¿Qué es la responsabilidad por IA?
Regulación de la IA: conceptos, instituciones y normas
La responsabilidad por IA es la cuestión jurídica de quién responde cuando un sistema de IA causa un daño, por qué esa parte está legalmente vinculada al daño y qué remedio procede. No es un reglamento independiente. En la práctica, la responsabilidad suele encuadrarse en el derecho vigente: responsabilidad por productos, negligencia, contrato y protección al consumidor, discriminación, protección de datos y regulación sectorial. La IA modifica el análisis porque los sistemas pueden ser opacos, actualizarse tras su lanzamiento, ser suministrados por varias partes y utilizarse en contextos de alto impacto.
Revisado por Jackie, Head of Learning & Development, Levellers - Última revisión: 8 de junio de 2026
Qué significa esto
La responsabilidad por IA es, en su mayor parte, un concepto retrospectivo. Pregunta qué ocurre después de que un sistema de IA o un producto habilitado con IA haya causado una lesión, una pérdida, discriminación, un daño a la privacidad, una conducta engañosa u otro problema jurídicamente reconocido. Las preguntas centrales suelen ser las mismas: qué daño se produjo, quién tenía un deber de cuidado, qué falló, cómo puede vincularse el daño a ese fallo y qué remedio debe seguirse.
Esto distingue la responsabilidad de conceptos adyacentes como el riesgo de IA, la garantía de IA y la auditoría de IA. La gestión de riesgos trata de prevenir el daño antes de que algo salga mal. La garantía y la auditoría comprueban si los controles, las afirmaciones y los registros son fiables. La responsabilidad utiliza ese mismo material más adelante, cuando un tribunal, un regulador, una aseguradora o un reclamante pregunta quién debe compensar, detener, corregir, divulgar o explicar.
Dado que la IA suele ser construida por una parte, integrada por otra y utilizada por una tercera, la responsabilidad rara vez recae únicamente en el desarrollador. Un contrato con un proveedor puede redistribuir costes entre empresas, pero no elimina automáticamente los deberes que un desplegador, empleador, fabricante o vendedor puede tener frente a las personas afectadas.
Por qué importa
Las organizaciones no necesitan una "demanda específica de IA" para enfrentarse a responsabilidad por IA. El derecho vigente ya puede generar reclamaciones de indemnización, actuaciones regulatorias, cambios en productos, obligaciones de supervisión, notificaciones a personas afectadas, requisitos de formación e interrupciones operativas. Una empresa puede enfrentarse a más de una vía simultáneamente: por ejemplo, una reclamación de un cliente, una investigación regulatoria y una disputa con un proveedor sobre quién debe asumir la pérdida.
Para los directivos, la cuestión práctica no es la atribución abstracta de culpa. Es si la organización puede demostrar qué sistema se utilizó, por quién, con qué finalidad, con qué pruebas, límites, supervisión y plan de respuesta. Si esa cadena de evidencia es débil, la exposición legal aumenta. Si es sólida, la organización está en una posición mucho mejor para prevenir daños, defender decisiones, recuperarse frente a proveedores y apoyar a las personas afectadas por un fallo.
Cómo funciona
La responsabilidad comienza con el daño, no con el nombre del modelo
La responsabilidad por IA no se activa simplemente porque una herramienta utilice aprendizaje automático o IA generativa. Surge cuando una persona, empresa u organismo público puede señalar un daño jurídicamente reconocido y vincularlo a un defecto, a un fallo en el deber de cuidado razonable, a una práctica desleal o engañosa, a un acto discriminatorio o al incumplimiento de una norma sectorial. La etiqueta "IA" importa porque afecta a la prueba y a la gobernanza, pero no crea por sí sola una causa de acción universal.
Por eso un mismo incidente puede generar varias cuestiones jurídicas a la vez. Un reclamante puede querer una indemnización. Un regulador puede querer que la práctica se detenga o se modifique. Un proveedor y un desplegador pueden discutir sobre indemnizaciones y responsabilidades en el marco de su contrato. Una aseguradora puede entonces preguntarse si el evento está cubierto por la póliza.
Las reclamaciones suelen canalizarse por vías jurídicas existentes
La responsabilidad por productos es una de esas vías. Aquí el foco es el propio producto o software. En el régimen revisado de responsabilidad por productos de la UE, el software y los sistemas de IA se consideran productos, y la responsabilidad puede mantenerse cuando los defectos aparecen tras una actualización o mediante un aprendizaje continuo que sigue bajo el control del fabricante. Esta vía se centra principalmente en el defecto y la relación causal, más que en demostrar culpa.
Las reclamaciones basadas en culpa, incluidas las de tipo negligencia, plantean una pregunta diferente: ¿alguien dejó de actuar con el cuidado razonable exigible en el diseño, las pruebas, el despliegue, la supervisión, las advertencias, la supervisión humana o la respuesta? Esta vía cobra importancia cuando la disputa versa sobre cómo se construyó, configuró o utilizó un sistema, más que sobre si era un producto defectuoso.
El derecho del consumidor y el derecho contractual añaden otra vía. Si un servicio habilitado con IA proporciona información inexacta, se comercializa más allá de lo que puede hacer de forma fiable o se utiliza de un modo injusto para los consumidores, la responsabilidad puede surgir a través de las obligaciones ordinarias de protección al consumidor y del contrato. Las vías basadas en derechos y el derecho público también pueden ser relevantes, especialmente en materia de empleo, biometría, privacidad y otros ámbitos regulados.
La responsabilidad puede recaer en más de un actor
El desarrollador original del modelo no siempre es el único actor relevante. Un fabricante de productos puede comercializar el sistema bajo su propia marca. Un desplegador puede decidir el caso de uso, los umbrales, el proceso de revisión y si el personal debe seguir o cuestionar el sistema. Un proveedor de servicios puede ajustar, alojar o actualizar continuamente el modelo. En algunos regímenes, los importadores, los representantes autorizados, los proveedores de servicios de cumplimiento y determinadas plataformas también pueden quedar incluidos en la cadena de responsabilidad.
La lección práctica es sencilla: la responsabilidad sigue al rol, al control y al deber jurídico. Si un fabricante mantiene el control sobre las actualizaciones, los parches o el aprendizaje posterior al lanzamiento, la responsabilidad ascendente puede seguir siendo importante. Si un empleador, un minorista, un hospital o una autoridad pública elige el contexto, el flujo de trabajo humano y la acción que se toma a partir del resultado del sistema, la responsabilidad descendente puede ser igual de importante.
Los contratos internos siguen siendo relevantes, pero principalmente para la distribución de costes entre empresas. No eliminan automáticamente las responsabilidades frente a trabajadores, consumidores, pacientes o reguladores.
La causalidad y la prueba suelen ser la parte más difícil
La IA complica la prueba porque el comportamiento puede depender de la calidad de los datos, el contexto de despliegue, los cambios en el modelo, los componentes de terceros y las transferencias entre personas. Un resultado dañino puede derivar de varios fallos menores en lugar de un error evidente. Esto dificulta demostrar qué causó específicamente el daño o que una empresa actuó de forma razonable.
Por eso los registros de gobernanza de la IA son tan importantes. Evidencias como las declaraciones de uso previsto, el historial de versiones, la procedencia de los datos cuando esté disponible, los métodos de prueba, los límites conocidos, los avisos a los usuarios, la gestión de reclamaciones, los registros de supervisión y los informes de incidentes pueden ser decisivos en un caso. Las normas revisadas de responsabilidad por productos de la UE incluyen ahora mecanismos de acceso a la prueba en los procedimientos judiciales nacionales, lo que refleja la centralidad que han adquirido los problemas probatorios en los litigios digitales y de IA.
En la práctica, la responsabilidad suele estar determinada por lo que una organización puede documentar tras el hecho. Si no se puede explicar qué se desplegó y cómo se controló, tanto la defensa como la reparación se vuelven más difíciles.
La gobernanza específica de IA no sustituye al derecho ordinario de responsabilidad
Las normas y los marcos de gobernanza no crean inmunidad automática. El AI RMF de NIST es voluntario y basado en riesgos, y su valor reside en estructurar la gobernanza en torno a los daños, la rendición de cuentas, la transparencia y la gestión continua. El perfil de IA generativa de NIST añade énfasis práctico en los requisitos legales y regulatorios, las pruebas previas al despliegue, la procedencia del contenido y la divulgación de incidentes. Esas actividades no resuelven por sí solas la cuestión de la responsabilidad, pero configuran la evidencia disponible cuando esta se discute.
Lo mismo ocurre con la regulación específica de IA. Las nuevas normas de IA pueden crear obligaciones de documentación, transparencia y supervisión, pero las cuestiones de indemnización y culpa suelen seguir canalizándose a través del derecho ordinario de productos, consumo, laboral, privacidad y negligencia. En Europa, este punto es especialmente importante porque la propuesta de Directiva de Responsabilidad por IA de 2022 no llegó a convertirse en ley. En el programa de trabajo de la Comisión para 2025 se indicó que no había perspectivas de acuerdo previsible, y la Comisión señaló que evaluaría otro enfoque. Por tanto, el panorama jurídico central sigue siendo de adaptación, no de sustitución plena.
Las normas sectoriales pueden modificar tanto el estándar de cuidado como el remedio
Una vez que la IA se utiliza en un ámbito supervisado, el análisis general de responsabilidad es solo una parte del cuadro. El empleo es un ejemplo claro. Si un software de contratación excluye a personas de forma discriminatoria, el hecho de que el software realizara el primer filtro no exime al empleador de su responsabilidad. En la aplicación de la ley en Estados Unidos, la EEOC ha tratado la discriminación automatizada como discriminación ordinaria llevada a cabo mediante nuevas herramientas.
La atención sanitaria es otro ejemplo destacado. Para los dispositivos médicos habilitados con IA, la FDA exige documentación del ciclo de vida, evidencia que respalde la seguridad y la eficacia, y supervisión del rendimiento poscomercialización. Esto significa que los argumentos de responsabilidad en el ámbito sanitario suelen estar determinados por lo que el patrocinador del dispositivo documentó antes del lanzamiento, cómo gestiona los cambios y si los usuarios recibieron información adecuada al contexto de uso.
La lección más amplia es que los ámbitos supervisados suelen contar con una base probatoria más sólida. Los reguladores sectoriales a menudo concretan el estándar de cuidado exigible, lo que puede precisar tanto la prevención como los litigios posteriores.
Una buena gobernanza genera evidencia jurídica
La forma más duradera de abordar la responsabilidad por IA es tratar los artefactos de gobernanza como evidencia futura. Los registros útiles incluyen inventarios de IA, declaraciones de uso previsto, asignación de roles, diligencia debida con proveedores, pruebas documentadas, controles de cambios de modelos y sistemas, registros, avisos a los usuarios, formación de operadores, canales de reclamación y rutas de escalada de incidentes. Una buena gestión documental transforma una historia vaga en una cronología defendible.
Aquí es también donde importan la garantía y la auditoría. No sustituyen al análisis jurídico, pero comprueban si la documentación está completa, actualizada y es utilizable bajo presión. Si se produce un daño, esos registros configuran los argumentos sobre el cuidado razonable, la causalidad, la imputación y el remedio. Si los registros son deficientes, el riesgo de responsabilidad se convierte también en un problema probatorio, además del jurídico.
Ejemplos
Ejemplo actual, vigilancia en el comercio minorista: en diciembre de 2023, la Comisión Federal de Comercio de Estados Unidos declaró que Rite Aid utilizó reconocimiento facial basado en IA en cientos de establecimientos sin procedimientos razonables para prevenir daños a los consumidores, lo que generó falsas alertas y otros perjuicios. El caso concluyó con una prohibición de cinco años del reconocimiento facial con fines de vigilancia y la exigencia de salvaguardias en torno a futuros sistemas biométricos. La conclusión práctica es que la responsabilidad puede derivarse de prácticas de despliegue dañinas, no solo de un defecto de programación.
Ejemplo actual, contratación automatizada: en septiembre de 2023, la EEOC anunció que iTutorGroup pagaría 365.000 dólares y ofrecería reparación adicional tras comprobarse que su software de reclutamiento en línea rechazaba automáticamente a candidatas de 55 años o más y a candidatos varones de 60 años o más. La lección es que los empleadores siguen siendo legalmente responsables cuando la automatización incorpora discriminación ilícita en un flujo de trabajo.
Ejemplo regulatorio actual, dispositivos médicos: en enero de 2025, la FDA publicó orientaciones preliminares sobre las funciones de software en dispositivos habilitados con IA, indicando que las solicitudes de comercialización deben incluir documentación e información que respalde la revisión de la FDA sobre la seguridad y la eficacia a lo largo de todo el ciclo de vida del producto, incluida la supervisión del rendimiento poscomercialización. La lección es que, en los sectores regulados, la exposición a la responsabilidad está fuertemente determinada por los controles del ciclo de vida y la calidad de la evidencia conservada antes y después del lanzamiento.
Malentendidos frecuentes
La responsabilidad por IA significa que el desarrollador del modelo siempre es responsable. No necesariamente. En muchos litigios, el desplegador, el fabricante, el empleador o el vendedor es el objetivo principal, porque es el actor que eligió el caso de uso y trató directamente con la persona afectada.
Si hay una persona en el proceso, la responsabilidad desaparece. No automáticamente. La revisión humana solo ayuda si es real, informada y adecuada al riesgo. Un paso de aprobación superficial puede no romper la causalidad ni demostrar un cuidado razonable.
La responsabilidad por IA solo concierne a las lesiones físicas. No. Según la vía jurídica aplicable, también puede abarcar pérdidas económicas, discriminación, daños a la privacidad y biométricos, prácticas comerciales desleales, daños a la propiedad o datos personales corrompidos.
Cumplir una norma significa que no se puede demandar ni investigar. Incorrecto. Las normas y las orientaciones pueden mejorar la gobernanza y la evidencia, pero no constituyen una defensa universal.
Necesitamos una ley específica de responsabilidad por IA antes de que el derecho vigente pueda aplicarse. Tampoco es correcto. Los reguladores y los tribunales ya están aplicando el derecho de productos, consumo, laboral y sectorial a los daños relacionados con la IA.
Riesgos y límites
La responsabilidad por IA no es una respuesta universal a todo daño causado por la IA. Algunas jurisdicciones otorgan amplias facultades a los reguladores pero limitan las vías de indemnización privada. Algunos daños son fáciles de describir pero difíciles de probar. Y algunos deberes se encuadran en el derecho público, las normas de contratación, el derecho antidiscriminatorio o la supervisión sectorial, más que en las reclamaciones ordinarias de indemnización civil.
El panorama jurídico también es desigual y sigue evolucionando. Europa ha actualizado el régimen de responsabilidad por productos para el software y la IA, pero la propuesta separada de Directiva de Responsabilidad por IA de 2022 no prosperó. En febrero de 2025, la Comisión señaló que no había perspectivas de acuerdo previsible y que evaluaría otro enfoque. En otros lugares, muchos reguladores siguen apoyándose principalmente en el derecho vigente en lugar de en estatutos específicos de responsabilidad por IA. Esto significa que un mismo sistema puede recibir un tratamiento jurídico diferente según la jurisdicción y el sector.
Por último, la responsabilidad no debe confundirse con la ética, la garantía, la ingeniería de seguridad o el seguro. Esas disciplinas reducen la exposición y mejoran la evidencia, pero no deciden por sí solas quién es legalmente responsable tras producirse un daño. Este artículo explica el concepto y la lógica de gobernanza que lo rodea. No constituye asesoramiento jurídico para un litigio en curso.
Qué hacer a continuación
Antes de escalar cada caso de uso de IA, conviene identificar las vías jurídicas con mayor probabilidad de ser relevantes: seguridad de productos, derecho del consumidor, empleo y discriminación, privacidad, deber profesional y cualquier norma sectorial específica. Asigne un responsable interno para cada uso de alto impacto y hágalo responsable de la documentación, las pruebas, la aprobación y la escalada de incidentes.
Conserve la evidencia que un tribunal, un regulador, un cliente o una aseguradora podría solicitar posteriormente: uso previsto, rol del proveedor, historial de versiones, límites conocidos, registros de pruebas, avisos a los usuarios, formación de operadores, registros de supervisión y reclamaciones. Revise los contratos con proveedores para garantizar el acceso oportuno a registros, avisos de actualización y cooperación en caso de incidente.
Priorice los usos que afectan al empleo, la salud, la seguridad, la identidad, la elegibilidad, los precios o las personas vulnerables. Estos son los ámbitos donde es más probable que confluyan el daño, la dificultad probatoria y la atención regulatoria.
¿Tiene alguna pregunta o sugerencia, o desea saber cómo investigamos y revisamos estas guías? Lea sobre nuestros estándares editoriales y cómo contactarnos.
Preguntas frecuentes
¿Existe una ley global única sobre responsabilidad por IA?
No. La responsabilidad suele canalizarse a través del derecho vigente, como la responsabilidad por productos, la protección al consumidor, la discriminación, la privacidad, la negligencia y las normas sectoriales. Lo que varía de un lugar a otro es qué vía es más sólida y qué remedio está disponible.
¿Quién suele ser responsable, el desarrollador o el desplegador?
Cualquiera de los dos, ambos o varios actores a la vez. La respuesta depende del rol, el control, las declaraciones realizadas, el tipo de daño y el régimen jurídico aplicable.
¿Adquirir un modelo de terceros traslada el riesgo al proveedor?
No por sí solo. Un contrato puede redistribuir costes entre empresas, pero no elimina automáticamente los deberes frente a usuarios, trabajadores, clientes, pacientes o reguladores.
¿La responsabilidad por IA se limita a las lesiones físicas?
No. Según el régimen aplicable, puede abarcar pérdidas económicas, discriminación, daños a la privacidad y biométricos, prácticas comerciales desleales, daños a la propiedad o datos personales corrompidos.
¿Un paso de revisión humana elimina la responsabilidad?
No automáticamente. La revisión solo ayuda si es significativa, informada y adecuadamente diseñada para el riesgo. Un paso de aprobación simbólico puede tener muy poco efecto.
¿El cumplimiento de las orientaciones de NIST o la FDA garantiza protección?
No. Las normas y las orientaciones pueden reforzar la gobernanza y la evidencia, pero no constituyen una inmunidad universal. Los tribunales y los reguladores siguen examinando el daño concreto, el derecho aplicable y los hechos.
¿Está en vigor la Directiva de Responsabilidad por IA de la UE?
No. La propuesta de 2022 no llegó a convertirse en ley. En el programa de trabajo de la Comisión para 2025 se indicó que no había perspectivas de acuerdo previsible, y la Comisión señaló que evaluaría otro enfoque.
¿Puede el seguro eliminar la responsabilidad por IA?
El seguro puede transferir parte de la exposición financiera, pero no decide quién es legalmente responsable ni sustituye a las pruebas, la supervisión, la documentación o la respuesta ante incidentes.
Fuentes
Artificial Intelligence Risk Management Framework (National Institute of Standards and Technology). NIST's voluntary, risk-based AI framework; harms, accountability, transparency, and the GOVERN, MAP, MEASURE, MANAGE structure used to explain why governance records matter when liability is later disputed.
Artificial Intelligence Risk Management Framework: Generative Artificial Intelligence Profile (National Institute of Standards and Technology). Legal and regulatory requirement mapping, pre-deployment testing, content provenance, incident disclosure, and error tracking as practical evidence for AI governance and liability analysis.
Report on the safety and liability implications of Artificial Intelligence, the Internet of Things and robotics, COM(2020) 64 final (European Commission). The distinction between fault-based and strict liability, the way AI autonomy can complicate causation, and the need to adapt liability thinking for digital systems.
Defective products - liability (EUR-Lex, European Union). Revised EU product liability rules covering software and AI, updates and continuous learning under manufacturer control, access to evidence, compensable damage and limitation periods.
2025 Commission work programme - annexes (European Commission). The current status of the 2022 AI Liability proposal, listed as having no foreseeable agreement, with the Commission indicating it would assess another approach.
Rite Aid Banned from Using AI Facial Recognition After FTC Says Retailer Deployed Technology without Reasonable Safeguards (Federal Trade Commission). US consumer protection enforcement against harmful AI deployment, showing that unfair use of biometric or AI systems can trigger bans, safeguards and compliance duties.
iTutorGroup to Pay $365,000 to Settle EEOC Discriminatory Hiring Suit (U.S. Equal Employment Opportunity Commission). Employment liability where automated hiring software discriminates, and the principle that employers remain responsible for software used in recruitment.
Artificial Intelligence-Enabled Device Software Functions: Lifecycle Management and Marketing Submission Recommendations (U.S. Food and Drug Administration). Medical device sector expectations around lifecycle documentation, safety and effectiveness evidence, and post-market monitoring for AI-enabled devices.