Artículo 99 — Sanciones (Reglamento de IA de la UE)

Artículo 99 del Reglamento (UE) 2024/1689 — Sanciones. Texto oficial, interpretación práctica, obligaciones clave e implicaciones de cumplimiento.

Resumen del texto oficial

El artículo 99 del Reglamento (UE) 2024/1689 establece el marco de sanciones administrativas por infracciones del Reglamento de IA de la UE. Establece una estructura de multas de tres niveles calibrada según la gravedad de la infracción.

Las infracciones más graves —violaciones de las prácticas de IA prohibidas enumeradas en el artículo 5— conllevan multas de hasta 35 millones de euros o el 7 % del volumen de negocio anual mundial total, el importe que sea mayor. Las infracciones de otras obligaciones impuestas a los proveedores, usuarios, importadores y distribuidores —incluidas las relativas a los sistemas de IA de alto riesgo, las obligaciones de transparencia y los modelos GPAI— están sujetas a multas de hasta 15 millones de euros o el 3 % del volumen de negocio anual mundial. El suministro de información incorrecta, incompleta o engañosa a los organismos notificados o a las autoridades nacionales competentes se penaliza con hasta 7,5 millones de euros o el 1 % del volumen de negocio anual mundial.

Para los proveedores de modelos GPAI, el artículo 99, apartado 3, hace referencia cruzada a los umbrales de multas que se aplican a las obligaciones en virtud del capítulo V (artículos 53 a 56), incluidas las obligaciones de riesgo sistémico para los proveedores de modelos GPAI con riesgo sistémico. Cuando la parte infractora es una pyme o empresa emergente, se aplica el límite porcentual del volumen de negocio cuando produce una cifra absoluta inferior al límite de importe fijo. Las autoridades nacionales competentes son responsables de imponer y ejecutar las multas dentro de su jurisdicción, mientras que la Oficina de IA tiene competencia de aplicación sobre los proveedores de modelos GPAI a nivel de la Unión.

Qué significa en la práctica

El artículo 99 es la columna vertebral de la aplicación del Reglamento de IA de la UE. Su estructura escalonada determina directamente cómo deben priorizar sus programas de cumplimiento las organizaciones.

Para los proveedores de sistemas de IA de alto riesgo, el nivel del 3 %/15 millones de euros se aplica a fallos como evaluaciones de conformidad inadecuadas, documentación técnica incompleta, sistemas de gestión de la calidad no conformes o la no inscripción de sistemas en la base de datos de la UE en virtud del artículo 71. Un fabricante de dispositivos médicos que implemente una herramienta de diagnóstico asistida por IA sin completar la evaluación de conformidad requerida en virtud del Anexo VI, por ejemplo, está expuesto a este nivel.

Para cualquier operador que implemente aplicaciones de IA prohibidas —como la identificación biométrica en tiempo real en espacios públicos fuera de las excepciones estrictas, la puntuación social por parte de las autoridades públicas o las técnicas de manipulación subliminal—, se aplica el nivel del 7 %/35 millones de euros. Estas son las prohibiciones absolutas del Reglamento, y el nivel de sanción indica que ninguna justificación empresarial puede compensar una infracción.

Para los desarrolladores y usuarios de modelos GPAI, las multas bajo el nivel del 3 % se aplican a fallos en torno a la documentación técnica, la transparencia en materia de derechos de autor y —para los modelos de riesgo sistémico— las obligaciones de notificación de incidentes y pruebas adversariales.

Para todos los operadores, desinformar a los reguladores durante las investigaciones de vigilancia del mercado activa el nivel del 1 %. Esto es operativamente significativo: significa que la gestión interna de documentos, los registros de auditoría y los protocolos de cooperación con las autoridades deben ser sólidos antes de que los reguladores llamen a la puerta.

Los factores de proporcionalidad —incluida la duración de la infracción, el grado de cooperación y las infracciones anteriores— orientan a las autoridades a la hora de fijar la multa real dentro del límite máximo aplicable.

Obligaciones clave

• Evitar las prácticas prohibidas (artículo 5): Cualquier implantación o puesta en el mercado de sistemas de IA que incurran en las prácticas enumeradas en el artículo 5 —incluida la identificación biométrica remota en tiempo real en espacios de acceso público (fuera de las excepciones enumeradas), la puntuación social, la manipulación subliminal y la explotación de vulnerabilidades— expone al operador al nivel de sanción más alto.
• Cumplir las obligaciones del proveedor para los sistemas de IA de alto riesgo: Los proveedores deben mantener evaluaciones de conformidad, documentación técnica, sistemas de gestión de la calidad y vigilancia poscomercialización. Los fallos en cualquiera de estas áreas están sujetos a la multa de nivel intermedio.
• Cumplir las obligaciones en materia de modelos GPAI (capítulo V): Los proveedores de modelos de IA de uso general deben cumplir las obligaciones de transparencia, documentación y política de derechos de autor; los proveedores de modelos GPAI con riesgo sistémico se enfrentan a requisitos adicionales en torno a la notificación de incidentes, las evaluaciones de modelos y las medidas de ciberseguridad.
• Proporcionar información exacta a las autoridades: Todos los operadores deben cooperar con las autoridades nacionales de vigilancia del mercado y la Oficina de IA, y no deben suministrar información incorrecta o engañosa durante las investigaciones o los procedimientos de conformidad.
• Garantizar el cumplimiento proporcional para las pymes: Aunque las pymes se benefician de la consideración de proporcionalidad en la fijación de multas, no están exentas de las obligaciones sustantivas —deben seguir cumpliendo los requisitos aplicables y están sujetas a la aplicación—.
• Mantener registros de auditoría internos: Dado que las multas pueden modularse en función del grado de cooperación y las medidas correctoras adoptadas, las organizaciones deben mantener pruebas de las medidas de cumplimiento, los procedimientos de respuesta a incidentes y el compromiso de buena fe con los reguladores.

Relación con otros artículos

El artículo 99 no puede leerse de forma aislada: es la expresión coercitiva de las obligaciones definidas a lo largo del Reglamento.

Los vínculos más directos son con el artículo 5 (prácticas prohibidas, que activan el nivel de sanción más alto) y los artículos 8 a 15 (requisitos para los sistemas de IA de alto riesgo, la fuente principal de infracciones de nivel intermedio). Los artículos 53 a 56 (obligaciones GPAI) contribuyen a la estructura de sanciones para los proveedores de modelos fundacionales. El artículo 71 (base de datos de la UE para sistemas de IA de alto riesgo) es una obligación de registro cuyo incumplimiento queda cubierto por el nivel intermedio.

El artículo 100 es la disposición hermana para las instituciones y órganos de la Unión, que aplica un régimen de sanciones paralelo administrado por el Supervisor Europeo de Protección de Datos en lugar de las autoridades nacionales.

El artículo 98 (sanciones por incumplimiento de los organismos notificados) y el artículo 101 (delegación de poderes en relación con las multas para los proveedores de GPAI) están inmediatamente adyacentes en el capítulo de sanciones y deben leerse junto con el artículo 99 para obtener una imagen completa de la arquitectura de aplicación del Reglamento. Los artículos 74 a 79 (vigilancia del mercado y aplicación) definen el marco procedimental dentro del cual se imponen las multas del artículo 99.

Calendario de cumplimiento

El Reglamento de IA de la UE entró en vigor el 2 de agosto de 2024 (veinte días después de su publicación en el Diario Oficial). El propio artículo 99 se hizo aplicable el 2 de agosto de 2025, tras el período transitorio de doce meses previsto en el artículo 113, apartado 2.

El calendario de aplicación por fases es un contexto fundamental para comprender cuándo la exposición a sanciones se vincula a diferentes obligaciones:

• 2 de febrero de 2025 — Las disposiciones de prohibición (artículo 5) se hicieron aplicables, lo que significa que las infracciones de las prácticas de IA prohibidas han estado sujetas al nivel de multa del 7 %/35 millones de euros desde esta fecha.
• 2 de agosto de 2025 — Fecha de aplicabilidad general para la mayor parte del Reglamento, incluido el propio artículo 99, las obligaciones para los modelos GPAI (capítulo V) y el marco de gobernanza. Los niveles de multa del 3 %/15 millones de euros y del 1 %/7,5 millones de euros entraron en funcionamiento a partir de esta fecha.
• 2 de diciembre de 2026 — Los sistemas de IA de alto riesgo cubiertos por el Anexo I (legislación de armonización de la Unión existente) deben cumplir todos los requisitos de alto riesgo, haciendo ejecutables las obligaciones de los proveedores en virtud de los artículos 8 a 15 con exposición a multas.
• 2 de agosto de 2027 — Los sistemas de IA de alto riesgo enumerados en el Anexo III que ya estaban en el mercado antes del 2 de agosto de 2024 deben cumplir, completando la incorporación progresiva de los sistemas de alto riesgo heredados.

Las organizaciones deben mapear su cartera de IA con respecto a estas fechas para determinar la exposición a sanciones actual y futura en virtud del artículo 99.