Responsabilidad Civil por Daños Causados por Sistemas de Inteligencia Artificial: Marco Jurídico y Claves de Cumplimiento para Empresas Tecnológicas en España

La integración de sistemas de inteligencia artificial en sectores como la sanidad, la banca, los recursos humanos, la movilidad o la ciberseguridad ha dejado de ser una proyección de futuro para convertirse en una realidad operativa diaria. Esta transformación conlleva beneficios indiscutibles, pero también expone a empresas, administraciones y ciudadanos a una tipología de riesgos y daños difícil de encajar en los esquemas tradicionales de la responsabilidad civil. Cuando un algoritmo de selección discrimina, un vehículo autónomo provoca un siniestro o un sistema de scoring financiero veta sin justificación el acceso al crédito, la pregunta inevitable es: ¿quién responde y con arreglo a qué normas?

El ordenamiento jurídico español carece todavía de una ley específica sobre responsabilidad por daños derivados de la IA, lo que obliga a navegar entre los principios generales del Código Civil, la legislación sectorial y un marco europeo en plena ebullición, encabezado por el Reglamento (UE) 2024/1689, la nueva Directiva de productos defectuosos y la Propuesta de Directiva sobre responsabilidad civil e inteligencia artificial. Comprender este entramado, anticipar sus exigencias probatorias y adoptar medidas de cumplimiento efectivas se ha vuelto una prioridad estratégica para cualquier empresa tecnológica que opere en España.

Qué se entiende por daños causados por sistemas de inteligencia artificial

Para delimitar la responsabilidad civil es imprescindible partir de un concepto funcional de daño en el contexto de la IA. El Reglamento europeo define los sistemas de IA como aquellos basados en máquinas, con diferentes grados de autonomía y capacidad de adaptación tras su despliegue, que infieren, a partir de datos de entrada, resultados como predicciones, recomendaciones o decisiones capaces de influir en entornos físicos o virtuales. A partir de esa definición, el catálogo de perjuicios potenciales se amplía notablemente respecto a los productos o servicios tradicionales.

En términos jurídicos, el daño indemnizable debe ser real, acreditable y evaluable económicamente. No basta con una disfunción técnica o con un riesgo abstracto; se exige una lesión concreta en la esfera personal o patrimonial de la víctima. La complejidad técnica de estos sistemas, unida a su opacidad intrínseca, convierte la tarea de identificar, cuantificar y probar el daño en uno de los principales retos para abogados, peritos y, por supuesto, para los propios operadores económicos.

Tipos de daños más frecuentes en el uso de inteligencia artificial

La práctica forense y los primeros análisis doctrinales permiten clasificar los daños vinculados a la IA en cuatro grandes categorías, todas ellas con relevancia directa a efectos de una reclamación de responsabilidad civil e, incluso, de una eventual imputación penal.

La primera y más evidente es la de los daños personales: lesiones físicas, secuelas psíquicas o fallecimientos provocados por un sistema automatizado (un robot quirúrgico mal calibrado, un dron de reparto que impacta contra un peatón). Le siguen los daños materiales, que abarcan desde la destrucción de mercancías en un almacén inteligente hasta los desperfectos en infraestructuras provocados por vehículos autónomos. Menos visibles, pero igualmente cuantiosos, son los daños económicos puros, desligados de cualquier lesión corporal o material previa: operaciones bursátiles erróneas ejecutadas por un algoritmo, bloqueos indebidos de cuentas o denegaciones masivas de crédito por sesgos en los datos de entrenamiento. Por último, los daños inmateriales —afectación al honor, la intimidad, la igualdad o la propia imagen— ganan protagonismo en un entorno donde las decisiones algorítmicas pueden estigmatizar, difamar o excluir sin intervención humana perceptible.

• Daños personales: lesiones físicas, fallecimiento o secuelas psicológicas causadas por sistemas de IA integrados en vehículos, dispositivos médicos o maquinaria industrial.
• Daños materiales: deterioro o destrucción de bienes muebles e inmuebles como consecuencia directa del funcionamiento anómalo de un algoritmo o robot.
• Daños económicos puros: pérdidas financieras sin soporte físico previo (errores de trading, bloqueos de cuentas, scoring crediticio sesgado).
• Daños inmateriales: vulneración de derechos fundamentales —discriminación, difamación, pérdida de privacidad— con traducción patrimonial evaluable.

Ejemplos prácticos que ilustran la complejidad del problema

Imaginemos un vehículo de conducción autónoma que circula por la M-30 de Madrid y provoca un accidente con víctimas. ¿Debe responder el conductor (o supervisor humano), el fabricante del automóvil, el desarrollador del software de percepción o la aseguradora? La respuesta no es única y dependerá tanto del nivel de automatización como de las obligaciones de supervisión y mantenimiento que cada interviniente haya asumido. En sectores como el transporte, contar con asesoría especializada en siniestros vinculados a vehículos con sistemas automatizados puede ser determinante para fijar la imputación.

Otro ejemplo cada vez más común es el del algoritmo de selección de personal que descarta sistemáticamente a mujeres de cierta franja de edad. En este caso, el daño es doble: por un lado, la pérdida de oportunidades laborales; por otro, la lesión del derecho fundamental a la no discriminación. La empresa usuaria, el proveedor del software y el integrador que lo parametrizó pueden concurrir como responsables solidarios, especialmente si no se documentaron las auditorías de sesgo ni se habilitaron mecanismos de revisión humana. El mismo razonamiento se aplica a los sistemas de scoring financiero que, por correlaciones espurias en los datos históricos, excluyen a colectivos enteros del acceso al crédito o a prestaciones sociales automatizadas.

Marco jurídico europeo aplicable a la responsabilidad por daños de IA

El Derecho español en materia de responsabilidad civil no puede leerse hoy al margen del proceso normativo impulsado por la Unión Europea. Aunque todavía no existe un texto único que regule de forma integral la responsabilidad por daños de la IA, el ecosistema regulatorio comunitario ha sentado las bases para una armonización que condicionará directamente los litigios ante los tribunales españoles.

Los tres pilares actuales son el Reglamento (UE) 2024/1689, conocido como AI Act; la recién revisada Directiva sobre responsabilidad por productos defectuosos; y la Propuesta de Directiva sobre responsabilidad civil extracontractual en materia de inteligencia artificial. A ellos se suma el acervo general de cada Estado miembro —en nuestro caso, el artículo 1902 del Código Civil y las leyes de responsabilidad objetiva sectorial—, que seguirá operando como red de seguridad hasta que las nuevas normas desplieguen todos sus efectos.

El Reglamento de Inteligencia Artificial (UE) 2024/1689 y su influencia indirecta en la responsabilidad civil

El AI Act es una norma de naturaleza esencialmente pública: clasifica los sistemas de IA en función del riesgo que representan para la salud, la seguridad y los derechos fundamentales, e impone obligaciones técnicas, de transparencia, documentación y supervisión humana cuyo incumplimiento puede acarrear sanciones administrativas de hasta el 7 % de la facturación anual global. Sin embargo, su impacto sobre la responsabilidad civil es indirecto, pero muy relevante.

El Reglamento no concede per se una acción de indemnización a la víctima, pero la infracción de los deberes que impone —por ejemplo, la ausencia de registros de eventos, la falta de precisión de los datos de entrenamiento o la inexistencia de mecanismos de supervisión humana— puede ser utilizada como prueba cualificada de negligencia en un procedimiento por daños. De esta forma, el coste de la prueba se aligera para el perjudicado y se refuerza la posición del demandante, que podrá invocar el incumplimiento de estándares normativos europeos como un indicio sólido de culpa.

La nueva Directiva de productos defectuosos y la Propuesta de Directiva sobre responsabilidad civil e IA

La modernización de la Directiva 85/374/CEE extiende el concepto de producto al software y a los sistemas de IA, incluidos los suministrados como servicio, y establece presunciones de defecto cuando se incumplan requisitos obligatorios de seguridad del Derecho de la Unión o nacional. Para una empresa tecnológica, esto significa que un fallo en un componente de IA integrado en un dispositivo médico o un vehículo puede activar la responsabilidad del fabricante casi de forma automática, invirtiendo la carga de probar que el producto no era defectuoso.

La Propuesta de Directiva sobre responsabilidad civil e IA complementa este régimen con herramientas procesales pensadas específicamente para entornos algorítmicos. Destaca la obligación de conservar y exhibir la documentación técnica y los registros de funcionamiento (logs), la presunción de causalidad cuando el operador incumple deberes de transparencia o de supervisión, y la distinción entre operadores front-end y back-end. Todas estas previsiones, una vez transpuestas, facilitarán que los jueces españoles en Madrid, A Coruña o cualquier otra ciudad puedan reconstruir la cadena causal con criterios homogéneos y técnicamente informados.

Régimen de responsabilidad civil en el Derecho español

En ausencia de una ley especial, la respuesta a la pregunta «¿quién paga el daño causado por una IA?» debe buscarse en los grandes bloques que articulan nuestro sistema de responsabilidad civil: la culpa o negligencia del artículo 1902 del Código Civil y los regímenes de responsabilidad objetiva que, por razones de riesgo o de protección de la víctima, el legislador ha ido estableciendo en sectores concretos.

La elección entre uno y otro modelo no es una cuestión menor. Si se aplica la responsabilidad por culpa, el perjudicado tendrá que demostrar la existencia de un daño, una conducta negligente del agente y la relación de causalidad entre ambas. Si se aplica un sistema de responsabilidad objetiva, bastará con probar el daño y el nexo causal con la actividad de riesgo, sin necesidad de acreditar negligencia alguna.

Responsabilidad por culpa en sistemas de IA de menor riesgo

Para los sistemas de IA que no alcancen el umbral de alto riesgo fijado por el Reglamento europeo —por ejemplo, un chatbot de atención al cliente, un recomendador de productos o una herramienta de traducción automática—, el régimen general seguirá siendo el de la culpa extracontractual. En estos casos, la víctima deberá identificar una acción u omisión contraria a la diligencia exigible: no haber actualizado el modelo, haber utilizado datos de entrenamiento inadecuados, no haber previsto un sistema de revisión de outputs, etc.

La dificultad probatoria es evidente. Los modelos de aprendizaje profundo funcionan como auténticas «cajas negras» y ni siquiera los propios desarrolladores pueden explicar de forma exhaustiva por qué el sistema adoptó una decisión concreta. Por eso, las presunciones legales y las obligaciones de transparencia que introducen las normas europeas resultan trascendentales para equilibrar una relación procesal que, de otro modo, beneficiaría siempre a quien controla la tecnología.

Responsabilidad objetiva y actividades de alto riesgo con IA

Cuando el sistema de IA se considera de alto riesgo —por afectar a la vida, la integridad física, los derechos fundamentales o la seguridad de servicios esenciales— la tendencia legislativa y doctrinal apunta hacia un esquema de responsabilidad objetiva del operador. En este modelo, no se exige culpa: probado el daño y la causalidad, el operador responde por el mero hecho de haber introducido en el mercado o explotado una fuente de riesgo cualificada.

Un ejemplo paradigmático es la circulación de vehículos a motor. La Ley sobre responsabilidad civil y seguro en la circulación ya consagra un régimen cuasi-objetivo. Si el vehículo autónomo sufre un fallo en su sistema de percepción que provoca un accidente, el propietario o el conductor designado no podrá exonerarse alegando un defecto del software; la responsabilidad frente a la víctima permanece, sin perjuicio de que, posteriormente, pueda repetir contra el fabricante o el desarrollador. La progresiva implantación de la conducción automatizada exigirá, sin duda, adaptar las pólizas de seguro y los fondos de garantía para reflejar esta nueva distribución del riesgo.

Determinación del sujeto responsable en la cadena de valor de la IA

Identificar al responsable de un daño causado por IA es probablemente la cuestión más controvertida. A diferencia de un producto tradicional, en el ciclo de vida de un sistema inteligente intervienen actores diversos —fabricantes del hardware, desarrolladores del modelo, integradores, proveedores de datos, empresas usuarias y aseguradoras—, cada uno con un grado de control y conocimiento limitado sobre el comportamiento final del sistema.

La regla de partida es clara: los sistemas de IA carecen de personalidad jurídica, de modo que la responsabilidad recae siempre sobre personas físicas o jurídicas humanas. A partir de ahí, la imputación se distribuye en función de criterios como el control efectivo, la creación del riesgo, el beneficio económico obtenido y la infracción de deberes normativos específicos. La fragmentación de la cadena de suministro, habitual en el sector tecnológico, hace que en muchas ocasiones nos encontremos ante supuestos de corresponsabilidad.

Cadena de operadores y concurrencia de responsables

En un escenario típico, podemos encontrar hasta cinco o seis eslabones: el fabricante del producto físico (por ejemplo, un robot industrial), el desarrollador del modelo de IA que gobierna su comportamiento, el proveedor de los datos de entrenamiento, el integrador que ensambla el sistema final, la empresa que lo explota comercialmente y la compañía aseguradora que cubre los riesgos. Cualquiera de ellos puede ser demandado por la víctima.

Nuestro Derecho de daños, apoyado en la doctrina de la solidaridad impropia, permite a la víctima dirigirse indistintamente contra todos los agentes responsables o contra uno solo, reclamando la totalidad de la indemnización. Serán luego estos quienes, en vía de repetición interna, diluciden las cuotas de responsabilidad según los contratos de suministro, los acuerdos de nivel de servicio y las respectivas esferas de control. Por ello, las empresas deben prestar una atención extrema a la redacción de las cláusulas de garantía, limitación de responsabilidad y colaboración en caso de siniestro.

Particularidades cuando el operador es una Administración Pública

Cuando el sistema de IA es utilizado por una Administración Pública —por ejemplo, un algoritmo que filtra solicitudes de ayudas sociales, una herramienta de diagnóstico en la sanidad pública o un sistema de vigilancia automatizado—, la reclamación discurrirá por la vía de la responsabilidad patrimonial de la Administración y se sustanciará ante la jurisdicción contencioso-administrativa. En estos casos, el perjudicado deberá demandar conjuntamente a la entidad pública y, en su caso, al proveedor privado del sistema.

Esta dualidad de jurisdicciones (civil y contencioso-administrativa) introduce una complejidad procesal añadida tanto para las víctimas como para las empresas suministradoras. La determinación del fuero competente, la acumulación de pretensiones y la valoración de la prueba pericial exigen una estrategia procesal cuidadosamente diseñada desde el primer momento.

Riesgos para derechos fundamentales y protección de datos personales

Los sistemas de IA no solo pueden causar daños físicos o patrimoniales, sino que inciden de manera directa y masiva sobre derechos fundamentales como la igualdad, la no discriminación, la intimidad o la libertad de expresión. El carácter automatizado de las decisiones multiplica el alcance de estos perjuicios y, con frecuencia, los invisibiliza, ya que los afectados no son conscientes de que una máquina ha determinado su destino.

Los sesgos algorítmicos, el tratamiento masivo de datos personales sin base de legitimación adecuada, la elaboración de perfiles automatizados sin posibilidad de impugnación efectiva o la difusión de información obsoleta que lesiona el derecho al olvido son manifestaciones concretas de un problema estructural. El Reglamento General de Protección de Datos y la Ley Orgánica 3/2018 ya ofrecen un primer nivel de protección, pero su aplicación práctica a sistemas de IA complejos presenta lagunas que las nuevas normas europeas aspiran a cubrir.

• Sesgos discriminatorios: modelos que penalizan a minorías por correlaciones históricas presentes en los datos de entrenamiento.
• Tratamiento ilícito de datos: ausencia de base jurídica, finalidades incompatibles o falta de transparencia en las decisiones automatizadas.
• Derecho al olvido: memorización y difusión no deseada de información personal obsoleta por parte de modelos generativos o buscadores.
• Perfiles automatizados: decisiones que producen efectos jurídicos significativos sin supervisión humana efectiva ni posibilidad de recurso ágil.

Desafíos probatorios, causalidad y mecanismos de facilitación

El núcleo de cualquier litigio sobre responsabilidad por IA reside en la prueba del nexo causal. Determinar que un daño concreto ha sido causado por el funcionamiento de un sistema de IA —y no por otra circunstancia concurrente— exige a menudo un nivel de conocimiento técnico del que carecen tanto los perjudicados como, en ocasiones, los propios órganos judiciales. La opacidad algorítmica, la evolución autónoma de los modelos tras su despliegue y la dispersión de registros entre distintos operadores complican sobremanera esta tarea.

Para mitigar estos déficits, el legislador europeo está consolidando un abanico de medidas procesales que pivotan sobre tres ejes: trazabilidad, transparencia y presunciones legales. Los sistemas de IA de alto riesgo deberán incorporar capacidades de registro automático de eventos (logging) que permitan reconstruir la secuencia de decisiones. Además, se imponen deberes de conservación documental y de colaboración con el perjudicado, de modo que la negativa injustificada a facilitar información relevante puede ser interpretada en contra del operador.

El papel de la prueba pericial tecnológica

En este contexto, la prueba pericial se convierte en la piedra angular del proceso. Los dictámenes deberán ir más allá del análisis forense tradicional para adentrarse en la auditoría del modelo (arquitectura, datos de entrenamiento, métricas de equidad, registros de decisión) y en la reconstrucción del escenario concreto en que se produjo el daño. Contar con un equipo pericial multidisciplinar —ingenieros informáticos, estadísticos y expertos en ética algorítmica— será una ventaja competitiva tanto para la parte actora como para la defensa.

La jurisprudencia española ya ha empezado a valorar, aunque de forma incipiente, la calidad de los informes técnicos basados en estándares internacionales (ISO/IEC 42001, NIST AI Risk Management Framework) como un elemento determinante para apreciar o descartar la negligencia. A medida que los tribunales se familiaricen con estos conceptos, la consistencia metodológica del peritaje marcará la diferencia entre una sentencia estimatoria y una desestimatoria.

Presunciones legales e inversión de la carga de la prueba

La Propuesta de Directiva europea contiene una de las innovaciones más relevantes para la práctica forense: la presunción de causalidad cuando el operador ha incumplido de manera relevante una obligación de seguridad, de transparencia o de supervisión humana establecida por el Reglamento de IA o por la normativa sectorial aplicable. Esta presunción desplaza el peso de la prueba hacia el operador, que deberá demostrar que el daño se habría producido igualmente aunque hubiera cumplido con sus deberes.

Para las empresas tecnológicas, esto supone un incentivo muy poderoso para documentar exhaustivamente todo el ciclo de vida del sistema, desde la recogida de datos hasta la monitorización post-comercialización, ya que solo una trazabilidad completa permitirá desvirtuar la presunción en un eventual procedimiento judicial.

Medidas preventivas, seguros obligatorios y claves de cumplimiento para empresas

Ante este panorama de incertidumbre normativa y riesgo reputacional creciente, la estrategia jurídica más inteligente es la prevención. Las empresas que diseñan, integran o explotan sistemas de IA en España deben incorporar un enfoque de cumplimiento desde el diseño (compliance by design) que abarque tanto las exigencias del AI Act como las buenas prácticas en materia de responsabilidad civil.

Un programa sólido de gobernanza de la IA reduce la probabilidad de causar daños y, en caso de que estos se produzcan, proporciona la evidencia documental necesaria para acreditar diligencia, limitar la exposición económica y facilitar la defensa en juicio. A continuación, se relacionan algunas de las medidas más relevantes:

• Mapeo exhaustivo de sistemas: identificar todos los procesos que utilizan IA, clasificarlos según el nivel de riesgo del AI Act y asignar un responsable interno a cada uno.
• Evaluaciones de impacto: realizar DPIA (evaluaciones de impacto en protección de datos) y, de forma más amplia, análisis de impacto en derechos fundamentales y no discriminación, documentándolos por escrito.
• Supervisión humana efectiva: diseñar flujos de revisión que garanticen que ninguna decisión con efectos jurídicos significativos se adopte de forma completamente automatizada sin posibilidad de intervención humana cualificada.
• Protocolos de respuesta a incidentes: establecer procedimientos claros para la notificación a afectados, autoridades de control y aseguradoras, incluyendo la preservación de registros técnicos.
• Contratación blindada: pactar contractualmente las responsabilidades de cada interviniente en la cadena de suministro, las obligaciones de auditoría y los deberes de colaboración en caso de siniestro.
• Formación continua: capacitar a los equipos técnicos, jurídicos y directivos en el marco regulatorio europeo y español, idealmente con el apoyo de servicios especializados en cumplimiento penal corporativo vinculado a sistemas de IA.

Hacia un seguro obligatorio para sistemas de IA de alto riesgo

Siguiendo el modelo del seguro obligatorio de vehículos a motor, la Unión Europea y diversos organismos consultivos están explorando la implantación de seguros de responsabilidad civil obligatorios para determinadas aplicaciones de IA de alto riesgo. La finalidad es doble: garantizar la reparación de las víctimas incluso en casos de insolvencia o deslocalización del operador, y estimular la internalización de los costes de seguridad por parte de los desarrolladores.

Mientras esta iniciativa se concreta, las empresas deben revisar sus pólizas actuales de responsabilidad civil general, profesional y de ciberriesgos para verificar si cubren de forma expresa los daños causados por sistemas de IA. La tendencia del mercado asegurador es incluir exclusiones específicas para riesgos algorítmicos, por lo que resulta indispensable negociar coberturas a medida. Asimismo, los fondos de garantía o compensación que puedan crearse en el futuro completarán el ecosistema protector, pero su financiación recaerá previsiblemente sobre los propios operadores, lo que añade un argumento económico a favor de la prevención.

Conclusiones

Para usuarios sin conocimientos técnicos

Cuando un sistema de inteligencia artificial causa un daño —ya sea un accidente, una denegación de crédito injusta o una decisión que discrimina— la ley ya ofrece vías para reclamar, aunque el camino no sea sencillo. Lo esencial es saber que la responsabilidad nunca recae en la máquina, sino en las personas o empresas que la han creado, programado, vendido o utilizado. Guardar pruebas, pedir explicaciones por escrito y buscar asesoramiento especializado son los primeros pasos que cualquier afectado debería dar.

El nuevo marco europeo está pensado precisamente para facilitar esas reclamaciones, obligando a las empresas a documentar cómo funcionan sus algoritmos y a conservar los registros que permitan reconstruir lo ocurrido. En la práctica, esto significa que, poco a poco, será menos frecuente encontrarse con un «no sabemos por qué la IA decidió eso», y más habitual disponer de elementos objetivos con los que defender los propios derechos.

Para usuarios técnicos y jurídicos

La responsabilidad civil por daños causados por IA se articulará, en el corto y medio plazo, a través de un sistema dual: responsabilidad por culpa con presunciones legales basadas en el incumplimiento de los deberes del AI Act para los sistemas de menor riesgo, y responsabilidad objetiva del operador para los sistemas de alto riesgo, especialmente cuando concurran fallos en los datos de entrenamiento, en la transparencia o en la supervisión humana. La Propuesta de Directiva y la nueva normativa de productos defectuosos proporcionarán a los tribunales herramientas para aliviar la carga probatoria del perjudicado, pero exigirán a los operadores un nivel de trazabilidad documental sin precedentes.

Para las empresas tecnológicas, la adaptación pasa por implantar un sistema de gestión de riesgos de IA alineado con estándares como ISO 42001, mantener registros auditables de todo el ciclo de vida del modelo, revisar las coberturas de seguro y diseñar una arquitectura contractual que delimite con precisión las responsabilidades de cada eslabón de la cadena de suministro. Aquellos actores que integren el cumplimiento normativo en el propio diseño y operación de sus sistemas no solo reducirán su exposición a reclamaciones, sino que obtendrán una ventaja competitiva en un mercado que demanda, cada vez más, inteligencia artificial confiable y gobernable.