La pregunta parece sencilla, pero no tiene una única respuesta: si una inteligencia artificial participa en un delito, ¿quién es responsable? La respuesta rara vez será “la IA”. Un sistema de IA no suele tener personalidad jurídica ni capacidad de asumir por sí mismo una condena, una sanción o una obligación de reparar el daño. La responsabilidad se analiza en las personas y organizaciones que diseñan, proporcionan, integran, supervisan o utilizan ese sistema.
Esto no significa que cualquier incidente provocado por una IA convierta automáticamente a su fabricante o a la empresa usuaria en responsable. La atribución depende de factores como el control ejercido sobre la herramienta, el uso que se le dio, la previsibilidad del resultado, las medidas de seguridad adoptadas, el conocimiento del riesgo y la relación causal entre una decisión humana y el daño producido. Además, las consecuencias concretas dependen de la jurisdicción, del tipo de conducta y de las normas aplicables.
La IA ejecuta decisiones dentro de un contexto humano
Los sistemas de IA pueden generar textos, clasificar información, recomendar acciones o activar procesos automáticos. Sin embargo, funcionan dentro de un contexto creado por personas: alguien los selecciona, configura sus objetivos, define sus permisos, incorpora datos, decide dónde se despliegan y establece qué grado de supervisión existe.
Por eso conviene evitar dos errores opuestos. El primero es tratar la IA como un actor completamente autónomo y atribuirle toda la culpa. El segundo es asumir que la empresa queda exenta porque “la herramienta lo hizo sola”. La automatización puede modificar la forma en que se produce un daño, pero no elimina necesariamente las obligaciones de quienes controlan el sistema.
La autonomía técnica de una herramienta no equivale automáticamente a autonomía jurídica.
Un modelo puede generar una recomendación incorrecta, identificar de forma sesgada a una persona o activar una acción no prevista. La cuestión relevante será qué controles existían, quién podía intervenir, qué riesgos se conocían y si el resultado era razonablemente previsible.
Qué tipos de responsabilidad pueden entrar en juego
En un mismo incidente pueden coexistir diferentes ámbitos de responsabilidad. No son intercambiables y cada uno exige analizar hechos y normas concretas.
- **Responsabilidad penal:** puede plantearse cuando una persona participa intencionadamente en un delito o actúa con una imprudencia relevante, según la legislación aplicable. No basta, por sí solo, con que una herramienta haya producido un resultado ilícito.
- **Responsabilidad civil:** puede surgir cuando una conducta causa un daño que debe repararse. Aquí pueden analizarse la negligencia, el incumplimiento de obligaciones, los defectos del servicio o la relación contractual entre las partes.
- **Responsabilidad administrativa:** una autoridad puede investigar incumplimientos relacionados con protección de datos, consumo, seguridad, igualdad, servicios digitales u otras materias reguladas.
- **Responsabilidad contractual:** una organización puede incumplir las condiciones pactadas con clientes, proveedores, empleados o socios si utiliza una IA de una manera no autorizada o sin los controles comprometidos.
- **Responsabilidad interna o laboral:** también puede haber consecuencias disciplinarias si una persona usa una herramienta contra las políticas de la empresa, accede a información sin permiso o ignora controles obligatorios.
La existencia de una salida generada por IA no determina por sí sola cuál de estas responsabilidades se aplica. Es necesario reconstruir la cadena de decisiones y acciones.
Los posibles responsables no son iguales
El desarrollador del modelo, el proveedor de una aplicación, la empresa que la integra y el empleado que la utiliza pueden tener responsabilidades distintas. La posición de cada uno dependerá de su función real y del nivel de control que ejerciera.
Un proveedor podría tener que responder por defectos conocidos que no corrigió, por información insuficiente sobre limitaciones relevantes o por controles de seguridad inadecuados. Una empresa usuaria podría asumir riesgos si despliega la herramienta en un proceso sensible sin validación, permite que actúe con privilegios excesivos o ignora resultados claramente anómalos.
Un empleado, por su parte, puede incumplir las normas si utiliza la IA para acceder a datos ajenos, manipular información o ejecutar una acción prohibida. Pero la investigación también debería examinar si recibió instrucciones claras, formación adecuada y herramientas seguras. Culpar exclusivamente a la persona que pulsó un botón puede ocultar fallos de diseño, supervisión o gobierno.
La dirección tampoco queda al margen cuando aprueba un uso de alto impacto sin recursos, controles ni responsables definidos. La responsabilidad no se distribuye automáticamente por jerarquía, pero las decisiones de gobierno pueden ser relevantes para entender por qué se produjo el incidente.
Un ejemplo práctico: una decisión automatizada errónea
Imaginemos una empresa que utiliza IA para priorizar solicitudes de crédito. El sistema empieza a rechazar de forma sistemática a un grupo de clientes debido a datos deficientes o a un sesgo que no fue detectado durante las pruebas.
Para analizar el caso habría que preguntar quién diseñó el modelo, qué datos se utilizaron, qué validaciones se realizaron, qué advertencias proporcionó el proveedor, quién aprobó el uso, si existía revisión humana y cómo se respondía ante reclamaciones. También sería importante saber si la empresa conocía errores anteriores y decidió continuar sin corregirlos.
El hecho de que el algoritmo produjera las decisiones no resuelve ninguna de esas cuestiones. La investigación debe distinguir entre un fallo imprevisible pese a controles razonables, una mala configuración, una falta de supervisión y una decisión consciente de ignorar un riesgo conocido.
La trazabilidad es parte de la defensa
Cuando una IA participa en una decisión relevante, la organización necesita poder explicar qué ocurrió. Sin registros, resulta difícil demostrar diligencia, identificar el origen del fallo o establecer responsabilidades con precisión.
La trazabilidad no exige conservar indiscriminadamente todos los datos personales ni registrar cada detalle sin propósito. Exige definir qué evidencias son necesarias y protegerlas adecuadamente. Entre ellas pueden encontrarse:
- La versión del modelo, aplicación o servicio utilizado.
- La finalidad aprobada y los límites de uso.
- Los datos de entrada, cuando sea legítimo y necesario conservarlos.
- Las instrucciones, reglas y parámetros relevantes.
- Las salidas generadas y las decisiones humanas posteriores.
- Los permisos concedidos y las acciones ejecutadas automáticamente.
- Las alertas, revisiones, incidencias y medidas de corrección.
- La identidad o el rol de quienes aprobaron cambios y excepciones.
Estos registros deben gestionarse con controles de acceso, plazos de conservación y garantías de integridad. Guardar información sin una política clara puede crear nuevos riesgos de privacidad y seguridad.
Qué debe hacer una organización antes de que ocurra un incidente
La mejor respuesta a la pregunta sobre la responsabilidad empieza antes del despliegue. Una organización debería establecer un marco de gobierno que conecte el uso de la IA con sus riesgos legales, operativos, éticos y de ciberseguridad.
Algunas medidas prácticas son:
- Crear un inventario de sistemas de IA, proveedores, finalidades y responsables internos.
- Clasificar los usos según su impacto y definir cuáles requieren aprobación adicional.
- Establecer límites sobre datos, permisos, integraciones y acciones automáticas.
- Exigir pruebas, validaciones y revisiones periódicas antes y después del despliegue.
- Mantener supervisión humana proporcional al riesgo y capacidad real de intervención.
- Revisar contratos, niveles de servicio, obligaciones de seguridad y gestión de incidentes.
- Preparar un procedimiento para suspender el sistema cuando produzca resultados peligrosos.
- Formar a las personas usuarias sobre errores, sesgos, confidencialidad y escalado de incidentes.
- Coordinar a las áreas de tecnología, seguridad, legal, cumplimiento, recursos humanos y negocio.
Ninguna de estas medidas elimina completamente el riesgo. Sí puede reducir la probabilidad de daño y ayudar a demostrar que la organización actuó con criterios razonables.
Qué hacer cuando ya se ha producido un posible delito
La prioridad debe ser contener el daño sin destruir evidencias. No conviene borrar conversaciones, reiniciar sistemas sin criterio, modificar registros o continuar utilizando una herramienta que puede estar generando resultados peligrosos.
La respuesta debería incluir la preservación técnica de evidencias, la documentación de decisiones, la identificación de los sistemas afectados y la consulta temprana con los equipos legal, de seguridad y de cumplimiento. Si puede existir un delito, una filtración de datos o un perjuicio a terceros, también habrá que valorar las obligaciones de notificación y cooperación que correspondan.
Es importante separar los hechos de las hipótesis. Una salida incorrecta no demuestra por sí sola una conducta delictiva, y la ausencia inicial de una explicación técnica tampoco permite atribuir culpabilidad. La investigación debe reconstruir la secuencia completa: qué se configuró, qué se sabía, qué ocurrió, quién intervino y qué controles estaban disponibles.
La pregunta correcta para la dirección
En lugar de preguntar únicamente “¿quién tendrá la culpa si la IA falla?”, la dirección debería plantear otras cuestiones: ¿quién es responsable de aprobar este uso?, ¿qué decisiones no puede tomar el sistema sin revisión?, ¿qué evidencias conservaremos?, ¿cómo se detendrá?, ¿qué proveedor participa?, ¿qué daños debemos considerar y cómo responderemos?
La responsabilidad no desaparece al introducir una capa de automatización. Se transforma en una cuestión de diseño, gobierno, supervisión y diligencia. Las organizaciones que asignan responsabilidades antes del incidente estarán mejor preparadas para actuar con rapidez y explicar sus decisiones.
Como acciones concretas, conviene revisar el inventario de usos de IA, asignar un propietario a cada sistema, limitar permisos, probar los escenarios de fallo, documentar la supervisión humana y preparar un protocolo específico de investigación. La IA puede ser una herramienta valiosa, pero su utilización responsable exige que siempre exista una cadena clara de decisiones, controles y rendición de cuentas.
