La Ley de Inteligencia Artificial de la Unión Europea (Ley de IA) establece un marco regulatorio integral para la inteligencia artificial, con multas que sirven como mecanismo clave de aplicación. El reglamento, que entró en vigor el 1 de agosto de 2024, establece sanciones graduadas por infracciones, que van desde prohibiciones de aplicaciones de riesgo inaceptable hasta obligaciones de transparencia para sistemas de riesgo limitado. La estructura de multas está diseñada para disuadir el incumplimiento y garantizar que los proveedores y desplegadores de sistemas de IA cumplan con los requisitos de la Ley.
La Ley de IA clasifica las aplicaciones de IA en cuatro categorías de riesgo - inaceptable, alto, limitado y mínimo - más una categoría separada para la IA de propósito general. Las aplicaciones de riesgo inaceptable, como aquellas que manipulan el comportamiento humano o permiten la puntuación social, están prohibidas por completo. Las aplicaciones de alto riesgo, incluidas las utilizadas en salud, educación, contratación o aplicación de la ley, deben cumplir estrictas obligaciones de calidad, transparencia y supervisión humana. Los sistemas de riesgo limitado, como los generadores de deepfakes, solo enfrentan obligaciones de transparencia, mientras que las aplicaciones de riesgo mínimo, como los filtros de spam, no están reguladas. Los modelos de IA de propósito general, incluidos los grandes modelos de lenguaje, tienen requisitos adicionales, con modelos de alto impacto sujetos a evaluaciones extra.
La estructura de multas bajo la Ley de IA está escalonada según la gravedad y el tipo de infracción. Para violaciones que involucran prácticas prohibidas (riesgo inaceptable), las multas pueden alcanzar hasta 35 millones de euros o el 7% del volumen de negocios anual mundial total de la empresa, lo que sea mayor. El incumplimiento de las obligaciones para sistemas de IA de alto riesgo o modelos de propósito general puede resultar en multas de hasta 15 millones de euros o el 3% del volumen de negocios global. Proporcionar información incorrecta, incompleta o engañosa a organismos notificados o autoridades nacionales puede atraer multas de hasta 7,5 millones de euros o el 1% del volumen de negocios. Estos umbrales se alinean con el enfoque del Reglamento General de Protección de Datos (RGPD) de la UE, que también utiliza sanciones basadas en el volumen de negocios para garantizar la proporcionalidad.
Aplicación y Cronograma
Las disposiciones de la Ley de IA se están implementando gradualmente en un período de 6 a 36 meses desde su entrada en vigor. La prohibición de aplicaciones de riesgo inaceptable se volvió aplicable el 2 de febrero de 2025, seis meses después de que el reglamento entrara en vigor. Las obligaciones para modelos de IA de propósito general, incluidos los requisitos de transparencia y derechos de autor, se aplican desde el 2 de agosto de 2025. Los sistemas de IA de alto riesgo cubiertos por la legislación existente de seguridad de productos de la UE deben cumplir antes del 2 de agosto de 2026, mientras que los sistemas de alto riesgo en otros sectores tienen hasta el 2 de agosto de 2027. La Comisión Europea es responsable de supervisar los modelos de IA de propósito general, mientras que las autoridades nacionales aplicarán las reglas para otros sistemas de IA.
Multas por Prácticas Prohibidas
Las prácticas prohibidas bajo la Ley de IA incluyen sistemas de IA que emplean técnicas subliminales para distorsionar el comportamiento, explotan vulnerabilidades de grupos específicos o evalúan individuos basándose en la puntuación social. La identificación biométrica remota en tiempo real en espacios públicos también está prohibida, con excepciones limitadas para la aplicación de la ley bajo estricta supervisión judicial. Para estas violaciones más graves, la multa máxima es de 35 millones de euros o el 7% del volumen de negocios anual global, lo que sea mayor. Este nivel está destinado a tener un efecto disuasorio en grandes empresas tecnológicas, como aquellas que desarrollan grandes modelos de lenguaje o sistemas de IA generativa.
Multas por Obligaciones de IA de Alto Riesgo y Propósito General
Los sistemas de IA de alto riesgo deben someterse a evaluaciones de conformidad y, en algunos casos, a una Evaluación de Impacto en Derechos Fundamentales antes de su despliegue. Los proveedores deben implementar sistemas de gestión de calidad, garantizar documentación técnica y permitir la supervisión humana. Los modelos de IA de propósito general, incluidos los de proveedores como OpenAI o Anthropic, deben publicar resúmenes de datos de entrenamiento, adoptar políticas de derechos de autor y proporcionar documentación técnica. El incumplimiento de estas obligaciones puede resultar en multas de hasta 15 millones de euros o el 3% del volumen de negocios global. Para modelos de riesgo sistémico, los requisitos adicionales incluyen evaluaciones de modelos, pruebas adversariales y notificación de incidentes, con el incumplimiento sujeto al mismo nivel de sanción.
Multas por Información Incorrecta
Proporcionar información incorrecta, incompleta o engañosa a organismos notificados o autoridades nacionales es una infracción separada. Esto incluye no actualizar la documentación o tergiversar las capacidades de un sistema de IA durante las evaluaciones de conformidad. Las multas por tales violaciones están limitadas a 7,5 millones de euros o el 1% del volumen de negocios anual global. Este nivel más bajo reconoce que el daño por desinformación es menos grave que las violaciones directas de obligaciones sustantivas, pero aún garantiza la rendición de cuentas.
Aplicación Extraterritorial
Al igual que el RGPD, la Ley de IA tiene alcance extraterritorial. Los proveedores fuera de la UE deben cumplir si colocan sistemas de IA en el mercado de la UE o si los resultados de sus sistemas se utilizan dentro de la UE. Esto significa que empresas como Google DeepMind o Amazon Web Services que ofrecen servicios de IA a usuarios de la UE están sujetas a las mismas multas. La Junta Europea de Inteligencia Artificial, establecida por la Ley, coordina la supervisión nacional y garantiza una aplicación consistente en todos los estados miembros.
Comparación con las Multas del RGPD
La estructura de multas de la Ley de IA refleja el enfoque escalonado del RGPD. Las multas del RGPD por violaciones graves pueden alcanzar 20 millones de euros o el 4% del volumen de negocios global, mientras que las infracciones menos severas atraen hasta 10 millones de euros o el 2%. Los máximos más altos de la Ley de IA - 35 millones de euros o el 7% para prácticas prohibidas - reflejan el potencial de los sistemas de IA para causar daños generalizados. Sin embargo, ambos reglamentos utilizan el volumen de negocios como referencia, asegurando que las multas sean proporcionales al tamaño de la empresa.
Impacto en la Industria de la IA
La estructura de multas ha llevado a los desarrolladores de IA a invertir en medidas de cumplimiento. Por ejemplo, OpenAI y Anthropic han establecido equipos dedicados de confianza y seguridad, mientras que Google DeepMind ha publicado tarjetas de modelo e informes de transparencia. Proveedores más pequeños, como AI21 Labs o Inflection AI, pueden enfrentar desafíos para cumplir con los requisitos de documentación, pero la Ley prevé obligaciones reducidas para modelos de código abierto. El Código de Prácticas Voluntario para IA de Propósito General, publicado el 10 de julio de 2025, ofrece orientación sobre cómo demostrar cumplimiento, potencialmente reduciendo el riesgo de multas.
Desarrollos Futuros
Se espera que la Comisión Europea emita más orientación sobre cálculos de multas y prioridades de aplicación. A partir de 2025, no se han impuesto multas bajo la Ley de IA, ya que los períodos de gracia para la mayoría de las disposiciones aún están en curso. Sin embargo, las autoridades nacionales están preparando mecanismos de aplicación, y la Junta Europea de Inteligencia Artificial está desarrollando mejores prácticas. El enfoque basado en riesgos y la estructura de multas de la Ley probablemente influirán en la regulación de la IA a nivel global, ya que otras jurisdicciones consideran marcos similares.
En resumen, las multas de la Ley de IA de la UE son un componente crítico del reglamento, diseñadas para hacer cumplir el cumplimiento mediante sanciones graduadas. Al alinear las multas con la gravedad de las violaciones y el volumen de negocios global, la Ley busca responsabilizar a los proveedores de IA mientras fomenta la innovación. Las empresas que operan en la UE deben comprender estas sanciones e implementar programas de cumplimiento robustos para evitar una exposición financiera significativa.