Las multas máximas del Reglamento de IA llegan a 35 millones de euros o al 7 % del volumen de negocios mundial anual del ejercicio anterior (la cuantía que sea mayor) por incumplir las prácticas prohibidas; las del RGPD, a 20 millones de euros o al 4 % del volumen de negocios mundial, en determinadas infracciones. Son techos, no importes habituales, y en las pymes el AI Act aplica la cuantía menor.
Si usas IA con datos de clientes, pueden afectarte las dos normas a la vez, y es fácil confundir los importes o dejarse llevar por titulares alarmistas. Este artículo los pone lado a lado, explica la regla para pymes, los compara con lo que ocurre en la práctica en España según la AEPD y deja claro qué debe confirmar un profesional.
¿Cuáles son las multas máximas del AI Act y del RGPD?
Esta tabla recoge solo los importes máximos que publican las fuentes oficiales citadas al final:
| Norma | Qué se sanciona | Importe máximo |
|---|---|---|
| AI Act (art. 99) | Prácticas de IA prohibidas (art. 5) | Hasta 35 millones de euros o el 7 % del volumen de negocios mundial anual del ejercicio anterior (la cuantía mayor) |
| AI Act (art. 99) | Entre otras, obligaciones de los responsables del despliegue (art. 26) y de transparencia (art. 50) | Hasta 15 millones de euros o el 3 % |
| AI Act (art. 99) | Información incorrecta, incompleta o engañosa a organismos notificados o autoridades nacionales competentes | Hasta 7,5 millones de euros o el 1 % |
| RGPD | Determinadas infracciones (tramo máximo) | Hasta 20 millones de euros o el 4 % del volumen de negocios mundial de la empresa |
Cuando una norma dice «35 millones o el 7 %», fija dos formas de medir el mismo techo: un importe fijo en euros y un porcentaje del volumen de negocios mundial anual. En el primer tramo del AI Act, si el infractor es una empresa, se aplica la que sea mayor; para las pymes se invierte la regla, como verás en la sección siguiente.
Las tres filas del AI Act proceden del artículo 99 del Reglamento, según la Comisión Europea (AI Act Service Desk). La del RGPD es la que indica el portal Your Europe de la UE. Otras infracciones del RGPD tienen un tramo inferior, que esta tabla no recoge.
¿Qué pasa si eres una pyme?
Aquí hay una diferencia que conviene retener. En el AI Act, para las pymes, incluidas las empresas emergentes, se aplica la cuantía que sea menor entre el importe fijo y el porcentaje. Es decir, si el 7 %, el 3 % o el 1 % de tu facturación mundial da una cifra inferior al importe en euros, ese es el máximo posible. Es una protección expresa para empresas pequeñas.
El tramo máximo del RGPD (artículo 83.5) está redactado al revés: se aplica la cuantía mayor. Eso no quiere decir que una pyme vaya a recibir 20 millones: la sanción real depende de cada caso y la fija la autoridad competente.
Hay además un matiz sobre la alfabetización en IA. Los tramos de multas del AI Act citados arriba no incluyen el artículo 4 (la obligación de adoptar medidas de alfabetización en IA del personal): sus sanciones dependen de la ley nacional de cada Estado miembro. Para profundizar en cómo se aplican a una pyme, puedes leer multas del AI Act en una pyme: por qué se aplica el importe menor.
¿Qué tamaño tiene el riesgo real en España?
Para dimensionar el riesgo, conviene mirar lo que ya ocurre. Según la Memoria 2025 de la AEPD, presentada el 6 de mayo de 2026, la Agencia recibió en 2025 30.931 reclamaciones, la cifra más alta de su historia y un 64 % más que el año anterior. El importe total de las sanciones impuestas en 2025 ascendió a 48.108.765 euros.
Tres precisiones para no leerlo mal:
- Son datos de protección de datos en general, no solo de IA. La nota de la AEPD no desglosa el peso de la IA.
- Es un total, no un importe por multa. Con esas cifras no se puede deducir cuánto paga una empresa típica ni una pyme concreta.
- No es una previsión. Que haya más reclamaciones indica más actividad de reclamación, no que vayas a recibir una sanción.
Cómo leer las multas máximas (y qué no dicen)
- Un techo no es una tarifa. Los importes máximos fijan el límite de lo que una autoridad puede imponer, no lo que se impone.
- Las dos normas pueden aplicarse a la vez. Un mismo uso de IA con datos personales puede tener que cumplir el RGPD y, además, las reglas del AI Act según para qué se use. Para entender cuál pesa más en cada caso, tienes AI Act o RGPD: cuál pesa más al usar un agente con datos de clientes.
- Las fechas importan tanto como los importes. Las multas del AI Act dependen de qué obligaciones se aplican y desde cuándo. Las tienes ordenadas en calendario del AI Act hasta 2028: qué fecha te toca a ti.
- Los importes pueden cambiar. Comprueba siempre el texto vigente antes de citarlos en un documento interno o en una oferta a un cliente.
- No es asesoramiento legal. Esta tabla ordena datos públicos. Qué te corresponde a ti lo decide tu asesor jurídico.
Qué hacer para reducir el riesgo
La mejor protección no es memorizar importes, sino saber qué haces con la IA y con los datos:
- Haz un inventario: qué herramientas de IA se usan, para qué y con qué datos.
- Separa los usos que tocan datos personales y revísalos con tu asesor desde el principio, no cuando llegue una reclamación. Para el caso concreto del RGPD, IA y RGPD: implanta inteligencia artificial cumpliendo la ley.
- Forma a tu equipo. Saber qué datos no se pegan en una herramienta evita muchos problemas y encaja con la obligación de alfabetización del AI Act.
- Deja una persona al mando. Las decisiones importantes, sobre todo las que afectan a personas, no se delegan en un programa.
¿Qué preguntas conviene llevar a tu asesor?
Para sacar partido a una reunión con tu asesor jurídico o tu delegado de protección de datos, estas cinco preguntas suelen ordenar la conversación:
- ¿Cuáles de las herramientas de IA que usamos tratan datos personales de clientes o de empleados?
- ¿Qué usos nuestros podrían entrar en las prácticas prohibidas del AI Act o en las obligaciones de transparencia?
- ¿Qué tramo de multa es el relevante en cada caso y cómo se aplica a una pyme como la nuestra?
- ¿Qué hemos documentado ya (inventario, formación del personal, reglas internas) y qué falta?
- ¿Qué cambios normativos tenemos que vigilar en los próximos meses?
No son preguntas con respuesta única; la respuesta depende de tu actividad y de cómo uses la IA.
Fuentes
- Comisión Europea, AI Act Service Desk (2026): Article 99: Penalties | AI Act Service Desk
- Your Europe, portal de la Unión Europea (2026): Protección de Datos conforme al reglamento RGPD - Your Europe
- AEPD (2025): Nota de prensa de la AEPD sobre las reclamaciones recibidas en 2025
Conclusión
Las multas máximas del AI Act y del RGPD son altas sobre el papel, con una regla favorable a las pymes en el primero, pero lo que de verdad protege a una empresa es saber qué IA usa y con qué datos. Los importes sirven para entender la seriedad de las normas; no para calcular lo que te costaría un error.
En MG Solutions construimos agentes de IA específicos para cada empresa, adaptados a tu forma de trabajar y a tus herramientas, y formamos a tu equipo para sacarles partido, teniendo presente la protección de datos desde el diseño.
Puedes ver el planteamiento en cómo apalancarte en IA.
Si quieres ver cómo encajaría en tu caso, escríbenos y lo hablamos.