Multas por la ley de IA: cuánto pueden costar y quién puede sancionarte hoy en España
El Artículo 99 del reglamento europeo de IA fija tres tramos de multa: hasta 35 millones de euros o el 7% de la facturación global por prácticas prohibidas, hasta 15 millones o el 3% por incumplir el resto de obligaciones (incluida la formación del Artículo 4), y hasta 7,5 millones o el 1% por dar información inexacta a las autoridades. Para pymes se aplica siempre la cifra menor de las dos. En España hay un matiz decisivo que casi nadie cuenta: la ley nacional que designa quién impone esas multas sigue en el Congreso, así que el riesgo real hoy no viene por donde la mayoría cree.
Cuando alguien me pregunta por las multas de la ley de IA, noto que espera oír que son cosa de las grandes tecnológicas. Que quince millones de euros es una cifra que solo aplica a multinacionales. Eso es un error, pero el error contrario, agitar la multa como si la AESIA fuera a llamar a tu puerta mañana, también lo es. Vamos a poner cada cosa en su sitio.
¿Cuánto pueden llegar a costar las multas del reglamento europeo de IA?
Los tres tramos del Artículo 99 del Reglamento (UE) 2024/1689, aplicables desde el 2 de agosto de 2025:
| Infracción | Multa máxima | A quién suele afectar |
|---|---|---|
| Prácticas prohibidas (art. 5): puntuación social, manipulación subliminal, biometría en espacios públicos sin autorización | 35 M€ o el 7% de la facturación global anual (la mayor) | Casos extremos, poco frecuentes |
| Incumplir el resto de obligaciones, incluida la formación del Artículo 4, la transparencia del art. 50 y las obligaciones de alto riesgo | 15 M€ o el 3% (la mayor) | La mayoría de empresas |
| Facilitar información inexacta, incompleta o engañosa a las autoridades | 7,5 M€ o el 1% (la mayor) | Quien ya está en un procedimiento |
Para pymes y startups la regla se invierte: se aplica el importe menor de los dos, no el mayor. Una empresa con dos millones de euros de facturación anual se enfrenta, por incumplir el Artículo 4, a una multa máxima efectiva de sesenta mil euros (el 3% de su facturación, no los 15 millones). Una con quinientos mil, a quince mil.
No son cifras que pongan en quiebra a nadie por sí solas. Pero tampoco son un riesgo que merezca ignorar cuando el coste de cumplir es mucho menor, y en muchos casos, cero gracias al crédito FUNDAE.
¿Quién puede imponer estas multas en España hoy?
Aquí está el matiz que separa este artículo de la mayoría de lo que circula, y conviene decirlo con precisión porque las dos exageraciones, el pánico y la complacencia, llevan a decisiones malas.
Las multas del reglamento las imponen las autoridades nacionales de vigilancia de mercado, y cada Estado miembro debía designarlas y articular su procedimiento sancionador. España aún no ha completado ese paso: el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la IA, que designa a la AESIA como autoridad principal y fija el procedimiento, fue aprobado por el Consejo de Ministros el 26 de mayo de 2026 y está en tramitación parlamentaria, con plazo de enmiendas abierto este verano. Hasta que se publique en el BOE, la AESIA no tiene el cauce para imponer multas del reglamento de IA.
¿Significa eso que no hay riesgo? No, y aquí está la trampa de la complacencia:
Las obligaciones son exigibles igualmente. El reglamento europeo es de aplicación directa; no necesita ley española para obligarte. Lo que falta es el cauce sancionador nacional, no la obligación.
El riesgo hoy viene por otras vías. La AEPD puede sancionar ya (con el RGPD en la mano) el uso de IA que trate mal datos personales. Un empleado puede reclamar. Un cliente grande puede auditarte como proveedor. Una due diligence en una operación corporativa puede levantar la alfombra. Ninguno de esos detonantes espera a la ley española.
Y la ley española viene con su propio régimen. El proyecto en tramitación añade a los tramos europeos una categoría de infracciones leves con multas de hasta 500.000 euros, y designa un reparto de autoridades: AESIA como principal, AEPD para biometría, Banco de España y CNMV en el ámbito financiero. Las cuantías finales pueden cambiar con las enmiendas, pero la dirección es clara: el cauce se está construyendo, no descartando.
Las multas del AI Act y las del RGPD se acumulan
Este es el punto que menos se comenta y que más importa a las pymes.
Si tu empresa usa herramientas de IA que procesan datos personales, y la mayoría lo hace porque casi toda IA empresarial trabaja con datos de clientes, empleados o proveedores, una misma infracción puede activar simultáneamente dos marcos sancionadores: el del reglamento de IA y el del RGPD. Son autoridades distintas que pueden actuar de forma independiente sobre el mismo hecho.
El coste real de un incumplimiento no es una multa. Puede ser dos. Y la del RGPD no está esperando a ninguna ley: la AEPD la impone hoy.
¿Qué miraría una inspección sobre la formación?
Cuando el cauce sancionador esté operativo, lo que la autoridad evaluará del Artículo 4 no es si todos tus empleados son expertos en IA. Es si la empresa tomó medidas activas y proporcionales. En concreto, tres cosas:
- Un inventario de los sistemas de IA que usa la empresa, quién los usa y para qué.
- Registros de la formación impartida: fechas, contenidos, participantes.
- Una justificación de proporcionalidad: por qué esa formación es adecuada al uso que hace cada persona.
Si tu empresa no tiene ninguno de los tres, la exposición es total. Si los tiene, cae drásticamente, porque una obligación de medios se satisface demostrando medios, y eso es exactamente lo que esos tres elementos demuestran. Qué exige el Artículo 4 en detalle, aquí.
La comparación de coste-riesgo que mueve a actuar
La multa máxima por incumplir el Artículo 4 en una pyme mediana puede llegar a sesenta mil euros, más lo que caiga por el lado del RGPD si hay datos personales por medio. Una formación real en IA para un equipo de veinte personas, bien documentada y bonificada a través del crédito FUNDAE, puede costar cero euros adicionales. En 4Geeks diseñamos el programa AI Fluency exactamente para esto: formación documentada por rol para equipos no técnicos.
Hago el contraste explícito porque es el argumento que más claramente mueve a la acción. No va de cumplir por principio. Va de una comparación de coste-riesgo muy básica con una conclusión obvia.
Lo que no tiene precio, o lo tiene muy alto, es esperar a que llegue el detonante con los registros vacíos. No porque una agencia vaya a ir empresa por empresa, sino porque el expediente puede llegar por una reclamación de un empleado, una auditoría de un cliente o una operación corporativa. Esos detonantes no avisan.
Una aclaración necesaria
Este artículo no es asesoramiento legal. No soy abogado y no pretendo serlo. Si tu empresa usa IA en contextos de mayor impacto (selección de personal, decisiones financieras, salud, infraestructuras) el análisis de riesgo es más complejo y requiere un especialista.
Lo que sí puedo decir con claridad: la obligación de formación del Artículo 4 aplica a todas las empresas que usan IA, independientemente del nivel de riesgo de sus sistemas. Es la base, es la parte que cualquier empresa puede resolver sin consultoría legal, y es la protección más barata disponible. El resto del reglamento tiene más capas. Esta no.
Víctor Gómez es CEO y cofundador de 4Geeks Academy España.