Copyrights. CANINO, HERRERO & GALINDO ,
2026. Todos los derechos reservados.
La irrupción de la inteligencia artificial en sectores como la automoción, la medicina o las finanzas ha transformado radicalmente la forma en que las empresas crean valor. Sin embargo, la autonomía creciente de estos sistemas plantea una pregunta inevitable para los juristas y las organizaciones: ¿quién responde cuando un algoritmo causa un daño? Determinar los criterios de imputación de responsabilidad civil por hechos cometidos por sistemas de IA se ha convertido en uno de los mayores desafíos del derecho contemporáneo. Desde el enfoque tradicional basado en la culpa hasta las modernas teorías del riesgo, la necesidad de un marco jurídico claro y armonizado nunca ha sido tan urgente. Las empresas tecnológicas que desarrollan, integran o explotan estas herramientas deben anticiparse a estos cambios y gestionar los riesgos legales de forma proactiva.
En este artículo exploramos, desde una perspectiva rigurosa pero accesible, los criterios que la doctrina y las nuevas normas europeas están consolidando para atribuir la responsabilidad por daños ocasionados por sistemas inteligentes. Examinaremos las categorías de riesgo, los sujetos potencialmente responsables, las soluciones que ofrece la teoría del riesgo y las obligaciones prácticas que ya empiezan a perfilarse para las compañías del sector tecnológico.
Los ordenamientos jurídicos de raíz continental, como el español o el ecuatoriano, han descansado históricamente sobre el principio de culpabilidad. El artículo 1902 del Código Civil español exige la concurrencia de una acción u omisión negligente, un daño cierto y una relación de causalidad. Esta arquitectura funciona razonablemente bien cuando detrás del perjuicio existe una conducta humana identificable, pero se tambalea al enfrentarse a sistemas que aprenden, evolucionan y toman decisiones sin intervención humana directa.
La inteligencia artificial introduce un factor de imprevisibilidad que difumina la línea causal. Un vehículo autónomo que provoca un siniestro, un chatbot que ofrece asesoramiento incorrecto o un software de selección de personal que perpetúa sesgos discriminatorios son ejemplos en los que la cadena clásica de imputación se rompe. La dificultad para identificar una conducta humana concreta hace que mantener un sistema de responsabilidad exclusivamente basado en la culpa resulte, en muchos casos, insuficiente para proteger a las víctimas.
Los sistemas de IA de alto riesgo funcionan con altas cotas de autonomía y, con frecuencia, opacidad. La denominada «caja negra» de los algoritmos impide a un perjudicado y, a veces, incluso a los propios desarrolladores, reconstruir el proceso que desembocó en el daño. Esta asimetría probatoria desvirtúa la utilidad práctica del régimen de culpa, que exige al demandante acreditar la negligencia del agente.
En la práctica, los tribunales tienden a objetivar la responsabilidad en sectores donde la actividad genera un riesgo excepcional, como sucede con los vehículos a motor o los productos defectuosos. La doctrina más reciente y los trabajos preparatorios de la Unión Europea apuntan a que los sistemas de IA que actúan de manera autónoma y pueden causar daños a gran escala deberían acogerse, como regla general, a un régimen de responsabilidad objetiva o cuasiobjetiva. Esta evolución no solo alivia la carga de la víctima, sino que incentiva a los operadores a adoptar las máximas cautelas desde el diseño.
Una propuesta recurrente en los debates legislativos es la creación de una personalidad jurídica específica para los sistemas más sofisticados, similar a la de las personas jurídicas. El Parlamento Europeo llegó a sugerir en 2017 la figura de la «persona electrónica», pero esta opción generó un fuerte rechazo doctrinal. Atribuir personalidad a una máquina plantea problemas éticos y prácticos: no se puede sancionar a un algoritmo, ni tiene patrimonio que ejecutar.
El consenso mayoritario actual, reflejado en el Reglamento (UE) 2024/1689 y en las propuestas de directiva sobre responsabilidad civil, descarta la personalidad electrónica. La responsabilidad se canaliza siempre hacia las personas físicas o jurídicas que están detrás del sistema —fabricantes, programadores, proveedores, operadores o usuarios—, quienes deben asumir los deberes de diligencia y los costes de los perjuicios ocasionados. De este modo se preserva la función reparadora del derecho de daños sin necesidad de alterar sus fundamentos conceptuales.
Ante un accidente provocado por un sistema inteligente, la primera cuestión práctica es determinar a qué sujeto puede exigírsele la reparación. La respuesta no es única y varía en función de la naturaleza del sistema, el momento en que se produce el fallo y la relación entre los distintos agentes de la cadena de valor. La doctrina ha identificado al menos tres grandes polos de imputación: el fabricante o programador, el operador o usuario y, de forma residual, la propia víctima cuando su conducta ha interferido de manera decisiva.
Para dotar de seguridad jurídica a este esquema, la Unión Europea ha apostado por una combinación de regímenes. Los daños atribuibles a defectos del producto se rigen por la renovada Directiva sobre responsabilidad por productos defectuosos, mientras que los perjuicios causados por la operación de sistemas de IA se abordarán mediante una futura Directiva específica. Esta dualidad normativa busca cubrir los vacíos que la legislación actual deja al no contemplar los servicios digitales o las actualizaciones continuas de software como fuente autónoma del daño.
El fabricante de un sistema de IA —incluido el desarrollador del software que lo gobierna— es el primer destinatario de los deberes de seguridad. Cuando un algoritmo de reconocimiento de imágenes falla y causa un diagnóstico médico erróneo, o un sensor de un vehículo autónomo no detecta un obstáculo por un defecto de diseño, la vía natural de reclamación es la responsabilidad por producto defectuoso. La nueva Directiva europea extiende expresamente el concepto de producto a los archivos de fabricación digital y al software, superando la restrictiva interpretación anterior que dejaba fuera muchos de los componentes intangibles de la IA.
Además, la Propuesta de Directiva sobre responsabilidad civil en materia de IA introduce presunciones de culpabilidad cuando se incumplen determinados deberes técnicos previstos en el Reglamento de IA. Por ejemplo, la falta de calidad de los datos de entrenamiento, la ausencia de supervisión humana efectiva o la carencia de los niveles de precisión y ciberseguridad exigidos permiten al juez presumir la negligencia del proveedor. Ello facilita la posición procesal de la víctima y obliga a las empresas tecnológicas a documentar exhaustivamente todo el ciclo de vida del sistema.
En situaciones en las que el daño no trae causa de un defecto originario, sino del uso inadecuado o de una supervisión deficiente, la responsabilidad puede desplazarse hacia el operador. Quien implanta un sistema de IA en un entorno profesional está obligado a vigilar su funcionamiento y a adoptar medidas correctoras cuando se detectan anomalías. Esta exigencia es especialmente intensa en los sistemas de alto riesgo, como los utilizados en cirugía robótica o en la gestión automatizada de infraestructuras críticas.
El operador no siempre es un consumidor final; a menudo se trata de una empresa que integra la IA dentro de sus procesos. En tales casos, la normativa europea empuja a una distribución de responsabilidades solidarias o mancomunadas entre el proveedor y el operador, evitando que la víctima quede desprotegida mientras los distintos agentes se atribuyen la culpa mutuamente. Se consagra así un principio de responsabilidad compartida que refuerza la tutela del perjudicado y estimula la cooperación entre los actores de la cadena de suministro tecnológico.
Una de las aportaciones más sólidas de la doctrina moderna consiste en aplicar la teoría del riesgo a los sistemas de IA con alto grado de autonomía. Esta teoría sostiene que quien crea una situación de riesgo excepcional para obtener un beneficio económico debe asumir los daños que de ella se deriven, aunque no haya mediado culpa. En el ámbito de la inteligencia artificial, el operador que introduce un sistema autónomo en el mercado o en un proceso productivo incrementa deliberadamente el nivel de riesgo social y, por tanto, resulta el sujeto idóneo para soportar las consecuencias lesivas.
La teoría del riesgo encaja con naturalidad en la regulación de la responsabilidad extracontractual de países como Ecuador, donde el artículo 2229 del Código Civil ya recoge hipótesis de responsabilidad por el hecho de las cosas que están bajo el cuidado de una persona. Extender esta lógica a los sistemas inteligentes permite construir un régimen objetivo, modulable en función de la categoría de riesgo del sistema, que evita que las víctimas carguen con daños de imposible reparación. La clave, en todo caso, será complementar esta responsabilidad con seguros obligatorios y fondos de garantía que la hagan efectiva.
Europa se ha erigido como pionera mundial en la regulación de la inteligencia artificial. El Reglamento (UE) 2024/1689, en vigor desde agosto de 2024, establece un conjunto armonizado de normas para el desarrollo, la comercialización y el uso de sistemas de IA en función de su nivel de riesgo. Aunque es una norma de naturaleza administrativa y sancionadora, sus estándares técnicos condicionan de manera directa el juicio de responsabilidad civil.
De forma paralela, la Comisión Europea ha impulsado dos propuestas para cubrir el vacío indemnizatorio: la Directiva sobre responsabilidad por productos defectuosos —ya aprobada— y la Propuesta de Directiva relativa a la adaptación de las normas de responsabilidad civil extracontractual a la inteligencia artificial. Ambas configuran un ecosistema normativo que, por primera vez, ofrece una respuesta global a los daños generados por tecnologías inteligentes.
El Reglamento clasifica los sistemas de IA en cuatro niveles de riesgo: inaceptable, alto, limitado y mínimo. Los sistemas de riesgo inaceptable, como los de puntuación social indiscriminada, quedan directamente prohibidos. Los de alto riesgo —aplicaciones en salud, transporte, educación o justicia— deben someterse a evaluaciones de conformidad antes de su comercialización y a una vigilancia continua tras su puesta en el mercado.
El cumplimiento de estos requisitos técnicos no solo evita sanciones administrativas, sino que se convierte en un parámetro fundamental para evaluar la diligencia del proveedor en un eventual proceso de responsabilidad civil. A sensu contrario, la infracción de las exigencias de transparencia, calidad de datos, supervisión humana, precisión o ciberseguridad puede activar las presunciones de culpa previstas en las normas de responsabilidad, facilitando la reclamación del perjudicado.
Este texto, aún en fase de tramitación, persigue uniformizar las reglas de imputación en toda la Unión. Su artículo 4 define la culpa del demandado como el incumplimiento de un deber de diligencia establecido por el derecho de la Unión o nacional, y concreta varios supuestos de negligencia vinculados al Reglamento de IA. Así, un proveedor que no haya garantizado la calidad de los datos de entrenamiento o que no haya retirado el sistema tras un incidente grave podrá ver presumida su responsabilidad.
La Propuesta también aborda el espinoso problema de la prueba. El demandante podrá solicitar al tribunal que obligue al proveedor a exhibir la documentación técnica cuando existan indicios razonables de que un sistema de IA ha causado el daño. Se trata de una inversión de la carga probatoria adaptada a la realidad de la «caja negra» que, sin llegar a imponer una responsabilidad estricta en todos los casos, equilibra las posiciones procesales y desincentiva las prácticas opacas.
Para las empresas que desarrollan o integran inteligencia artificial, la gestión del riesgo legal no empieza con la reclamación judicial, sino con el diseño del producto. Incorporar los requisitos del Reglamento de IA desde las primeras fases del proyecto —privacy by design, explicabilidad, supervisión humana— no solo reduce la probabilidad de un incidente, sino que blinda la posición de la compañía en un eventual litigio. La documentación exhaustiva del ciclo de vida del sistema, incluyendo los conjuntos de datos de entrenamiento y las pruebas de validación, se convierte en la mejor defensa.
Junto al cumplimiento normativo, las organizaciones deben diseñar protocolos internos de respuesta rápida. Ante un fallo de un sistema de IA, la rapidez con la que se detecta, se notifica a las autoridades y se adoptan medidas correctoras puede marcar la diferencia entre una infracción administrativa y un daño masivo con consecuencias reputacionales irreparables. El Reglamento de IA obliga a notificar incidentes graves, y ese mismo flujo de información será utilizado por los tribunales para valorar la diligencia del operador.
El sistema europeo descansa en evaluaciones de conformidad que deben ser realizadas por organismos notificados cuando el sistema sea de alto riesgo. Esta certificación previa es una garantía para los usuarios y un elemento probatorio de primer orden en los litigios de responsabilidad civil. Las empresas tecnológicas deben, por tanto, invertir en auditorías rigurosas y en la generación de evidencias que demuestren el cumplimiento de las normas técnicas armonizadas que irá aprobando la Comisión.
Tras la comercialización, la vigilancia no cesa. Los proveedores están obligados a monitorizar el rendimiento real del sistema, a recopilar quejas e incidentes y a mantener un sistema de trazabilidad que permita reconstruir cualquier fallo. La omisión de estos deberes puede activar las presunciones de culpabilidad y, en el peor de los casos, la imposición de multas de hasta el 7 % del volumen de negocio mundial del infractor. La gestión del riesgo, por consiguiente, debe estar integrada en los procesos de gobierno corporativo y en los sistemas de cumplimiento de la empresa.
El seguro desempeñará un papel protagonista en el nuevo modelo de responsabilidad. La Directiva de productos defectuosos y los trabajos prelegislativos europeos apuntan hacia la conveniencia de establecer seguros obligatorios de responsabilidad civil para operadores de sistemas de IA de alto riesgo, siguiendo el modelo del seguro del automóvil. Las empresas tecnológicas deben empezar a dialogar con el sector asegurador para diseñar pólizas que cubran los riesgos específicos de la IA, como los sesgos algorítmicos o los fallos de ciberseguridad.
Cuando el seguro resulte insuficiente o el mercado no ofrezca cobertura, se contempla la creación de fondos de garantía que aseguren la indemnización de las víctimas. Estos mecanismos refuerzan la confianza social en la tecnología y evitan que un único siniestro catastrófico ponga en peligro la viabilidad de una empresa innovadora. La combinación de prevención, cumplimiento normativo y transferencia del riesgo conforma el triángulo sobre el que las compañías deben edificar su estrategia de gestión de la responsabilidad civil derivada de la IA.
La inteligencia artificial ya está entre nosotros y sus errores pueden provocar accidentes, pérdidas económicas o vulneraciones de derechos. Hasta hace poco, las leyes no tenían una respuesta clara sobre quién debía pagar por esos daños. El nuevo marco europeo, con el Reglamento de IA a la cabeza, viene a decir que no importa lo sofisticado que sea un algoritmo: siempre habrá una persona o empresa detrás que responda. Los fabricantes deben diseñar productos seguros, los operadores tienen que vigilarlos y, si algo falla, existirán presunciones que ayudarán al perjudicado a obtener una indemnización justa.
Para el ciudadano corriente, lo relevante es saber que no está desprotegido frente a las decisiones automáticas. No es necesario ser experto en tecnología para reclamar si un sistema inteligente le causa un perjuicio. La normativa se inclina por proteger a la víctima, facilitarle la prueba del daño y exigir a las empresas un nivel de transparencia que antes no existía. En un mundo cada vez más automatizado, estas reglas pretenden equilibrar la balanza y garantizar que el progreso tecnológico no se construya a costa de los derechos de las personas.
Desde una perspectiva jurídico-técnica, estamos ante un cambio de paradigma en el derecho de daños. El Reglamento 2024/1689 y las directivas en tramitación configuran un sistema dual que conecta la normativa de seguridad de producto con la responsabilidad extracontractual. La culpa sigue siendo el eje para los sistemas de riesgo limitado, pero para los sistemas de alto riesgo el legislador ha habilitado mecanismos procesales —presunciones de negligencia, inversión de la carga probatoria y exhibición de documentos— que acercan el régimen a una responsabilidad objetiva de facto. La correcta gestión de la documentación del ciclo de vida del sistema se convierte en un activo jurídico de primer orden.
Para las asesorías jurídicas de empresa y los desarrolladores de software, la recomendación es contundente: alinear los procesos internos con los códigos de buenas prácticas y las futuras normas técnicas armonizadas no es opcional. La integración del cumplimiento normativo en el diseño del producto, la contratación de seguros especializados y la elaboración de planes de vigilancia postcomercialización constituirán los pilares de una defensa eficaz. Además, conviene seguir de cerca la evolución de la Propuesta de Directiva sobre responsabilidad civil de la IA, ya que su aprobación definitiva terminará de perfilar los contornos de la diligencia exigible y puede obligar a revisar los modelos de negocio de muchas empresas tecnológicas. En este escenario, anticiparse es la única estrategia segura.
Expertos en derecho, brindamos soluciones personalizadas en asesoría legal. Confíe en CANINO, HERRERO & GALINDO para su tranquilidad jurídica.
