Las sanciones del AI Act para una pyme española pueden llegar hasta 35 millones de euros o el 7% de la facturación mundial anual, lo que resulte mayor, aunque para las pequeñas y medianas empresas el Reglamento aplica el importe menor entre la cuantía fija y el porcentaje de facturación. La cifra depende del tipo de incumplimiento: no todas las infracciones del Reglamento de IA (Reglamento UE 2024/1689) tienen el mismo peso, y la estructura sancionadora distingue tres tramos según la gravedad de la práctica.
Los tres tramos de sanción del AI Act
El artículo 99 del Reglamento fija tres niveles. El tramo más grave, hasta 35 millones de euros o el 7% de la facturación mundial, corresponde a las prácticas prohibidas del artículo 5: manipulación subliminal, puntuación social, reconocimiento biométrico en tiempo real en espacios públicos o explotación de vulnerabilidades de colectivos específicos. El segundo tramo, hasta 15 millones de euros o el 3% de la facturación, corresponde al incumplimiento de las obligaciones de los sistemas de alto riesgo y de las obligaciones de transparencia del artículo 50. El tercer tramo, hasta 7,5 millones de euros o el 1,5% de la facturación, corresponde a la aportación de información incorrecta o incompleta a las autoridades de supervisión.
Quién puede sancionar en España: la AESIA
La Agencia Española de Supervisión de la Inteligencia Artificial (AESIA), con sede en A Coruña, es la autoridad designada para vigilar el cumplimiento del AI Act en territorio español. La AESIA tiene potestad para inspeccionar, requerir documentación técnica y sancionar. La obligación de alfabetización en IA del artículo 4 lleva siendo exigible desde febrero de 2025, así que una inspección puede encontrar incumplimiento acumulado aunque la empresa nunca haya recibido un aviso previo.
El riesgo real no siempre es la multa
Para la mayoría de las pymes españolas, la sanción administrativa de oficio de la AESIA no es el riesgo más probable a corto plazo, aunque existe. Los riesgos que se están materializando ya en 2026 son otros: la pérdida de contratos con clientes que exigen evidencia documental de cumplimiento, y la exposición acumulada de una empresa que trata datos de clientes o empleados con sistemas de IA sin gobernanza, donde una sanción del AI Act puede sumarse a una sanción del RGPD por el mismo incidente.
Cómo puede ayudarte Novatierra
Saber en qué tramo de riesgo real se encuentra una empresa, antes de que llegue una inspección, es precisamente lo que resuelve un Diagnóstico Rápido: un proceso de una semana que identifica la exposición concreta y las prioridades de actuación.
¿Quieres explorar si esto aplica a tu empresa? Una conversación de treinta minutos es suficiente para tener una primera orientación.