Sanciones del Reglamento de IA: cuánto puede costarte no cumplir

El Reglamento Europeo de IA no es una recomendación de buenas prácticas. Tiene un régimen sancionador propio, con importes que superan los del RGPD, y es aplicable desde el 2 de agosto de 2025.

Esta guía desglosa los tramos, qué incumplimiento activa cada uno y cómo funciona la supervisión en España, sin rodeos.

Los tres tramos de sanción

Tramo 1: hasta 35 millones de euros o el 7% de la facturación anual mundial

Se aplica la cifra más elevada de las dos. Este tramo se reserva para el incumplimiento de las prácticas prohibidas del artículo 5, es decir, los sistemas de riesgo inaceptable.

Qué lo activa:

• Usar sistemas de manipulación subliminal o que explotan vulnerabilidades.
• Puntuación social de personas.
• Reconocimiento de emociones en el lugar de trabajo o en centros educativos.
• Categorización biométrica para inferir características sensibles.
• Raspado masivo indiscriminado de imágenes faciales.
• Identificación biométrica remota en tiempo real en espacios públicos fuera de los supuestos permitidos.

Este es el tramo que más subestiman las empresas, porque suenan a ciencia ficción. No lo son: un software de control de productividad que analice expresiones faciales de empleados por videollamada está en este tramo.

Tramo 2: hasta 15 millones de euros o el 3% de la facturación anual mundial

Es el tramo general de incumplimiento de obligaciones. Aquí caerá la mayoría de los expedientes reales contra pymes. Qué lo activa:

• Incumplir las obligaciones de los proveedores de sistemas de alto riesgo: falta de sistema de gestión de riesgos, gobernanza de datos deficiente, documentación técnica ausente o incompleta, falta de registro automático de eventos, sin sistema de calidad, sin evaluación de la conformidad, sin marcado CE.
• Incumplir las obligaciones de los responsables del despliegue: no usar el sistema conforme a las instrucciones, no garantizar supervisión humana por personas con competencia y formación, no vigilar el funcionamiento, no conservar los registros durante el plazo exigido, no informar a los trabajadores afectados, no informar a las personas sometidas a decisiones del sistema.
• Incumplir las obligaciones de importadores y distribuidores.
• Incumplir las obligaciones de transparencia del artículo 50: no avisar de que se interactúa con una IA, no marcar contenido generado artificialmente, no revelar deepfakes.
• No cooperar con las autoridades o no facilitar el acceso a la documentación requerida.

Tramo 3: hasta 7,5 millones de euros o el 1% de la facturación anual mundial

Se aplica por suministrar información incorrecta, incompleta o engañosa a las autoridades notificadas o a las autoridades nacionales competentes en respuesta a un requerimiento.

Dicho de otro modo: si te requieren documentación y presentas un expediente maquillado o reconstruido a posteriori, el problema pasa de ser un incumplimiento a ser dos.

El tramo específico para modelos de propósito general

Los proveedores de modelos de IA de propósito general (los grandes modelos de lenguaje) tienen su propio régimen: hasta 15 millones de euros o el 3% de la facturación anual mundial. Afecta a quien desarrolla el modelo, no a quien lo usa, pero conviene conocerlo porque condiciona la información que tu proveedor debe darte.

La proporcionalidad para pymes: lo que sí cambia

El reglamento reconoce expresamente la situación de las pymes y start-ups. Para ellas, cada importe máximo se aplica tomando el porcentaje o la cifra que resulte inferior, no la superior. Es decir, la lógica se invierte a favor de la pequeña empresa.

Un ejemplo aterrizado. Una pyme española con 2 millones de euros de facturación anual que incumple obligaciones de alto riesgo:

• Cálculo por porcentaje: 3% de 2.000.000 = 60.000 euros.
• Cálculo por importe fijo: 15.000.000 euros.
• Al ser pyme, se aplica la cifra inferior: el techo son 60.000 euros.

Sesenta mil euros no arruinan a una gran corporación. A una pyme de dos millones de facturación le rompen el ejercicio. Y ese es el techo del tramo medio; en el tramo de prácticas prohibidas, el 7% de esa misma facturación son 140.000 euros.

Qué se tiene en cuenta para fijar el importe

Las autoridades no van directamente al máximo. Ponderan:

• La naturaleza, gravedad y duración de la infracción y sus consecuencias.
• Si otras autoridades ya han sancionado por los mismos hechos.
• El tamaño, volumen de negocio y cuota de mercado del infractor.
• La existencia de agravantes o atenuantes, incluido el beneficio económico obtenido o las pérdidas evitadas.
• El grado de cooperación con la autoridad.
• El grado de responsabilidad, teniendo en cuenta las medidas técnicas y organizativas aplicadas.
• Si la infracción fue dolosa o negligente, y si se comunicó voluntariamente.
• Las medidas adoptadas para mitigar el perjuicio.

La lectura práctica es clara: una empresa que llega a la inspección con su inventario de sistemas, su clasificación de riesgo documentada, sus registros conservados y sus incidencias comunicadas está en un punto de partida radicalmente distinto al de una empresa que no tiene nada. La diferencia entre un apercibimiento y una multa suele estar ahí, no en la infracción original.

Cómo funciona la supervisión en España

España fue el primer Estado miembro en crear una autoridad específica: la AESIA (Agencia Española de Supervisión de la Inteligencia Artificial), con sede en A Coruña, creada por Real Decreto 729/2023. Es la autoridad nacional de vigilancia del mercado para el AI Act.

Además, actúan en su ámbito otras autoridades sectoriales: la AEPD en materia de datos personales y biometría, el Banco de España y la CNMV en servicios financieros, y las autoridades sectoriales correspondientes en salud o transporte. Un mismo sistema mal implantado puede generar expedientes paralelos por el AI Act y por el RGPD, con sanciones independientes.

Riesgos que no son la multa

Centrarse solo en la sanción administrativa es un error de análisis. Los costes reales que vemos con más frecuencia son otros:

• Orden de retirada o de cese de uso del sistema. Si tu operativa depende de esa IA, el impacto operativo supera al económico.
• Bloqueo comercial: cada vez más contratos con grandes clientes y con la administración pública exigen acreditar el cumplimiento del AI Act. Sin documentación, quedas fuera del concurso.
• Responsabilidad civil frente a la persona perjudicada por una decisión automatizada, por una vía distinta a la sanción.
• Reputación: un expediente sobre uso de IA en selección de personal o en scoring de clientes tiene un coste de imagen difícil de cuantificar.

Por dónde empezar a reducir la exposición

El riesgo sancionador no se reduce redactando una política. Se reduce teniendo trazabilidad: saber exactamente qué sistemas de IA operan en tu empresa, en qué categoría de riesgo está cada uno, quién los supervisa, qué registros generan y dónde se conservan. Ese es el material que se pide en un requerimiento, y no se puede fabricar en las dos semanas que dan para contestar.

En CIRCULO IA hacemos el diagnóstico de exposición real de tu empresa al Reglamento (UE) 2024/1689 y ejecutamos la adaptación técnica: clasificación de riesgo documentada, trazabilidad de los sistemas, registros y evidencias listas para presentar. Si quieres saber cuánto expuesta está tu empresa hoy, podemos revisarlo.