Responsabilidad de la IA: quién responde y cómo probarlo

Lo esencial

• La responsabilidad de la IA no es una cualidad moral de la empresa. En el reglamento europeo es una posición jurídica asignada a un rol nombrado, con su propia línea en el artículo de sanciones.
• El reglamento nunca atribuye la responsabilidad de la IA a un sistema. Designa cinco roles humanos: proveedor, responsable del despliegue, importador, distribuidor y representante autorizado.
• El artículo 25 puede transferirle la responsabilidad de la IA sin ningún contrato nuevo. Ponga su marca, modifique sustancialmente el sistema o cambie su finalidad prevista, y pasa a ser su proveedor.
• Una responsabilidad de la IA que no puede acreditarse cuando se le pide sigue siendo una intención. A cada obligación le corresponde un artefacto: documentación técnica, registros, designación de la supervisión, declaración de conformidad.
• El artículo 99 tarifa el incumplimiento rol por rol, hasta 15 millones de euros o el 3 por ciento del volumen de negocios mundial, y la reparación del daño pasa ya por la directiva revisada de responsabilidad por productos defectuosos.

Qué significa realmente la responsabilidad de la IA

La mayoría de las definiciones de responsabilidad de la IA se detiene en un sentimiento: alguien debería responder cuando un sistema de IA causa un daño. Es cierto y carece de utilidad práctica. No aporta ningún criterio para identificar a ese alguien, ninguno para determinar qué debe, ninguno para verificar que lo ha hecho.

El cuaderno de trabajo del Alan Turing Institute dedicado al tema ofrece la descomposición más nítida disponible. Divide la responsabilidad de la IA en dos componentes: la obligación de rendir cuentas, es decir, el deber de ofrecer a las personas afectadas justificaciones claras y accesibles de las decisiones y sus efectos, y la auditabilidad, es decir, la capacidad demostrable y basada en pruebas de mostrar cómo se diseñó, construyó y explotó un sistema (Alan Turing Institute). Lo primero es lo que usted dice. Lo segundo, lo que puede exhibir. Una organización que domina lo primero pero no lo segundo está haciendo comunicación.

El mismo cuaderno añade un segundo eje, habitualmente ausente en los contenidos de los fabricantes de software. La responsabilidad de la IA se despliega en dos direcciones temporales. La responsabilidad anticipatoria reúne la gobernanza, la justificación y la documentación realizadas antes y durante el proyecto para que el daño no llegue a producirse. La responsabilidad reparadora agrupa los mecanismos de recurso, impugnación y corrección que se activan una vez producido el resultado. Casi todos los artículos sobre quién responde cuando la IA se equivoca tratan solo la segunda mitad, aquella a la que se acude cuando ya es demasiado tarde para que salga barato.

Esta distinción cambia lo que la responsabilidad de la IA significa un lunes por la mañana. Deja de ser una declaración de valores en una política y se convierte en dos preguntas concretas. ¿Quién responde de este sistema concreto, con nombre y apellidos? ¿Y qué pruebas entregaríamos mañana a una autoridad que nos pidiera acreditarlo? La gobernanza de la IA es el modelo operativo que hace resolubles ambas preguntas.

Una precisión antes del detalle jurídico, porque los resultados de búsqueda están llenos de ello. La responsabilidad de la IA no coincide con la transparencia ni con la explicabilidad. Estas son medios: la explicabilidad ayuda a responder, el registro ayuda a acreditar. La responsabilidad de la IA es la relación misma, aquella por la que una parte nombrada debe rendir cuentas de una decisión ante quien está legitimado para exigirlo.

Los cinco roles a los que el reglamento hace responsables

Cuando se pregunta si una IA puede ser considerada responsable, se plantea una cuestión que el derecho ya ha descartado. El reglamento europeo no atribuye obligaciones a los sistemas. Se las atribuye a los operadores, y nombra cinco.

Rol	Criterio de calificación	Obligación central	Artículo
Proveedor	Desarrolla un sistema, o encarga su desarrollo, y lo introduce en el mercado o lo pone en servicio con su nombre o marca	Todo el bloque de alto riesgo: gestión de riesgos, gobernanza de datos, documentación técnica, evaluación de la conformidad, registro	Artículo 16
Responsable del despliegue	Utiliza un sistema bajo su propia autoridad en un contexto profesional	Seguir las instrucciones de uso, designar la supervisión humana, vigilar y suspender, conservar los registros, informar a trabajadores y personas afectadas	Artículo 26
Importador	Introduce en el mercado de la Unión un sistema de un proveedor establecido fuera de la Unión	Verificar evaluación de la conformidad, documentación y marcado antes de la introducción	Artículo 23
Distribuidor	Comercializa un sistema sin ser proveedor ni importador	Verificar marcado y documentación, actuar ante sospecha de no conformidad	Artículo 24
Representante autorizado	Designado por escrito por un proveedor de un tercer país	Verificar que existen declaración y documentación, conservarlas 10 años, dar acceso a los registros, resolver el mandato en caso de incumplimiento	Artículo 22

El término general con el que el reglamento los designa a todos es operador. La mayoría de las organizaciones que leen estas líneas son responsables del despliegue, y casi ninguna lo ha puesto por escrito. Si su empresa utiliza la herramienta de un proveedor en un contexto profesional, usted es el responsable del despliegue de ese sistema, y las obligaciones del artículo 26 recaen sobre usted diga lo que diga el material comercial del proveedor sobre cumplimiento. Nuestra guía operativa del reglamento europeo de IA recorre el conjunto de obligaciones por rol.

El representante autorizado merece una parada, porque es el rol con potestades reales. Un proveedor establecido fuera de la Unión debe designarlo mediante mandato escrito antes de introducir en el mercado un sistema de alto riesgo. Ese representante verifica que la declaración UE de conformidad y la documentación técnica se han elaborado y que la evaluación de la conformidad se ha llevado a cabo, mantiene la documentación a disposición de las autoridades durante diez años y facilita a las autoridades competentes la información pertinente, incluido el acceso a los registros generados automáticamente. Y si llega a considerar que el proveedor actúa en contra de sus obligaciones, debe poner fin al mandato y comunicar los motivos a la autoridad de vigilancia del mercado (artículo 22). El legislador incorporó un alertador dentro de la cadena de responsabilidad de la IA.

Artículo 25: cómo la responsabilidad de la IA cambia de manos sin avisar

Es el mecanismo de responsabilidad de la IA con más probabilidades de salir caro a un responsable del despliegue, y está casi ausente de los comentarios publicados.

Usted puede convertirse en proveedor de un sistema de alto riesgo sin firmar nada nuevo. El artículo 25, apartado 1, prevé tres detonantes (artículo 25):

1. Pone su nombre o marca en un sistema de alto riesgo ya introducido en el mercado, salvo que existan acuerdos contractuales que distribuyan de otro modo las obligaciones.
2. Realiza una modificación sustancial en un sistema de alto riesgo que afecta a su conformidad o cambia su finalidad prevista, y el sistema sigue siendo o pasa a ser de alto riesgo.
3. Modifica la finalidad prevista de un sistema, incluido un sistema de IA de uso general no clasificado inicialmente como de alto riesgo, de manera que pase a serlo con arreglo al artículo 6.

El tercer detonante es el contemporáneo. Tome un modelo de uso general, afínelo con sus propios datos y oriéntelo al cribado de candidaturas o a la concesión de crédito. No ha comprado un sistema de alto riesgo: ha fabricado uno, y ahora es su proveedor, con todo el bloque del artículo 16, evaluación de la conformidad incluida.

Lo que ocurre con el proveedor original se comenta igual de poco. Con arreglo al artículo 25, apartado 2, el proveedor inicial deja de considerarse el proveedor de ese sistema. No queda liberado de inmediato: debe cooperar estrechamente con el nuevo proveedor y entregarle la documentación técnica, los límites y modos de fallo conocidos y el acceso técnico específico necesario para cumplir. Conviene, no obstante, llevar una salvedad a toda conversación de compra. Ese deber de cooperación decae si el proveedor inicial excluyó expresamente que su sistema pudiera transformarse en uno de alto riesgo. Un proveedor puede eximirse contractualmente de ayudarle, y muchos lo harán.

El artículo 25, apartado 4, cierra el círculo al exigir a proveedores y terceros suministradores que precisen mediante acuerdo escrito la información, el acceso técnico y la asistencia necesarios para cumplir. Los componentes libres y de código abierto quedan excluidos, y la Oficina de IA puede publicar cláusulas contractuales tipo voluntarias. Si usted ensambla sistemas a partir de componentes, ese acuerdo escrito es su instrumento de responsabilidad de la IA, y su lugar está en la diligencia debida sobre proveedores, no en la revisión jurídica tres días antes del lanzamiento.

Qué debe producir cada rol

Una responsabilidad de la IA que no puede acreditar es una afirmación, no una posición. El reglamento resulta inusualmente preciso sobre los artefactos, y es ahí donde la responsabilidad de la IA se vuelve operativa en lugar de declamatoria.

• La documentación técnica elaborada antes de la introducción en el mercado y mantenida al día, conforme al anexo IV. Es el expediente matriz que acredita decisiones de diseño, gobernanza de datos y pruebas. Véase nuestro desglose de los requisitos de documentación.
• Los registros generados automáticamente, previstos desde el diseño con arreglo al artículo 12 para que los acontecimientos queden anotados a lo largo de la vida del sistema, y conservados por el responsable del despliegue con arreglo al artículo 26, apartado 6, durante un periodo adecuado a la finalidad prevista y, en todo caso, no inferior a seis meses, salvo que el derecho de la Unión o nacional disponga otra cosa.
• Una designación documentada de la supervisión humana que nombre a las personas físicas que la ejercen, con arreglo al artículo 26, apartado 2.
• La declaración UE de conformidad del artículo 47, firmada por el proveedor: el momento en que la responsabilidad de la IA se asume formalmente por escrito.
• La vigilancia poscomercialización del artículo 72 y la notificación de incidentes graves al proveedor y a la autoridad de vigilancia del mercado con arreglo al artículo 73. Nuestra guía de notificación de incidentes detalla plazos y umbrales.

Leídos en conjunto, estos artefactos constituyen la vertiente de auditabilidad de la responsabilidad de la IA, según la definición del Alan Turing Institute, traducida a obligaciones jurídicas. Cada uno responde a una pregunta que una autoridad puede formular: qué construyó, qué hizo el sistema, quién vigilaba, quién firmó y qué hizo usted cuando salió mal.

La responsabilidad de la IA tiene tarifa

La prueba más nítida de que la responsabilidad de la IA es un rol y no una virtud es que el reglamento la tarifa rol por rol.

El artículo 99, apartado 4, fija multas administrativas de hasta 15 000 000 de euros o del 3 por ciento del volumen de negocios total anual mundial, si esta cifra fuera superior, y a continuación enumera a sus destinatarios: los proveedores con arreglo al artículo 16, los representantes autorizados con arreglo al artículo 22, los importadores con arreglo al artículo 23, los distribuidores con arreglo al artículo 24, los proveedores y operadores con arreglo al artículo 25, apartados 2 y 4, los responsables del despliegue con arreglo al artículo 26, los organismos notificados, y los proveedores y responsables del despliegue sujetos a las obligaciones de transparencia del artículo 50 (artículo 99). Las prácticas prohibidas del artículo 5 se sitúan más arriba, hasta 35 000 000 de euros o el 7 por ciento. Facilitar información inexacta, incompleta o engañosa a un organismo notificado o a una autoridad nacional competente expone hasta 7 500 000 euros o el 1 por ciento.

Ese último tramo merece una pausa: la cuenta que usted rinde está a su vez regulada. Equivocar la respuesta deliberadamente constituye una infracción autónoma.

La acción pública cubre solo la mitad del terreno. La reparación del daño discurre por una vía separada, que se ha movido hace poco. La propuesta de directiva sobre responsabilidad en materia de IA fue retirada por la Comisión en febrero de 2025, de modo que las reclamaciones de las personas perjudicadas se canalizan ahora por la directiva revisada (UE) 2024/2853 sobre responsabilidad por los daños causados por productos defectuosos, que trata el software y los sistemas de IA como productos, aplica una responsabilidad objetiva que exime al reclamante de probar la culpa, amplía el círculo de operadores económicos responsables e introduce presunciones probatorias favorables a la persona perjudicada. Los Estados miembros deben transponerla antes del 9 de diciembre de 2026 (EUR-Lex). Dos regímenes, dos reclamantes distintos, un mismo conjunto de hechos.

Nombrar a las personas: competencia, formación y autoridad

El artículo 26, apartado 2, contiene tres palabras que hacen fracasar en silencio a la mayoría de los dispositivos de supervisión. Los responsables del despliegue deben encomendar la supervisión humana a personas físicas que cuenten con la competencia, la formación y la autoridad necesarias, así como con el apoyo preciso (artículo 26).

La competencia y la formación se compran. La autoridad no. Significa que la persona designada puede efectivamente detener el sistema. El artículo 26, apartado 5, lo hace tangible: cuando el responsable del despliegue tenga motivos para considerar que el uso presenta un riesgo, deberá suspender el uso del sistema e informar al proveedor. Un encargo de supervisión en manos de quien no puede interrumpir un servicio en producción sin tres aprobaciones no satisface esta exigencia, diga lo que diga la matriz de responsabilidades. La diferencia entre supervisión humana en el bucle y sobre el bucle es exactamente la diferencia entre tener autoridad y limitarse a observar.

Otros dos marcos convergen aquí, lo que abarata la correspondencia si usted ya está certificado. El apartado 5.3 de la norma ISO/IEC 42001 exige a la alta dirección asignar, comunicar y autorizar los roles del sistema de gestión de la IA, generando líneas documentadas de responsabilidad de la IA y habilitando a las personas designadas para verificar la conformidad e informar del desempeño a la dirección. Los auditores leen ese apartado como una exigencia de titulares nombrados a lo largo de todo el ciclo de vida, no de un comité. Nuestro análisis del encaje entre ISO 42001 y el reglamento europeo muestra dónde se encuentran apartado y artículo. En el lado estadounidense, la función GOVERN del marco del NIST para la gestión del riesgo de la IA reclama estructuras de responsabilidad para que los equipos y las personas competentes estén habilitados, sean responsables y estén formados (NIST AI 100-1).

Dónde se rompe la responsabilidad de la IA en la práctica

Cuatro modos de fallo explican casi todas las rupturas de responsabilidad de la IA.

Sin rol, por falta de inventario. No se puede asignar la responsabilidad de la IA sobre un sistema cuya existencia se desconoce. La IA en la sombra es un fallo de responsabilidad antes que una brecha de seguridad: una herramienta no inventariada no tiene proveedor identificado, ni responsable del despliegue identificado, ni supervisor nombrado.

El problema de las muchas manos en las cadenas agénticas. Un flujo que atraviesa un modelo fundacional, una capa de orquestación, un almacén vectorial y tres suministradores diluye la contribución causal hasta el punto de que nadie se siente obligado a responder. La respuesta del reglamento es el acuerdo escrito del artículo 25, apartado 4, que obliga a dejar constancia del reparto antes de que haga falta, en lugar de discutirlo después.

El mito del contrato. Las estipulaciones comerciales entre un proveedor y un responsable del despliegue reparten el riesgo entre esas dos partes. No desplazan las obligaciones legales que cada uno debe a las autoridades y a las personas afectadas. Un responsable del despliegue que se ha hecho indemnizar ha cambiado quién paga, no quién responde.

El mito del aplazamiento. El reglamento ómnibus digital sobre IA, reglamento (UE) 2026/1744, entró en vigor el 27 de julio de 2026 y desplazó al 2 de diciembre de 2027 las obligaciones de alto riesgo del anexo III, y al 2 de agosto de 2028 las del anexo I. No suspendió todo. Las prácticas prohibidas se aplican desde el 2 de febrero de 2025 y las obligaciones de transparencia del artículo 50 permanecen inalteradas. Lea el desplazamiento como tiempo para construir bien el mapa, no como una dispensa. Nuestra lectura del panorama normativo recoge qué se movió y qué no.

Construya su mapa de responsabilidad de la IA este trimestre

Siete pasos para mapear la responsabilidad de la IA, en este orden.

1. Inventaríe todos los sistemas de IA en uso, incluidos los comprados con tarjeta y los incrustados en software que ya posee.
2. Califique cada uno frente al anexo III y al artículo 6 para determinar si se activan las obligaciones de alto riesgo.
3. Asigne su rol sistema por sistema, no a escala de organización. Será responsable del despliegue de la mayoría y proveedor de unos pocos.
4. Nombre a la persona física que ejerce la supervisión de cada sistema de alto riesgo y confirme por escrito que ostenta la potestad de suspensión del artículo 26, apartado 5.
5. Enumere el artefacto que satisface cada obligación y dónde se conserva: documentación, registros y plazo de conservación, declaración de conformidad, procedimiento de incidente.
6. Contraste su hoja de ruta con los detonantes del artículo 25. Todo proyecto de marca propia, afinado o reorientación entra en una lista de vigilancia antes de que empiece el desarrollo.
7. Fije una cadencia de revisión y un titular para el propio mapa, porque los roles cambian en cuanto se modifica un sistema.

Los pasos 1 a 3 son los que las organizaciones se saltan, y todos los posteriores dependen de ellos. Una auditoría de IA que arranca sin ellos dedica su primera semana a reconstruir el inventario.

Preguntas frecuentes

¿Puede una IA ser considerada jurídicamente responsable?

No. Ningún ordenamiento reconoce personalidad jurídica a los sistemas de IA, y el reglamento europeo no lo pretende. Atribuye las obligaciones a operadores, personas físicas o jurídicas: proveedores, responsables del despliegue, importadores, distribuidores y representantes autorizados. Cuando el debate pregunta si la IA puede responder, la traducción operativa consiste en identificar qué rol de operador ocupa usted para un sistema dado y qué debe ese rol con arreglo a su artículo. El sistema es objeto de la obligación, nunca su titular.

¿Por qué la responsabilidad de la IA plantea un problema?

Porque la contribución causal está distribuida y los rastros son efímeros. Un solo resultado puede reflejar datos de entrenamiento elegidos por una parte, un afinado por una segunda, una instrucción de orquestación por una tercera y una decisión de despliegue por una cuarta. Añada sistemas probabilísticos que cambian con cada reentrenamiento y la cadena probatoria ordinaria se rompe. La respuesta normativa consiste en anclar la responsabilidad de la IA a roles y en exigir artefactos duraderos, registros y documentación, para que la rendición de cuentas sobreviva a esa dispersión.

¿Qué diferencia hay entre responsabilidad de la IA e IA responsable?

La IA responsable designa un enfoque: diseñar y explotar sistemas con cuidado, equidad y prudencia. La responsabilidad de la IA es relacional y retrospectiva: una parte nombrada debe rendir cuentas de una decisión ante quien está legitimado para exigirlo, y soporta las consecuencias si esa rendición falla. Se puede actuar con cuidado sin deber cuentas a nadie en particular. En el reglamento europeo prevalece la segunda noción, porque viene con un interlocutor definido, un artefacto definido y una sanción definida.

¿Un contrato con nuestro proveedor transfiere la responsabilidad de la IA?

No frente a las autoridades. Un contrato reparte el riesgo comercial entre las partes y puede operar con arreglo al artículo 25, apartado 1, letra a), donde la calificación por marca se aplica salvo acuerdo contractual en contrario. Pero las obligaciones legales debidas a las autoridades de vigilancia del mercado y a las personas afectadas no son cedibles por acuerdo privado. Si usted es el responsable del despliegue, el artículo 26 se le aplica diga lo que diga el contrato de servicios sobre que el cumplimiento corresponde al proveedor.

¿Qué debe contener un dispositivo de responsabilidad de la IA?

Como mínimo: un inventario de sistemas, una calificación de rol por sistema, una clasificación de riesgo, un supervisor nombrado con potestad de suspensión, un mapa de pruebas que enlace cada obligación con su artefacto y su plazo de conservación, una vía de incidente y recurso, y un detonante de revisión que recalifique los roles en cuanto se modifique un sistema. Los dispositivos que se detienen en los principios fracasan en la vertiente de auditabilidad, porque un principio no se exhibe a petición.

¿Quién responde cuando un modelo de uso general causa un daño aguas abajo?

La responsabilidad de la IA depende aquí de qué hizo usted con él. El proveedor del modelo asume las obligaciones propias de los modelos de uso general. Si lo afinó o lo reorientó hasta el punto de que el sistema resultante pase a ser de alto riesgo con arreglo al artículo 6, el artículo 25, apartado 1, letra c), le convierte en el proveedor de ese sistema, con todo el bloque del artículo 16. Si lo desplegó tal cual para su finalidad original, le corresponden las obligaciones del artículo 26. La pregunta versa siempre sobre el acto que usted realizó, nunca sobre el logotipo del modelo.

Conclusión

El material publicado sobre responsabilidad de la IA abunda en principios, y los principios no son la parte difícil. La parte difícil es que, en derecho europeo, la responsabilidad de la IA es una posición que se ocupa, a veces sin quererlo, y que cada posición trae consigo un número de artículo, un artefacto y una multa. Empiece por el inventario, asigne el rol sistema por sistema, nombre a la persona que puede apagarlo todo y archive las pruebas donde pueda producirlas en un día. En eso consiste la responsabilidad de la IA en la práctica. Lo demás es comentario. Para el modelo operativo que engloba todo esto, empiece por la gobernanza de la IA.