Sanciones del AI Act y AESIA: régimen sancionador, tramos y qué puede pasar realmente desde agosto de 2026

«Multas de hasta 35 millones de euros» es la frase que más titulares ha dado al Reglamento europeo de IA, y también la que peor se explica. El régimen sancionador del AI Act no es un interruptor único que se enciende el 2 de agosto de 2026: tiene piezas activas desde 2025, piezas con fecha aún movible, y una pieza nacional —quién sanciona en España y con qué procedimiento— que hoy sigue siendo un proyecto de ley, no una ley.

Este artículo desglosa los tres tramos del artículo 99, la regla especial para pymes del 99.6, qué puede sancionar la AESIA hoy mismo y el estado real —verificado en fuentes primarias, no en la fecha que "se espera"— del Ómnibus digital sobre IA y de la ley orgánica española. Si quieres saber qué normativa de cumplimiento te aplica en conjunto (AI Act, RGPD, NIS2, ENS), el asistente ¿Qué normativa me aplica? te lo resume en dos minutos.

En corto: tres tramos, y en España todavía nadie que los aplique

El artículo 99 del Reglamento (UE) 2024/1689 establece tres tramos de multa administrativa: hasta 35.000.000 EUR o el 7 % de la facturación mundial por las prácticas prohibidas del artículo 5; hasta 15.000.000 EUR o el 3 % por incumplir las obligaciones de operadores y organismos notificados que enumera su apartado 4, entre ellas la transparencia del artículo 50; y hasta 7.500.000 EUR o el 1 % por dar información inexacta, incompleta o engañosa a un organismo notificado o a una autoridad nacional. En los tres casos se aplica la mayor de las dos cifras.

Para las pymes, incluidas las empresas emergentes, el apartado 6 invierte la regla: se aplica el porcentaje o el importe que sea menor. Es justo al revés que en el RGPD, y es el dato que más veces se cuenta mal.

El capítulo de sanciones lleva aplicándose desde el 2 de agosto de 2025, un año antes de lo que suele repetirse, con una excepción: el artículo 101, que son las multas que impone la propia Comisión Europea a los proveedores de modelos de IA de uso general, espera al 2 de agosto de 2026.

Y la parte española: no existe todavía la norma que tipifica las infracciones. La AESIA está creada desde 2023 y su Estatuto ya reparte quién instruye y quién resuelve un expediente sancionador, pero el texto al que ese Estatuto se remite, la normativa reguladora de las infracciones y sanciones, es hoy un proyecto de ley en fase de enmiendas. Si quieres calcular tu exposición en euros, la calculadora lo hace con los tres tramos y con la regla del importe menor.

Todas las guías, la herramienta y los descargables del AI Act están reunidos en el centro de recursos del AI Act.

Las multas que puede imponer realmente el AI Act

El artículo 99 del Reglamento (UE) 2024/1689 fija tres tramos sancionadores. La cuantía aplicable es siempre la cifra mayor entre el importe fijo en euros y el porcentaje de facturación mundial del ejercicio anterior —salvo que la empresa sea pyme, caso en el que se invierte la regla (siguiente apartado).

No son cifras orientativas: el texto literal del artículo 99.3 dice que la sanción será "de hasta 35 000 000 EUR o, si el infractor es una empresa, de hasta el 7 % de su volumen de negocio total anual a nivel mundial correspondiente al ejercicio financiero anterior, si esta cuantía es superior" [1]. El mismo patrón se repite en los tramos de 15 M€/3 % y 7,5 M€/1 %. Quien incumpla la alfabetización en IA del artículo 4, o no informe de que un contenido está generado por IA, entra normalmente en el tramo del 99.4.

Si no tienes claro en qué categoría de riesgo cae tu sistema de IA —y por tanto qué tramo de sanción te podría alcanzar en caso de incumplimiento— el clasificador de riesgo AI Act te lo resuelve gratis en menos de dos minutos, sin registro.

La fecha desde la que el AI Act puede sancionar de verdad

Esta es la pregunta que casi nadie responde con precisión, y explica por qué "todo empieza el 2 de agosto de 2026" es una simplificación engañosa. El artículo 113 fija la aplicación general para esa fecha, pero su letra (b) adelanta la del capítulo XII —sanciones, artículos 99 a 101— al 2 de agosto de 2025, junto con el capítulo V (GPAI) y el VII (gobernanza), con una excepción dentro de la excepción: el artículo 101 —multas que la Comisión impone directamente a proveedores de GPAI— queda fuera y espera a 2026 [2].

En la práctica, el marco del artículo 99 lleva siendo formalmente aplicable desde agosto de 2025, un año antes de lo que suele repetirse. Lo decisivo no es esa fecha en sí, sino si la obligación sustantiva incumplida ya regía cuando se cometió la infracción: el artículo 5 (prohibidos), desde febrero de 2025; el capítulo V (GPAI), desde agosto de 2025; pero el artículo 50 (transparencia) y el Anexo III no se exigen hasta agosto de 2026, sin infracción sancionable antes.

Hay además un requisito que muchos análisis pasan por alto: cada Estado miembro debía tener operativo su régimen de sanciones y notificarlo a la Comisión antes de esa misma fecha de agosto de 2025 (art. 99.1). Varios Estados —España entre ellos, según el análisis jurídico disponible— no llegaron con la base legal nacional completa [3]. Es el hueco que vemos a continuación.

¿Las pymes pagan menos multa? La regla del importe menor (art. 99.6)

El AI Act incorpora una salvaguarda expresa para pymes y startups que no tiene equivalente literal en el RGPD, y funciona al revés de lo que la intuición sugiere. El artículo 99.6 establece: "en el caso de las pymes, incluidas las empresas emergentes, cada multa a que se refiere el presente artículo será de hasta el porcentaje o el importe mencionados en los apartados 3, 4 y 5, si esta cifra es inferior" [4]. Mientras que para una gran empresa se aplica la cifra mayor entre importe fijo y porcentaje, para una pyme se aplica la menor. Una microempresa de 500.000 € de facturación, en el tramo de sistemas prohibidos, no se enfrenta a "35 millones o el 7 %, lo que sea mayor" —eso sería absurdo—, sino al 7 % de su propia facturación.

Merece la pena comparar esto con el RGPD, porque son estructuralmente distintos. El artículo 83 fija dos tramos —hasta 10 M€ o 2 % (primer grupo) y hasta 20 M€ o 4 % (segundo, más grave)— y en ambos se aplica la cifra mayor [5]. El RGPD no tiene una cláusula equivalente al 99.6: el tamaño de la empresa es, como mucho, un factor de graduación dentro del mismo techo, no un techo distinto. Para verlo en euros y comparar tu exposición bajo ambos regímenes, la calculadora de sanciones RGPD es el punto de partida más directo.

Lo que el Ómnibus cambió del artículo 99

El Reglamento (UE) 2026/1744 no tocó los tres tramos, pero sí reescribió tres piezas del artículo 99. Las tres van en la misma dirección: aliviar a las empresas pequeñas.

La letra d bis) merece atención si tu empresa integra tecnología de terceros. El artículo 25, apartado 4, en su redacción nueva, obliga al proveedor de un sistema de alto riesgo y al tercero que le suministre un modelo, herramientas, servicios o componentes a fijar por acuerdo escrito la información y el acceso técnico necesarios para que el primero pueda cumplir el Reglamento. No se aplica a quien pone a disposición del público, con licencia libre y de código abierto, cosas que no sean modelos de IA de uso general. Desde el Ómnibus, incumplir eso está expresamente en el tramo de los quince millones.

El mismo reglamento reescribió, en su artículo 1, punto 5, el artículo 4 y su nueva redacción sobre alfabetización en IA, que no está en la lista tasada del artículo 99, apartado 4.

Qué puede hacer hoy la AESIA, según su propio Estatuto

La Agencia Española de Supervisión de Inteligencia Artificial se creó por el Real Decreto 729/2023, de 22 de agosto, que aprueba su Estatuto. Ese Estatuto ya reparte el trabajo sancionador entre dos órganos concretos:

• El Departamento de certificación, instrucción y supervisión tiene encomendado «llevar a cabo la labor de instrucción de los expedientes administrativos sancionadores, la supervisión de los sistemas de inteligencia artificial y, en su caso, la propuesta de medidas correctoras» (artículo 26).
• La División Jurídica y Relaciones Institucionales tiene «la recepción y valoración de los expedientes sancionadores para su resolución por la persona titular de la Dirección de la Agencia y, en su caso, la emisión de resolución sancionadora» (artículo 27).

Y ahí está la pieza que falta, en la propia frase del Estatuto: esa resolución se emite «de acuerdo con la normativa reguladora de las infracciones y sanciones en el ámbito de la inteligencia artificial». Esa normativa no existe todavía. Es el Proyecto de Ley Orgánica 121/000096, que sigue en fase de enmiendas. Si lo que te preguntas es si la AESIA puede multarte hoy, esa es la respuesta corta y su porqué.

Un dato que lo resume: la palabra «multa» no aparece ni una sola vez en el Estatuto de la AESIA. No porque se le haya olvidado al redactor, sino porque el Estatuto organiza una agencia y no tipifica infracciones. Eso lo hace una ley, y la ley no está.

Lo que sí hace la Agencia hoy: supervisar, asesorar, formar y gestionar el espacio controlado de pruebas. Su artículo 4 le encomienda «tareas de supervisión, el asesoramiento, la concienciación y la formación dirigidas a entidades de derecho público y privado». Tiene su sede en A Coruña.

Ahora bien: hay una diferencia real entre "la AESIA existe y funciona" y "la AESIA tiene hoy toda la potestad sancionadora que el AI Act prevé para la autoridad nacional competente". El Reglamento exige designar formalmente una autoridad de vigilancia y dotarla de un régimen sancionador con la precisión que exige el principio de tipicidad (lex certa): no basta con que exista un organismo, hace falta una norma interna que tipifique infracciones con el detalle suficiente.

Esa norma es la Ley Orgánica que hoy sigue en el Congreso sin aprobar; mientras tanto, el análisis jurídico disponible señala un espacio de cobertura incompleta [3]. La AEPD, por su parte, ya ha recordado que puede actuar hoy contra sistemas de IA prohibidos que traten datos personales apoyándose en el RGPD, con independencia del calendario del AI Act [7] —una vía de exposición real mientras se resuelve la específica del AI Act.

El punto en el que está la Ley Orgánica española de IA

El Gobierno presentó el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial el 28 de mayo de 2026. La Mesa lo calificó el 8 de junio y se publicó en el Boletín Oficial de las Cortes Generales, Congreso de los Diputados, núm. A-97-1, de 12 de junio de 2026. Tramitación normal, comisión competente: Economía, Comercio y Transformación Digital.

Tres ampliaciones consecutivas del plazo de enmiendas es el dato que conviene mirar si alguien te pregunta cuándo habrá ley. No hay fecha, y quien te dé una se la está inventando. Lo que sí se puede decir con precisión es lo que falta: que se cierre el plazo, que la ponencia informe, que la comisión dictamine, que el Pleno apruebe, que el Senado se pronuncie y que se publique en el BOE.

Mientras tanto, el Reglamento europeo se aplica igualmente: es directamente aplicable y no necesita ley española. Lo que la ley española tiene que aportar es el eslabón que el artículo 99, apartado 1, deja a cada Estado: el régimen de sanciones, que los Estados debían haber comunicado a la Comisión, como muy tarde, en la fecha de aplicación. Entre tanto, qué te toca hacer con el AI Act no depende de que esa ley llegue.

El proyecto, tal y como se presentó, adapta el AI Act al derecho español: designa a la AESIA como autoridad principal (con la AEPD y el CGPJ en sus ámbitos sectoriales), da marco legal al sandbox obligatorio, obliga al sector público a inventariar su uso de IA y fija un régimen sancionador nacional en tres categorías: leves, hasta 500.000 € o 0,5 % de facturación; graves, hasta 15 M€ o 3 %; y muy graves, hasta 35 M€ o 7 %, alineadas con los techos del artículo 99 europeo [9]. Son las cifras del proyecto presentado, sujetas a enmiendas: no son derecho vigente hasta que el texto supere Pleno, Senado y BOE.

Lo que puede pasar realmente desde el 2 de agosto de 2026 (y lo que no)

Con las dos piezas anteriores claras, el calendario se lee sin alarmismo y sin restarle importancia. Lo que sí se activa el 2 de agosto de 2026: la transparencia del artículo 50 se vuelve exigible y su incumplimiento entra en el tramo de 15 M€/3 %; el artículo 101 entra en aplicación, y la Comisión puede empezar a multar directamente a proveedores de GPAI de riesgo sistémico; y sigue el calendario del capítulo III tal como lo dejó el Ómnibus: el Anexo III (cribado de CV, scoring crediticio, biometría) se aplaza al 2 de diciembre de 2027 y el Anexo I al 2 de agosto de 2028.

Lo que no cambia: los sistemas prohibidos del artículo 5 ya eran sancionables desde febrero de 2025; y las obligaciones GPAI del capítulo V —salvo el art. 101 ya comentado— vienen siendo aplicables desde agosto de 2025. El Ómnibus digital sobre IA, aprobado definitivamente por el Consejo el 29 de junio de 2026 tras el visto bueno del Parlamento el 16 de junio (423 a favor, 57 en contra, 174 abstenciones), trasladó el Anexo III a diciembre de 2027 y el Anexo I a agosto de 2028 [10]. Se publicó en el Diario Oficial, serie L, el 24 de julio de 2026 y entró en vigor tres días después, el 27 de julio de 2026, así que ese aplazamiento es derecho vigente y no una previsión.

Hay una multa del Reglamento que no espera a ninguna ley española, porque no la impone una autoridad nacional: la impone la Comisión Europea. Es la del artículo 101, y se dirige solo a los proveedores de modelos de IA de uso general.

La Comisión puede multarlos con hasta el 3 % de su volumen de negocios mundial total anual del ejercicio anterior o 15.000.000 EUR, si esta cifra es superior, cuando aprecie que, de forma deliberada o por negligencia, infringieron las disposiciones pertinentes, no atendieron una solicitud de información, incumplieron una medida solicitada o no dieron acceso al modelo para una evaluación. Antes de decidir tiene que comunicar sus conclusiones preliminares y dar audiencia, y el Tribunal de Justicia tiene plena jurisdicción para anular, reducir o incrementar la multa.

Ese artículo es la única pieza del capítulo XII que no se adelantó al 2 de agosto de 2025: la letra b) del párrafo tercero del artículo 113 lo excluye expresamente, de modo que entra por la regla general el 2 de agosto de 2026. Si tu empresa no desarrolla modelos de uso general, esto no te afecta; si integras uno, te afecta a través de tu proveedor.

Para el desglose completo de fechas, la guía de calendario del AI Act y Ómnibus digital sobre IA lo cubre con fuente. Si tu sistema podría entrar en el Anexo III, confírmalo en la guía de clasificación de riesgo del AI Act; si necesitas saber tu rol —proveedor, desplegador, importador— antes de calcular tu exposición, está en obligaciones por rol en el AI Act. Y si tienes un chatbot o generas contenido con IA, revisa la transparencia del artículo 50 antes del 2 de agosto; si usas ChatGPT, Gemini o Claude y no sabes si eso te hace operador downstream, lo aclara la guía de GPAI y modelos de propósito general.

Reducir tu exposición empieza por saber en qué categoría cae cada sistema que usas: el clasificador de riesgo AI Act lo resuelve en dos minutos y gratis. Si además manejas obligaciones de ciberseguridad o continuidad, el hub de cumplimiento normativo para pymes reúne AI Act, RGPD, NIS2 y ENS en un solo mapa.

Si prefieres que revisemos juntos tu exposición real —qué sistemas usas, en qué tramo caerían y qué margen de maniobra te da el artículo 99.6 como pyme— reserva una sesión de diagnóstico y lo vemos con tus datos concretos, no con supuestos genéricos. También puedes conocer el servicio de consultoría de cumplimiento del AI Act si necesitas acompañamiento continuado.

Preguntas frecuentes sobre las sanciones del AI Act y la AESIA

Fuentes:

1. Reglamento (UE) 2024/1689, artículo 99, apartados 3 a 5 (tramos de multa) — EUR-Lex, texto consolidado.
2. Reglamento (UE) 2024/1689, artículo 113 (entrada en vigor y aplicación, letra b: capítulo XII aplicable desde el 2 de agosto de 2025, con excepción del artículo 101) — EUR-Lex.
3. Análisis jurídico sobre el desfase entre la aplicabilidad del Reglamento y la habilitación legal nacional española — LAW21, "Gobernanza de la IA en España".
4. Reglamento (UE) 2024/1689, artículo 99.6 (regla del importe menor para pymes) — EUR-Lex.
5. Reglamento (UE) 2016/679 (RGPD), artículo 83, apartados 4 a 6 (tramos 10 M€/2 % y 20 M€/4 %) — EUR-Lex.
6. Real Decreto 729/2023, de 22 de agosto, por el que se aprueba el Estatuto de la AESIA — BOE-A-2023-18911.
7. Nota de prensa de la AEPD sobre su capacidad de actuación frente a sistemas de IA prohibidos que tratan datos personales — AEPD.
8. Proyecto de Ley Orgánica 121/000096, para el buen uso y la gobernanza de la inteligencia artificial (BOCG-15-A-97-1) — Congreso de los Diputados.
9. Análisis de los tramos sancionadores del proyecto de Ley Orgánica española (leve/grave/muy grave) — Cuatrecasas.
10. Consejo de la Unión Europea, nota de prensa sobre la aprobación final del Ómnibus digital sobre IA (Reglamento (UE) 2026/1744) (29 de junio de 2026) — Consilium.