Multas del Reglamento de IA: El coste del incumplimiento

Introducción

El Reglamento (UE) 2024/1689 no es una declaración de intenciones. Es una normativa con un régimen sancionador diseñado para garantizar el cumplimiento efectivo, con multas que pueden superar en gravedad a las del RGPD. Mientras que el RGPD establece un máximo del 4 % de la facturación global anual, el Reglamento de IA eleva ese techo hasta el 7 %, con importes fijos de hasta 35 millones de euros.

Para las organizaciones que desarrollan, despliegan o utilizan sistemas de inteligencia artificial en el mercado europeo, comprender el régimen sancionador no es solo una cuestión de gestión de riesgos: es una necesidad empresarial. Este artículo desglosa los tres niveles de sanciones, los criterios que las autoridades utilizarán para calcularlas, las circunstancias agravantes y atenuantes, y las estrategias concretas para minimizar la exposición.

Los tres niveles de sanciones (Artículo 99)

El Artículo 99 del Reglamento de IA establece un régimen de sanciones escalonado en tres niveles, en función de la gravedad de la infracción:

Nivel 1: Prácticas prohibidas - Hasta 35 millones de euros o 7 % de la facturación

Infracciones cubiertas: Violación de las prohibiciones del Artículo 5

Las sanciones más severas se reservan para las prácticas de IA consideradas inaceptables:

• Uso de técnicas subliminales o manipuladoras que causen daños
• Explotación de vulnerabilidades por edad, discapacidad o situación socioeconómica
• Puntuación social por parte de autoridades públicas
• Uso de identificación biométrica remota en tiempo real en espacios públicos (salvo excepciones)
• Creación de bases de datos de reconocimiento facial mediante raspado no selectivo de imágenes
• Inferencia de emociones en el lugar de trabajo o en instituciones educativas (salvo por razones médicas o de seguridad)
• Categorización biométrica para inferir datos sensibles (raza, opiniones políticas, orientación sexual)
• Uso de IA para policía predictiva basada exclusivamente en perfilado

Importe: Hasta 35.000.000 EUR o, si el infractor es una empresa, hasta el 7 % de su volumen de negocios total anual mundial del ejercicio financiero anterior, optándose por la de mayor cuantía.

Nivel 2: Obligaciones sustantivas - Hasta 15 millones de euros o 3 % de la facturación

Infracciones cubiertas: Incumplimiento de las obligaciones principales del Reglamento, excepto las del Artículo 5

Este nivel abarca la mayoría de las obligaciones operativas:

• Incumplimiento de los requisitos para sistemas de alto riesgo (Artículos 6-27)
• Falta de documentación técnica (Artículo 11)
• Ausencia de sistema de gestión de riesgos (Artículo 9)
• Incumplimiento de los requisitos de gobernanza de datos (Artículo 10)
• Falta de supervisión humana adecuada (Artículo 14)
• No realización de la evaluación de conformidad (Artículo 43)
• Incumplimiento de las obligaciones de transparencia (Artículo 50)
• Incumplimiento de las obligaciones para modelos de IA de propósito general (Capítulo V)
• No designación de un representante autorizado en la UE (Artículo 22)

Importe: Hasta 15.000.000 EUR o hasta el 3 % del volumen de negocios total anual mundial, optándose por la de mayor cuantía.

Nivel 3: Información incorrecta - Hasta 7,5 millones de euros o 1 % de la facturación

Infracciones cubiertas: Suministro de información incorrecta, incompleta o engañosa a las autoridades

• Proporcionar datos falsos en la evaluación de conformidad
• Suministrar información engañosa a organismos notificados
• No cooperar con las autoridades de vigilancia del mercado
• Ocultar información relevante durante inspecciones

Importe: Hasta 7.500.000 EUR o hasta el 1 % del volumen de negocios total anual mundial.

Régimen especial para PYMES y startups

El Artículo 99.6 contempla un régimen atenuado para pequeñas y medianas empresas, incluidas las empresas emergentes (startups):

• PYMES: Las multas se calculan sobre la cifra de mayor cuantía entre el importe fijo o el porcentaje de facturación, pero deben ser proporcionadas al tamaño y la capacidad económica de la empresa.
• En la práctica: Para una startup con facturación de 2 millones de euros:
  • Nivel 1: Máximo 35 millones EUR (el porcentaje de facturación sería solo 140.000 EUR, por lo que se aplica el importe fijo)
  • Nivel 2: Máximo 15 millones EUR
  • Nivel 3: Máximo 7,5 millones EUR

Aunque los importes fijos son teóricamente aplicables, el principio de proporcionalidad obliga a las autoridades a tener en cuenta la capacidad económica real de la empresa al fijar la sanción concreta.

Criterios para la determinación de la cuantía (Artículo 99.7)

Las autoridades nacionales competentes no imponen las multas de forma arbitraria. El Artículo 99.7 enumera los factores que deben tenerse en cuenta:

Circunstancias agravantes

• Reincidencia: Infracciones previas del mismo operador
• Intencionalidad: Si la infracción fue deliberada o resultado de negligencia grave
• Daño causado: Perjuicios reales sufridos por personas afectadas
• Escala: Número de personas afectadas y gravedad del daño
• Duración: Período de tiempo durante el cual persistió la infracción
• Falta de cooperación: No colaborar con las autoridades durante la investigación

Circunstancias atenuantes

• Medidas correctoras: Acciones adoptadas para mitigar el daño una vez detectada la infracción
• Cooperación activa: Colaboración proactiva con las autoridades
• Autonotificación: Comunicar voluntariamente la infracción antes de que sea detectada
• Tamaño y recursos: Capacidad económica real de la organización
• Códigos de conducta: Adhesión a códigos de conducta aprobados
• Certificaciones: Certificaciones obtenidas o buenas prácticas demostradas

Más allá de las multas: costes indirectos del incumplimiento

Las sanciones económicas directas representan solo una parte del coste real del incumplimiento. Las organizaciones deben considerar también:

Suspensión de operaciones

Las autoridades de vigilancia del mercado pueden ordenar la retirada de un sistema de IA del mercado o la suspensión de su funcionamiento (Artículo 79). Para una empresa cuyo modelo de negocio depende de un sistema de IA, esta medida puede ser más devastadora que cualquier multa.

Daño reputacional

La Comisión Europea y las autoridades nacionales tienen potestad para hacer públicas las sanciones impuestas. En un mercado donde la confianza es un activo fundamental - especialmente en el sector financiero - una sanción pública puede provocar la pérdida de clientes, socios e inversores.

Responsabilidad civil

El Reglamento de IA se complementa con la propuesta de Directiva sobre Responsabilidad en materia de IA (AI Liability Directive), que facilitará que las personas afectadas por sistemas de IA defectuosos puedan reclamar indemnizaciones. El incumplimiento del Reglamento de IA puede servir como evidencia de negligencia en procedimientos civiles.

Costes de remediación

La corrección tardía de un sistema de IA no conforme es significativamente más costosa que su diseño correcto desde el principio. Puede implicar:

• Reentrenamiento de modelos con datos adecuados
• Rediseño de la arquitectura para incorporar supervisión humana
• Preparación retroactiva de documentación técnica
• Realización de evaluaciones de conformidad bajo presión de tiempo
• Contratación de consultores y asesores especializados

Autoridades de supervisión y mecanismos de ejecución

Autoridades nacionales competentes

Cada Estado miembro debe designar al menos una autoridad nacional competente (Artículo 70). En España, aunque la designación formal está en proceso, la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA) fue creada en 2023 como entidad preparatoria.

La Oficina Europea de IA

Establecida dentro de la Comisión Europea, la Oficina Europea de IA (AI Office) tiene competencias directas sobre los modelos de IA de propósito general (GPAI). Puede:

• Investigar posibles infracciones de los proveedores de GPAI
• Imponer multas a nivel europeo por incumplimiento del Capítulo V
• Emitir directrices y recomendaciones vinculantes

Mecanismos de denuncia

El Artículo 85 establece que los Estados miembros deben garantizar que las personas que tengan motivos para considerar que se ha producido una infracción puedan presentar denuncias ante la autoridad de vigilancia del mercado competente. Esto incluye:

• Empleados que detecten el uso de IA discriminatoria en procesos de selección
• Consumidores afectados por decisiones automatizadas
• Competidores que identifiquen prácticas irregulares
• Organizaciones de la sociedad civil

Comparativa con otros regímenes sancionadores europeos

El Reglamento de IA se sitúa entre los más severos del panorama regulatorio europeo, solo por detrás de la Ley de Mercados Digitales (DMA) en cuanto a porcentaje de facturación.

Estrategias para minimizar la exposición a sanciones

1. Anticipación: comience ahora

El factor más determinante para evitar sanciones es la preparación anticipada. Las autoridades evaluarán positivamente que una organización haya iniciado su proceso de adaptación con antelación suficiente.

2. Documentación exhaustiva

Documente cada decisión: la clasificación de riesgos de cada sistema, las medidas de mitigación adoptadas, los datos de entrenamiento utilizados, las evaluaciones de sesgos realizadas. En caso de inspección, la carga de la prueba recae sobre la organización.

3. Gobernanza formal

Establezca un marco de gobernanza de IA con roles y responsabilidades claros. Designe un responsable de cumplimiento del Reglamento de IA. Implemente políticas internas y procedimientos formales.

4. Supervisión humana efectiva

No se limite a designar nominalmente a un supervisor. Asegúrese de que las personas responsables tienen la formación, las herramientas y la autoridad para intervenir de forma efectiva.

5. Auditorías internas periódicas

Realice auditorías internas regulares de sus sistemas de IA para verificar que cumplen con los requisitos del Reglamento. Documente los hallazgos y las acciones correctoras.

6. Plataforma de gestión de cumplimiento

Utilice una herramienta que centralice la gestión del cumplimiento del Reglamento de IA junto con otros marcos aplicables. Matproof permite gestionar el Reglamento de IA, DORA, NIS2 y el RGPD desde una plataforma única, reduciendo la duplicación de esfuerzos y garantizando la coherencia de la documentación.

Evalúe su exposición actual con la Evaluación gratuita de conformidad IA de Matproof.

Preguntas frecuentes

Q: ¿Las multas del Reglamento de IA son acumulables con las del RGPD?
A: Sí, en principio. Si una misma conducta infringe tanto el Reglamento de IA como el RGPD, se aplican las normas ne bis in idem para evitar la doble sanción por los mismos hechos. Sin embargo, el Artículo 99.8 establece que, cuando la misma infracción sea sancionable por ambas normativas, la multa total no podrá superar la cantidad correspondiente al importe más elevado. En la práctica, las autoridades coordinarán las sanciones, pero el resultado final podría ser una multa calculada según el Reglamento de IA (7 %) en lugar del RGPD (4 %).

Q: ¿Quién puede imponer las multas: la autoridad nacional o la Comisión Europea?
A: Las autoridades nacionales de vigilancia del mercado imponen las multas por infracciones generales del Reglamento. La Oficina Europea de IA (AI Office) tiene competencia directa para imponer multas a los proveedores de modelos de IA de propósito general (GPAI) por incumplimiento del Capítulo V.

Q: ¿Existe un límite temporal para que las autoridades inicien procedimientos sancionadores?
A: El Reglamento no establece un plazo de prescripción específico. Se aplicarán los plazos de prescripción nacionales, que varían entre Estados miembros. En España, los plazos generales de prescripción para infracciones administrativas oscilan entre 6 meses y 3 años, dependiendo de la gravedad.

Q: Si descubro una infracción, ¿es mejor autonotificarla o intentar corregirla internamente?
A: La autonotificación es una circunstancia atenuante reconocida por el Artículo 99.7. Si descubre que un sistema de IA no cumple con el Reglamento, lo más prudente es: (1) documentar la infracción, (2) adoptar medidas correctoras inmediatas, (3) evaluar si la infracción ha causado daños a personas, y (4) si el riesgo lo justifica, notificar proactivamente a la autoridad competente. La ocultación de infracciones conocidas puede considerarse una circunstancia agravante.

Q: ¿Las multas se aplican por cada sistema de IA infractor o por infracción general?
A: El Reglamento habla de infracciones, no de sistemas. Sin embargo, el uso de múltiples sistemas de IA no conformes podría considerarse como múltiples infracciones separadas, cada una con su propia sanción. La decisión dependerá de la autoridad competente y de las circunstancias del caso.

Q: ¿Puedo recurrir una multa del Reglamento de IA?
A: Sí. El Artículo 99 establece que las sanciones deben ser efectivas, proporcionadas y disuasorias, y que los operadores tienen derecho a un recurso judicial efectivo conforme al Artículo 47 de la Carta de los Derechos Fundamentales de la UE. Los procedimientos de recurso se regirán por el Derecho procesal nacional.

Conclusión

El régimen sancionador del Reglamento de IA es una de las herramientas más potentes del arsenal regulatorio europeo. Con multas de hasta 35 millones de euros o el 7 % de la facturación global, el coste del incumplimiento supera con creces la inversión necesaria para cumplir.

La clave está en la preparación anticipada, la documentación rigurosa y la implementación de un marco de gobernanza sólido. No espere a que las autoridades le encuentren: actúe ahora.

Inicie una prueba gratuita de Matproof y comience a gestionar el cumplimiento del Reglamento de IA de forma estructurada y eficiente.