Responsabilidad de la IA: ¿quién es responsable cuando un sistema de IA causa daños?

En los Países Bajos, cuando un sistema de IA causa daños, la responsabilidad siempre recae en una persona o empresa, nunca en el software en sí. En la práctica, la reclamación se dirige al usuario (la organización que implementa el sistema) en virtud del derecho de responsabilidad civil extracontractual, artículo 6:162 del Código Civil neerlandés (BW), o al productor en virtud del derecho de responsabilidad por productos defectuosos, artículo 6:185 del BW, que no requiere que exista culpa.

Quién asume la responsabilidad de la pérdida depende de dónde ocurrió el fallo, qué sabía cada parte y qué estipula su contrato. Este artículo abarca ambas posturas. El marco jurídico penal, desde la perpetración funcional hasta la responsabilidad corporativa según el artículo 51 del Código Penal (Sr), se analiza en nuestro artículo complementario sobre si un algoritmo puede ser parcialmente responsable.

¿Por qué el propio sistema de IA nunca es responsable?

La legislación neerlandesa solo reconoce personas físicas y jurídicas, y un sistema de IA no es ninguna de las dos. No puede ser citado, multado ni obligado a pagar daños y perjuicios, porque no posee nada; se han debatido propuestas de «personalidad electrónica» a nivel de la UE, pero no se han adoptado.

La cuestión radica, por lo tanto, en determinar qué parte de la cadena incumplió su deber: el desarrollador del modelo, la empresa que lo convirtió en producto, el proveedor o integrador, la organización que lo implementó o la persona que actuó en función del resultado. La responsabilidad en materia de IA consiste en identificar el punto de falla en esa cadena y vincularlo con un fundamento jurídico.

¿Cuándo es responsable el usuario?

El usuario es responsable cuando implementa, configura o utiliza el sistema sin la diligencia que un operador razonable tendría. La organización que elige una herramienta, le proporciona datos y actúa en función de sus resultados es responsable de su propia conducta.

¿Qué ocurriría si la IA se utilizara para cometer un delito?

El uso deliberado de la IA para cometer un delito no altera la naturaleza del mismo. Una factura generada por IA de forma convincente y utilizada para defraudar a una empresa constituye fraude (oplichting) según el artículo 326 Sr., un documento falsificado sigue siendo falsificación según el artículo 225 Sr., y el código escrito por IA utilizado para acceder ilegalmente a un sistema constituye intrusión informática según el artículo 138ab Sr.

Las imágenes manipuladas de una persona real pueden constituir difamación, y los deepfakes de contenido sexual están contemplados en la legislación sobre delitos sexuales vigente desde el 1 de julio de 2024 (Wet seksuele misdrijven). El acoso persistente mediante IA puede considerarse acoso según el artículo 285b Sr, que solo se persigue judicialmente tras la denuncia de la víctima. Las indicaciones, los registros de cuenta, los resultados y los metadatos de los archivos constituyen la evidencia que vincula el delito con una persona; consulte nuestro resumen sobre delitos informáticos y ciberdelitos en los Países Bajos.

¿Cómo se manifiesta el uso negligente?

Las organizaciones suelen tener problemas más por descuido que por mala intención. Un sistema adquirido para un propósito se utiliza para otro, su resultado se interpreta como una decisión en lugar de una señal, y nadie verifica los casos en los que falla.

Según el artículo 6:162 del Código Civil neerlandés, el incumplimiento de un deber de diligencia no escrito es ilícito, a juzgar por lo que habría hecho un operador diligente. El empleador también es responsable de las faltas de sus empleados (artículo 6:170 del Código Civil neerlandés), y la parte que utiliza el modelo de un proveedor para ejecutar su propio contrato responde por dicha falta (artículo 6:76 del Código Civil neerlandés).

La Ley de IA de la UE (Reglamento (UE) 2024/1689) ahora cumple con ese deber de diligencia para los sistemas de alto riesgo. Los responsables de la implementación deben usar el sistema según las instrucciones, asignar la supervisión humana a personas competentes con autoridad, garantizar la correcta introducción de datos, supervisar su funcionamiento, mantener registros e informar a los trabajadores antes de usar dicho sistema en el trabajo. Un tribunal que evalúe la negligencia interpretará estas obligaciones como el estándar de conducta diligente.

La supervisión humana debe ser real. Un revisor que aprueba casi todo lo que propone el sistema, medido en función del rendimiento, no está tomando una decisión; este "sesgo de automatización" es donde la supervisión suele fallar.

¿Qué riesgos no puede transmitir el usuario?

• Frente a la parte perjudicada, el usuario es el demandado visible. Un cliente al que se le niega un crédito o un candidato rechazado por una herramienta de selección demandará al proveedor; la reclamación contra el proveedor es una cuestión aparte según el contrato.
• La protección de datos se aplica de forma independiente. El implementador suele ser el responsable del tratamiento según el Reglamento General de Protección de Datos (RGPD), y el artículo 22 del RGPD otorga a las personas el derecho a la intervención humana en decisiones exclusivamente automatizadas con efectos jurídicos o similares. Consulte nuestra página sobre el Reglamento General de Protección de Datos.
• La modificación cambia su función. Un implementador que pone su nombre en un sistema de alto riesgo, cambia su propósito original o lo modifica sustancialmente se convierte en un proveedor según la Ley de IA, con las obligaciones que ello conlleva.

¿Cuándo es responsable el productor?

El productor es responsable sin culpa por los daños causados ​​por un defecto en su producto (Artículo 6:185 del Código Civil alemán). Un producto es defectuoso si no ofrece la seguridad que una persona puede esperar, teniendo en cuenta su presentación, su uso razonablemente previsto y el tiempo que estuvo en circulación; la parte perjudicada debe probar el daño, el defecto y el nexo causal.

Las reclamaciones deben presentarse dentro de los tres años siguientes a la fecha en que la parte perjudicada tuvo conocimiento, o debió haber tenido conocimiento, del daño, el defecto y la identidad del productor, y el derecho caduca diez años después de la comercialización del producto. La responsabilidad por productos defectuosos no puede excluirse ni limitarse contractualmente frente a la parte perjudicada. El productor puede acogerse a un conjunto limitado de defensas, incluida la defensa del riesgo de desarrollo.

¿Qué cambios se producen en el software con la nueva Directiva sobre Responsabilidad por Productos Defectuosos?

La Directiva revisada sobre responsabilidad por productos defectuosos (Directiva (UE) 2024/2853) entró en vigor el 8 de diciembre de 2024 y debe transponerse antes del 9 de diciembre de 2026. Se aplica a los productos comercializados después de esa fecha; los productos anteriores siguen rigiéndose por las normas vigentes del Código Civil.

• El software, incluidos los sistemas de IA, es expresamente un producto.
• Pueden ser responsables otras partes: cualquiera que modifique sustancialmente un producto fuera del control del fabricante, el importador, el representante autorizado y, en algunos casos, los proveedores de servicios de logística y las plataformas en línea.
• La destrucción o corrupción de datos no utilizados con fines profesionales constituye un daño recuperable.
• Un producto puede volverse defectuoso después de su lanzamiento al mercado, por ejemplo, debido a una actualización defectuosa o a la falta de actualizaciones de seguridad.

La directiva también facilita la presentación de pruebas. Un tribunal puede ordenar al demandado que revele las pruebas pertinentes, y si este no cumple, se presume la inexactitud de la prueba. Cuando la complejidad técnica dificulta excesivamente la presentación de pruebas, se puede presumir la inexactitud o la causalidad si el demandante demuestra su probabilidad.

¿Qué puede regular el contrato?

Entre empresas, el contrato suele ser el primer punto de conflicto. El proveedor debe cumplir con lo acordado; el incumplimiento de la promesa de precisión, disponibilidad o cumplimiento de la Ley de IA constituye un incumplimiento, que puede acarrear sanciones, indemnizaciones y la rescisión del contrato tras una notificación de incumplimiento.

Las cláusulas de limitación de responsabilidad suelen ser efectivas entre empresas, pero un tribunal puede anularlas si su aplicación resulta inaceptable desde el punto de vista de la razonabilidad y la equidad (Artículo 6:248(2) del Código Civil alemán), por ejemplo, en caso de dolo o negligencia grave. Consulte nuestra página sobre reclamaciones por daños y perjuicios para obtener información sobre cómo se fundamentan dichas reclamaciones.

¿La Ley de IA otorga derecho a indemnización?

No. La Ley de IA es de carácter regulatorio: establece obligaciones para proveedores y operadores y otorga a los supervisores facultades para hacerla cumplir, pero no crea un derecho a reclamar daños y perjuicios. La Comisión Europea ha retirado su propuesta de Directiva sobre Responsabilidad en Materia de IA, por lo que las reclamaciones se rigen por el derecho nacional de responsabilidad civil extracontractual y contractual, así como por la responsabilidad por productos defectuosos.

La Ley de IA sigue siendo relevante en los tribunales: el incumplimiento constituye prueba de negligencia, la documentación técnica y los registros obligatorios pueden solicitarse en los procedimientos judiciales, y la Ley define quién es el proveedor y quién el implementador. Nuestro departamento de derecho informático se ocupa de estas cuestiones de clasificación.

¿Qué ocurre si tanto el usuario como el productor fallan?

La mayoría de los incidentes tienen varias causas: datos de entrenamiento no representativos, una integración no probada, uso fuera del propósito previsto y operadores que desconocían los límites del sistema. Según el artículo 6:102 del Código Civil neerlandés, las partes responsables del mismo daño son responsables íntegramente ante la parte perjudicada y, posteriormente, liquidan sus respectivas partes.

El caso de las ayudas para el cuidado infantil en los Países Bajos (toeslagenaffaire) ilustra este patrón: una clasificación de riesgos poco transparente, decisiones sin una evaluación individual real y consecuencias que recaen íntegramente sobre las personas afectadas. Sus repercusiones fueron administrativas y políticas, más que penales.

¿Qué se aplica a los vehículos autónomos, drones y robots?

Los daños físicos conllevan una responsabilidad objetiva que no se plantea si hubo negligencia. Según el artículo 185 de la Ley de Tráfico Vial de 1994 (Wegenverkeerswet 1994), el propietario o responsable de un vehículo a motor es responsable de los daños causados ​​a peatones y ciclistas, salvo en casos de fuerza mayor, independientemente de si el sistema de asistencia a la conducción estaba activado.

Los drones están sujetos a la normativa europea sobre drones, con registro de operadores a través de la RDW y supervisión por parte de la Inspección de Transportes y Medio Ambiente (ILT). El poseedor de un bien mueble defectuoso que cree un peligro particular es responsable según el artículo 6:173 del Código Civil alemán, incluso cuando el fallo reside en su software, por lo que el propietario de un robot industrial no puede simplemente culpar al proveedor.

¿Qué debes comprobar como usuario de un sistema de IA?

• Mantenga un inventario de los sistemas de IA que utiliza, quién los proporcionó y en qué decisiones influyen.
• Determine para cada sistema si usted es un implementador o, después de la modificación, un proveedor según la Ley de IA.
• Anote la finalidad prevista y siga las instrucciones de uso del proveedor.
• Otorgue a los operadores autoridad real para anular el sistema y no los evalúe únicamente en función del volumen de uso.
• Conserve los registros y los informes de incidentes durante el tiempo suficiente para poder utilizarlos en caso de disputa.

¿Qué debes comprobar como productor o proveedor?

• Documentar la gestión de riesgos, la gobernanza de datos y las pruebas realizadas con la población a la que realmente servirá el sistema.
• Redacte instrucciones de uso que sean honestas sobre las limitaciones y las tasas de error.
• Establecer una política de actualizaciones que indique quién proporciona las actualizaciones de seguridad y durante cuánto tiempo, de conformidad con la Directiva (UE) 2024/2853.
• Acordar límites de responsabilidad, exclusiones e indemnizaciones que reflejen lo que el sistema decide en la práctica.
• Habilitar un canal para que los clientes informen sobre incidentes y registrar cómo se gestionó cada uno.

¿Qué podemos hacer por usted en materia de responsabilidad civil relacionada con la IA?

Nuestros abogados especializados en informática y derecho penal neerlandés asesoran a organizaciones que desarrollan sistemas de IA y a organizaciones que los utilizan.

• Determinamos si usted es un proveedor o un implementador según la Ley de IA y qué obligaciones le corresponden.
• Revisamos y negociamos los contratos de suministro de IA, incluidos los límites máximos, las indemnizaciones y el acceso a los registros.
• Evaluamos una reclamación tras un incidente y las pruebas que necesita para defenderse o presentarla.
• Evaluamos la responsabilidad penal de la empresa y sus directivos cuando se hizo un uso indebido de un sistema de IA.
• Elaboramos políticas internas de IA sobre supervisión humana, registro de datos y gestión de incidentes.

Resumen

• Un sistema de IA no puede ser responsable; el usuario o el productor sí lo es.
• Los usuarios son responsables civilmente (Artículo 6:162 del Código Civil alemán), y la Ley de IA establece el estándar de diligencia debida para los sistemas de alto riesgo.
• Los productores son responsables sin culpa por los productos defectuosos (Artículo 6:185 BW), dentro de los plazos de tres y diez años.
• La Directiva (UE) 2024/2853 convierte el software en un producto y facilita la demostración de su autenticidad para los productos comercializados después del 9 de diciembre de 2026.
• Varias partes responsables son cada una de ellas responsable de la totalidad del daño causado a la parte perjudicada.

Preguntas frecuentes