El artículo 99 del Reglamento (UE) 2024/1689 (el AI Act) tiene tres tramos de multa: hasta 35 millones de euros o el 7 % del volumen de negocios mundial para las prácticas prohibidas del artículo 5, hasta 15 millones o el 3 % para los incumplimientos de operadores y organismos notificados, y hasta 7,5 millones o el 1 % por dar información inexacta, incompleta o engañosa a organismos notificados o autoridades. Lo que casi nadie cuenta es la segunda mitad: a 30 de julio de 2026 España todavía no ha aprobado la ley que designa a las autoridades nacionales de vigilancia del mercado ni concreta el procedimiento sancionador. Sigue en tramitación en el Congreso.
Respuesta corta. Los techos son 35 millones de euros o el 7 % (apartado 3), 15 millones o el 3 % (apartado 4) y 7,5 millones o el 1 % (apartado 5), y se aplica la cuantía superior de las dos, salvo para las pymes y las pequeñas empresas de mediana capitalización, donde se aplica la menor. El régimen sancionador del capítulo XII es aplicable desde el 2 de agosto de 2025, pero España no ha aprobado la ley que designa a sus autoridades ni fija el procedimiento: lo que hay es el Proyecto de Ley Orgánica 121/000096, en fase de enmiendas. Para poner números a tu caso, tienes la calculadora de sanciones del AI Act.
Los tres tramos del artículo 99
Una distinción previa: el AI Act está en vigor desde el 1 de agosto de 2024 y se aplica por tramos. El capítulo XII, donde vive el artículo 99, es aplicable desde el 2 de agosto de 2025 —salvo su artículo 101, sobre multas a proveedores de modelos de IA de uso general, que sigue la fecha general—; la fecha general de aplicación es el 2 de agosto de 2026.
| Apartado | Qué se sanciona | Importe | Porcentaje |
|---|---|---|---|
| Apartado 3 | No respetar la prohibición de las prácticas de IA del artículo 5 | 35 millones de euros | 7 % |
| Apartado 4 | Incumplir las disposiciones de sus letras, distintas de las del artículo 5 | 15 millones de euros | 3 % |
| Apartado 5 | Información inexacta, incompleta o engañosa a organismos notificados o autoridades | 7,5 millones de euros | 1 % |
El porcentaje se calcula sobre el volumen de negocios mundial total; los apartados 3 y 5 lo refieren al ejercicio financiero anterior. En los tres tramos se aplica la cuantía superior de las dos. El Reglamento (UE) 2026/1744 no modifica importes ni porcentajes.
Las citas literales. Artículo 99, apartado 3: «El no respeto de la prohibición de las prácticas de IA a que se refiere el artículo 5 estará sujeto a multas administrativas de hasta 35 000 000 EUR o, si el infractor es una empresa, de hasta el 7 % de su volumen de negocios mundial total correspondiente al ejercicio financiero anterior, si esta cuantía fuese superior.»
Artículo 99, apartado 4: «El incumplimiento de cualquiera de las disposiciones que figuran a continuación en relación con los operadores o los organismos notificados, distintas de los mencionados en el artículo 5, estará sujeto a multas administrativas de hasta 15 000 000 EUR o, si el infractor es una empresa, de hasta el 3 % de su volumen de negocios mundial total [...], si esta cuantía fuese superior».
Artículo 99, apartado 5: «La presentación de información inexacta, incompleta o engañosa a organismos notificados o a las autoridades nacionales competentes en respuesta a una solicitud estará sujeta a multas administrativas de hasta 7 500 000 EUR o, si el infractor es una empresa, de hasta el 1 % del volumen de negocios mundial total correspondiente al ejercicio financiero anterior, si esta cuantía fuese superior.»
El apartado 4, tramo del 3 %, letra por letra
No es un cajón genérico: es una lista cerrada de remisiones.
- a) «las obligaciones de los proveedores con arreglo al artículo 16».
- b), c) y d) las obligaciones de los representantes autorizados (artículo 22), los importadores (artículo 23) y los distribuidores (artículo 24).
- d bis) «las obligaciones de los proveedores y operadores en virtud del artículo 25, apartados 2 y 4». Letra nueva del Reglamento (UE) 2026/1744.
- e) «las obligaciones de los responsables del despliegue con arreglo al artículo 26».
- f) «los requisitos y obligaciones de los organismos notificados con arreglo al artículo 31, al artículo 33, apartados 1, 3 y 4, o al artículo 34».
- g) «las obligaciones de transparencia de los proveedores y responsables del despliegue con arreglo al artículo 50».
Dos lecturas prácticas. La letra e) mete el artículo 26 completo en el tramo del 3 %: los doce apartados del responsable del despliegue. La letra g) alcanza a proveedores y a responsables del despliegue, y ahí está el error de reparto más frecuente: muchas empresas dan por hecho que el marcado y el aviso son cosa del proveedor.
La letra d bis) es la novedad de julio de 2026, y lo que importa es su efecto. Antes del Ómnibus digital, el catálogo del apartado 4 no contenía ninguna remisión al artículo 25: las obligaciones de sus apartados 2 y 4 no figuraban entre los incumplimientos con techo nominado en ese tramo. Ahora sí, y de forma expresa: si te alcanzan, ese incumplimiento tiene ya techo de 15 millones de euros o el 3 %, con la regla de la cuantía superior.
Las letras del apartado 4 remiten, además, a obligaciones con fechas de aplicación distintas: el Ómnibus aplazó la del capítulo III, secciones 1, 2 y 3 del AI Act, con la excepción del artículo 6, apartado 5, al 2 de diciembre de 2027 (anexo III) y al 2 de agosto de 2028 (anexo I).
Qué cambia el Reglamento (UE) 2026/1744 en el artículo 99
El Reglamento (UE) 2026/1744, el Ómnibus digital sobre IA, en vigor desde el 27 de julio de 2026, toca el artículo 99 en tres sitios por su artículo 1, punto 38, y no toca ningún importe.
Sustituye el apartado 1: «De conformidad con las condiciones previstas en el presente Reglamento, los Estados miembros establecerán el régimen de sanciones y otras medidas de garantía del cumplimiento, como multas administrativas, advertencias o medidas no pecuniarias, aplicable a cualquier infracción del presente Reglamento que cometan los operadores y adoptarán todas las medidas necesarias para garantizar que se aplican de forma adecuada y efectiva y teniendo así en cuenta las directrices emitidas por la Comisión en virtud del artículo 96. Tales sanciones establecidas serán efectivas, proporcionadas y disuasorias. A la hora de imponer sanciones, los Estados miembros tendrán en cuenta los intereses de las pymes, incluidas las empresas emergentes y las pequeñas empresas de mediana capitalización, así como su viabilidad económica.»
Dos cosas nuevas. Las «advertencias o medidas no pecuniarias» aparecen expresamente entre las medidas de garantía del cumplimiento, junto a las multas: la respuesta no es solo dinero. Y el mandato de atender a los intereses y la viabilidad económica de pymes, empresas emergentes y pequeñas empresas de mediana capitalización, dirigido a los Estados miembros y no a la empresa.
Añade la letra d bis) al apartado 4 e inserta un apartado 6 bis: «En el caso de las pequeñas empresas de mediana capitalización, cada multa a que se refieren los apartados 4 y 5 no excederá de los porcentajes o importes mencionados en dichos apartados, aplicándose el menor de ellos.»
Lee qué apartados cita: el 4 y el 5. No el 3. Para una pequeña empresa de mediana capitalización, el tramo de las prácticas prohibidas no tiene ese tope: en los otros dos se aplica la cuantía menor, en el del 7 % la regla general.
El tamaño de la empresa invierte la regla de cálculo
Esta parte cambia el signo de la comparación. Artículo 99, apartado 6: «En el caso de las pymes, incluidas las empresas emergentes, cada una de las multas a que se refiere el presente artículo podrá ser por el porcentaje o el importe a que se refieren los apartados 3, 4 y 5, según cuál de ellos sea menor.»
La regla general de los apartados 3, 4 y 5 aplica la cuantía superior; para las pymes y las empresas emergentes, el apartado 6 aplica la menor. Y ojo, porque circula mal: la protección de las pymes está en los apartados 1 y 6, no en el apartado 2, que solo obliga a los Estados miembros a comunicar sus normas a la Comisión.
Un ejemplo aritmético. Una empresa con 4 millones de euros de volumen de negocios mundial total en el ejercicio anterior, con un incumplimiento del apartado 4: el 3 % son 120.000 euros, y la regla general tomaría el techo superior, 15 millones. Si es una pyme, el apartado 6 invierte la comparación y el techo pasa a 120.000 euros. En el apartado 3 la distancia es mayor: el 7 % de 4 millones son 280.000 euros frente a los 35 millones del importe fijo.
Es un ejemplo ilustrativo de cómo opera la comparación, no la estimación de una sanción real: los dos números son topes máximos, y el reglamento no dice qué cuantía correspondería a un caso concreto.
| Tipo de empresa | Apartados | Regla que se aplica | Base |
|---|---|---|---|
| Pyme, incluidas las empresas emergentes | 3, 4 y 5 | El menor de los dos (porcentaje o importe) | Art. 99.6 |
| Pequeña empresa de mediana capitalización | 4 y 5 | El menor de los dos. El apartado 3 queda fuera | Art. 99.6 bis (nuevo) |
| Resto de empresas | 3, 4 y 5 | La cuantía superior de las dos | Art. 99.3, 99.4 y 99.5 |
El artículo 99, apartado 1, en la redacción del Reglamento (UE) 2026/1744, obliga además a los Estados miembros a tener en cuenta los intereses de estas empresas, «así como su viabilidad económica».
Quién sanciona en España
Aquí se equivoca casi todo lo publicado. El régimen sancionador del capítulo XII es aplicable desde el 2 de agosto de 2025, pero España todavía no ha aprobado la ley que designa a las autoridades nacionales y concreta el procedimiento sancionador. A 30 de julio de 2026 no existe ninguna ley ni real decreto español en vigor que designe formalmente a AESIA como autoridad de vigilancia del mercado del artículo 70 del AI Act ni que establezca el régimen sancionador nacional.
Lo que existe es el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial, expediente 121/000096 de la XV Legislatura: presentado el 28 de mayo de 2026, calificado el 8 de junio y publicado en el BOCG Congreso, Serie A, núm. 97-1, de 12 de junio de 2026. A 30 de julio de 2026 está en la Comisión de Economía, Comercio y Transformación Digital, en fase de enmiendas, con el plazo ampliado hasta el 2 de septiembre de 2026. No está publicado en el BOE, no tiene fuerza de ley y su texto puede cambiar.
Con esa advertencia por delante, lo que el proyecto prevé:
- Que la vigilancia del mercado no recaiga solo en AESIA, sino que se reparta entre AESIA y otros supervisores según el tipo de sistema: entre ellos, la Agencia Española de Protección de Datos, el Consejo General del Poder Judicial, el Banco de España y la Dirección General de Seguros y Fondos de Pensiones.
- Que se repliquen los tramos del artículo 99 y se añada un tramo nacional de infracciones leves de «hasta 500.000 euros o, si el infractor es una empresa, hasta el 0,5 % de su volumen de negocios mundial total correspondiente al ejercicio anterior, si esta cuantía fuese superior».
Repito lo importante, porque se cita mal a diario: eso es el proyecto, no Derecho vigente. Mientras el expediente 121/000096 siga en tramitación, no escribas en una política interna ni en un pliego que AESIA es tu autoridad de vigilancia del mercado: está previsto que la vigilancia se reparta, y el reparto puede cambiar en las enmiendas.
Qué es AESIA hoy, con precisión
AESIA existe y trabaja, y hay que contarlo bien. Su creación la autorizan la Ley 22/2021, de 28 de diciembre, de Presupuestos Generales del Estado para 2022 (disposición adicional centésima trigésima), y la Ley 28/2022, de 21 de diciembre, de fomento del ecosistema de las empresas emergentes (disposición adicional séptima). El Real Decreto 729/2023, de 22 de agosto, aprueba su Estatuto; no la crea, que es como suele contarse. El artículo 2 del Estatuto fija la sede: «La Agencia tendrá su sede institucional en la ciudad de A Coruña, en el edificio La Terraza cedido por la Administración Municipal.»
Y produce material utilizable: el 16 de diciembre de 2025 anunció 16 guías de apoyo al cumplimiento del AI Act para sistemas de alto riesgo (2 de material divulgativo, 13 sobre requisitos técnicos y 1 herramienta de listas de comprobación). Lo que no consta todavía es su designación formal como autoridad de vigilancia del mercado ni su potestad sancionadora.
Qué significa este vacío para tu empresa
Ni moratoria ni barra libre. El AI Act es un reglamento de la Unión Europea: sus obligaciones son directamente aplicables y exigibles según el calendario del artículo 113, sin que haga falta una ley española. Lo pendiente en España es el aparato nacional: qué autoridad vigila cada tipo de sistema, con qué procedimiento y con qué graduación.
Y mira el calendario: la fecha general de aplicación del reglamento es el 2 de agosto de 2026 y el plazo de enmiendas del proyecto español está ampliado hasta el 2 de septiembre de 2026. Es decir, el reglamento entra en su fase general de aplicación antes de que se cierren esas enmiendas. Tratar ese desfase como una ventana de impunidad es una apuesta, no un análisis.
Lista de comprobación para reducir tu exposición
- Inventaría los sistemas de IA que introduces en el mercado, pones en servicio o utilizas y fija tu figura en el reglamento para cada uno: de eso depende el tramo.
- Descarta primero el artículo 5: es el único tramo del 7 % y el único que el apartado 6 bis no limita. El Ómnibus añadió dos prácticas prohibidas nuevas al artículo 5, aplicables desde el 2 de diciembre de 2026.
- Si eres responsable del despliegue, repasa el artículo 26 apartado por apartado: la letra e) lo mete completo en el tramo del 3 %. Tienes el desglose en las obligaciones del responsable del despliegue.
- Comprueba si te alcanza el artículo 25, apartados 2 y 4: desde el Ómnibus, su incumplimiento está expresamente en el tramo del 3 % por la letra d bis).
- Cuida las respuestas a requerimientos: el apartado 5 sanciona la información inexacta, incompleta o engañosa con hasta 7,5 millones de euros o el 1 %.
- Documenta tu volumen de negocios mundial total del ejercicio financiero anterior y si eres pyme o empresa emergente: de eso depende qué techo se te aplica.
- Sigue la tramitación del expediente 121/000096 antes de escribir en un documento interno quién es tu autoridad de control en materia de IA.
Una nota de método. El artículo 99 fija techos, no multas: cuánto se impone depende de la graduación. El régimen que en España ya está montado es el de protección de datos, así que para ver cómo un tope legal acaba en una cifra, mira cómo se gradúan las sanciones de la AEPD. No son los mismos criterios, pero es el mejor espejo mientras el procedimiento español siga en el Congreso.
En Summum Consultoría empezamos por ahí: a qué tramo del artículo 99 te expone cada sistema, porque eso ordena las tareas. Si quieres que lo miremos con tu inventario delante, ese es nuestro servicio de cumplimiento del AI Act.
Preguntas frecuentes
¿Cuál es la multa máxima del AI Act?
El techo más alto está en el artículo 99, apartado 3, del Reglamento (UE) 2024/1689: hasta 35 millones de euros o, si el infractor es una empresa, hasta el 7 % de su volumen de negocios mundial total del ejercicio financiero anterior, si esta cuantía fuese superior. Se reserva a un supuesto concreto: no respetar la prohibición de las prácticas de IA del artículo 5. Los otros dos tramos son más bajos: 15 millones o el 3 % para los incumplimientos de operadores y organismos notificados (apartado 4) y 7,5 millones o el 1 % por presentar información inexacta, incompleta o engañosa (apartado 5). Para las pymes, incluidas las empresas emergentes, el apartado 6 permite que la multa sea por el porcentaje o por el importe, según cuál de ellos sea menor.
¿Sanciona AESIA el incumplimiento del AI Act en España?
A 30 de julio de 2026, no consta. El régimen sancionador del capítulo XII del AI Act es aplicable desde el 2 de agosto de 2025, pero España todavía no ha aprobado la ley que designa a las autoridades nacionales de vigilancia del mercado ni concreta el procedimiento sancionador. Lo que hay es el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial, expediente 121/000096 de la XV Legislatura, en fase de enmiendas en la Comisión de Economía, Comercio y Transformación Digital, con el plazo ampliado hasta el 2 de septiembre de 2026. Ese proyecto prevé repartir la vigilancia entre AESIA y otros supervisores, no atribuirla a AESIA en exclusiva. No está en el BOE y su texto puede cambiar.
¿Las multas del AI Act son más bajas para una pyme?
Sí, y el mecanismo es una inversión de la regla de cálculo. El artículo 99, apartado 6, dice que para las pymes, incluidas las empresas emergentes, cada multa podrá ser por el porcentaje o el importe de los apartados 3, 4 y 5, según cuál de ellos sea menor. La regla general aplica la cuantía superior. Ejemplo ilustrativo: con 4 millones de euros de volumen de negocios, el 3 % son 120.000 euros; la regla general tomaría los 15 millones y la de pymes toma los 120.000. Son topes máximos, no multas: la cuantía concreta depende de la graduación que haga la autoridad.
¿Qué límite tienen las multas para una pequeña empresa de mediana capitalización?
El Reglamento (UE) 2026/1744 insertó un apartado 6 bis en el artículo 99: para las pequeñas empresas de mediana capitalización, cada multa de los apartados 4 y 5 no excederá de los porcentajes o importes de dichos apartados, aplicándose el menor de ellos. Fíjate en qué apartados cita: el 4 y el 5, no el 3. El tramo de las prácticas prohibidas del artículo 5, con sus 35 millones de euros o el 7 %, queda fuera de ese límite. Además, el apartado 1 obliga a los Estados miembros a tener en cuenta los intereses de estas empresas y su viabilidad económica al imponer sanciones.
¿Me pueden sancionar por el AI Act si España aún no tiene ley sancionadora?
Las obligaciones del AI Act son directamente aplicables y exigibles según el calendario de su artículo 113, porque es un reglamento de la Unión Europea y no necesita una ley española que lo traslade. Lo que está pendiente en España es el aparato nacional: designar qué autoridad vigila cada tipo de sistema y fijar el procedimiento y la graduación. No es una moratoria ni una suspensión de obligaciones. La fecha general de aplicación del reglamento es el 2 de agosto de 2026, mientras que el plazo de enmiendas del proyecto español está ampliado hasta el 2 de septiembre de 2026.
¿Qué cambió el Reglamento (UE) 2026/1744 en las sanciones del AI Act?
Tres cosas, y ninguna es un importe: los techos de 35, 15 y 7,5 millones de euros y los porcentajes del 7 %, 3 % y 1 % siguen igual. Primero, sustituye el apartado 1 del artículo 99, que ahora menciona expresamente «advertencias o medidas no pecuniarias» junto a las multas y manda tener en cuenta los intereses de pymes, empresas emergentes y pequeñas empresas de mediana capitalización, así como su viabilidad económica. Segundo, añade la letra d bis) al apartado 4, con las obligaciones de los proveedores y operadores en virtud del artículo 25, apartados 2 y 4. Tercero, inserta el apartado 6 bis. El Ómnibus está en vigor desde el 27 de julio de 2026.