¿De cuánto son las multas de la Ley de IA? Hasta 35 millones de euros o el 7 por ciento del volumen de negocio mundial anual, la cifra que sea mayor, para las infracciones más graves. Para las pequeñas y medianas empresas, el artículo 99, apartado 6, lo suaviza: cada multa se limita a la menor de las dos cifras, no a la mayor.
Estado: 2026-09-15
La multa es lo primero que pregunta una dirección en cuanto la Ley de IA llega a la mesa. La cifra de 35 millones circula en todos los titulares, pero describe el caso extremo, no el día a día de una empresa de cincuenta personas. Conocer los tres niveles y saber cuándo se aplica cada uno permite dimensionar el riesgo propio con realismo en lugar de temerlo.
Los tres niveles de multa del artículo 99
La Ley de IA gradúa las multas según la gravedad de la infracción. Los importes figuran en el artículo 99 del Reglamento (UE) 2024/1689, la propia Ley de IA, y se explican en la guía de la Comisión Europea sobre el artículo 99.
El nivel superior alcanza a las prácticas prohibidas del artículo 5, como inferir emociones en el puesto de trabajo o la puntuación social. Aquí son hasta 35 millones de euros o el 7 por ciento del volumen de negocio mundial anual del ejercicio anterior, la cifra que sea mayor.
El nivel intermedio se aplica al incumplimiento de la mayoría de las demás obligaciones: los deberes del proveedor y del responsable del despliegue en sistemas de alto riesgo, los deberes de transparencia y las obligaciones de los organismos notificados. El tope es de hasta 15 millones de euros o el 3 por ciento del volumen de negocio mundial, de nuevo la mayor de las dos.
El nivel inferior cubre la información incorrecta, incompleta o engañosa facilitada a las autoridades. Conlleva hasta 7,5 millones de euros o el 1 por ciento del volumen de negocio. Responder a un requerimiento de la autoridad de vigilancia de forma descuidada o evasiva expone, por tanto, a una multa propia, distinta de la infracción de fondo. Este nivel se pasa por alto a menudo en el debate, y sin embargo es con el que una empresa entra en contacto primero.
Importa la expresión hasta. Las tres cifras son topes, no importes de referencia. Dentro del margen, la autoridad fija el nivel según el artículo 99, apartado 7: la naturaleza, la gravedad y la duración de la infracción, si fue intencionada o negligente, cuán cooperadora fue la empresa y su tamaño. Un descuido puntual corregido pronto queda en la franja baja, un incumplimiento deliberado y prolongado en la alta. Tomar el máximo del titular como caso normal lleva a sobrestimar la exposición de forma sistemática.
Desde cuándo se pueden imponer
La facultad sancionadora existe desde el 2 de agosto de 2025. Lo fija el artículo 113 de la Ley de IA: el capítulo sobre las multas se aplica desde esa fecha, y los Estados miembros debían establecer sus normas nacionales de sanción y notificarlas a la Comisión antes de entonces (artículo 113, Comisión Europea).
La distinción que importa es entre la facultad y el detonante. Una multa presupone el incumplimiento de una obligación que ya esté vigente. Las prácticas prohibidas del artículo 5 están prohibidas desde el 2 de febrero de 2025, así que pueden sancionarse desde agosto de 2025. Los deberes de transparencia del artículo 50 se aplican desde el 2 de agosto de 2026. Las obligaciones más pesadas para sistemas de alto riesgo del anexo III, en cambio, se aplazaron al 2 de diciembre de 2027 con el Digital Omnibus, el Reglamento (UE) 2026/1744, como expusimos en nuestro análisis de los plazos de alto riesgo. Donde todavía no hay obligación, tampoco hay multa.
Eso alivia bastante el cuadro para las empresas más pequeñas. La gran mayoría de las obligaciones con riesgo de multa afectan a sistemas de alto riesgo, y la mayoría de las empresas no operan ninguno. Lo que ya es sancionable hoy son las prácticas prohibidas y, desde agosto de 2026, el deber de transparencia en chatbots y contenidos generados por IA. Todo lo demás se va construyendo solo a lo largo de los próximos dos años.
Qué cambia para las pymes
Las pequeñas y medianas empresas y las empresas emergentes tienen su propia regla. Según el artículo 99, apartado 6, la multa para ellas se limita a la menor de las dos cifras, no a la mayor. Las grandes empresas pagan la mayor entre el importe fijo y el porcentaje, una pyme la menor. La diferencia de redacción es una sola palabra; la diferencia de efecto es enorme.
Un ejemplo lo hace tangible. Una empresa con 4 millones de euros de volumen de negocio anual: el 7 por ciento son 280.000 euros. Como se le aplica el valor menor, ese es el tope, no los 35 millones del titular. La sanción queda así ligada al tamaño real del negocio, que, según nuestra interpretación, es justo el propósito de la regla. En un grupo con miles de millones de facturación la relación se invierte, el 7 por ciento supera con creces los 35 millones, y rige el porcentaje.
Un tope no es aun así una patente de corso. Incluso 280.000 euros golpean con fuerza a una empresa mediana, y dentro del margen la autoridad fija el importe por gravedad, duración e intencionalidad. La regla para pymes baja el máximo; no hace desaparecer la infracción. Quien emplee una práctica prohibida sigue en la categoría más cara, solo que con un límite a escala de su tamaño.
Quién impone las multas
Las multas no las impone Bruselas, sino las autoridades nacionales. En España es la Agencia Española de Supervisión de la Inteligencia Artificial, la AESIA, creada ya en 2023 por el Real Decreto 729/2023 y, por tanto, en marcha antes que en la mayoría de los Estados miembros. En Alemania, el proyecto de ley de vigilancia del mercado e impulso a la innovación, aprobado por el consejo de ministros federal en febrero de 2026, designa a la Bundesnetzagentur como autoridad central de vigilancia del mercado. Ese proyecto todavía no está en vigor, de modo que la estructura exacta aún puede cambiar. El patrón en toda la UE tiene la misma forma: uno o varios organismos nacionales designados aplican las normas en su territorio.
El artículo 101 es la excepción. Las multas a los proveedores de modelos de IA de uso general, es decir, los grandes modelos de lenguaje, las impone la propia Comisión Europea, con un tope de hasta 15 millones de euros o el 3 por ciento. Esa regla se aplica desde el 2 de agosto de 2026 (artículo 101, Comisión Europea). Para una empresa que solo usa un modelo terminado o abierto, no es aplicable: el artículo 101 apunta a los fabricantes de los modelos, no a quienes los usan.
Cómo reducir el riesgo
El riesgo de multa baja no con inquietud, sino con dos pasos serenos. El primero es clasificar bien el propio papel. Quien solo usa un sistema es responsable del despliegue, con un catálogo de deberes abarcable; quien lo reconstruye o lo cede bajo nombre propio pasa a ser proveedor. Explicamos esa bifurcación en detalle en responsable del despliegue o proveedor, y decide cuáles de las obligaciones sancionables le afectan siquiera.
El segundo paso es la documentación. El nivel inferior de multa apunta precisamente a la información incorrecta o incompleta ante la autoridad. Una empresa que documenta con orden qué sistemas funcionan en casa, para qué se usan y quién es responsable responde a un requerimiento con calma y con pruebas. La IA local en el servidor propio suele facilitar esa prueba, porque los flujos de datos y el origen del modelo se quedan en casa en lugar de reconstruirse desde un servicio externo. En España, una implantación así puede encajar además en las ayudas del Kit Digital.
Lo más barato es empezar comprobando las prácticas prohibidas del artículo 5, ya que están en el nivel más caro y ya se aplican. Cuáles de sus sistemas podrían siquiera caer ahí suele resolverse rápido, y la respuesta, por nuestra experiencia, es ninguno. Queda entonces la transparencia en chatbots y contenidos de IA publicados como la obligación principal por la que hoy se puede multar.
Este artículo ordena la situación legal según nuestra interpretación; no sustituye al asesoramiento jurídico en cada caso. Qué significa el marco de multas para su empresa concreta se aclara mejor sobre sus sistemas reales en un proyecto piloto.
Preguntas frecuentes
¿De cuánto son las multas de la Ley de IA?
Hasta 35 millones de euros o el 7 por ciento del volumen de negocio mundial anual para las prácticas prohibidas del artículo 5, hasta 15 millones o el 3 por ciento para la mayoría de las demás obligaciones, y hasta 7,5 millones o el 1 por ciento por facilitar información incorrecta a las autoridades.
¿Tienen las pymes un tope más bajo?
Sí. Según el artículo 99, apartado 6, para las pymes y las empresas emergentes cada multa se limita a la menor de las dos cifras, mientras que las grandes empresas pagan la mayor. Con un volumen de negocio pequeño suele aplicarse el porcentaje.
¿Desde cuándo puede la Ley de IA imponer multas?
La facultad sancionadora existe desde el 2 de agosto de 2025 según el artículo 113. Aun así, una multa exige el incumplimiento de una obligación que ya esté vigente, como la prohibición de ciertas prácticas desde el 2 de febrero de 2025.
¿Quién impone las multas en España?
Las autoridades nacionales de vigilancia del mercado. En España, la AESIA. Las multas a los proveedores de modelos de IA de uso general las impone en cambio la Comisión Europea según el artículo 101.