¿Quién responde si una inteligencia artificial causa daños? Responsabilidad civil de la IA en 2026
Una inteligencia artificial recomienda un tratamiento equivocado y una persona sufre daños.
Un agente autónomo realiza una operación que nadie pretendía autorizar.
Un chatbot utilizado como apoyo emocional refuerza una conducta peligrosa.
Un sistema conectado a una máquina provoca un accidente.
Una actualización hace que un producto que antes era seguro empiece a funcionar incorrectamente.
La primera reacción suele ser preguntar:
¿Quién tiene la culpa?
Pero jurídicamente hay una pregunta todavía más importante:
¿Quién responde del daño y qué tiene que demostrar la víctima para obtener una indemnización?
Durante años, buena parte de la regulación de la inteligencia artificial se ha concentrado en prevenir riesgos.
El AI Act establece prohibiciones, requisitos, transparencia, supervisión y obligaciones para determinados sistemas.
Pero prevenir el daño y reparar el daño son dos cosas diferentes.
El AI Act intenta reducir la probabilidad de que algo salga mal.
La responsabilidad civil empieza a ser relevante cuando:
algo ya ha salido mal.
Y Europa está a punto de cambiar de manera importante las reglas aplicables a este problema.
La nueva Directiva (UE) 2024/2853 sobre responsabilidad por productos defectuosos adapta por primera vez de forma expresa el régimen europeo a software, sistemas de inteligencia artificial, actualizaciones, servicios digitales relacionados y sistemas capaces de seguir aprendiendo después de su comercialización. Los Estados miembros deben transponerla como máximo el 9 de diciembre de 2026, y el nuevo régimen se aplicará a los productos introducidos en el mercado o puestos en servicio después del 8 de diciembre de 2026.
Y hay otro motivo por el que el tema está especialmente vivo.
En Estados Unidos, una oleada de demandas está planteando precisamente una cuestión que hace apenas unos años parecía teórica:
¿ChatGPT es un producto defectuoso o un servicio que genera información?
En octubre de 2026, alrededor de dos docenas de procedimientos consolidados estaban poniendo a prueba distintas teorías de responsabilidad relacionadas con suicidios, autolesiones, delirios y otros daños presuntamente vinculados a interacciones con ChatGPT. OpenAI sostiene, entre otras cuestiones, que ChatGPT es un servicio interactivo y no un producto al que deban aplicarse sin más las reglas tradicionales de responsabilidad por productos defectuosos.
Europa ha elegido una aproximación distinta.
Y eso puede cambiar mucho el debate.
La respuesta corta: una IA no “responde”; responden las personas y empresas que la desarrollan, suministran o utilizan
Una inteligencia artificial no tiene personalidad jurídica propia.
No puede pagar una indemnización.
No puede contratar un seguro.
No puede ser demandada como si fuese una persona autónoma.
Cuando hablamos de:
“responsabilidad de la IA”
en realidad estamos hablando de determinar qué persona física o jurídica puede ser responsable.
Según el caso podrían intervenir:
el desarrollador;
el fabricante;
el proveedor del sistema;
el fabricante de un componente;
el importador;
la empresa que lo integra;
la empresa que lo utiliza;
o incluso varias de ellas.
La respuesta dependerá de:
qué sistema causó el daño, qué papel desempeñó cada empresa, qué defecto existía y qué norma de responsabilidad estamos aplicando.
El AI Act no es una ley de indemnizaciones
Esta distinción es fundamental.
El Reglamento Europeo de Inteligencia Artificial establece principalmente reglas de:
seguridad;
gobernanza;
clasificación de riesgo;
transparencia;
supervisión;
documentación;
prácticas prohibidas.
Pero no crea un sistema general que diga:
“Si una empresa incumple el AI Act y alguien sufre daños, recibirá automáticamente una indemnización de X euros.”
Puede existir una infracción del AI Act y además existir responsabilidad civil.
Pero son planos diferentes.
Una autoridad puede sancionar a una empresa por incumplir determinadas obligaciones del Reglamento.
Y una persona perjudicada puede intentar reclamar una indemnización por los daños sufridos.
Una cosa no sustituye necesariamente a la otra.
La gran novedad: en Europa el software puede ser un “producto”
Esta es probablemente la modificación más importante.
Durante décadas, las normas europeas de productos defectuosos estaban pensadas fundamentalmente para objetos físicos.
Un coche.
Una tostadora.
Una prótesis.
Una máquina.
Pero ¿qué ocurre cuando el daño lo causa un algoritmo?
La nueva Directiva responde expresamente.
Considera que el software puede ser un producto a efectos de responsabilidad objetiva.
Y menciona específicamente:
sistemas operativos, firmware, programas, aplicaciones y sistemas de inteligencia artificial.
Además, la consideración de producto no depende de cómo se entregue el software.
Puede:
estar instalado físicamente;
descargarse;
accederse mediante Internet;
funcionar desde la nube;
o prestarse mediante un modelo Software as a Service —SaaS—.
La Directiva aclara además que los desarrolladores o productores de software, incluidos los proveedores de sistemas de IA en el sentido del AI Act, pueden ser tratados como fabricantes.
Esto es un cambio enorme.
Porque impide que la naturaleza intangible del software sea por sí sola una barrera para aplicar el régimen de responsabilidad por producto defectuoso.
Pero cuidado: esto no significa que cada respuesta de ChatGPT sea un “producto”
Aquí aparece uno de los matices más importantes del nuevo régimen.
La Directiva distingue entre:
el software
y:
la información.
El software sí puede considerarse producto.
Pero la Directiva señala que la información como tal no lo es.
Por ejemplo, el contenido de un archivo digital, un libro electrónico o la mera información generada no se convierte automáticamente en un producto defectuoso sometido a este régimen.
Por eso no sería correcto afirmar:
“Europa ha decidido que cualquier respuesta equivocada de ChatGPT es un producto defectuoso.”
No.
La cuestión será bastante más compleja.
Habrá que analizar si existe:
un defecto del sistema
que:
ha causado un daño indemnizable.
Una IA que se equivoca no es automáticamente defectuosa
Este punto será esencial durante los próximos años.
Las inteligencias artificiales pueden cometer errores.
Pero:
error no equivale automáticamente a defecto jurídico.
La nueva Directiva establece que un producto será defectuoso cuando no ofrezca la seguridad que una persona tiene derecho a esperar o que exige el Derecho europeo o nacional.
Para determinarlo deben valorarse todas las circunstancias.
Entre ellas:
la presentación del producto;
su diseño;
sus características;
las instrucciones;
su uso razonablemente previsible;
las normas de seguridad aplicables;
la ciberseguridad;
el grupo de usuarios al que se dirige;
y algo especialmente novedoso:
la capacidad del producto para seguir aprendiendo o adquirir nuevas características después de haberse introducido en el mercado.
Por tanto, una IA no será necesariamente defectuosa simplemente porque produce una respuesta incorrecta.
La pregunta será:
¿ofrecía el nivel de seguridad que legítimamente podía esperarse teniendo en cuenta su finalidad, diseño, usuarios y funcionamiento?
No es lo mismo un chatbot general que una IA médica
Imaginemos dos sistemas.
El primero es un chatbot generalista que incluye advertencias claras de que puede cometer errores y no está destinado a sustituir asesoramiento médico.
El segundo es un sistema comercializado específicamente para detectar una enfermedad y recomendar decisiones clínicas.
Ambos producen exactamente la misma respuesta incorrecta.
El análisis jurídico puede ser muy diferente.
Porque:
la seguridad que razonablemente esperamos depende también de la finalidad del producto.
Cuanto más crítica sea la función, mayor relevancia puede tener un fallo.
¿Qué daños cubre la nueva Directiva?
La Directiva no cubre absolutamente cualquier consecuencia negativa.
Su artículo 6 reconoce tres grandes categorías.
| Daño | ¿Puede entrar en la nueva Directiva? |
|---|---|
| Muerte | Sí |
| Lesiones físicas | Sí |
| Daños psicológicos reconocidos médicamente | Sí |
| Daño o destrucción de bienes de uso privado | Sí, con excepciones |
| Corrupción o destrucción de datos no profesionales | Sí |
| Pérdida económica pura | No por sí sola bajo este régimen |
| Discriminación | No por sí sola bajo este régimen |
| Vulneración de privacidad | No por sí sola bajo este régimen |
| Daños exclusivamente sobre bienes profesionales | No bajo este régimen concreto |
La Directiva incluye expresamente dentro de las lesiones personales los daños a la salud psicológica reconocidos médicamente.
Esta incorporación puede resultar especialmente relevante para determinadas reclamaciones relacionadas con:
chatbots emocionales;
sistemas utilizados en salud mental;
herramientas que interactúan intensamente con personas vulnerables.
Pero de nuevo:
deberá demostrarse que existe un daño psicológico médicamente reconocido y que existe una relación causal con un defecto del producto.
Un daño emocional no es automáticamente un daño psicológico indemnizable bajo esta Directiva
Una persona puede sentirse:
molesta;
engañada;
frustrada;
angustiada.
Eso no significa automáticamente que exista un daño psicológico incluido en el artículo 6.
La Directiva habla específicamente de daño a la salud psicológica reconocido médicamente.
Por tanto, no debe confundirse:
malestar
con:
lesión psicológica jurídicamente indemnizable bajo este régimen.
¿Y si la IA causa una pérdida de dinero?
Aquí aparece otro límite muy importante.
Imaginemos que un agente de IA interpreta mal una instrucción y realiza una inversión desastrosa.
O que una empresa utiliza una IA que toma una decisión errónea y pierde 100.000 euros.
La pérdida económica pura no está incluida por sí sola entre los daños cubiertos por la Directiva de productos defectuosos.
Eso no significa:
“No existe responsabilidad.”
Significa:
habrá que buscarla en otro régimen jurídico.
Por ejemplo:
responsabilidad contractual;
responsabilidad extracontractual;
normativa financiera;
protección de consumidores;
o las reglas nacionales que correspondan.
La propia Directiva deja expresamente intactos esos otros mecanismos de reclamación.
La discriminación algorítmica tampoco se resuelve principalmente mediante esta Directiva
Imaginemos una IA utilizada para selección de personal.
El algoritmo discrimina injustamente a determinados candidatos.
Aquí pueden entrar en juego:
el AI Act;
el RGPD;
la legislación laboral;
las normas antidiscriminación;
derechos fundamentales.
Pero la discriminación por sí sola no se convierte automáticamente en uno de los daños cubiertos por el régimen europeo de producto defectuoso.
La propia Directiva aclara que cuestiones como:
pérdida económica pura, vulneración de privacidad o discriminación
no deben activar por sí mismas la responsabilidad establecida en esta norma, sin perjuicio de que puedan existir otros mecanismos de responsabilidad.
Por eso será esencial no intentar resolver todos los daños provocados por IA con una única ley.
¿Quién puede responder si un sistema de IA es defectuoso?
La Directiva construye una cadena de posibles responsables.
El primero es:
el fabricante del producto defectuoso.
También puede responder:
el fabricante del componente defectuoso cuando ese componente haya provocado el defecto.
Y cuando el fabricante esté fuera de la Unión Europea pueden entrar, según el caso:
el importador;
el representante autorizado;
o, en determinadas situaciones:
el prestador de servicios logísticos correspondiente.
Además, una empresa que modifique sustancialmente un producto fuera del control del fabricante y posteriormente vuelva a comercializarlo puede ser considerada fabricante a estos efectos.
Esto es particularmente interesante para inteligencia artificial.
Porque muchos productos digitales se construyen mediante capas.
El problema de la cadena de IA
Imaginemos una aplicación empresarial.
La empresa A desarrolla el modelo base.
La empresa B lo adapta.
La empresa C crea un software sobre él.
La empresa D integra ese software en un producto.
La empresa E lo utiliza frente al consumidor.
Cuando algo sale mal:
¿quién responde?
Esa será una de las grandes cuestiones prácticas de la responsabilidad por IA.
La Directiva permite que varios operadores económicos puedan resultar responsables y contempla también supuestos de responsabilidad solidaria cuando concurren varios responsables.
Por eso los contratos entre:
proveedores;
integradores;
clientes empresariales;
desarrolladores;
serán cada vez más importantes.
No necesariamente para eliminar la responsabilidad frente a la víctima —algo que la Directiva limita—, sino para determinar posteriormente cómo se distribuye internamente el coste entre empresas.
La responsabilidad no desaparece necesariamente cuando el sistema se actualiza
Este es uno de los puntos más modernos de la nueva norma.
Con un producto tradicional era relativamente sencillo imaginar el momento relevante:
sale de fábrica.
Se vende.
Después el fabricante deja de controlarlo.
Pero el software funciona de otra manera.
Puede recibir:
actualizaciones;
nuevas funciones;
cambios de modelo;
ajustes;
mejoras;
parches de seguridad.
Y una inteligencia artificial puede además seguir aprendiendo.
La Directiva reconoce expresamente esta realidad.
Un fabricante puede seguir respondiendo cuando el defecto aparece después de la introducción en el mercado como consecuencia de software, actualizaciones o servicios relacionados que permanecen bajo su control.
También menciona expresamente defectos derivados de algoritmos de aprendizaje automático bajo ese control.
Es decir:
la fotografía jurídica del producto ya no termina necesariamente el día de la venta.
Una actualización también puede crear responsabilidad
Imaginemos:
una IA funcionaba correctamente.
El proveedor actualiza el sistema.
La nueva versión introduce un comportamiento peligroso.
La empresa no puede defenderse automáticamente diciendo:
“Cuando lanzamos el producto originalmente funcionaba bien.”
Si la actualización continuaba bajo su control, el nuevo régimen contempla precisamente esa situación.
Lo mismo ocurre con determinados defectos relacionados con actualizaciones de seguridad que deberían haberse proporcionado para afrontar vulnerabilidades bajo el control del fabricante.
Esto será especialmente importante para los agentes de IA
Los agentes introducen una nueva dimensión.
Un chatbot tradicional:
responde.
Un agente puede:
actuar.
Puede enviar correos.
Comprar.
Contratar.
Reservar.
Modificar archivos.
Ejecutar código.
Interactuar con otros sistemas.
Cuanto mayor es la autonomía, mayor es también la superficie potencial de daño.
Imaginemos que un agente:
recibe permiso para gestionar una cuenta;
interpreta incorrectamente una instrucción;
realiza una operación no prevista;
y causa daños.
La pregunta ya no será únicamente:
“¿La respuesta de la IA era incorrecta?”
Sino:
¿el sistema estaba diseñado con controles adecuados para impedir una actuación razonablemente previsible y peligrosa?
Aquí pueden converger:
responsabilidad contractual;
responsabilidad extracontractual;
AI Act;
seguridad del producto;
y, en determinados casos, responsabilidad por producto defectuoso.
Por eso el diseño de permisos, confirmaciones, límites y supervisión humana puede convertirse no solo en una buena práctica de seguridad, sino también en una pieza importante del análisis de responsabilidad.
¿Qué pasa si el usuario dio una instrucción incorrecta?
La responsabilidad tampoco significa que el proveedor responda siempre.
La conducta del usuario puede importar.
La nueva Directiva permite reducir o incluso excluir responsabilidad en determinados supuestos cuando el daño deriva conjuntamente del defecto y de la culpa de la propia persona perjudicada.
Por eso habrá que distinguir entre:
uso razonablemente previsible
y:
uso claramente contrario a las instrucciones o manipulación deliberada del sistema.
Pero tampoco bastará siempre con añadir a las condiciones:
“Utilícelo bajo su propia responsabilidad.”
La Directiva establece que la responsabilidad frente a la persona perjudicada no puede excluirse o limitarse simplemente mediante una cláusula contractual.
El gran problema de las demandas contra IA: demostrar qué ocurrió
Imaginemos que una persona cree haber sufrido daños por culpa de un sistema de inteligencia artificial.
Tiene que demostrar:
que el sistema era defectuoso;
que sufrió un daño;
y:
que ese defecto causó el daño.
Eso puede ser relativamente sencillo con una pieza mecánica rota.
Pero con inteligencia artificial puede resultar extraordinariamente complicado.
La víctima puede no conocer:
el modelo;
los datos;
las instrucciones internas;
las medidas de seguridad;
las versiones;
los logs;
los cambios introducidos;
las decisiones intermedias.
La empresa sí puede disponer de esa información.
Ese desequilibrio es precisamente uno de los problemas que intenta afrontar la nueva Directiva.
Los tribunales podrán ordenar la exhibición de pruebas
La Directiva introduce mecanismos destinados a facilitar que una persona perjudicada pueda acceder a pruebas relevantes que estén bajo control del demandado.
No significa que el demandante tenga derecho a:
“ver todo el modelo”.
Los tribunales deberán aplicar criterios de necesidad y proporcionalidad y proteger:
secretos empresariales;
información confidencial;
otros intereses legítimos.
Pero la idea es importante:
una empresa no debería poder beneficiarse automáticamente de que el funcionamiento de su sistema sea demasiado opaco para que la víctima pueda probar el defecto.
La carga de la prueba sigue existiendo, pero aparecen presunciones
La regla general continúa siendo que la persona perjudicada debe probar:
defecto + daño + causalidad.
Pero la Directiva introduce varias presunciones.
Por ejemplo, podrá presumirse el defecto en determinadas situaciones cuando:
el demandado no entregue pruebas que el tribunal le ha exigido;
se incumplan requisitos obligatorios de seguridad destinados a evitar ese tipo de daño;
o exista un funcionamiento manifiestamente incorrecto durante un uso normal o razonablemente previsible.
Además, cuando la complejidad técnica o científica haga excesivamente difícil demostrar el defecto o la causalidad, el tribunal podrá aplicar determinadas presunciones si el demandante consigue demostrar que resulta probable la existencia del defecto o del nexo causal.
Esto está pensado precisamente para tecnologías complejas como:
machine learning e inteligencia artificial.
La víctima no tendrá que explicar necesariamente cómo funciona internamente el modelo
Este punto es especialmente interesante.
Los considerandos de la Directiva reconocen expresamente que, en una reclamación relacionada con IA, no debería exigirse a la persona perjudicada que sea capaz de explicar:
las características concretas del sistema
o:
exactamente cómo esas características produjeron el daño
solo para demostrar que existe una dificultad excesiva de prueba.
La complejidad del propio modelo puede ser precisamente la razón por la que se necesitan mecanismos probatorios especiales.
Esto puede convertirse en una de las mayores diferencias prácticas respecto del régimen anterior.
Ejemplos: ¿qué norma podría entrar en juego?
| Situación | Posible análisis |
|---|---|
| IA médica defectuosa causa una lesión | Producto defectuoso + regulación sanitaria + posible AI Act |
| Chatbot provoca daño psicológico médicamente reconocido por un defecto de seguridad | Potencialmente producto defectuoso + otras reglas de responsabilidad |
| Agente realiza una transferencia equivocada | Principalmente responsabilidad contractual/extracontractual; dependerá del daño |
| IA discrimina a un candidato | RGPD + legislación laboral + igualdad + AI Act |
| Robot controlado por IA causa un accidente | Producto defectuoso + seguridad del producto |
| IA borra fotografías privadas almacenadas por un consumidor | La destrucción/corrupción de datos no profesionales puede entrar en la Directiva |
| IA causa únicamente pérdidas empresariales | La nueva Directiva de productos defectuosos no cubre por sí sola la pérdida económica pura profesional |
| Deepfake daña el honor de una persona | Derechos de personalidad + normativa digital/civil; no principalmente producto defectuoso |
| Actualización de IA introduce un fallo peligroso | Puede resultar relevante si continúa bajo control del fabricante |
No existe, por tanto, una respuesta universal:
“daño causado por IA = Directiva de productos defectuosos”.
Hay que analizar qué daño se produjo y por qué.
¿Puede alguien demandar a ChatGPT en Europa por una respuesta dañina?
En teoría pueden existir distintos fundamentos jurídicos dependiendo del caso.
Pero la respuesta correcta no es:
“Sí, porque ChatGPT ya es legalmente un producto defectuoso.”
La nueva Directiva aclara que el software y los sistemas de IA pueden ser productos.
Eso es distinto.
Después habrá que analizar:
si existía un defecto;
qué nivel de seguridad podía esperarse;
si la respuesta o conducta estaba relacionada con ese defecto;
si se produjo un daño cubierto;
y si puede acreditarse causalidad.
Además, la Directiva se aplicará al nuevo marco temporal previsto para productos introducidos en el mercado o puestos en servicio desde diciembre de 2026.
El debate estadounidense sobre ChatGPT muestra precisamente la dificultad
Estados Unidos está afrontando ahora una pregunta previa:
¿puede ChatGPT considerarse siquiera un producto para aplicar las teorías tradicionales de product liability?
Los demandantes en distintos procedimientos sostienen que determinadas características de diseño deberían analizarse como defectos del producto.
OpenAI defiende que el sistema es un servicio interactivo y que sus outputs contienen información o ideas que no deben tratarse de igual modo que un producto físico tradicional.
Europa ha eliminado parcialmente esa discusión:
el software puede ser producto aunque se preste mediante SaaS.
Pero conserva la distinción entre:
software
e:
información.
Por eso los tribunales europeos también tendrán que dibujar límites.
¿Y las demandas relacionadas con suicidio, autolesiones o delirios?
Es probablemente una de las áreas donde más rápido evolucionará la responsabilidad.
En octubre de 2026 ocho estados estadounidenses presentaron nuevas demandas contra OpenAI alegando, entre otras cuestiones, que determinadas características de ChatGPT podían reforzar delirios o conductas peligrosas. Son alegaciones todavía pendientes de resolución, no hechos judicialmente declarados.
En Europa, la inclusión expresa del daño a la salud psicológica reconocido médicamente dentro de la nueva Directiva puede adquirir mucha importancia.
Pero todavía habría que resolver cuestiones extremadamente complejas.
Por ejemplo:
¿qué comportamiento del modelo constituye un defecto?
¿Qué salvaguardas eran razonablemente exigibles?
¿Podía prever el proveedor ese patrón de uso?
¿Existían factores previos?
¿Qué papel desempeñó la interacción?
¿Existe un nexo causal suficiente?
Por tanto:
la inclusión del daño psicológico no significa responsabilidad automática del proveedor.
Sí significa que ese tipo de daño ya no queda conceptualmente fuera del régimen simplemente por no ser una lesión física.
La responsabilidad objetiva no significa responsabilidad automática
La nueva Directiva utiliza un régimen de responsabilidad objetiva por productos defectuosos.
Esto puede generar confusión.
Responsabilidad objetiva significa esencialmente que la víctima no necesita demostrar que el fabricante actuó negligentemente para reclamar bajo ese régimen.
No tiene necesariamente que demostrar:
“el desarrollador programó mal de forma culpable”.
Pero todavía debe existir:
producto defectuoso + daño + relación causal.
Por tanto:
no hace falta demostrar culpa, pero sí hay que demostrar los elementos de la responsabilidad.
Las presunciones facilitan esa tarea en determinados casos.
No la eliminan.
¿Qué ocurrió con la Directiva específica de responsabilidad por IA?
Europa había preparado inicialmente otra pieza normativa.
En 2022, la Comisión propuso una AI Liability Directive específicamente destinada a facilitar determinadas reclamaciones de responsabilidad extracontractual relacionadas con inteligencia artificial.
Pero ese proyecto finalmente fue retirado.
EUR-Lex registra oficialmente el procedimiento como retirado, y la Comisión retiró formalmente la propuesta en octubre de 2025 tras considerar que no existía una perspectiva previsible de acuerdo.
Esto es importante porque todavía aparecen páginas en Internet que explican la:
“futura Directiva de Responsabilidad de la IA”
como si continuara tramitándose.
Ya no es correcto.
En octubre de 2026 debemos distinguir:
AI Liability Directive → propuesta retirada.
Product Liability Directive 2024/2853 → aprobada y en proceso de transposición.
Esta última es actualmente una de las piezas más importantes del nuevo escenario europeo de responsabilidad por daños vinculados a IA.
¿Qué ocurre en España mientras llega el nuevo régimen?
España ya dispone de un régimen de responsabilidad civil por productos y servicios defectuosos dentro del texto refundido de la Ley General para la Defensa de los Consumidores y Usuarios.
El Libro Tercero regula actualmente esta materia y reconoce, entre otras cuestiones, la indemnización de determinados daños personales y materiales y la responsabilidad del productor por productos defectuosos.
La nueva Directiva europea obliga ahora a adaptar el Derecho nacional.
El plazo de transposición finaliza el:
9 de diciembre de 2026.
Hasta entonces debe distinguirse cuidadosamente entre:
el régimen español actualmente vigente
y:
las reglas de la Directiva que deberán incorporarse al ordenamiento nacional.
Por eso será importante actualizar este artículo cuando se apruebe y publique definitivamente la norma española de transposición.
La nueva Directiva tampoco elimina otras vías de reclamación
Esto es esencial.
Una persona podría encontrarse ante un daño relacionado con IA y que la Directiva de productos defectuosos:
no se aplique;
no cubra el tipo de daño;
o no sea la vía más adecuada.
Eso no significa que no pueda existir responsabilidad.
Pueden seguir siendo relevantes:
responsabilidad contractual;
responsabilidad extracontractual;
protección de consumidores;
RGPD;
derecho laboral;
derecho antidiscriminatorio;
responsabilidad profesional;
regulación sanitaria;
normativa financiera;
derechos al honor, intimidad y propia imagen.
La propia Directiva declara expresamente que no elimina esos otros derechos y regímenes.
La responsabilidad por IA será, por tanto, un mosaico de normas, no una única ley.
El AI Act puede ser importante incluso dentro de una demanda civil
Aunque el AI Act no sea una ley de indemnizaciones, puede adquirir mucha relevancia para determinar si un sistema ofrecía la seguridad exigible.
La Directiva permite presumir el defecto en determinadas circunstancias cuando se demuestra que el producto incumplía requisitos obligatorios de seguridad destinados a proteger frente al riesgo que terminó materializándose.
Por eso, a medida que entren en aplicación los requisitos del AI Act, puede aparecer una interacción muy importante.
Imaginemos:
un sistema estaba sometido a una obligación concreta de gestión de riesgos;
la empresa no la cumplió;
se produce precisamente el daño que esa obligación pretendía evitar.
Ese incumplimiento podría adquirir valor en el análisis civil.
No significa que:
incumplir el AI Act = pagar automáticamente una indemnización.
Pero cumplimiento regulatorio y responsabilidad civil ya no pueden estudiarse como mundos completamente separados.
Cumplir el AI Act tampoco garantiza inmunidad
El razonamiento contrario sería igualmente incorrecto.
Una empresa podría decir:
“Cumplimos el AI Act, así que no podemos ser responsables.”
No necesariamente.
La responsabilidad por productos analiza si el producto era defectuoso y si causó un daño.
El cumplimiento regulatorio será un elemento importante.
Pero no convierte automáticamente cualquier producto en seguro en todas las circunstancias.
Una empresa puede cumplir determinadas obligaciones administrativas y seguir enfrentándose a una reclamación civil si concurren los requisitos correspondientes.
Los contratos con proveedores de IA van a cambiar
Muchas empresas están incorporando IA mediante proveedores externos.
Hasta ahora buena parte de la negociación contractual se ha concentrado en:
protección de datos;
confidencialidad;
propiedad intelectual;
disponibilidad del servicio.
La responsabilidad por daños va a ganar peso.
Las empresas deberán revisar cuestiones como:
quién controla las actualizaciones;
quién modifica el modelo;
qué documentación facilita el proveedor;
qué logs se conservan;
qué sucede ante un incidente;
quién investiga el fallo;
qué garantías se ofrecen;
qué indemnizaciones contractuales existen;
qué seguros cubren el riesgo.
Pero existe una diferencia importante.
Estos contratos pueden distribuir riesgos entre las empresas.
No pueden necesariamente eliminar los derechos que la Directiva reconoce frente a la persona perjudicada.
La trazabilidad puede convertirse en la mejor defensa de una empresa
Imaginemos que ocurre un incidente.
La organización debería poder reconstruir:
qué modelo estaba activo;
qué versión;
qué instrucciones recibió;
qué permisos tenía;
qué output produjo;
qué persona revisó la decisión;
qué actualización estaba instalada;
qué ocurrió después.
En sistemas autónomos o agénticos esta trazabilidad será todavía más importante.
No solo para cumplir obligaciones regulatorias.
También para responder a la pregunta que aparecerá después del daño:
¿qué ocurrió realmente?
Sin logs, control de versiones y responsabilidades claramente asignadas, puede resultar muy difícil responder.
Para las empresas, la prevención jurídica debería empezar antes del incidente
Una política razonable de responsabilidad sobre IA debería incluir al menos:
- inventario de sistemas y proveedores, identificando quién desarrolla, integra y controla cada componente;
- clasificación del daño potencial, distinguiendo riesgos físicos, psicológicos, económicos, de datos y derechos fundamentales;
- definición de controles humanos, especialmente cuando una decisión o acción pueda producir daños relevantes;
- límites de autonomía para agentes, incluyendo permisos, cuantías, confirmaciones y mecanismos de parada;
- gestión de versiones y actualizaciones, documentando cuándo cambia el sistema y qué pruebas se realizan;
- registro de incidentes y logs, para poder reconstruir posteriormente el funcionamiento;
- revisión de contratos y seguros, evitando descubrir después del incidente que ninguna póliza cubre adecuadamente el riesgo tecnológico.
El objetivo no debería ser únicamente:
“cumplir el AI Act”.
Debería ser también:
poder demostrar que el sistema fue diseñado, seleccionado, integrado y utilizado de forma razonablemente segura.
¿Qué ocurrirá con los seguros de responsabilidad por IA?
Probablemente será otra de las grandes áreas de desarrollo.
Las empresas ya cuentan con pólizas de:
responsabilidad civil;
responsabilidad profesional;
cyber;
D&O;
errores y omisiones;
responsabilidad de producto.
Pero un incidente causado por inteligencia artificial puede atravesar varias coberturas al mismo tiempo.
Por ejemplo:
un sistema comete un error profesional;
procesa datos personales;
causa una pérdida económica;
y genera posteriormente un litigio contra directivos.
La pregunta no será únicamente:
“¿Tenemos seguro?”
Sino:
¿qué póliza responde exactamente frente a este daño y existen exclusiones relacionadas con algoritmos, software, servicios tecnológicos o actos autónomos?
La expansión de agentes de IA hará esta cuestión todavía más importante.
Preguntas frecuentes sobre responsabilidad civil e inteligencia artificial
¿Quién responde si una inteligencia artificial causa daños?
La IA no responde jurídicamente por sí misma. Dependiendo del caso podrían responder el fabricante, desarrollador, proveedor, integrador, importador, empresa usuaria u otros operadores.
La norma aplicable dependerá del sistema y del tipo de daño.
¿El AI Act obliga a indemnizar a las víctimas?
No establece un régimen general de indemnización.
El AI Act regula principalmente obligaciones, seguridad, transparencia, gobernanza y sanciones.
La responsabilidad civil debe analizarse mediante la Directiva de productos defectuosos y otros regímenes nacionales o europeos.
¿Un programa de inteligencia artificial es un producto?
La nueva Directiva europea aclara expresamente que el software, incluidos los sistemas de IA, puede considerarse producto a efectos de responsabilidad por productos defectuosos.
Esto incluye software suministrado mediante SaaS o tecnologías cloud.
¿Una respuesta de ChatGPT es un producto?
La Directiva distingue entre software e información.
El sistema puede entrar dentro del concepto de producto, pero la información o contenido generado no se convierte automáticamente en un producto por sí mismo.
¿Si ChatGPT se equivoca existe responsabilidad?
No automáticamente.
Debe analizarse si existe un defecto jurídico del sistema, un daño indemnizable y una relación causal entre ambos.
¿Una IA puede responder por daño psicológico?
La nueva Directiva incluye los daños a la salud psicológica reconocidos médicamente dentro del concepto de lesión personal indemnizable bajo ese régimen.
Eso no significa que cualquier malestar o experiencia negativa dé derecho automáticamente a indemnización.
¿La nueva Directiva cubre las pérdidas económicas?
La pérdida económica pura no está incluida por sí sola entre las categorías de daño de la nueva Directiva.
Puede, sin embargo, existir responsabilidad mediante otros regímenes contractuales o extracontractuales.
¿Puede responder el proveedor si la IA cambia después de una actualización?
Sí puede resultar relevante.
La Directiva contempla expresamente defectos que aparecen mediante actualizaciones, mejoras o algoritmos de aprendizaje automático mientras permanecen bajo control del fabricante.
¿Tiene la víctima que demostrar cómo funciona internamente una IA?
No necesariamente hasta ese nivel.
La Directiva introduce reglas de exhibición de pruebas y presunciones precisamente para situaciones donde la complejidad técnica dificulta excesivamente demostrar el defecto o el nexo causal.
¿La AI Liability Directive europea está aprobada?
No.
La propuesta específica de Directiva sobre responsabilidad en materia de inteligencia artificial presentada en 2022 fue retirada en 2025.
No debe confundirse con la Directiva (UE) 2024/2853 sobre responsabilidad por productos defectuosos, que sí está aprobada.
¿Cuándo empieza a aplicarse la nueva Directiva?
Los Estados miembros deben transponerla como máximo el 9 de diciembre de 2026.
Tras la corrección oficial publicada en mayo de 2026, la Directiva se aplicará a productos introducidos en el mercado o puestos en servicio después del 8 de diciembre de 2026.
Conclusión: la siguiente fase de la regulación de IA será decidir quién paga cuando algo sale mal
Durante los primeros años del AI Act, la gran pregunta ha sido:
“¿Qué tiene que hacer una empresa para cumplir?”
La siguiente será inevitable:
“¿Qué ocurre cuando no ha funcionado?”
Y ahí empieza la responsabilidad civil.
La inteligencia artificial obliga a revisar conceptos jurídicos construidos durante décadas alrededor de productos mucho más fáciles de comprender.
¿Qué significa que un producto sea defectuoso cuando puede aprender?
¿Quién responde cuando una actualización cambia su comportamiento?
¿Qué ocurre cuando el sistema está formado por un modelo base, un integrador, un agente y varias herramientas externas?
¿Cómo demuestra una víctima qué ocurrió dentro de un sistema que no puede inspeccionar?
¿Quién responde cuando un agente actúa sin que una persona haya aprobado específicamente cada paso?
Europa ha dado un paso importante.
La nueva Directiva deja claro que:
el hecho de que un producto sea software, funcione en la nube o utilice inteligencia artificial no puede convertirse por sí solo en un vacío de responsabilidad.
Pero tampoco establece que cualquier error de IA genere automáticamente una indemnización.
Seguirá siendo necesario demostrar:
un defecto;
un daño;
y:
una relación entre ambos.
La gran diferencia es que las nuevas reglas empiezan a reconocer algo que el sistema jurídico anterior no estaba diseñado para gestionar:
una víctima no puede tener que explicar por completo una inteligencia artificial extremadamente compleja para poder reclamar por el daño que esa tecnología le ha causado.
Y esa probablemente será una de las cuestiones jurídicas más importantes de la siguiente etapa de la inteligencia artificial.
Porque regular la IA no consiste únicamente en decidir qué puede hacer.
También consiste en responder una pregunta mucho más antigua:
cuando alguien sufre un daño, ¿quién debe asumir sus consecuencias?
Actualizado: 25 de octubre de 2026.
Este contenido tiene finalidad informativa y no constituye asesoramiento jurídico. La responsabilidad aplicable a un sistema concreto depende de su diseño, finalidad, operadores implicados, daño producido, fecha y legislación aplicable.