Circula mucho miedo con las multas de la ley de IA: cifras de millones, inspecciones inminentes, sanciones a la vuelta de la esquina. Para una pyme que solo usa ChatGPT o Copilot, casi todo eso está mal contado. Vamos a poner cada amenaza en su sitio: qué te puede sancionar de verdad hoy, qué llegará más adelante y qué directamente no existe todavía.
Las multas del Reglamento europeo: existen, pero no van contra ti
El Reglamento (UE) 2024/1689 sí prevé sanciones altas, hasta 35 millones de euros o el 7% de la facturación mundial para las infracciones más graves. Pero conviene leer la letra pequeña: esas cifras se reservan para las prácticas prohibidas del artículo 5 y para incumplimientos serios de quienes fabrican sistemas de IA o los usan como sistemas de alto riesgo.
Una pyme que usa herramientas de terceros para tareas de oficina no está en ese grupo. No fabricas IA, no operas un sistema de alto riesgo por redactar correos, y no realizas prácticas prohibidas. El titular de los millones no es tu titular.
Además, el marco sancionador europeo empezó a aplicarse el 2 de agosto de 2025, pero su ejecución concreta depende de que cada Estado designe autoridades y procedimientos.
La ley española: todavía es un proyecto
Aquí está la confusión más común. España prepara una ley para el buen uso y la gobernanza de la inteligencia artificial que designará a la AESIA (Agencia Española de Supervisión de la Inteligencia Artificial) como autoridad y concretará el régimen de sanciones nacional.
El punto clave: esa ley todavía es un anteproyecto en tramitación. Hasta que se apruebe y se publique en el BOE, sus multas específicas por IA y las competencias sancionadoras de la AESIA no son exigibles. Cualquiera que hoy te venda que "la AESIA ya multa" te está vendiendo miedo, no un hecho.
Cuando esa ley se apruebe, el panorama cambiará y habrá que actualizar. Por eso un buen dossier te dice hoy, por escrito, que esa parte puede cambiar, en lugar de presentarla como vigente.
La amenaza que SÍ es real hoy: la AEPD
Si de verdad quieres saber qué te puede costar dinero este año por culpa de la IA, mira hacia la protección de datos.
El escenario típico: alguien de tu equipo pega en una IA pública una lista de clientes, un historial médico, datos de nóminas o un contrato con datos personales. Eso puede ser una cesión o un tratamiento de datos sin base legal ni garantías, y ahí entra el RGPD, plenamente vigente y con la Agencia Española de Protección de Datos aplicándolo de forma activa. Las sanciones del RGPD son reales, actuales y frecuentes.
Dicho de otro modo: para una pyme, el riesgo inmediato de la IA no es "la ley de IA", es "los datos personales que tu gente mete en la IA".
Qué hacer para dormir tranquilo
La defensa es barata y consiste en diligencia demostrable:
- Política de uso de IA que prohíba meter datos personales o confidenciales en herramientas públicas. Es tu primer escudo frente a la AEPD.
- Inventario de herramientas de IA, incluidas las que alguien usa por su cuenta.
- Alfabetización del equipo documentada (artículo 4 del Reglamento).
- Avisos de transparencia preparados para el 2 de agosto de 2026 si publicas contenido con IA o tienes chatbot.
Ninguno de estos pasos necesita una consultora cara. Necesitan estar hechos y por escrito.
En una frase
Hoy, en España, quien te puede sancionar por la IA no es la AESIA por una ley que aún no existe: es la AEPD si dejas que los datos personales acaben en una IA pública sin control. Ordena eso primero.
El dossier de Reglia cruza cada herramienta que usas con su exposición al RGPD y te deja el plan por escrito. El Kit de cumplimiento te da los documentos base para empezar hoy mismo.
Información general, no asesoramiento jurídico. Reglia no es un despacho de abogados.