Copyrights. Eleonora,
2026. Todos los derechos reservados.
La expansión de los sistemas basados en inteligencia artificial ha dejado de ser una promesa tecnológica para convertirse en una realidad operativa dentro de despachos, empresas tecnológicas, entidades financieras y compañías aseguradoras. Estos sistemas, capaces de aprender, inferir resultados y adoptar decisiones con distintos grados de autonomía, plantean interrogantes jurídicos que los ordenamientos tradicionales no resuelven con facilidad. La determinación de quién responde cuando un algoritmo causa un daño, cómo se prueba la relación de causalidad y qué régimen de imputación resulta aplicable son cuestiones que exigen un análisis detenido y, sobre todo, una estrategia preventiva por parte de las organizaciones.
El presente análisis examina el marco normativo europeo en materia de inteligencia artificial, los criterios de imputación de responsabilidad civil, los ejemplos prácticos más representativos y las claves de gestión del riesgo legal empresarial. El objetivo no es solo describir el estado de la cuestión, sino ofrecer pautas operativas que permitan a los operadores anticiparse a los conflictos y reducir la exposición patrimonial derivada del despliegue de estos sistemas.
El ordenamiento jurídico español no dispone actualmente de una norma específica que regule de forma integral la responsabilidad civil por daños causados por sistemas de inteligencia artificial. Esta carencia obliga a los operadores a acudir a normas generales de responsabilidad extracontractual, a la normativa sobre responsabilidad por productos defectuosos y, cada vez con mayor frecuencia, a los instrumentos que emanan de la Unión Europea. La falta de una regulación propia no significa ausencia de consecuencias: al contrario, incrementa la inseguridad jurídica y dificulta la previsibilidad de los riesgos.
La Unión Europea ha asumido un papel pionero con la aprobación del Reglamento (UE) 2024/1689, de 13 de junio de 2024, por el que se establecen normas armonizadas en materia de inteligencia artificial. Esta norma define los sistemas de IA como sistemas basados en máquinas, diseñados para funcionar con distintos niveles de autonomía y con capacidad de adaptación tras su despliegue, que infieren resultados a partir de la información de entrada y pueden influir en entornos físicos o virtuales. Se trata de la primera regulación horizontal de alcance general sobre esta materia a nivel mundial, y su entrada en vigor marca un hito para los operadores europeos.
El Reglamento de inteligencia artificial, sin embargo, no regula directamente la pretensión indemnizatoria ni la responsabilidad civil por daños. Su considerando noveno declara expresamente que se aplica sin perjuicio de las demás normas vigentes en la Unión y en los Estados miembros, en particular del derecho general de daños y del régimen de responsabilidad del fabricante por productos defectuosos. Esta opción legislativa responde a la elaboración paralela de instrumentos específicos: la nueva Directiva sobre responsabilidad por los daños causados por productos defectuosos y la Propuesta de Directiva relativa a la adaptación de las normas de responsabilidad civil extracontractual a la inteligencia artificial.
En el Derecho español, el artículo 1902 del Código Civil consagra el criterio clásico de responsabilidad por culpa o negligencia. Este modelo, basado en la necesidad de acreditar una acción u omisión culpable, un daño efectivo y una relación de causalidad, muestra claras limitaciones cuando se aplica a sistemas autónomos e impredecibles. La víctima puede encontrarse con serias dificultades para identificar el origen de la anomalía y para demostrar cuál de los múltiples intervinientes de la cadena de valor —diseñador, fabricante, programador, operador o usuario— incurrió en la conducta dañosa.
La Propuesta de Directiva sobre responsabilidad civil en materia de inteligencia artificial introduce una distinción relevante: para los sistemas de IA de alto riesgo se aboga por un régimen de responsabilidad objetiva del operador, mientras que para los sistemas que no revisten ese carácter se mantiene un criterio de responsabilidad por culpa. Esta diferenciación trata de equilibrar la protección de las víctimas con la necesidad de no obstaculizar la innovación tecnológica. La siguiente tabla resume los rasgos esenciales de ambos regímenes.
| Criterio | Sistemas de IA de alto riesgo | Sistemas de IA sin carácter de alto riesgo |
|---|---|---|
| Naturaleza de la responsabilidad | Objetiva o por riesgo | Subjetiva o por culpa |
| Necesidad de demostrar negligencia | No necesaria en origen | Sí, salvo presunciones legales |
| Elemento central de imputación | Creación de un riesgo cualificado | Incumplimiento del deber de diligencia |
| Ejemplo habitual | Vehículos autónomos, dispositivos médicos con IA | Herramientas de recomendación, asistentes de productividad |
La Directiva sobre responsabilidad por los daños causados por productos defectuosos, recientemente aprobada, refuerza la posición de los perjudicados. Su artículo 10.2, apartado b, establece una presunción de defecto cuando el demandante demuestre que el producto no cumple los requisitos obligatorios de seguridad establecidos en el Derecho de la Unión o nacional. Esta previsión conecta directamente con los deberes técnicos y organizativos impuestos por el Reglamento de inteligencia artificial, lo que convierte el cumplimiento normativo en una herramienta esencial de defensa frente a reclamaciones.
El caso del vehículo autónomo ilustra con claridad la dificultad de aplicar los criterios clásicos de responsabilidad. Cuando un automóvil con capacidad de conducción automatizada causa un accidente, surge de inmediato la pregunta de quién debe responder: el fabricante del vehículo, el desarrollador del soporte lógico de conducción, el propietario, el usuario, la aseguradora o, incluso, el propio sistema. La Ley 35/2015 establece que el conductor de un vehículo a motor es responsable en virtud del riesgo creado por la conducción, pero este modelo presupone la existencia de un control humano efectivo.
Durante el período transitorio en el que el vehículo conserva un nivel de intervención humana, aunque sea mínimo, el régimen actual sigue siendo aplicable con pequeñas adaptaciones. No obstante, cuando la automatización alcance un grado pleno y desaparezca el control del conductor, el marco legal y los seguros de responsabilidad civil deberán reformularse por completo. La normativa actual impide considerar como fuerza mayor los defectos del vehículo o el fallo de sus mecanismos, lo que cierra al conductor la posibilidad de exonerarse alegando un mal funcionamiento del sistema automatizado.
La relación de causalidad se convierte en el verdadero campo de batalla procesal. Determinar si el origen del daño se encuentra en el diseño del algoritmo, en los datos de entrenamiento, en un error de fabricación o en una instrucción inadecuada del operador puede exigir pericias de gran complejidad. Por ello, los instrumentos europeos proponen presunciones y reglas de transparencia que permitan a la víctima acceder a la información técnica necesaria sin que se desnaturalice el derecho de defensa de los intervinientes.
El Primer Informe Internacional sobre la Seguridad de la IA, respaldado por un amplio grupo de expertos globales, identifica tres grandes categorías de riesgo que las organizaciones deben tener presentes al diseñar sus estrategias de cumplimiento. Estas categorías no son compartimentos estancos y con frecuencia se solapan, pero permiten estructurar la evaluación de riesgos de forma ordenada y práctica.
Para una empresa, identificar la categoría de riesgo es el primer paso para determinar qué obligaciones legales le corresponden. Los sistemas de IA de alto riesgo, definidos por el Reglamento europeo en función de su uso en sectores sensibles o de su capacidad para afectar derechos fundamentales, generan cargas especialmente intensas en materia de transparencia, vigilancia humana, solidez técnica y ciberseguridad. Una clasificación incorrecta puede dar lugar a incumplimientos relevantes y, en último término, a presunciones de negligencia en un proceso de responsabilidad civil.
La gestión del riesgo legal asociado a la inteligencia artificial no puede limitarse a una revisión posterior al despliegue del sistema. Requiere un enfoque preventivo, documental y contractual que impregne todas las fases del ciclo de vida del producto o servicio. Las empresas que incorporan estas prácticas desde el diseño están en mejores condiciones de acreditar su diligencia y de reducir tanto la litigiosidad como el impacto económico de eventuales reclamaciones.
Antes de comercializar o utilizar un sistema de IA, conviene realizar una evaluación formal de su nivel de riesgo conforme al Reglamento europeo. Esta clasificación debe quedar documentada y actualizarse cuando se produzcan modificaciones sustanciales en la funcionalidad del sistema o en su entorno de uso. La documentación técnica debe conservar la trazabilidad de los datos de entrenamiento, los criterios de diseño y las decisiones adoptadas durante el desarrollo.
La evidencia documental no es solo una obligación administrativa: en caso de litigio, puede convertirse en el elemento que permita desvirtuar una presunción de culpa. El artículo 4 de la Propuesta de Directiva sobre responsabilidad civil en inteligencia artificial considera que la culpa del demandado puede consistir en el incumplimiento de un deber de diligencia establecido por el Derecho de la Unión o nacional, de modo que un expediente de cumplimiento bien elaborado cumple una función defensiva esencial.
La cadena de valor de la inteligencia artificial suele estar fragmentada: un operador puede integrar sistemas proporcionados por terceros, utilizar datos cedidos por otra entidad o subcontratar servicios de mantenimiento. Los contratos deben definir con precisión las responsabilidades de cada parte, los deberes de información, la gestión de incidentes y los mecanismos de actualización de seguridad. La ausencia de cláusulas claras favorece la litigación cruzada y dificulta la imputación del daño.
La posibilidad de establecer un seguro obligatorio de responsabilidad civil para determinadas actividades vinculadas a la IA, o de completar el sistema con un fondo de garantía, aparece como una tendencia clara en los debates europeos. Aunque el mercado asegurador aún se adapta a la cuantificación de estos riesgos, las empresas deben anticiparse y evaluar coberturas específicas. Los deberes de vigilancia postcomercialización, contemplados en el Reglamento, implican además la obligación de adoptar medidas correctoras inmediatas ante incidentes detectados, y su incumplimiento puede ser valorado como un indicio de negligencia.
Los sistemas de IA se alimentan de datos, muchos de ellos de carácter personal. La licitud del tratamiento se convierte en una condición previa de validez de todo el proceso. Los avisos de consentimiento, como los banner de configuración de archivos de seguimiento que aparecen en numerosos sitios web, no son un mero trámite formal: constituyen la evidencia de que el responsable del tratamiento obtuvo una autorización válida, informada y revocable para fines específicos. Un consentimiento defectuoso puede invalidar la base jurídica del tratamiento y proyectar sus efectos sobre la validez de los sistemas entrenados con esos datos.
La privacidad debe integrarse desde el diseño del sistema, minimizando la cantidad de información utilizada y aplicando técnicas de anonimización o seudonimización cuando sea posible. La realización de evaluaciones de impacto sobre protección de datos es especialmente relevante en sistemas de categorización, perfilado o toma de decisiones automatizada con efectos jurídicos o significativos. La falta de medidas técnicas y organizativas en este ámbito no solo expone a sanciones administrativas, sino que puede facilitar la imputación de daños morales o materiales derivados de discriminación o pérdida de privacidad.
La Propuesta de Directiva sobre responsabilidad civil en inteligencia artificial introduce un sistema de presunciones que alivia la carga procesal de las víctimas. El artículo 4.2 enumera supuestos en los que el incumplimiento de obligaciones del Reglamento de IA puede considerarse negligente: defectos en los datos de entrenamiento, falta de transparencia, ausencia de vigilancia humana efectiva, niveles inadecuados de precisión o ciberseguridad y falta de adopción de medidas correctoras tras la detección de incidentes.
Para los operadores, esto significa que el cumplimiento documentado de los deberes legales se convierte en la mejor defensa. La carga de la prueba no se desplaza por completo, pero la existencia de presunciones obliga a las empresas a conservar evidencia técnica de que el sistema fue diseñado, validado y supervisado conforme a los estándares exigibles. La transparencia y la trazabilidad dejan de ser opciones voluntarias para transformarse en presupuestos de la seguridad jurídica.
Las organizaciones que despliegan sistemas de inteligencia artificial deben adoptar un enfoque integral de gestión del riesgo legal. A continuación se sintetizan las actuaciones esenciales que conviene incorporar a la gobernanza corporativa.
La inteligencia artificial no es un sujeto al que se pueda demandar directamente. Los daños que estos sistemas puedan causar acaban recayendo, jurídicamente, en personas físicas o empresas: quienes los fabrican, los programan, los venden, los utilizan o los supervisan. La regla práctica es sencilla de formular: cuanto mayor sea la autonomía del sistema y mayor el riesgo que genera, más intensas serán las obligaciones de control y más fácil resultará para la víctima obtener una indemnización.
Para cualquier empresa, la recomendación esencial es documentar todo lo que hace con sus sistemas de inteligencia artificial. Conservar información sobre cómo se diseñó la herramienta, qué datos se utilizaron, qué pruebas se realizaron y qué personas la supervisan no es burocracia vacía: es la forma de demostrar que se actuó con diligencia si algún día se produce un daño. La transparencia y el cumplimiento previo son la mejor defensa frente a una reclamación.
El Reglamento (UE) 2024/1689 configura un marco de deberes técnicos que, aunque no regula directamente la responsabilidad civil, condiciona de forma decisiva su aplicación práctica. La articulación entre esta norma, la nueva Directiva sobre responsabilidad por productos defectuosos y la Propuesta de Directiva sobre responsabilidad extracontractual en materia de IA apunta hacia un sistema de imputación mixto: responsabilidad objetiva para sistemas de alto riesgo y responsabilidad por culpa para los demás, con presunciones legales basadas en el incumplimiento de estándares normativos. La convergencia entre derecho de daños y regulación técnica exige que los equipos jurídicos y de ingeniería trabajen de manera integrada.
Quedan abiertas cuestiones estructurales de calado, como la posibilidad de reconocer personalidad jurídica a los sistemas autónomos, la configuración de fondos de compensación y la armonización de los regímenes de seguro obligatorio. Mientras no se alcance una regulación definitiva, los operadores deben diseñar sus procesos internos asumiendo que la carga de acreditar la diligencia recaerá cada vez más sobre ellos. La interoperabilidad de los registros técnicos, la estandarización de los informes de incidentes y la coherencia entre los distintos marcos normativos serán factores clave para gestionar con éxito el riesgo legal derivado de la inteligencia artificial.
Protege tus intereses con nuestro asesoramiento experto. Abogada Eleonora, especializada en servicios jurídicos personalizados y de calidad.
