alto riesgo completo.
Preguntas frecuentes
¿Una pyme puede llegar a pagar 35 millones de euros de multa?
En la práctica, no. El artículo 99(6) obliga a aplicar a pymes y startups la cifra menor entre el importe fijo y el porcentaje de facturación, y con la facturación típica de una pyme ese porcentaje casi siempre queda muy por debajo de la cifra fija.
¿Desde cuándo se pueden imponer sanciones del AI Act en España?
El régimen sancionador del artículo 99 es exigible desde el 2 de agosto de 2025, según el artículo 113. Las prácticas prohibidas del artículo 5, en cambio, llevan siendo obligatorias desde el 2 de febrero de 2025.
¿Quién sanciona a una pyme española por incumplir el AI Act?
Depende del sector: si el sistema de IA está integrado en un producto ya regulado, actúa la autoridad sectorial habitual; para el resto de casos, el proyecto de ley español atribuye la supervisión principalmente a AESIA, con la AEPD y el CGPJ según el ámbito.
¿Qué es más probable, una multa o un requerimiento?
Un requerimiento de información o de medidas correctoras conforme al artículo 79 es mucho más probable que una sanción económica directa; el artículo 99(1) permite además resolver con un simple aviso en lugar de una multa.
¿Cambia algo si soy proveedor o si solo uso una herramienta de IA de un tercero?
Sí, y es la confusión más habitual: si solo usas la herramienta eres responsable del despliegue (artículo 26), con obligaciones más ligeras que si la desarrollas o comercializas, en cuyo caso también te aplican las obligaciones de proveedor del artículo 16.