El AI Act impone obligaciones, pero no es un régimen de indemnización. Y la norma que iba a abordar parte de ese problema fue retirada.
Una empresa utiliza inteligencia artificial para seleccionar candidatos, evaluar solicitudes de crédito o automatizar decisiones comerciales. El sistema se equivoca y provoca un perjuicio económico, una discriminación o un daño físico.
La primera reacción es atribuir el error a la inteligencia artificial. Pero la IA no tiene personalidad jurídica ni patrimonio con el que responder: detrás del sistema hay empresas que lo desarrollan, lo comercializan, lo integran y lo utilizan. La pregunta jurídica no es si la inteligencia artificial se equivocó, sino quién debe responder de las consecuencias de ese error.
1. El AI Act no es una ley de responsabilidad civil
Conviene empezar por aquí, porque condiciona cualquier reclamación.
El Reglamento (UE) 2024/1689 regula la introducción en el mercado, la puesta en servicio y la utilización de sistemas de inteligencia artificial: prohibiciones, requisitos para los sistemas de alto riesgo, obligaciones de transparencia y mecanismos de supervisión. Su finalidad es prevenir riesgos.
Lo que no establece es una regla general según la cual el proveedor de una IA deba indemnizar los daños que esta produzca. Ni tampoco lo inverso: cumplir el AI Act no exonera de responsabilidad civil.
Cumplimiento regulatorio y responsabilidad por daños son dos cuestiones distintas. Puede haber infracción del Reglamento sin daño indemnizable, y puede haber un sistema plenamente conforme cuyo uso concreto genere responsabilidad conforme a otras normas. Una reclamación debe distinguir, por tanto, entre la infracción administrativa, el incumplimiento contractual y la responsabilidad civil.
2. Por qué existe ese hueco: la directiva que no llegó
Hay una razón concreta, y conviene conocerla porque explica todo lo demás.
La Comisión Europea había propuesto una Directiva sobre responsabilidad en materia de inteligencia artificial, destinada precisamente a abordar cuestiones que el AI Act no regula. Su contenido central eran dos mecanismos procesales: una presunción de causalidad entre el incumplimiento de un deber de diligencia y el resultado producido por el sistema, y la facultad del juez de ordenar la exhibición de pruebas sobre determinados sistemas de alto riesgo.
Esa propuesta figura en el apartado de retiradas del programa de trabajo de la Comisión presentado el 11 de febrero de 2025, por falta de acuerdo sobre un texto final.
La consecuencia es la situación actual: existe un reglamento que impone deberes detallados, pero no existe un régimen europeo general y específico de responsabilidad civil por daños causados por IA, aunque determinados perjuicios pueden quedar cubiertos por la normativa de productos defectuosos y otros regímenes de responsabilidad.
Quien reclame tendrá que acudir a los instrumentos existentes —contrato, responsabilidad extracontractual, producto defectuoso—, sin contar con las herramientas probatorias específicas que aquella propuesta había diseñado para determinados supuestos.
3. El proveedor: cuando el fallo está en el sistema
El AI Act considera proveedor, en términos generales, a quien desarrolla un sistema de IA, o encarga su desarrollo, y lo introduce en el mercado o lo pone en servicio bajo su nombre o marca.
Para los sistemas de alto riesgo, el artículo 16 impone obligaciones específicas: sistema de gestión de riesgos, documentación técnica, registros, transparencia, supervisión humana y medidas de conformidad, en los términos del Reglamento.
Si una empresa comercializa un sistema destinado a evaluar solicitudes de crédito y este presenta un defecto de diseño que produce resultados incorrectos de forma sistemática, la responsabilidad puede situarse en el proveedor. Pero no basta con demostrar que el resultado fue erróneo: hay que identificar el defecto o la conducta jurídicamente relevante, el daño y la relación causal entre ambos, conforme al régimen que resulte aplicable.
4. Quien usa la IA también responde
El Reglamento distingue al proveedor del responsable del despliegue: quien utiliza un sistema bajo su propia autoridad, salvo en usos personales no profesionales.
Para los sistemas de alto riesgo, el artículo 26 impone a este último obligaciones propias, entre ellas utilizar el sistema conforme a las instrucciones, encomendar la supervisión humana a personas con competencia y formación, y conservar los registros que genere el sistema, en la medida en que estén bajo su control y conforme a los requisitos aplicables.
Una empresa que emplea una herramienta de IA para seleccionar trabajadores y descarta automáticamente a determinados candidatos sin establecer los controles exigibles puede responder por su propia actuación, aunque el programa lo haya desarrollado un tercero.
Comprar una IA no traslada al proveedor la responsabilidad por las decisiones que se toman con ella. La empresa sigue siendo empleadora, prestadora de servicios o parte contractual, y esas obligaciones no se subcontratan.
5. Cuando intervienen varias empresas
La cadena suele ser más larga: alguien crea un modelo, otro lo incorpora a una aplicación, un integrador la adapta al sistema del cliente y el cliente la usa para decidir. Producido el daño, el fallo puede estar en el modelo, en la aplicación, en la integración, en los datos o en el uso.
El artículo 25 del AI Act contempla tres circunstancias en las que un distribuidor, importador, responsable del despliegue u otro tercero puede pasar a ser considerado proveedor de un sistema de alto riesgo: poner su nombre o marca en un sistema de alto riesgo previamente introducido en el mercado o puesto en servicio; introducir una modificación sustancial que lo mantenga como de alto riesgo; o modificar su finalidad prevista de modo que un sistema que no era de alto riesgo pase a serlo.
La primera merece especial atención: comercializar bajo el propio nombre o marca un sistema de IA de alto riesgo puede atribuir a quien lo hace la condición de proveedor y las obligaciones correspondientes, en los supuestos previstos en el Reglamento.
De ahí la consecuencia práctica: la posición jurídica de una empresa no depende únicamente del nombre que figure en el contrato, sino de lo que efectivamente haga con el sistema.
6. La responsabilidad por productos defectuosos, y sus límites
La Directiva (UE) 2024/2853 moderniza el régimen de productos defectuosos e incluye expresamente el software en el concepto de producto, con independencia de la modalidad de suministro o acceso. Los Estados miembros deben transponerla antes del 9 de diciembre de 2026, y el nuevo régimen se aplica a los productos introducidos en el mercado o puestos en servicio a partir de esa fecha; los anteriores siguen sometidos al régimen anterior.
Su aportación más relevante para los litigios de IA son las presunciones.
Se presume el carácter defectuoso cuando el demandado no exhibe las pruebas requeridas en las condiciones previstas legalmente, cuando el producto incumple requisitos de seguridad obligatorios destinados a prevenir el riesgo materializado, o cuando el daño obedece a un fallo manifiesto.
Se presume la causalidad cuando el producto es defectuoso y el daño es típicamente coherente con ese defecto.
Y se presumen una, otra o ambas cuando el demandante afronta dificultades excesivas —por ejemplo, por la complejidad técnica o científica del asunto— y acredita que es probable que el producto fuera defectuoso o que exista relación causal.
Todas estas presunciones admiten prueba en contrario.
A ello se añade la exhibición de pruebas: acreditada la plausibilidad de la pretensión, el juez puede ordenar al demandado que exhiba las pruebas pertinentes, de forma necesaria y proporcionada y con protección de los secretos empresariales.
Ahora bien, el ámbito es limitado, y aquí está lo que muchos análisis no explican con claridad.
La Directiva establece un derecho de indemnización por determinados daños sufridos por personas físicas, sin perjuicio de que las acciones puedan ejercitarse también por quienes se hayan subrogado en sus derechos o estén legitimados para actuar en su nombre.
Los daños cubiertos comprenden la muerte o las lesiones corporales, incluido el daño psicológico médicamente reconocido; los daños materiales, con las exclusiones previstas para bienes utilizados exclusivamente con fines profesionales; y la destrucción o corrupción de datos, incluido el coste de recuperarlos, cuando no se utilicen con fines profesionales.
Lo que queda fuera es la pérdida puramente económica, que por sí sola no genera responsabilidad conforme a esta Directiva.
7. El contrato, que para una empresa es casi todo
La mayoría de los conflictos empresariales con IA no son lesiones personales: son incumplimientos. Se contrata una solución para automatizar la facturación, analizar documentos o mejorar procesos, y el proveedor prometió funcionalidades, niveles de precisión o resultados que no se cumplen.
En derecho español, los artículos 1101 y 1124 del Código Civil permiten, concurriendo sus requisitos, reclamar daños, exigir el cumplimiento o resolver el contrato, con la extensión del daño que resulta de los artículos 1106 y 1107.
La cuestión decisiva será qué se comprometió a entregar el proveedor. No es lo mismo contratar el acceso a una herramienta que contratar un resultado, ni una obligación de medios que una de resultado.
Y las condiciones contractuales pueden establecer limitaciones de responsabilidad, procedimientos de aceptación, garantías y deberes de colaboración del cliente, dentro de los límites legales.
8. Daños a terceros
Cuando el perjudicado no tiene relación contractual —un sistema de IA que contribuye a un accidente en un entorno industrial, una herramienta automatizada que perjudica a un tercero—, una posible vía es el artículo 1902 del Código Civil, que exige acreditar los presupuestos de la responsabilidad extracontractual, incluidos el daño, la conducta imputable y el nexo causal.
Pueden además resultar aplicables regímenes especiales de responsabilidad objetiva o normas sectoriales.
La intervención de una inteligencia artificial no elimina estas reglas ni permite presumir la responsabilidad de todos los que participaron en la cadena.
9. El problema real es la prueba: las empresas carecen de un régimen específico
Aquí convergen las piezas anteriores, y el resultado conviene decirlo sin rodeos.
Un sistema puede producir un resultado perjudicial sin que el usuario sepa cómo se generó, y el proveedor controla información técnica a la que el perjudicado no accede.
La cuestión no es demostrar únicamente que el resultado fue incorrecto, sino identificar su causa: si el modelo tenía un defecto, si los datos eran inadecuados, si se usó fuera de su finalidad prevista, si se ignoró una advertencia o si falló la supervisión humana.
Para afrontar este problema se habían previsto mecanismos específicos.
Por un lado, las presunciones y la exhibición de pruebas de la Directiva de productos defectuosos, que operan dentro de su ámbito material y personal.
Por otro, la presunción de causalidad y la exhibición de pruebas contempladas en la propuesta de Directiva de responsabilidad en materia de IA, que habría facilitado determinadas reclamaciones fuera de aquel régimen, pero que fue retirada.
De modo que una empresa que sufre una pérdida puramente económica causada por un sistema de IA no dispone, por ese solo hecho, de las presunciones específicas de la nueva Directiva de productos defectuosos ni de los mecanismos de la propuesta retirada.
Debe acudir a los medios probatorios ordinarios, frente a una contraparte que puede poseer la información técnica relevante.
En España existen mecanismos como la exhibición documental, las diligencias preliminares en los supuestos legalmente previstos y las reglas de disponibilidad y facilidad probatoria del artículo 217.7 de la Ley de Enjuiciamiento Civil.
Sin embargo, estos instrumentos no constituyen un régimen probatorio específico para los daños causados por inteligencia artificial y pueden resultar insuficientes ante la complejidad técnica y la asimetría informativa entre las partes.
El AI Act ayuda indirectamente: impone a determinados sistemas obligaciones de documentación técnica, registros y trazabilidad, y el artículo 26 exige al responsable del despliegue conservar los registros que el sistema genere, en la medida en que estén bajo su control y conforme a los requisitos aplicables.
Esa información nace con finalidad regulatoria, pero puede adquirir valor probatorio. Su disponibilidad, conservación y acceso habrá que examinarlos conforme a las normas procesales y de protección de la información aplicables.
Sin pruebas sobre el funcionamiento del sistema, atribuir jurídicamente el daño puede resultar extraordinariamente difícil. Y esa es una de las principales dificultades actuales de estas reclamaciones.
10. Qué pactar antes de contratar una IA
Dado lo anterior, el contrato no es un trámite: es una de las principales herramientas con las que una empresa puede mejorar su posición probatoria antes de necesitarla.
La finalidad del sistema: qué tareas realiza, con qué límites y en qué condiciones.
Las obligaciones del proveedor: funcionalidades, documentación, soporte, actualizaciones y garantías, distinguiendo medios de resultado.
La supervisión humana: quién revisa y qué decisiones no pueden adoptarse sin intervención de una persona.
La trazabilidad, que es la cláusula decisiva: qué registros se conservan, durante cuánto tiempo, en qué formato y —sobre todo— con qué derecho de acceso del cliente en caso de reclamación.
La gestión de incidentes: cómo se comunican los errores, qué medidas correctoras se adoptan y quién asume los costes.
La responsabilidad económica: qué daños quedan cubiertos, qué límites se establecen y qué seguro resulta adecuado.
La cooperación ante reclamaciones de terceros: qué información facilitará cada parte si un cliente, un trabajador o un tercero reclama.
Ninguna de estas cláusulas elimina responsabilidades impuestas por normas imperativas. Lo que hacen es repartir riesgos y, en el caso de la trazabilidad, construir anticipadamente una prueba que puede resultar difícil obtener una vez producido el daño.
Conclusión
La inteligencia artificial decide, genera y ejecuta con autonomía creciente, pero la autonomía técnica no es personalidad jurídica. Producido el daño, hay que identificar quién desarrolló el sistema, quién lo comercializó bajo su marca, quién lo integró, quién lo utilizó y qué deber incumplió cada uno.
El AI Act ordena esa cadena de obligaciones. La normativa de productos defectuosos y las reglas contractuales y extracontractuales determinan, según el caso, las vías de reclamación.
Y entre ambas queda un espacio para el que se había propuesto una regulación específica de responsabilidad civil en materia de IA que finalmente fue retirada.
La pregunta decisiva no es que una IA haya causado un daño. Es quién tenía el deber jurídico de evitarlo, qué conducta o defecto permite atribuírselo y cómo se prueba esa relación cuando la información está en manos de la otra parte.
Nota: este análisis tiene carácter general y no constituye asesoramiento jurídico sobre ningún supuesto concreto. La responsabilidad derivada de sistemas de inteligencia artificial depende de la función de cada operador, la naturaleza del daño, la normativa aplicable y las circunstancias del caso.
Fuentes: Reglamento (UE) 2024/1689 (AI Act), artículos 16, 25 y 26; Directiva (UE) 2024/2853, sobre responsabilidad por los daños causados por productos defectuosos; programa de trabajo de la Comisión Europea de 11 de febrero de 2025, apartado de retiradas, respecto de la propuesta de Directiva sobre responsabilidad en materia de inteligencia artificial; Código Civil, artículos 1101, 1106, 1107, 1124 y 1902; Ley de Enjuiciamiento Civil, artículo 217.7 y disposiciones sobre obtención y exhibición de pruebas; Reglamento (UE) 2016/679, cuando exista tratamiento de datos personales.