Desde el 2 de agosto de 2025, la AESIA tiene plena capacidad legal para investigar y sancionar el incumplimiento del AI Act. La pregunta que más escuchamos en los diagnósticos iniciales con empresas es siempre la misma: ¿de cuánto estamos hablando exactamente?
Este artículo responde a esa pregunta con precisión: los tres niveles de sanción, qué los activa, cómo se calcula el importe concreto y qué otros instrumentos tiene la AESIA más allá de la multa económica.
Una aclaración importante antes de empezar: las cifras que establece el AI Act son límites máximos, no importes fijos. La multa concreta la determina la autoridad competente en cada caso, ponderando un conjunto de factores que analizamos en detalle más adelante.
Los tres niveles de sanción y qué los activa
El artículo 99 del AI Act establece un sistema escalonado de tres niveles de sanción, ordenados de mayor a menor gravedad:
Para pymes y startups: el artículo 99.6 del AI Act establece que, para personas físicas y microempresas, pequeñas empresas y medianas empresas (según la definición europea), los límites máximos se reducen a la mitad. Una pyme con menos de 250 empleados y menos de 50 M€ de facturación tiene como techo máximo 17,5 M€ (nivel 1), 7,5 M€ (nivel 2) y 3,75 M€ (nivel 3). Son cifras todavía muy significativas.
Cómo se calcula la multa: ejemplos reales
La mecánica del cálculo es siempre la misma: se toma el mayor valor entre el importe fijo y el porcentaje sobre la facturación global. La facturación relevante es la del ejercicio fiscal anterior, y se calcula sobre el grupo empresarial completo, no solo sobre la entidad infractora en España.
Veamos tres ejemplos con empresas de distinto tamaño:
Estos son los techos legales. La multa real que impondría la AESIA en cada caso puede ser muy inferior, dependiendo de los factores de agravación y mitigación que analizamos más adelante. Una empresa que coopera activamente con la investigación, adopta medidas correctoras inmediatas y puede demostrar que el incumplimiento no fue intencional partirá de una posición muy distinta a una empresa que oculta información o reincide.
Más allá de la multa: otros poderes de la AESIA
El régimen sancionador del AI Act no se limita a las multas económicas. La AESIA dispone de un amplio conjunto de instrumentos que pueden tener un impacto operativo y reputacional incluso mayor que la propia sanción monetaria:
El riesgo reputacional importa tanto como el económico. La publicación de una resolución sancionadora en la que aparece el nombre de su empresa, la descripción del sistema infractor y el importe de la multa es información pública accesible por clientes, socios, inversores y medios. En sectores como finanzas, sanidad o RRHH, ese impacto puede ser más duradero que la propia sanción.
Qué agrava y qué reduce la sanción
El artículo 99.6 del AI Act establece que la autoridad competente debe tener en cuenta una serie de factores al determinar la cuantía concreta de la multa dentro del límite legal. Estos factores pueden tanto agravar como reducir el importe:
| Factor | Efecto | Descripción |
|---|---|---|
| Intencionalidad | Agrava | Si el incumplimiento fue deliberado y no producto de negligencia o desconocimiento. |
| Negligencia | Agrava | No haber tomado ninguna medida de diligencia, aunque no fuera intencional. |
| Personas afectadas | Agrava | Número de afectados y gravedad del daño, especialmente si hay grupos vulnerables (menores, personas con discapacidad). |
| Duración | Agrava | Cuánto tiempo se mantuvo el incumplimiento antes de ser detectado o corregido. |
| Reincidencia | Agrava | Haber sido sancionado previamente por infracción similar del AI Act u otra normativa relacionada. |
| Beneficio económico obtenido | Agrava | Si la empresa se benefició económicamente del incumplimiento, la multa puede incrementarse para anular ese beneficio. |
| Cooperación con el regulador | Mitiga | Colaborar activamente con la AESIA desde el inicio de la investigación. |
| Medidas correctoras inmediatas | Mitiga | Haber adoptado medidas para subsanar el incumplimiento sin esperar a la resolución. |
| Desconocimiento no culposo | Mitiga | No haber podido razonablemente conocer que el sistema era de alto riesgo o que existía la obligación. |
| Tamaño de la empresa | Mitiga | Para pymes y microempresas, la proporcionalidad de la sanción se tiene especialmente en cuenta. |
Lo que esto implica en la práctica: una empresa que inicia un programa de adecuación antes de ser investigada, mantiene documentación actualizada y coopera con la AESIA en caso de inspección partirá de una posición radicalmente mejor que una que no ha tomado ninguna medida. La mitigación no solo reduce la multa posible: en muchos casos evita que se llegue a ella.
El régimen especial para pymes
El AI Act reconoce que las obligaciones y las sanciones deben ser proporcionales al tamaño de la empresa. Para las empresas que entran en la categoría de pyme según la definición europea — menos de 250 empleados y facturación inferior a 50 M€ o balance inferior a 43 M€ — se aplican dos ajustes:
- Los límites máximos de multa se reducen a la mitad en todos los niveles: 17,5 M€ (nivel 1), 7,5 M€ (nivel 2) y 3,75 M€ (nivel 3).
- La proporcionalidad es un factor obligatorio que la AESIA debe considerar al calcular la multa concreta, lo que en la práctica significa que las sanciones reales para pymes tenderán a ser significativamente menores que los límites máximos.
Sin embargo, la reducción de los límites no elimina la obligación de cumplir. Las pymes tienen exactamente las mismas obligaciones sustantivas que las grandes empresas — la diferencia está en el techo sancionador, no en los requisitos de cumplimiento.
Cómo investiga la AESIA: el proceso desde la denuncia hasta la resolución
Entender cómo funciona el proceso de investigación ayuda a dimensionar el riesgo real y a saber cómo actuar si la empresa recibe un requerimiento.
El proceso habitual tiene estas fases:
- Inicio de la investigación. Puede iniciarse por denuncia de un tercero (empleado, competidor, afectado por una decisión de IA), por actuación de oficio de la AESIA basada en información pública, o por notificación de otra autoridad (europea o de otro Estado miembro). La AESIA también puede iniciar investigaciones sectoriales sobre el uso de IA en determinadas industrias.
- Requerimiento de información. El primer contacto suele ser una solicitud formal de documentación: inventario de sistemas de IA, evaluaciones de riesgo, expedientes técnicos, registros de supervisión humana, políticas internas. El plazo para responder suele ser de 15-30 días. Incumplir este requerimiento ya es una infracción de Nivel 3.
- Fase de instrucción. La AESIA analiza la documentación recibida. Puede solicitar información adicional, realizar visitas de inspección y entrevistar a personal de la empresa. Esta fase puede durar varios meses.
- Propuesta de resolución. La AESIA emite una propuesta de resolución con el importe de la sanción propuesto. La empresa tiene derecho a formular alegaciones en un plazo determinado.
- Resolución definitiva. Tras las alegaciones, la AESIA emite la resolución definitiva. Esta puede ser recurrida en vía administrativa y, posteriormente, en vía contencioso-administrativa.
Punto crítico: desde el momento en que la empresa recibe el primer requerimiento de información, cuenta con muy poco tiempo para organizar su respuesta. Las empresas que tienen un programa de cumplimiento documentado responden en días. Las que no lo tienen necesitan semanas para reconstruir información que debería estar ya registrada, y a menudo no pueden hacerlo completamente. Esa diferencia de punto de partida se refleja directamente en la resolución.
Preguntas frecuentes sobre las multas del AI Act
Sí. Desde el 2 de agosto de 2025, la AESIA tiene plena capacidad legal para investigar, requerir documentación y emitir sanciones económicas por incumplimiento del AI Act. No hay que esperar a 2027 ni a ninguna otra fecha para que el régimen sancionador sea aplicable.
Sobre la facturación global anual de toda la empresa o grupo empresarial, no solo de la actividad en España. Si su empresa pertenece a un grupo multinacional, la base de cálculo incluye la facturación de todas las filiales y entidades del grupo a nivel mundial.
Sí. El incumplimiento del artículo 50 (transparencia) activa el Nivel 2 del régimen sancionador: hasta 15 millones de euros o el 3% de la facturación global. El artículo 50 entra en vigor el 2 de agosto de 2026, por lo que a partir de esa fecha los chatbots que no se identifiquen como IA son sancionables.
El AI Act distingue entre el proveedor (quien desarrolla el sistema) y el responsable del despliegue (quien lo usa). Ambos pueden tener obligaciones y ambos pueden ser sancionados. Si usted es la empresa que despliega un chatbot de un proveedor y ese chatbot no cumple el artículo 50, usted puede ser investigado como responsable del despliegue. La relación contractual con su proveedor puede generar reclamaciones entre ustedes, pero no le exime frente al regulador.
El desconocimiento no culposo es un factor mitigador. Si la empresa puede demostrar que tomó medidas razonables de diligencia y que no podía razonablemente conocer el incumplimiento, la sanción puede reducirse. Sin embargo, el desconocimiento por sí solo no exime: las empresas tienen la obligación de conocer el marco regulatorio aplicable a su actividad, incluyendo el AI Act desde su entrada en vigor en agosto de 2024.
Los límites máximos son comparables (el RGPD también llega al 4% de la facturación global), pero hay diferencias importantes. El AI Act introduce obligaciones técnicas muy específicas (expedientes, registros, supervisión humana) que el RGPD no contempla. Además, algunos sistemas de IA pueden activar simultáneamente obligaciones del AI Act y del RGPD, por lo que el riesgo regulatorio puede acumularse.
