Sanciones del Reglamento de IA para pymes: quién puede multar hoy en España, cuánto y cómo evitarlo (2026)

«Multas de hasta 35 millones de euros.» Es la cifra que abre casi todos los titulares sobre el Reglamento de IA. Es real, pero cuenta poco sobre lo que arriesga de verdad una empresa de 15, 40 o 120 personas en España. Esta guía responde a las cuatro preguntas que nos hacen cada semana: quién puede sancionar hoy, cuánto, por qué incumplimientos y qué hacer para no llegar a ese punto.

Una aclaración de partida. El Reglamento (UE) 2024/1689 obliga también a quien usa un sistema de IA en un contexto profesional, el «responsable del despliegue». Una pyme que redacta ofertas con ChatGPT, atiende clientes con un chatbot o criba currículos con una herramienta de selección está dentro del Reglamento, y por tanto de su régimen sancionador.

Quién puede sancionar hoy en España (y quién todavía no)

Primera sorpresa para muchas empresas: el Reglamento fija los importes máximos, pero deja a cada Estado miembro establecer su propio régimen sancionador y designar a las autoridades que lo aplican (artículo 99). En España esa pieza nacional no existe todavía.

La AESIA. La Agencia Española de Supervisión de la Inteligencia Artificial, con sede en A Coruña, fue creada por el Real Decreto 729/2023. Su estatuto le atribuye la potestad sancionadora «de acuerdo con la normativa europea», pero un real decreto no puede tipificar infracciones ni fijar multas: eso exige una norma con rango de ley (artículo 25 de la Constitución y artículos 25 y 27 de la Ley 40/2015). Mientras esa ley no exista, la AESIA supervisa, orienta y publica guías, pero no puede imponerle una multa por incumplir el artículo 4 o el artículo 50.

La AEPD. El caso contrario. La Agencia Española de Protección de Datos no necesita ninguna ley nueva: el RGPD y la LOPDGDD ya se aplican a cada dato personal que entra en un prompt, en un chatbot o en una herramienta de selección. Hoy es la autoridad que más puede costarle a una pyme por un uso descuidado de la IA.

La Inspección de Trabajo. El artículo 64.4 d) del Estatuto de los Trabajadores reconoce a la representación legal de las personas trabajadoras el derecho a ser informada de los parámetros, reglas e instrucciones de los algoritmos y sistemas de IA que afectan a las decisiones sobre condiciones de trabajo, acceso y mantenimiento del empleo. No informar es una infracción grave de la LISOS (artículo 7.7), sancionable sin esperar a ninguna ley de IA.

Consumo y tribunales. Un chatbot que promete una devolución que su política no contempla o un precio personalizado sin informar antes de la compra se resuelven con la normativa de consumidores que ya existe. La Comisión Europea, por su parte, sanciona directamente a los proveedores de modelos de uso general (artículo 101); no afecta a una pyme que solo los usa.

Conclusión práctica: a 31 de octubre de 2026, el riesgo de multa de una pyme española por IA no viene del Reglamento de IA en sí, sino del RGPD, del derecho laboral y del derecho de consumo aplicados a sus usos de IA. El régimen sancionador del Reglamento llegará cuando una ley española lo tipifique.

Los importes del Reglamento de IA: los tres tramos del artículo 99

El artículo 99 del Reglamento, aplicable desde el 2 de agosto de 2025, establece tres tramos. Para cada uno se toma el importe mayor en las grandes empresas y el importe menor en las pymes: es la regla del artículo 99.6, y es la que cambia la lectura de los titulares.

Infracción	Artículo	Tope general	Regla para pymes
Prácticas prohibidas (manipulación, puntuación social, reconocimiento de emociones en el trabajo, biometría no permitida)	Art. 5 / art. 99.3	Hasta 35 M€ o el 7 % del volumen de negocio mundial anual	El menor de los dos importes
Obligaciones de proveedores, responsables del despliegue, importadores y distribuidores (alto riesgo, transparencia del art. 50, obligaciones del art. 25…)	Art. 99.4	Hasta 15 M€ o el 3 %	El menor de los dos importes
Información inexacta, incompleta o engañosa a las autoridades	Art. 99.5	Hasta 7,5 M€ o el 1 %	El menor de los dos importes

Un ejemplo con números. Una pyme de servicios con 25 personas y 3 millones de euros de facturación que incumpliera una obligación del tramo intermedio se enfrentaría a un máximo teórico del 3 % de 3 millones, es decir, 90.000 euros, y no a 15 millones. Sigue siendo mucho dinero para una empresa de ese tamaño, pero es el orden de magnitud correcto para evaluar el riesgo.

Dos precisiones que conviene conocer:

El artículo 4 (alfabetización en IA) no aparece en la lista del artículo 99.4. Su sanción depende del régimen nacional que cada Estado apruebe. Eso no lo convierte en opcional: es una obligación en vigor desde el 2 de febrero de 2025, y la formación del personal es la prueba más barata que tendrá a mano ante la AEPD, un cliente o un juzgado. Lo detallamos en el artículo sobre el artículo 4 del AI Act y la formación en IA obligatoria.
El importe no es automático. El artículo 99.7 obliga a tener en cuenta la naturaleza, la gravedad y la duración de la infracción, el carácter intencionado o negligente, las medidas adoptadas para mitigar el daño, la cooperación con la autoridad y el tamaño de la empresa. Una pyme con registro, política y formación documentados no está en la misma posición que una sin nada.

Lo que ha cambiado con el ómnibus digital

El Reglamento (UE) 2026/1744, el ómnibus digital sobre IA, se publicó en el DOUE el 24 de julio de 2026 y está en vigor desde el 27 de julio. No sustituye al Reglamento de IA: lo modifica. Para una pyme, cuatro cambios importan en materia de sanciones y calendario.

Proporcionalidad para pymes. El ómnibus confirma la regla del importe menor en los tres tramos del artículo 99 (las pequeñas empresas de mediana capitalización solo se benefician en los tramos 4 y 5, no en las prácticas prohibidas) y pide a las autoridades aplicar el Reglamento de forma proporcionada.
Alto riesgo aplazado. Las obligaciones del Anexo III (selección de personal, evaluación de la plantilla, scoring) se aplican desde el 2 de diciembre de 2027; las del Anexo I (IA integrada en productos regulados) desde el 2 de agosto de 2028. Hasta entonces no son sancionables, pero cribar currículos con IA ya tiene consecuencias por el RGPD y el Estatuto de los Trabajadores.
Artículo 50 en vigor desde el 2 de agosto de 2026. Avisar de que un chatbot es una IA y etiquetar las ultrafalsificaciones se aplica ya. El marcado legible por máquina de los contenidos generados tiene un período transitorio hasta el 2 de diciembre de 2026, solo para los sistemas comercializados antes del 2 de agosto de 2026.
Nuevas prácticas prohibidas desde el 2 de diciembre de 2026. Los sistemas que generan o manipulan material íntimo realista sin consentimiento pasan al artículo 5, es decir, al tramo máximo de sanción.

El artículo 4 se reformula («adoptar medidas para apoyar la alfabetización en IA del personal») pero mantiene su fecha de aplicación: 2 de febrero de 2025.

La ley española: un proyecto caducado y una obligación que sigue en pie

El 26 de mayo de 2026 el Consejo de Ministros aprobó el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial, que debía designar a las autoridades competentes, tipificar las infracciones y fijar el régimen sancionador nacional. Con la disolución de las Cortes publicada en el BOE el 6 de octubre de 2026 y la convocatoria de elecciones generales para el 29 de noviembre, ese proyecto ha caducado. Tendrá que presentarse de nuevo en la próxima legislatura.

Conviene recordar lo que preveía, porque es la referencia más probable del texto que vuelva a tramitarse: infracciones muy graves por prácticas prohibidas hasta 35 millones de euros o el 7 % de la facturación mundial; muy graves por el resto hasta 15 millones o el 3 %; graves hasta 7,5 millones o el 1 %; leves hasta 500.000 euros o el 0,5 %, con reducciones para pymes y startups, y la posibilidad de ordenar la retirada o desconexión de un sistema de IA. Cuando una futura ley entre en vigor, precisará quién sanciona en España, con qué procedimiento y con qué importes.

Lo que no cambia con la caducidad es lo esencial: el Reglamento de IA es de aplicación directa y sus obligaciones ya están en vigor. Que hoy nadie pueda multarle por el artículo 50 no significa que el artículo 50 no le obligue. Tiene el calendario completo en Reglamento de IA: qué se aplica a su pyme en 2026.

Lo que de verdad arriesga una pyme en 2026: los tres frentes

Si tuviéramos que ordenar los riesgos de una pyme española por probabilidad real, el Reglamento de IA no estaría el primero. Estos son los tres frentes abiertos hoy.

Frente 1: la AEPD y el RGPD

Cada dato personal pegado en una herramienta de IA es un tratamiento. Sin contrato de encargado del tratamiento, sin base jurídica, sin información a las personas o sin evaluación de impacto cuando procede, la empresa incumple el RGPD. Los topes son conocidos: hasta 20 millones de euros o el 4 % del volumen de negocio mundial para las infracciones más graves (artículo 83.5) y hasta 10 millones o el 2 % para las demás (artículo 83.4). Y una lista de clientes introducida en una cuenta gratuita puede ser una violación de seguridad que hay que notificar a la AEPD en 72 horas. Las reglas concretas están en RGPD e IA generativa: cómo usar ChatGPT, Copilot o Gemini en su pyme sin infringir el RGPD.

Frente 2: el derecho laboral

Dos riesgos distintos. El primero, no informar a los delegados de personal o al comité de empresa sobre una herramienta que criba candidatos, asigna turnos o evalúa el rendimiento: infracción grave de la LISOS, con multas de 751 a 7.500 euros según el grado, y una decisión que puede impugnarse. El segundo, sancionar a una persona por un uso de IA que ninguna norma escrita prohibía: el expediente difícilmente se sostiene. Ambos se resuelven con una política de uso de IA difundida con constancia de recepción e informada a la representación legal antes del despliegue.

Frente 3: el cliente grande y el incidente

Cada vez más empresas incluyen en sus cuestionarios de homologación de proveedores preguntas sobre el uso de IA: si existe una política, si el personal está formado, si los contenidos generados se revisan y se marcan. Un «no» en ese cuestionario no es una multa, pero puede ser un contrato perdido. Y un chatbot que inventa una condición comercial o un correo con un dato confidencial salido de un prompt descuidado no pasan por la AESIA: pasan por el cliente, la competencia y, a veces, la prensa.

Seis medidas con prueba para reducir el riesgo en 30 días

El objetivo no es «cumplir el Reglamento» en abstracto. Es poder demostrar, con un documento fechado, cada una de estas seis cosas.

Un registro de sistemas de IA. Cada herramienta con proveedor, uso, datos, nivel de riesgo, responsable y fecha de revisión. Es lo primero que le pedirá cualquier autoridad y lo que le permite saber si alguna herramienta entra en alto riesgo o en una práctica prohibida.
Una política de uso de IA aprobada y difundida. Con semáforo de datos, lista de herramientas autorizadas, revisión humana obligatoria y régimen disciplinario por remisión al convenio. Con constancia de recepción.
Una formación fechada, con certificado por persona. Es la prueba del artículo 4 y el argumento de mitigación del artículo 99.7. Cuarenta y cinco minutos bien hechos valen más que un curso de veinte horas sin hoja de asistencia.
Las menciones del artículo 50 en su sitio. Aviso en el chatbot desde el primer intercambio, marcado de los contenidos generados, etiquetado de las ultrafalsificaciones.
Un contrato de encargado del tratamiento con cada proveedor de IA que trate datos personales, y cuentas corporativas en lugar de cuentas personales gratuitas.
La información a la representación legal de las personas trabajadoras, documentada con fecha, contenido y destinatarios, antes de desplegar cualquier herramienta que afecte a la selección, la evaluación o las condiciones de trabajo.

Estos seis documentos son exactamente el contenido del Kit de Cumplimiento AI Act para pymes: registro, política corporativa, normas de uso, módulo de formación con certificado, menciones de transparencia y guía de implantación. Si prefiere empezar por saber dónde está, la checklist gratuita AI Act para pymes le da un resultado en tres minutos con diez preguntas.

Ejemplo: una pyme industrial de 60 personas en Zaragoza

Una empresa de componentes metálicos con 60 personas usa Copilot en oficina, un chatbot en la web para consultas de clientes y, desde hace seis meses, una herramienta que preselecciona candidatos para las vacantes de producción. Tiene comité de empresa. Ninguna de las tres herramientas está documentada.

Lectura de riesgos a fecha de hoy:

Copilot en oficina: riesgo RGPD si se introducen datos de clientes o de la plantilla sin contrato de encargado y sin reglas. Riesgo laboral si se sanciona un uso indebido sin política.
Chatbot: artículo 50 en vigor desde el 2 de agosto de 2026. Sin aviso de IA, incumplimiento no sancionable hoy en España, pero visible para cualquier cliente o competidor. Datos personales de los usuarios: RGPD.
Preselección de candidatos: alto riesgo del Anexo III, con obligaciones completas desde el 2 de diciembre de 2027. Pero hoy el comité de empresa no ha sido informado (artículo 64.4 d) ET: infracción grave de la LISOS) y los candidatos no saben que un algoritmo les criba (RGPD, artículos 13 y 22).

El orden de prioridades es claro: informar al comité y documentarlo esta semana, firmar el contrato de encargado y escribir las reglas la siguiente, formar a la plantilla la tercera, añadir el aviso del chatbot la cuarta. Cuatro semanas, sin abogados en la mayoría de los pasos, con los modelos de registro, política y formación del Kit de Cumplimiento AI Act para pymes como punto de partida. Si quiere que alguien construya ese orden de prioridades con usted a partir de sus herramientas reales, la Auditoría Estratégica de IA lo hace en una sesión de dos horas con informe escrito.

Preguntas frecuentes

¿Puede la AESIA multar a mi pyme hoy por incumplir el Reglamento de IA?

No, a 31 de octubre de 2026. La AESIA existe y supervisa, pero las infracciones y las multas del Reglamento de IA deben tipificarse en una ley española, y el proyecto de ley orgánica caducó con la disolución de las Cortes el 6 de octubre de 2026. Eso no suspende sus obligaciones: el Reglamento es de aplicación directa y la AEPD, la Inspección de Trabajo y las autoridades de consumo sí pueden actuar hoy sobre sus usos de IA.

¿Las multas de 35 millones de euros se aplican a una pyme?

El tope de 35 millones de euros o el 7 % corresponde a las prácticas prohibidas del artículo 5. Para una pyme se aplica el menor de los dos importes (artículo 99.6), y la autoridad debe tener en cuenta la gravedad, la intencionalidad, las medidas de mitigación y el tamaño de la empresa (artículo 99.7). Una pyme que usa IA generativa de forma ordinaria rara vez está cerca de una práctica prohibida.

¿Qué sanción tiene no formar a mi personal (artículo 4)?

El artículo 4 no figura en la lista del artículo 99.4, así que su sanción depende del régimen nacional, que en España todavía no existe. Pero la formación es la prueba que necesitará ante la AEPD, un cliente o un juzgado para demostrar diligencia, y es la medida más barata del conjunto. No posponerla por falta de multa es la decisión sensata.

¿Y si solo usamos ChatGPT gratuito de vez en cuando?

Entonces su riesgo principal es el RGPD, no el Reglamento de IA: una cuenta gratuita personal, sin contrato de encargado, con datos de clientes en los prompts es el escenario típico de una violación de seguridad notificable. Regularice con cuentas corporativas, reglas de datos y una formación corta. El uso ocasional también se inscribe en el registro.

¿Cambiarán las cifras cuando se apruebe la ley española?

Nada está decidido hasta que una nueva ley se apruebe y entre en vigor; la referencia más probable son los tramos del proyecto caducado. Lo que sí es seguro es que la ley no creará obligaciones nuevas: las obligaciones ya están en el Reglamento.

Para seguir leyendo

Este artículo se ofrece con carácter general, a fecha de 31 de octubre de 2026, y no constituye asesoramiento jurídico. El ejemplo es ilustrativo. El proyecto de ley orgánica española se menciona como iniciativa caducada tras la disolución de las Cortes; cuando una futura ley entre en vigor, revise esta información. Adapte el contenido a su situación y, si es necesario, hágalo validar por un profesional.

Esta información se ofrece con carácter general y no constituye asesoramiento jurídico. Adáptela a su situación y, si es necesario, hágala validar por un profesional.

Sanciones del Reglamento de IA para pymes: quién puede multar hoy en España, cuánto y cómo evitarlo (2026)