Índice
- ¿Qué establece el reglamento europeo de Inteligencia Artificial?
- Tipos de daños contemplados
- ¿Cómo protegerse frente a los riesgos legales?
La expansión de la inteligencia artificial (IA) en todos los sectores económicos ha situado la responsabilidad por los daños derivados de su uso en un lugar central para empresas, aseguradoras y consumidores.
En Europa, el Reglamento (UE) 2024/1689 de Inteligencia Artificial (AI Act) establece el marco preventivo y de seguridad para el desarrollo y uso de sistemas de IA. A este texto se suma la Directiva (UE) 2024/2853 sobre responsabilidad por los daños causados por productos defectuosos, que actualiza el régimen de responsabilidad objetiva para adaptarlo a la era digital, incluyendo expresamente el software y los sistemas de IA.
Al mismo tiempo, la propuesta de Directiva específica sobre responsabilidad civil en materia de IA (AI Liability Directive) ha quedado en un segundo plano en favor de este enfoque centrado en el producto defectuoso. Como consecuencia, la reparación de los daños causados por IA depende hoy de la interacción entre la nueva Directiva de productos defectuosos (en fase de transposición) y las normas nacionales clásicas de responsabilidad civil (en España, los artículos 1902 y siguientes del Código Civil, entre otros).
En este contexto, resulta fundamental para las empresas comprender cómo se articula la responsabilidad civil en materia de IA, tanto para anticipar riesgos como para diseñar contratos tecnológicos robustos.
1. ¿Qué establece el reglamento europeo de Inteligencia Artificial?
El AI Act es la primera norma horizontal sobre IA de alcance general en la Unión Europea. Su finalidad es armonizar las reglas para la introducción en el mercado y el uso de sistemas de IA, priorizando la seguridad y los derechos fundamentales.
Enfoque basado en el riesgo
El Reglamento clasifica los sistemas de IA en cuatro niveles, graduando las obligaciones en función del impacto potencial:
• Riesgo inaceptable: Sistemas prohibidos, como el social scoring por parte de autoridades, la manipulación del comportamiento cognitivo o determinados usos de reconocimiento biométrico en tiempo real (salvo excepciones muy tasadas).
• Alto riesgo: Sistemas empleados en ámbitos sensibles como infraestructuras críticas, productos sanitarios, selección de personal, educación, servicios financieros o seguridad pública.
• Riesgo limitado: Sistemas sometidos principalmente a obligaciones de transparencia, como informar al usuario de que está interactuando con un chatbot o una IA generativa (deepfakes, etc.).
• Riesgo mínimo: Sistemas sin obligaciones adicionales, más allá de la normativa general aplicable (por ejemplo, filtros de spam o videojuegos).Calendario de aplicación: Situación actual
Desde su entrada en vigor, el calendario de implementación del AI Act ha ido activando hitos clave. A fecha actual (diciembre de 2025), la situación es la siguiente:
• Desde febrero de 2025: Están vigentes las prohibiciones de los sistemas de riesgo inaceptable y operativos los órganos de gobernanza (AI Office).
• Desde agosto de 2025: Son obligatorias las normas para los modelos de IA de propósito general (GPAI).
• Próximo hito (agosto de 2026): Se aplicará el grueso de obligaciones para sistemas de alto riesgo (Anexo III) y las normas de transparencia reforzada.
• Hasta agosto de 2027: Plazo extendido para sistemas de alto riesgo que ya son componentes de seguridad de productos regulados por otra normativa sectorial (como automoción o productos sanitarios).Obligaciones para proveedores y usuarios
El Reglamento distingue claramente las responsabilidades según el rol en la cadena de valor:
• Proveedores (fabricantes): Quienes desarrollan o ponen en el mercado un sistema de IA. Deben garantizar la calidad de los datos, la documentación técnica, el registro de eventos (logs) y la supervisión humana en sistemas de alto riesgo.
• Responsables del despliegue (deployers): Quienes utilizan el sistema bajo su autoridad en un contexto profesional (la empresa usuaria). Tienen la obligación de utilizar la IA conforme a las instrucciones, supervisar su funcionamiento y garantizar la formación del personal.El AI Act y la responsabilidad civil
Aunque el AI Act es una norma regulatoria (administrativa) y no una ley de responsabilidad civil per se, tiene un impacto directo en los litigios:
1. Diligencia debida: El cumplimiento del AI Act servirá para acreditar la diligencia de la empresa.
2. Presunción de culpa: El incumplimiento de las normas de seguridad del AI Act podrá utilizarse para facilitar la prueba de la culpa o del defecto del producto en una reclamación de daños.
2. Tipos de daños contemplados
Cuando un sistema de IA falla, es necesario identificar qué tipo de perjuicio se ha producido para saber qué vía legal utilizar. La Directiva (UE) 2024/2853 moderniza el concepto de daño indemnizable bajo el régimen de responsabilidad objetiva (sin necesidad de probar culpa).
- Daños personales
Incluyen la muerte, las lesiones corporales y, como novedad relevante, los daños a la salud psicológica clínicamente reconocidos.
• Ejemplo: Un robot quirúrgico que causa una lesión física o un asistente virtual médico cuyo error provoca un agravamiento de la salud del paciente. - Daños materiales y pérdida de datos
La Directiva cubre la destrucción o deterioro de bienes, pero también la pérdida o corrupción de datos que no se utilicen exclusivamente con fines profesionales.
• Ejemplo: Un fallo en una IA de gestión domótica que borra el disco duro personal de un usuario o daña otros dispositivos conectados. - Daños patrimoniales y morales
Otros daños puramente económicos (lucro cesante, pérdida de oportunidades de negocio) o daños morales (reputación, discriminación) no suelen estar cubiertos por la responsabilidad objetiva de producto defectuoso, sino por la responsabilidad civil general (por culpa) o normativas específicas.
• Ejemplo: Una empresa que pierde dinero por una decisión errónea de un algoritmo de inversión, o un candidato discriminado por una IA de selección de personal. Estos casos se canalizan habitualmente vía Código Civil, normativa de igualdad o RGPD.
Responsabilidad de fabricantes vs. usuarios profesionales
La cadena de responsabilidad se ha vuelto compleja, interviniendo múltiples operadores: desarrolladores, proveedores cloud, integradores y usuarios.
Fabricantes y desarrolladores (Responsabilidad Objetiva)
Bajo la nueva Directiva, los desarrolladores de software y sistemas de IA son considerados «fabricantes». Responden de forma objetiva (aunque no haya negligencia) si el sistema es defectuoso; es decir, si no ofrece la seguridad que el público tiene derecho a esperar.
Usuarios profesionales / Deployers (Responsabilidad por Culpa)
La empresa que implanta la IA en su negocio no suele responder por defectos de fabricación del software (salvo que lo modifique sustancialmente), pero sí responde por su uso negligente:
• Utilización de la IA para fines no previstos o contrarios a las instrucciones.
• Ausencia de supervisión humana (human-in-the-loop) en contextos exigibles.
• Alimentación del sistema con datos incorrectos o sesgados.
Casos prácticos de responsabilidad
1. Vehículos autónomos y ADAS: Si un vehículo con asistencia IA provoca un accidente, la responsabilidad puede dirigirse contra el fabricante (si falló el sensor o el software) o contra el conductor (si ignoró las alertas de toma de control). Los logs del vehículo actúan como «caja negra» probatoria.
2. Robots industriales (Cobots): Si un brazo robótico hiere a un trabajador, pueden converger la responsabilidad por producto defectuoso (contra el fabricante) y la responsabilidad patronal por falta de medidas de seguridad (contra la empresa).
3. Sector financiero y discriminación: Si un algoritmo de scoring deniega créditos sistemáticamente a un colectivo protegido, el daño es patrimonial y moral. La vía de reclamación suele ser la responsabilidad por culpa, la normativa de consumidores y el RGPD.
3. ¿Cómo protegerse frente a los riesgos legales?
Para mitigar la responsabilidad civil en materia de IA, las organizaciones deben adoptar un enfoque proactivo:
- Mapeo de riesgos: Identificar todos los sistemas de IA que la organización desarrolla o utiliza y clasificarlos según el AI Act.
- Compliance específico: Integrar protocolos de gobernanza de datos, validación de modelos y supervisión humana. El cumplimiento normativo es la mejor defensa ante una demanda por negligencia.
- Ingeniería contractual: Revisar los contratos con proveedores de tecnología. Es vital definir quién asume la responsabilidad en caso de «alucinaciones» de la IA, fallos de ciberseguridad o infracciones de propiedad intelectual.
- Revisión de seguros: Verificar si la póliza de Responsabilidad Civil Profesional o de Ciberriesgo cubre explícitamente los daños derivados del uso de inteligencia artificial, ya que muchas pólizas tradicionales excluyen el software.
La importancia de un asesoramiento especializado
La rápida evolución normativa en materia de inteligencia artificial hace imprescindible que empresas y profesionales cuenten con asesoramiento jurídico experto para prevenir riesgos y responder adecuadamente ante eventuales reclamaciones. En Armenteros Abogados acompañamos a organizaciones que trabajan con tecnologías emergentes, ofreciendo defensa jurídica y consultoría preventiva en responsabilidad civil y tecnológica.
Para más información o asistencia legal, puede contactar con nuestro equipo.