Circulan cifras sueltas y sustos genéricos. Estas son las tres bandas del artículo 99, qué artículo cubre cada una, y dónde está de verdad la exposición de una empresa que simplemente usa inteligencia artificial.
Última revisión: 20 ago 2026 · Fuentes originales enlazadas al pie de la página.
| Norma | Reglamento (UE) 2024/1689 |
|---|---|
| Modificada por | Reglamento (UE) 2026/1744 |
| En vigor desde | 27 de julio de 2026 |
| Autoridad en España | AESIA · A Coruña |
El artículo 99 del Reglamento (UE) 2024/1689 establece tres bandas de multa administrativa, aplicables desde el 2 de agosto de 2025. Las prácticas prohibidas del artículo 5 llegan hasta 35 millones de euros o el 7 % del volumen de negocios mundial total del ejercicio anterior, el importe que sea mayor. Las obligaciones de los artículos 16, 22, 23, 24, 26, 31, 33, 34 y 50 llegan hasta 15 millones o el 3 %. Facilitar información incorrecta, incompleta o engañosa a las autoridades llega hasta 7,5 millones o el 1 %.
Para pymes y start-ups, el artículo 99, apartado 6, aplica el menor de los dos importes, y no el mayor.
El artículo 4, sobre alfabetización en materia de IA, queda fuera de esa lista. La exposición de una empresa que usa IA está en el artículo 5, en el artículo 50 y, fuera del Reglamento, en el RGPD y en el ámbito laboral.
| Qué se infringe | Artículos cubiertos | Importe máximo | Exigible desde |
|---|---|---|---|
| Prácticas de IA prohibidas | Artículo 5 | 35 M€ o el 7 % del volumen de negocios mundial total del ejercicio anterior, el importe que sea mayor | 2 ago 2025 |
| Obligaciones de operadores y transparencia | Artículos 16, 22, 23, 24, 26, 31, 33, 34 y 50 | 15 M€ o el 3 %, el importe que sea mayor | 2 ago 2025 · el artículo 50 es exigible desde el 2 ago 2026 |
| Información incorrecta, incompleta o engañosa a organismos notificados o autoridades | Artículo 99, apartado 5 | 7,5 M€ o el 1 %, el importe que sea mayor | 2 ago 2025 |
Matiz para pymes y start-ups. El artículo 99, apartado 6, establece que en su caso cada multa se aplica hasta el porcentaje o el importe indicado, el que sea menor. Para el resto de empresas se aplica el que sea mayor.
El artículo 5 prohíbe ocho prácticas. Es la banda más alta del Reglamento y nada tiene que ver con la clasificación de alto riesgo: se aplica desde el 2 de febrero de 2025 a cualquier organización. Tres de las ocho aparecen en empresas corrientes.
Prohibido «inferir emociones de una persona física en los ámbitos del lugar de trabajo y los centros educativos», salvo por razones médicas o de seguridad. Alcanza a herramientas que analizan la voz, el gesto o el ánimo del personal.
Prohibido categorizar a personas a partir de datos biométricos para deducir raza, opiniones políticas, afiliación sindical, convicciones religiosas o filosóficas, vida sexual u orientación sexual.
Prohibido clasificar a personas por su comportamiento social o sus características personales cuando ello lleva a un trato perjudicial en contextos ajenos a aquel en que se generaron los datos.
Las otras cinco prácticas prohibidas cubren técnicas subliminales o manipuladoras, la explotación de vulnerabilidades por edad, discapacidad o situación social o económica, la predicción de delitos basada únicamente en perfiles, la extracción masiva no selectiva de imágenes faciales de internet o de circuitos cerrados de televisión, y la identificación biométrica remota en tiempo real en espacios públicos con fines policiales.
Desde el 2 de agosto de 2026, y con multa de hasta 15 millones o el 3 %. Varias recaen directamente sobre quien despliega el sistema, además de sobre quien lo fabrica.
Reconocimiento de emociones y categorización biométrica (art. 50.3) — quien despliega uno de estos sistemas debe informar del funcionamiento a las personas expuestas y tratar sus datos conforme al RGPD.Ultrafalsos (art. 50.4) — quien genera o manipula imagen, audio o vídeo que constituya un ultrafalso debe revelar que el contenido se ha generado o manipulado de forma artificial.Texto publicado sobre asuntos de interés público (art. 50.4) — quien genera o manipula texto que se publica con el fin de informar al público sobre asuntos de interés público debe revelarlo, salvo que medie revisión humana con responsabilidad editorial.Momento de la información — la revelación se facilita a las personas afectadas de manera clara y distinguible, a más tardar con ocasión de la primera interacción o exposición.Fuera del Reglamento de IA hay regímenes más maduros, con autoridades en marcha y resoluciones ya dictadas. Es donde una empresa española tiene, hoy, la exposición más probable.
Hasta 20 millones de euros o el 4 % del volumen de negocio anual global. Introducir datos personales de clientes o de la plantilla en una herramienta de IA sin base jurídica, sin información al interesado o con transferencia internacional sin garantías es un tratamiento sancionable, con AI Act o sin él.
El artículo 64.4.d) del Estatuto de los Trabajadores obliga a informar al comité de empresa de los parámetros, reglas e instrucciones en que se basan los algoritmos o sistemas de IA que afecten a las condiciones de trabajo, incluida la elaboración de perfiles.
Secreto empresarial, propiedad intelectual, competencia desleal y publicidad engañosa, según lo que se haga con la salida del modelo y con la información que se le entrega.
Y ya hay condena en España. La Audiencia Nacional, en sentencia 101/2025 de 4 de julio de 2025 (procedimiento 182/2025), declaró vulnerado el derecho de libertad sindical de los delegados de una empresa a los que se negó información sobre los parámetros del algoritmo que asignaba libranzas, con una indemnización de 6.250 euros por daños morales. La Inspección de Trabajo, por su parte, incorporó el uso de algoritmos y sus posibles sesgos discriminatorios a su Plan Estratégico 2025-2027.
El artículo 4, sobre alfabetización en materia de IA, queda fuera de la lista de infracciones del artículo 99. Conviene decirlo con claridad, porque circula lo contrario y porque cualquier asesoría jurídica lo comprueba en un minuto.
Dicho eso, la relación entre formación y sanción es directa. La diferencia entre una empresa que evita el artículo 5 y otra que lo pisa suele estar en si alguien de dentro sabe distinguir una herramienta que mide el sentimiento de un cliente, permitida, de otra que mide el ánimo de un empleado, prohibida. La misma distinción decide si un dato personal acaba pegado en un chatbot de consumo.
La multa llega por el uso, y llega a la empresa. La formación es lo que hace que ese uso sea el correcto, y el registro es lo que permite acreditar que se puso el medio.
Hasta 35 millones de euros o el 7 % del volumen de negocios mundial total del ejercicio financiero anterior, el importe que sea mayor. Corresponde al incumplimiento de la prohibición de prácticas de IA del artículo 5 y está prevista en el artículo 99, apartado 3.
Sí. Las prácticas prohibidas del artículo 5 alcanzan a quien las lleva a cabo, con independencia de quién haya desarrollado el sistema. Y varias obligaciones de transparencia del artículo 50 recaen expresamente sobre el responsable del despliegue: informar a las personas expuestas a reconocimiento de emociones, revelar los ultrafalsos y revelar el texto generado artificialmente que se publica para informar al público sobre asuntos de interés público.
El artículo 99, apartado 6, establece que en el caso de las pymes, incluidas las start-ups, cada multa se aplica hasta el porcentaje o el importe indicado, el que sea menor. Para el resto de empresas se aplica el que sea mayor.
El artículo 4 queda fuera de la lista de infracciones sancionables del artículo 99, que cubre el artículo 5 y los artículos 16, 22, 23, 24, 26, 31, 33, 34 y 50. La exposición sancionadora aparece por el uso concreto que se haga de la inteligencia artificial, dentro del Reglamento y también por la vía del RGPD y del ámbito laboral.
El artículo 5, apartado 1, letra f), prohíbe los sistemas de IA para inferir emociones de una persona física en los ámbitos del lugar de trabajo y los centros educativos, salvo cuando el sistema se destine a razones médicas o de seguridad. Es una práctica prohibida y queda en la banda superior de sanción, hasta 35 millones de euros o el 7 %.
El régimen sancionador se aplica desde el 2 de agosto de 2025. Las obligaciones del artículo 50 pasaron a ser exigibles el 2 de agosto de 2026, con un período transitorio de cuatro meses para el marcado de los sistemas introducidos en el mercado antes de esa fecha.
Contenido divulgativo, elaborado por Obükue a partir de documentación pública y revisado el 20 ago 2026. Para asesoramiento jurídico sobre un caso concreto, corresponde acudir a un despacho especializado.
Dónde está la exposición real de una empresa que usa IA.
La obligación de formar, tras el Ómnibus Digital.
Qué exige, qué cambió en julio de 2026 y qué constancia basta.
Todas las fechas vigentes tras el Ómnibus Digital.
Las dos vías de clasificación y las obligaciones de 2027 y 2028.
Cuéntanos cómo está compuesto tu equipo y te devolvemos el reparto ya hecho: qué corresponde a cada perfil, con las horas, el contenido y el presupuesto. En 24 horas.
