Calculadora de sanciones del AI Act: ¿35 millones o el 7 % de lo tuyo?

Sanciones del AI Act, explicadas

El techo no es la multa: cómo se gradúa de verdad

Última verificación del articulado: 29 de julio de 2026 · Reglamento (UE) 2024/1689 en su versión consolidada tras el Reglamento (UE) 2026/1744 («Ómnibus digital sobre IA», en vigor desde el 27 de julio de 2026).

El artículo 99 del Reglamento (UE) 2024/1689 no fija una multa: fija un techo. Y lo fija con una fórmula de dos términos (un importe en euros y un porcentaje del volumen de negocios mundial total del ejercicio financiero anterior) de los que, con carácter general, se aplica el superior. El apartado 3 lo dice sin rodeos para las prácticas prohibidas: multas «de hasta 35 000 000 EUR o, si el infractor es una empresa, de hasta el 7 % de su volumen de negocios mundial total correspondiente al ejercicio financiero anterior, si esta cuantía fuese superior».

Ese «si esta cuantía fuese superior» es lo que ha llenado los titulares. Funciona en las dos direcciones: para una empresa que factura 100 millones de euros, el 7 % son 7 millones, así que gana el importe fijo y el techo se queda en 35 millones. Para una que factura 2.000 millones, el 7 % son 140 millones y gana el porcentaje. La calculadora resuelve esa comparación y, sobre todo, te dice cuál de los dos términos ha ganado, que es la parte que casi nunca se explica.

La inversión del artículo 99.6: si eres pyme se aplica la cifra menor

El apartado 6 del mismo artículo le da la vuelta a la regla: «En el caso de las pymes, incluidas las empresas emergentes, cada una de las multas a que se refiere el presente artículo podrá ser por el porcentaje o el importe a que se refieren los apartados 3, 4 y 5, según cuál de ellos sea menor».

Menor, no mayor. Para una consultora de 40 personas que factura 6 millones de euros, el techo por una práctica prohibida no son 35 millones: es el 7 % de esos 6 millones, 420.000 euros. Sigue siendo una cifra capaz de llevarse por delante el resultado de un ejercicio, pero es una conversación distinta —y una decisión de inversión en cumplimiento distinta— de la que sale de leer «35 millones» en un titular de prensa.

Pyme, aquí, no es una intuición ni una autopercepción: es la definición del artículo 2 del anexo de la Recomendación 2003/361/CE (menos de 250 personas ocupadas y un volumen de negocios anual que no exceda de 50 millones de euros o un balance general anual que no exceda de 43 millones), a la que remite expresamente el artículo 3.14 bis del Reglamento desde que el Ómnibus lo incorporó. Que una empresa se presente como «startup» no la mete dentro si sus cifras la dejan fuera: el apartado 6 dice «pymes, incluidas las empresas emergentes», no «empresas emergentes» como categoría autónoma.

El tramo nuevo: pequeñas empresas de mediana capitalización

El Reglamento (UE) 2026/1744 insertó en el artículo 99 un apartado 6 bis: «En el caso de las pequeñas empresas de mediana capitalización, cada multa a que se refieren los apartados 4 y 5 no excederá de los porcentajes o importes mencionados en dichos apartados, aplicándose el menor de ellos».

Dos matices que cambian el resultado. El primero, que la categoría es nueva y tiene umbrales propios: empresas que ya no son pymes, ocupan a menos de 750 personas y cuyo volumen de negocios anual no excede de 150 millones de euros o cuyo balance general anual no excede de 129 millones, según el punto 2 del anexo de la Recomendación (UE) 2025/1099. El segundo, más fácil de pasar por alto: el 6 bis cubre solo los apartados 4 y 5. Ante una práctica prohibida del artículo 5, una pequeña empresa de mediana capitalización vuelve a la regla general del apartado 3, la de la cuantía superior.

Por qué el techo casi nunca acaba siendo la multa

El apartado 7 del artículo 99 obliga a tomar en consideración «todas las circunstancias pertinentes» antes de decidir el importe, y enumera diez: la naturaleza, gravedad y duración de la infracción y sus consecuencias, incluido el número de personas afectadas; si otras autoridades de vigilancia del mercado ya multaron al mismo operador por la misma infracción; si otras autoridades ya lo multaron por otras normas derivadas de la misma conducta; el tamaño, el volumen de negocios anual y la cuota de mercado del infractor; cualquier otro factor agravante o atenuante, como los beneficios obtenidos o las pérdidas evitadas; el grado de cooperación con las autoridades; el grado de responsabilidad, atendiendo a las medidas técnicas y organizativas aplicadas; cómo tuvo conocimiento la autoridad de la infracción, y en particular si la notificó el propio operador; la intencionalidad o negligencia; y las medidas adoptadas para mitigar el perjuicio de los afectados.

Traducido a la práctica: dos empresas idénticas con el mismo incumplimiento pueden acabar con multas muy distintas según lo que tuvieran documentado y según lo que hicieran al detectarlo. Por eso la cifra que devuelve esta herramienta es el techo del tramo, no una previsión de resolución sancionadora.

Quién puede sancionarte en España hoy

El apartado 1 del artículo 99 encarga a los Estados miembros establecer «el régimen de sanciones y otras medidas de garantía del cumplimiento». El Ómnibus reescribió ese apartado para nombrar expresamente las multas administrativas y para sumar a las pequeñas empresas de mediana capitalización a los intereses que hay que ponderar al sancionar. España todavía no lo ha aprobado. El texto que lo hará es el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial, expediente 121/000096, publicado en el BOCG (Serie A, núm. 97-1) el 12 de junio de 2026 y con el plazo ampliado de enmiendas abierto hasta el 2 de septiembre de 2026. Mientras no haya ley, no hay tipificación de infracciones ni cuantías españolas exigibles: lo desarrollo en ¿puede la AESIA multarte hoy por el AI Act?.

Ese proyecto reparte la vigilancia del mercado entre varias autoridades. Su artículo 5 designa a la AESIA para las prácticas prohibidas de las letras a), b), c) y f) del artículo 5.1 del Reglamento, para los sistemas de alto riesgo de infraestructuras críticas, educación, empleo y servicios esenciales, y para las obligaciones de transparencia del artículo 50. Deja en manos de la Agencia Española de Protección de Datos y de las autoridades autonómicas de protección de datos las prácticas prohibidas de las letras e) y g) y la biometría de las letras a) y b) del anexo III.1, y atribuye al Consejo General del Poder Judicial las letras d) y h) y los usos en la administración de justicia. El desglose completo, con los tramos y quién vigila qué, está en sanciones del AI Act: tramos, importes y qué vigila la AESIA.

Que no haya multa española por el AI Act no significa que no haya multa. Por los mismos usos de inteligencia artificial puede sancionar hoy la Agencia Española de Protección de Datos con el régimen del Reglamento (UE) 2016/679, la Inspección de Trabajo o las autoridades de consumo. El Reglamento europeo obliga desde sus fechas propias, con régimen sancionador nacional o sin él.

Qué todavía no es sancionable

El calendario del artículo 113 cambió con el Ómnibus, y conviene tenerlo delante antes de pagar por urgencias que no existen. Las prohibiciones del artículo 5 se aplican desde el 2 de febrero de 2025, con una excepción: las dos nuevas letras b bis) y b ter) —contenido sexual no consentido de persona identificable y material de abusos a menores— y los apartados 1 bis y 1 ter no se aplican hasta el 2 de diciembre de 2026.

Las obligaciones de los sistemas de alto riesgo del capítulo III, secciones 1, 2 y 3 (con la salvedad de su artículo 6.5), se retrasaron: hasta el 2 de diciembre de 2027 para los clasificados por el artículo 6.2 y el anexo III, y hasta el 2 de agosto de 2028 para los del artículo 6.1 y el anexo I. Los proveedores de sistemas que generan contenido sintético de audio, imagen, vídeo o texto ya introducidos en el mercado antes del 2 de agosto de 2026 tienen hasta el 2 de diciembre de 2026 para cumplir el artículo 50.2, según el nuevo artículo 111.4.

Si no tienes claro en qué categoría cae tu sistema, y por tanto qué tramo te aplicaría, empieza por el clasificador de riesgo del AI Act y después vuelve aquí con la respuesta.

La capa española (aún en tramitación): cuatro tramos, no tres

Lo que viene a continuación no es derecho vigente: es el articulado de un proyecto de ley que sigue en el Congreso. El artículo 30.1 de ese proyecto reproduce los tres tramos europeos y añade uno cuarto que no existe en el Reglamento: infracciones leves, «hasta 500.000 euros o, si el infractor es una empresa, hasta el 0,5 % de su volumen de negocios mundial total correspondiente al ejercicio anterior, si esta cuantía fuese superior». Su apartado 8 replica la inversión para pymes remitiendo expresamente al artículo 99.6 del Reglamento.

Hay un detalle que descoloca a mucha gente: el proyecto no mapea uno a uno los apartados europeos con sus tramos. Su artículo 13.2 clasifica las infracciones del artículo 99.4 como muy graves, graves o leves, según los artículos 15 a 29; y su artículo 13.3 clasifica las del artículo 99.5 como graves o leves. Es decir: una misma conducta europea puede caer en distintos escalones españoles según en cuál de los tipos de los artículos 15 a 29 encaje el hecho concreto. Por eso la calculadora te muestra la horquilla completa de la capa española y no una cifra única. Todo ello, insisto, sobre un texto en tramitación que puede cambiar antes de llegar al BOE.