Sanciones de la Ley IA que pueden tener las empresas

El futuro digital se construye sobre la inteligencia artificial, pero no sin reglas. Al menos es la base sobre la que se ha creado la Ley IA y que si tienes una pyme o eres autónomo en España, también te afecta.

Este reglamento de la Unión Europea, o AI Act (Reglamento UE 2024/1689), no está solo pensado para gigantes tecnológicos, abarca a todo tipo de usos de IA en el ámbito profesional.

La normativa ya ha entrado en vigor, con el objetivo de proteger a las personas de los riesgos asociados a ciertos usos de la IA. En concreto, desde el 1 de agosto de 2025, las normas relativas a las sanciones por infracciones comenzaron a aplicarse a partir de esa fecha..

Esto significa que, si tu pyme utiliza IA sin cumplir las obligaciones de transparencia y diligencia, ya está expuesta a sanciones. La clave para evitarlas no está solo en cumplir, sino también en demostrar que cumples.

La urgencia: ¿por qué la IA ya puede implicar multas para las pymes?

Seguramente piensas que las herramientas de IA que usas son inofensivas, pero si utilizas un chatbot para atención al cliente, software para analizar currículums o incluso herramientas como ChatGPT para generar contenidos, la ley te exige responsabilidades.

Sí, aunque seas una pequeña empresa.

El Reglamento (AI Act) afecta a tu empresa en varios aspectos:

• Si eres proveedor de IA: por ejemplo, si desarrollas o comercializas sistemas que parcial o totalmente trabajen con IA.
• Usuario de IA: si utilizas cualquier sistema de IA en tu actividad profesional, incluso si es una herramienta de terceros (por ejemplo, Gemini o Chatgpt).
• Importador/distribuidor de IA: si vendes IA fabricada fuera de la UE o la revendes aquí.

La ley busca garantizar que toda innovación profesional que trabaje con IA sea segura y fiable. Además, algunas obligaciones ya se aplican, como las obligaciones de transparencia (riesgo limitado), que implican, por ejemplo, informar si estás interactuando con una IA o si un contenido fue generado artificialmente.

El coste de ignorar el cumplimiento: multas de hasta 30 millones de euros

Ignorar las obligaciones del reglamento de inteligencia artificial puede salir caro. Las sanciones de la Ley IA están diseñadas para ser efectivas, proporcionadas y disuasorias.

Y contemplan el uso que hagas, independientemente de tu tamaño de empresa.

Aunque las multas se escalonan en función de la infracción cometida, las cifras máximas son muy graves. Aquí te detallamos los tres niveles de sanción que debes conocer, basándonos en las multas máximas.

Multas máximas por prácticas prohibidas y gobernanza de datos

Estas son las multas más elevadas, hasta 35.000.000 euros, o si el infractor es una empresa, hasta el 7% del volumen de negocio total anual mundial del ejercicio financiero anterior, si esta cuantía fuera superior.

Vamos, un buen agujero.

En concreto, estas sanciones tan altas se aplican a dos tipos de infracciones:

• Incumplimiento de la prohibición de las prácticas de IA: esto incluye sistemas que manipulan a las personas mediante técnicas subliminales o aprovechando vulnerabilidades (como la edad o discapacidad) para causar perjuicio físico o psicológico. También cubre el uso de sistemas de "puntuación social". Este uso de IA de riesgo inaceptable está directamente prohibido.
• Incumplimiento de los requisitos de datos y gobernanza de datos: si tu pyme utiliza IA que implica el entrenamiento de modelos con datos, estos conjuntos de datos (entrenamiento, validación y prueba) deben cumplir criterios de calidad, ser pertinentes, representativos y carecer de errores para evitar sesgos. El incumplimiento de estas prácticas de gobernanza de datos se sanciona con el máximo nivel. Aquí entrarían, por ejemplo, entrenar una IA con datos personales para usarlos de manera discriminatoria, sin revisión de sesgos implícitos en esos datos.

Multas por incumplimiento de requisitos clave de riesgo alto

Si tu pyme incumple cualquiera de los otros requisitos u obligaciones establecidas en el reglamento, distintos de las prácticas prohibidas o la gobernanza de datos, puede enfrentarse a multas administrativas de hasta 15.000.000 euros o, si el infractor es una empresa, hasta el 3% del volumen de negocio total anual mundial.

Esta categoría de sanción aplica a todos los sistemas de riesgo alto que tu pyme pueda utilizar, como IA para criba de currículums o para determinar la solvencia crediticia.

Los requisitos de riesgo alto incumplidos en este nivel incluyen:

• No establecer un sistema de gestión de riesgos documentado y continuo
• No elaborar la documentación técnica necesaria para demostrar la conformidad
• Fallar en la implementación de vigilancia humana efectiva
• No garantizar el nivel adecuado de precisión, solidez y ciberseguridad del sistema

Multas por información inexacta o engañosa

El nivel de sanción más bajo, pero aun así significativo, es por la presentación de información inexacta, incompleta o engañosa.

En concreto, está sujeto a multas de hasta 7.500.000 euros o, si el infractor es una empresa, hasta el 1% del volumen de negocio total anual mundial.

Es la multa que puede afectar a la pyme, en mayor medida.

¿Y cómo evitarla?

La documentación y la trazabilidad son vitales para evitar este tipo de infracción. No se trata de cumplir, sino de demostrar que cumples.

Pero ¿cómo demuestro que mi pyme cumple con la ley IA?

Primero, debes ser proactivo y asegurarte de tener la documentación adecuada y los procedimientos definidos. La normativa apoya a las pymes y startups, ofreciendo medidas como el acceso prioritario a espacios controlados de pruebas y la reducción de las tasas de evaluación de la conformidad. Sin embargo, la falta de diligencia o el desconocimiento no te exime de responsabilidad.

Tu pyme debe implementar un sistema que cubra, como mínimo, estos aspectos de cumplimiento:

• Política de uso de IA: definir internamente qué herramientas que se pueden usar, para qué fines y disponer de esta política por escrito y compartida con el equipo.
• Registro de herramientas de IA: listar todas las herramientas utilizadas (Chatgpt, Gemini, IA de Canva, etc.), y registrar para cada una: proveedor, uso, tipo de datos tratados y nivel de riesgo.
• Etiquetado y transparencia: indicar claramente cuándo un contenido ha sido generado total o parcialmente por IA si puede inducir a error o confusión. Especialmente, en sistemas de riesgo limitado, como Chatbots o generadores de Deepfakes
• Formación interna: asegurar que el equipo ha recibido formación básica sobre IA y sobre el AI Act o Ley IA.
• Revisión humana: si utilizas IA de alto riesgo (ej. para filtrar currículums), revisar manualmente todas las decisiones automatizadas y llevar un registro.
• Acuerdos con proveedores: verificar que las IA de terceros cumplen con la normativa.

Actúa antes de que sea tarde. ¿Quieres saber si estás preparado para cumplir con la Ley IA? Hemos preparado un checklist que te indica en qué aspectos debes prepararte.

Porque quieras o no, tu empresa tendrá que cumplir con la normativa, para no tener que lamentarlo con sanciones que pueden ser elevadas, según el grado de gravedad que contempla la AI Act.