Article 101 — Sanciones aplicables a los proveedores de modelos de IA de uso general (EU AI Act)

Article 101 del Reglamento (UE) 2024/1689 — Sanciones aplicables a los proveedores de modelos de IA de uso general. Texto oficial, interpretación práctica, obligaciones clave e implicaciones para el cumplimiento normativo.

Resumen del Texto Oficial

El Article 101 del Reglamento (UE) 2024/1689 establece el régimen sancionador específicamente aplicable a los proveedores de modelos de IA de uso general (IAPG), complementando el marco sancionador más amplio del Article 99. Fija dos umbrales financieros principales.

En primer lugar, los proveedores de modelos de IA de uso general que infrinjan las obligaciones contenidas en el Capítulo V del Reglamento —que abarca las obligaciones de transparencia, la documentación técnica, el cumplimiento de los derechos de autor y los requisitos adicionales para los modelos que presentan riesgo sistémico— están sujetos a multas administrativas de hasta 15 millones de euros o, cuando el infractor sea una empresa, hasta el 3% del volumen de negocios anual total en todo el mundo correspondiente al ejercicio anterior, la cifra que sea mayor.

En segundo lugar, los proveedores que suministren información incorrecta, incompleta o engañosa a la Oficina de IA o a las autoridades nacionales competentes en respuesta a una solicitud formulada en virtud de los Articles 91 o 87, o que no subsanen una infracción dentro del plazo establecido por una medida correctora, están sujetos a multas de hasta 15 millones de euros o hasta el 3% del volumen de negocios anual mundial.

El Article 101 también confirma que la Oficina Europea de IA actúa como el organismo de ejecución principal para los proveedores de modelos de IAPG, con la facultad de iniciar procedimientos, llevar a cabo evaluaciones e imponer multas de conformidad con las garantías procesales establecidas en los Articles 90 a 99. Las multas impuestas a las instituciones y organismos de la Unión siguen normas distintas. El artículo refuerza que todas las sanciones deben ser efectivas, proporcionales y disuasorias, y que las circunstancias individuales —incluida la cooperación y la subsanación— se tienen en cuenta al determinar el importe final.

Lo Que Esto Significa en la Práctica

El Article 101 afecta directamente a cualquier persona jurídica, incluidas las entidades no pertenecientes a la UE que comercialicen modelos de IAPG en el mercado de la Unión, que desarrolle o lance un modelo de IA de uso general tal como se define en el Article 3(63) del Reglamento. Esto incluye a los proveedores de modelos de fundación, grandes modelos de lenguaje, modelos multimodales y otros modelos entrenados con datos amplios a escala que pueden servir a una amplia gama de tareas en la cadena de valor.

En términos prácticos, un proveedor debe determinar primero si su modelo cumple la definición de IAPG y, en caso afirmativo, cumplir las obligaciones del Capítulo V: mantener la documentación técnica, publicar un resumen de los datos de entrenamiento de conformidad con la legislación sobre derechos de autor, implementar una política para cumplir las normas de la Unión sobre derechos de autor y registrar el modelo en la base de datos de la UE pertinente. Los proveedores de modelos considerados como de riesgo sistémico —actualmente definidos por referencia a un umbral de cómputo de entrenamiento de 10^25 FLOPs, o por designación de la Oficina de IA— se enfrentan a obligaciones adicionales, incluidas las pruebas de adversarios, la notificación de incidentes y las medidas de ciberseguridad.

El incumplimiento de cualquiera de estas obligaciones expone a un proveedor a multas en virtud del Article 101. Para las grandes empresas tecnológicas cuyo volumen de negocios anual global asciende a decenas de miles de millones de euros, una multa basada en el 3% del volumen de negocios supera sustancialmente el límite absoluto de 15 millones de euros, haciendo que el multiplicador del volumen de negocios sea el techo operativo en la práctica. Un proveedor con sede fuera de la UE debe designar un representante autorizado en la Unión en virtud del Article 54, y la presencia de dicho representante no exime al proveedor de responsabilidad directa.

Los proveedores deben tratar el Article 101 como un fuerte incentivo financiero para completar el cumplimiento de IAPG antes de la fecha de aplicación de agosto de 2025. Los programas de cumplimiento documentados, los rastros de auditoría y el compromiso proactivo con la Oficina de IA durante cualquier investigación son los factores atenuantes más eficaces.

Obligaciones Clave

• El cumplimiento del Capítulo V como condición desencadenante: El poder sancionador del Article 101 se activa por la infracción de cualquier obligación del Capítulo V (Articles 55 a 56), lo que significa que los proveedores de IAPG deben mapear cada obligación aplicable a un control interno antes de la fecha de aplicación de agosto de 2025.
• Información precisa y completa a la Oficina de IA: Los proveedores deben responder de forma veraz y completa a cualquier solicitud de información emitida por la Oficina de IA en virtud de los Articles 91 y 87; el suministro de respuestas incorrectas, incompletas o engañosas constituye en sí mismo una infracción separada sujeta al mismo límite sancionador.
• Obligaciones de riesgo sistémico para los modelos de alto impacto: Los proveedores de modelos de IAPG con riesgo sistémico deben además cumplir los Articles 55 y 56 —pruebas de adversarios, notificación de incidentes y salvaguardias de ciberseguridad— y están sujetos a las sanciones del Article 101 en caso de incumplimiento.
• Designación de un representante autorizado: Los proveedores no pertenecientes a la UE deben designar un representante autorizado en la Unión, y el incumplimiento de esta obligación constituye una infracción del Capítulo V que genera exposición al Article 101.
• Subsanación oportuna de las medidas correctoras: Cuando la Oficina de IA emita una medida correctora que exija a un proveedor subsanar una infracción dentro de un plazo determinado, el incumplimiento dentro de ese plazo constituye una infracción separada sujeta a multas adicionales.
• La proporcionalidad y la cooperación como factores atenuantes: Si bien no se trata de una obligación formal, el Reglamento exige a las autoridades que tengan en cuenta el grado de cooperación y la subsanación voluntaria al calcular las multas, lo que otorga a los proveedores un fuerte incentivo para comprometerse proactivamente con la Oficina de IA.

Relación con Otros Artículos

El Article 101 no puede leerse de forma aislada. Extrae su ámbito sustantivo del Capítulo V (Articles 55 a 56), que define las obligaciones cuya infracción desencadena la sanción. Opera junto con el Article 99, que establece el régimen sancionador general para todas las demás infracciones del Reglamento, y debe leerse como lex specialis con respecto a los proveedores de modelos de IAPG.

El marco procedimental en el que se imponen las multas del Article 101 se establece en los Articles 90 a 99, incluida la facultad de la Oficina de IA para iniciar procedimientos (Article 90), solicitar información (Articles 91 y 87), llevar a cabo inspecciones in situ e imponer medidas provisionales. El Article 85 rige las multas impuestas a las instituciones, organismos y agencias de la Unión y se distingue expresamente del Article 101.

El Article 101 también se conecta con el Article 54 (representantes autorizados para los proveedores no pertenecientes a la UE), el Article 72 (la base de datos de la UE para los modelos de IAPG) y los considerandos 153 a 157, que explican la intención legislativa detrás de las sanciones graduadas y la primacía de la Oficina de IA en la ejecución de la normativa sobre IAPG. Para los modelos de riesgo sistémico, los Articles 55 y 56 definen las obligaciones adicionales cuya infracción se sanciona en virtud del Article 101.

Calendario de Cumplimiento

La EU AI Act entró en vigor el 1 de agosto de 2024. Sin embargo, las obligaciones del Capítulo V aplicables a los proveedores de modelos de IAPG —y por tanto el régimen sancionador del Article 101 que cubre dichas obligaciones— pasaron a ser aplicables el 2 de agosto de 2025, doce meses después de la entrada en vigor, de conformidad con el Article 113(3).

Los proveedores deben tener en cuenta el siguiente calendario progresivo:

• 1 de agosto de 2024 — El Reglamento entró en vigor; ninguna obligación es aún aplicable.
• 2 de febrero de 2025 — Las prácticas de IA prohibidas (Article 5) pasaron a ser aplicables.
• 2 de agosto de 2025 — Las obligaciones de IAPG del Capítulo V pasaron a ser aplicables. Las sanciones del Article 101 son ejecutables desde esta fecha por infracciones de dichas obligaciones.
• 2 de agosto de 2025 — Las normas de gobernanza de la Oficina de IA y las disposiciones generales son aplicables.
• 2 de diciembre de 2026 — Las obligaciones de los sistemas de IA de alto riesgo en virtud del Annex I (legislación de seguridad de productos) pasan a ser aplicables.
• 2 de agosto de 2027 — Las obligaciones de los sistemas de IA de alto riesgo para los sistemas enumerados en el Annex III pasan a ser plenamente aplicables.

Los proveedores de modelos de IA de uso general que no hubieran completado su programa de cumplimiento del Capítulo V antes del 2 de agosto de 2025 ya están expuestos a medidas de ejecución del Article 101. La Oficina de IA ha indicado que dará prioridad a los proveedores de modelos que presentan riesgo sistémico en sus actividades supervisoras iniciales, pero todos los proveedores de modelos de IAPG dentro del ámbito de aplicación siguen sujetos al régimen sancionador desde esa fecha.