Casi todo lo que se publica sobre el AI Act empieza por la misma cifra: 35 millones de euros o el 7 % de la facturación mundial. Funciona como titular porque asusta, y asusta porque es real.
Lo que rara vez acompaña al titular son las tres cosas que determinan si te alcanza: por qué conducta, en qué tramo y con qué regla de cálculo si eres una pyme.
Los tres tramos, y qué castiga cada uno
El Art. 99 del Reglamento (UE) 2024/1689 no establece una multa: establece tres, y la diferencia entre ellas no es de grado sino de conducta.
- Art. 99(3) — hasta 35.000.000 € o el 7 %. Es el tramo del titular, y castiga «el no respeto de la prohibición de las prácticas de IA a que se refiere el artículo 5». Prácticas prohibidas: manipulación subliminal, explotación de vulnerabilidades, puntuación social, inferencia de emociones en el trabajo o la escuela, y las demás del Art. 5.
- Art. 99(4) — hasta 15.000.000 € o el 3 %. El incumplimiento de las disposiciones que el propio apartado enumera, en relación con operadores u organismos notificados. Es una enumeración cerrada cuando quien sanciona es una autoridad nacional, que es el caso de una empresa que despliega IA: un artículo que no figure en ella no entra por este tramo. La Oficina de IA, cuya competencia exclusiva alcanza a los proveedores de sistemas basados en sus propios modelos de uso general —y a un responsable del despliegue solo si es además el proveedor—, no está atada a esa enumeración (Art. 75 quater, apartado 4, del Reglamento (UE) 2024/1689, en la redacción del Reglamento (UE) 2026/1744).
- Art. 99(5) — hasta 7.500.000 € o el 1 %. Presentar información inexacta, incompleta o engañosa a organismos notificados o a las autoridades competentes.
La cifra que circula como «la multa del AI Act» es, por tanto, la del tramo más grave, reservado a conductas que el Reglamento prohíbe de plano. No es la sanción por no tener el inventario al día ni por un chatbot sin aviso.
La regla que cambia el cálculo para una pyme
En los tres tramos, la fórmula para una empresa es «hasta X euros o hasta Y % del volumen de negocios mundial, si esta cuantía fuese superior». Es decir: para una gran empresa, se toma la mayor de las dos magnitudes.
El Art. 99(6) invierte esa lógica para las pymes:
«En el caso de las pymes, incluidas las empresas emergentes, cada una de las multas a que se refiere el presente artículo podrá ser por el porcentaje o el importe a que se refieren los apartados 3, 4 y 5, según cuál de ellos sea menor.»
Dos palabras merecen atención, y las dos suelen perderse al resumir.
«Menor». Donde para una gran empresa se aplica la magnitud más alta, para una pyme puede aplicarse la más baja. Para una empresa con facturación modesta, el porcentaje es siempre muy inferior al importe fijo — de modo que la referencia realista deja de ser el titular.
«Podrá ser». No es un automatismo: es una facultad. El apartado no garantiza que la multa se fije en la magnitud menor; habilita a hacerlo. Escribir «para pymes se aplica la menor» sería exactamente el tipo de simplificación que esta serie viene señalando: cierta en su dirección, falsa en su forma.
A lo anterior se suma que el propio Reglamento manda tener en cuenta los intereses de las pymes y su viabilidad económica al establecer el régimen sancionador, y que el Art. 99 obliga a ponderar todas las circunstancias del caso concreto.
Por qué el titular desorienta más de lo que informa
Aquí está lo que rara vez se dice, y es lo que más cambia la conversación en una empresa mediana: la mayoría de los usos de IA en una pyme no está en el tramo de los 35 millones, y muchos no están en ningún tramo de alto riesgo.
Un asistente de productividad, una herramienta de redacción, un sistema de gestión que incorpora IA para ordenar tareas: nada de eso es una práctica prohibida del Art. 5 ni, por lo general, un sistema de alto riesgo. Los casos que sí escalan son concretos y reconocibles — el más frecuente, con diferencia, el filtrado automatizado de candidaturas, que entra por el Anexo III.
La consecuencia práctica es incómoda para el discurso dominante: el problema típico de una pyme no es estar expuesta a una multa enorme, es no poder demostrar en qué situación está. Y esas dos cosas requieren trabajos distintos. La primera pide abogados; la segunda, registro.
Lo que sí conviene tener resuelto
Ninguna de estas comprobaciones se hace por miedo a los 35 millones. Se hacen porque son las que responden a la pregunta que de verdad llega: ¿esto nos aplica?
Primera: descartar el Art. 5. Es una lista corta y sus supuestos son reconocibles. Si ninguno de tus sistemas hace nada de eso —y lo habitual es que ninguno lo haga—, el tramo de los 35 millones deja de ser tu referencia. Conviene dejarlo escrito, con fecha: es una conclusión que alguien pedirá justificar.
Segunda: saber cuáles, si alguno, son de alto riesgo, y por qué anexo. Determina el calendario aplicable, que no es único — el período de gracia depende precisamente de eso.
Tercera: separar tus obligaciones de las de tus proveedores. Buena parte de lo que se atribuye a quien despliega corresponde al proveedor, y el Art. 50 es el ejemplo más claro: el aviso de interacción es del proveedor, no de quien contrata la herramienta.
Cuarta: registrar cuándo se llegó a cada conclusión y quién la tomó. Porque lo que una autoridad, un cliente que audita o una aseguradora pedirá no es una cifra: será el razonamiento, con su fecha.
El miedo es mal inventario
Una empresa que decide su estrategia de IA a partir del titular de los 35 millones acaba en uno de dos sitios: paralizada, o gastando en asesoramiento para un riesgo que no tiene.
La alternativa no es despreocuparse. Es poder responder, en cualquier momento, qué sistemas se usan, cuál es la clasificación de cada uno, quién lo decidió y cuándo se revisó por última vez. Con eso, la pregunta por las multas se contesta sola en la mayoría de los casos — y en los pocos en que no, se contesta con datos en vez de con un titular.
Lo que hace inviable sostener eso a mano no es su dificultad. Es que las respuestas envejecen: cambian los sistemas, cambia el uso, y —como esta serie viene mostrando— cambia la norma. Un documento que nadie sabe cuándo se revisó por última vez no demuestra nada, por completo que estuviera el día que se escribió.
Contenido con arreglo al artículo 99 del Reglamento (UE) 2024/1689. Las cuantías y la regla del apartado 6 se citan en su redacción vigente.
Este artículo tiene carácter informativo y no constituye asesoramiento jurídico.