Depende de qué incumplas y de quién pueda actuar. El Reglamento (UE) 2024/1689 fija multas de hasta 35 millones de euros o el 7 % de la facturación (art. 99), pero en España, a 15 de septiembre de 2026, la ley orgánica que debe tipificar esas sanciones sigue en el Congreso y AESIA no tiene régimen sancionador en vigor: no constan multas por el Reglamento de IA. Lo que sí puede costarte dinero hoy es el RGPD (AEPD, hasta 20 millones o el 4 %) y la normativa laboral (Inspección de Trabajo), que alcanzan a muchos usos de IA.
Los importes del artículo 99 (y la regla para pymes)
El art. 99 establece tres tramos. Las prácticas prohibidas del art. 5: hasta 35 millones de euros o el 7 % del volumen de negocio mundial anual. La mayoría de las demás obligaciones (entre ellas la transparencia del art. 50 y los deberes de los responsables del despliegue de alto riesgo del art. 26): hasta 15 millones o el 3 %. Facilitar información incorrecta o incompleta a las autoridades: hasta 7,5 millones o el 1 %.
Para las grandes empresas se aplica el importe más alto de los dos. Para las pymes y empresas emergentes, el art. 99.6 invierte la regla: se aplica el menor. Una empresa que factura dos millones de euros no se enfrenta a 15 millones, sino como máximo al 3 % de su facturación. Sigue siendo mucho, pero es la cifra real, no el titular.
El art. 4 de alfabetización en IA no está en esa lista. La Comisión ha aclarado que las autoridades nacionales pueden sancionar su incumplimiento de forma proporcional, pero no figura en los tramos tasados del art. 99. En el proyecto de ley español encaja como infracción leve: hasta 500.000 euros o el 0,5 %.
Quién sanciona en España: el proyecto de ley sigue en el Congreso
El Reglamento fija los máximos, pero cada Estado miembro designa las autoridades y tipifica las infracciones. En España eso lo hará el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial (121/000096), aprobado en Consejo de Ministros el 26 de mayo de 2026 y publicado en el BOCG el 12 de junio. El plazo de enmiendas terminó el 2 de septiembre y el texto sigue en la Comisión de Economía del Congreso. No hay BOE.
El proyecto prevé infracciones muy graves (35 millones o 7 % para las prohibidas; 15 millones o 3 % para el resto), graves (7,5 millones o 1 %) y leves (500.000 euros o 0,5 %), con el importe menor para pymes. Designa a AESIA como autoridad de vigilancia y punto de contacto único, a la AEPD para biometría y prácticas prohibidas con datos personales, y a CNMC, Banco de España, CGPJ y Junta Electoral Central en sus ámbitos.
La consecuencia práctica: AESIA (RD 729/2023) hoy no dispone de un régimen sancionador tipificado. No constan sanciones ni inspecciones formales en 2026; su actividad se centra en sus 16 guías (v2.0 de 17 de julio de 2026, adaptadas al Omnibus) y en el sandbox. Ese vacío se cerrará cuando la ley orgánica llegue al BOE, y la fecha depende del Congreso. Más detalle en qué es AESIA y qué sanciones puede imponer.
Lo que sí te pueden sancionar hoy
Que el Reglamento de IA no se ejecute todavía no significa que usar IA salga gratis. Dos autoridades con régimen sancionador operativo vigilan gran parte de lo que hace una pyme con estas herramientas.
La AEPD aplica el RGPD, con multas de hasta 20 millones de euros o el 4 % de la facturación. Casi cualquier uso de IA con datos de clientes o empleados pasa por ahí: falta de contrato de encargado con el proveedor (art. 28), ausencia de base jurídica, no hacer la evaluación de impacto cuando toca (art. 35), decisiones automatizadas sin garantías (art. 22), no informar (arts. 13 y 14). Si usas reconocimiento de emociones o biometría, la AEPD ya puede actuar por vía RGPD sin esperar a la ley de IA.
La Inspección de Trabajo aplica la LISOS. Desde el 12 de mayo de 2021, el art. 64.4.d del Estatuto de los Trabajadores obliga a informar a la representación legal de los trabajadores sobre los algoritmos que afectan a las condiciones de trabajo. Y desde el 5 de octubre de 2026, el RD 723/2026 (art. 3.2.k) exige informar por escrito a cada trabajador de los sistemas algorítmicos que decidan sobre horarios, tareas, retribución, promoción, lugar de trabajo o extinción.
Los riesgos que no son multas
Para muchas pymes el coste real del incumplimiento no llega como expediente sancionador, sino como contrato. Los clientes grandes incorporan en sus contratos con proveedores cláusulas de cumplimiento del Reglamento de IA: inventario de sistemas, política de uso, formación documentada. Si no puedes responder a ese cuestionario, te quedas fuera sin que ninguna autoridad intervenga.
El segundo riesgo son las reclamaciones de trabajadores: en un despido o un cambio de turno decidido con apoyo de un sistema automatizado, no haber informado del sistema debilita la posición de la empresa ante el juzgado de lo social. Y el tercero es la reputación: un chatbot que se hace pasar por persona o un deepfake sin etiquetar es noticia mucho antes de ser expediente.
Tabla por obligación: quién puede actuar hoy y qué cambiará
| Obligación | Desde | Quién puede actuar hoy | Qué pasará cuando se apruebe la LO |
|---|---|---|---|
| Art. 4 alfabetización en IA | 2-feb-2025 | Nadie con sanción tipificada; exigible en contratos y auditorías | Infracción leve: hasta 500.000 € o 0,5 % (pymes, el menor) |
| Art. 5 prácticas prohibidas | 2-feb-2025 (nuevas desde 27-jul-2026) | AEPD por vía RGPD si hay datos personales (biometría, emociones) | Muy grave: hasta 35 M€ o 7 % (pymes, el menor); AEPD competente cuando haya datos personales |
| Art. 50 transparencia (chatbots, deepfakes, contenido sintético) | 2-ago-2026 | Sin sanción tipificada por el RIA; la AEPD por vía RGPD si el chatbot trata datos personales; riesgo reputacional y contractual | Hasta 15 M€ o 3 % (pymes, el menor), vigilado por AESIA |
| Art. 26 deployers de alto riesgo (RRHH, crédito, educación) | 2-dic-2027 (Anexo I: 2-ago-2028) | No aplicable todavía; RGPD y ET sí | Hasta 15 M€ o 3 % (pymes, el menor) |
| ET art. 64.4.d información algorítmica a la RLT | 12-may-2021 | Inspección de Trabajo (LISOS) | Sin cambios: sigue vigilando la Inspección de Trabajo |
| RD 723/2026 art. 3.2.k información individual | 5-oct-2026 | Inspección de Trabajo (LISOS) | Sin cambios: sigue vigilando la Inspección de Trabajo |
| RGPD (art. 28, 35, 22, 13-14) en usos de IA | Ya | AEPD: hasta 20 M€ o 4 % | Sin cambios |
Las fechas son las del Reglamento tras el Digital Omnibus (Reglamento (UE) 2026/1744, en vigor desde el 27 de julio de 2026), explicadas en el calendario de fechas para pymes. La última columna depende del texto definitivo de la ley orgánica y de su publicación en el BOE.
Qué hacer con proporción
Nada de lo anterior justifica una consultoría de seis cifras ni esperar de brazos cruzados. Lo razonable para una pyme es cubrir cuatro cosas que cuestan poco y sirven ante cualquier autoridad o cliente que pregunte.
- Un inventario de los sistemas de IA que usas, con proveedor, finalidad, datos que tocan y quién los usa. Es la base de todo lo demás.
- Los avisos del art. 50: que el chatbot diga que es una IA y que las imágenes, audios o vídeos generados que parezcan reales lleven etiqueta. Si rebrandeas un chatbot de terceros, puedes pasar a ser proveedor (art. 25).
- Un registro de formación en IA: fecha, asistentes, contenido. Según la Comisión, no hace falta certificado.
- El anexo laboral: información a la RLT (art. 64.4.d ET) y, desde el 5 de octubre, el documento individual del RD 723/2026 a cada trabajador con acuse de recibo.
Si tocas usos de alto riesgo (selección de personal, evaluación, crédito), tienes hasta diciembre de 2027 para el art. 26, pero el RGPD y el Estatuto ya te alcanzan. El resumen obligación por obligación está en qué obliga la ley de inteligencia artificial a las empresas. Y si quieres saber en tres minutos cuáles te aplican y qué te falta, el diagnóstico gratuito de Gobernaia está para eso.
Fuentes
- Reglamento (UE) 2026/1744 (Digital Omnibus de IA), que modifica el Reglamento (UE) 2024/1689, art. 99
- Proyecto de Ley Orgánica para el buen uso y la gobernanza de la IA (121/000096), BOCG 12-06-2026
- AESIA: recursos y guías
- Comisión Europea: preguntas y respuestas sobre alfabetización en IA (art. 4)
- AEPD: Adecuación al RGPD de tratamientos que incorporan IA
- Ministerio de Trabajo: Información algorítmica en el ámbito laboral (guía)
- Real Decreto 723/2026, de 9 de septiembre (BOE 15-09-2026)
Última revisión: 15 de septiembre de 2026. Esta guía es informativa y no sustituye el asesoramiento jurídico.