¿Pueden multar a mi empresa por no formar a la plantilla en IA?

Qué dice el artículo 99

El régimen sancionador del Reglamento (UE) 2024/1689 vive en el artículo 99 y es exigible desde el 2 de agosto de 2025. Establece tres bandas:

• Las prácticas prohibidas del artículo 5: hasta 35 millones de euros o el 7 % del volumen de negocios mundial total del ejercicio anterior, el importe que sea mayor.
• Las obligaciones de los artículos 16, 22, 23, 24, 26, 31, 33, 34 y 50: hasta 15 millones o el 3 %.
• Facilitar información incorrecta, incompleta o engañosa a organismos notificados o autoridades: hasta 7,5 millones o el 1 %.

Un detalle que suele pasarse por alto y que importa a la mayoría de las empresas españolas: el artículo 99, apartado 6, establece que para pymes y empresas emergentes se aplica el menor de los dos importes, y no el mayor.

El artículo 4 no figura en ninguna de las tres bandas. Esa es la razón por la que una multa dirigida específicamente a la falta de formación carece de encaje en el artículo 99.

Dónde está entonces la exposición

Aquí es donde la conversación se vuelve útil, porque una empresa corriente que usa IA sí tiene por dónde. Son tres sitios.

1 · El artículo 5, que sí se sanciona y sí aparece en oficinas normales

De las ocho prácticas prohibidas, hay una que aparece en empresas que jamás se han considerado tecnológicas: el artículo 5, apartado 1, letra f), prohíbe inferir emociones de una persona física en el lugar de trabajo y en los centros educativos, salvo por razones médicas o de seguridad. Cualquier herramienta que analice el tono de voz de un comercial, la expresión facial en una entrevista o el estado de ánimo en atención al cliente entra en el terreno de la banda más alta.

2 · El artículo 50, exigible desde el 2 de agosto de 2026

Las obligaciones de transparencia sí están en la lista sancionable, en la banda de 15 millones o el 3 %. Afectan a quien despliega un chatbot sin avisar de que es una máquina, o publica contenido generado con IA sin marcarlo. Lo contamos en el calendario de aplicación.

3 · Fuera del Reglamento: protección de datos y terreno laboral

Es la vía por la que llegan hoy la mayoría de los disgustos. Pegar datos personales o información confidencial en una herramienta externa es materia de RGPD, con su propio régimen y su propia autoridad.

Y en el ámbito laboral existe ya jurisprudencia. La Audiencia Nacional, en su sentencia 101/2025, de 4 de julio de 2025 (procedimiento 182/2025), resolvió que negar a la representación sindical los parámetros del algoritmo que afecta a las condiciones de trabajo vulnera la libertad sindical, y fijó una indemnización de 6.250 euros. El artículo 64.4.d) del Estatuto de los Trabajadores reconoce ese derecho de información desde 2021.

Entonces, ¿para qué formar?

Por tres razones que tienen poco que ver con la multa.

• Porque el artículo 4 obliga igualmente. Que una obligación quede fuera del catálogo sancionador del artículo 99 la mantiene como obligación, y su cumplimiento se valora cuando una autoridad revisa cómo se gestiona la IA en la casa.
• Porque la formación es lo que previene las otras tres. Quien sabe qué información se reserva evita el problema de RGPD. Quien conoce el artículo 5 reconoce la herramienta que cruza la línea antes de contratarla.
• Porque deja evidencia. El registro de la actividad formativa es lo que permite enseñar que la empresa adoptó medidas, que es exactamente lo que el artículo 4 pide.

La diferencia entre vender miedo y explicar el riesgo está en decir dónde está cada cosa. Puedes ver la exposición completa en la página de sanciones y la obligación de formar en el artículo sobre el artículo 4.