Responsabilidad civil de la IA: la prueba decide en 2026

A partir del 9 de diciembre de 2026, la responsabilidad civil de la IA deja de ser en la Unión Europea un debate sobre teorías y pasa a ser una cuestión de prueba. La Directiva (UE) 2024/2853 trata el software y los sistemas de IA como productos, permite al juez ordenar al fabricante que exhiba pruebas y presume el defecto cuando este no lo hace. El litigio se decidirá con el expediente que la empresa pueda aportar años después del lanzamiento.

Lo esencial

• Producto: el software y los sistemas de IA son productos, también como SaaS, y su proveedor recibe el trato de fabricante.
• Prueba: el juez puede ordenar la exhibición de pruebas; no exhibirlas, incumplir un requisito obligatorio de seguridad o la complejidad técnica activan presunciones.
• Dos relojes: el Reglamento de IA exige conservar los registros al menos seis meses; la exposición dura diez años, veinticinco si la lesión es latente.
• Desfase: la directiva se aplica desde el 9 de diciembre de 2026; los requisitos de alto riesgo, desde el 2 de diciembre de 2027.
• Transposición: el Bundestag aprobó su ley el 8 de octubre de 2026; la mayoría de los Estados miembros sigue sin texto.

Qué significa la responsabilidad civil de la IA en 2026

La responsabilidad civil de la IA responde a tres preguntas: quién debe indemnizar a la persona dañada por un sistema de IA, con qué fundamento jurídico y con qué prueba. Hablamos de una demanda de daños ante un tribunal civil, no de multas. Un sistema de IA carece de personalidad jurídica: no tiene patrimonio y no puede ser demandado ni condenado. La obligación de reparar recae siempre en una persona física o jurídica. Los fundamentos son tres y pueden acumularse:

• Contrato: el cliente reclama al proveedor el incumplimiento de lo pactado. Solo protege a las partes.
• Responsabilidad por culpa: el Derecho nacional exige acreditar una conducta negligente, el daño y la causalidad.
• Responsabilidad sin culpa por productos defectuosos: basta con el defecto, el daño y el nexo causal. Es el régimen armonizado que cambia en diciembre de 2026.

Conviene no confundir este tema con la rendición de cuentas. La responsabilidad de la IA, entendida como accountability, describe quién responde dentro de la organización de las decisiones sobre un sistema. La responsabilidad civil determina quién paga la indemnización a un tercero, ante qué tribunal y con qué prueba. Ambas nociones se encuentran en el expediente: lo que produce la gobernanza interna es lo que el juez pedirá ver. Con una gestión de riesgos de IA ordenada se llega al pleito con documentos fechados; sin ella, con explicaciones redactadas después del daño. A nuestro juicio, en la responsabilidad civil de la IA esa diferencia pesará más que la teoría jurídica elegida.

Quién responde: la cadena de operadores económicos

La Directiva (UE) 2024/2853 garantiza que el perjudicado encuentre siempre a un operador establecido en la Unión. El artículo 8 ordena a los responsables en cascada. <table header-row=»true»> <tr> <td>Operador</td> <td>Fundamento</td> <td>Cuándo se aplica</td> </tr> <tr> <td>Fabricante, incluido el proveedor de un sistema de IA</td> <td>Artículo 8 y considerando 13</td> <td>Siempre que el producto sea defectuoso</td> </tr> <tr> <td>Fabricante de un componente, incluido un modelo integrado o un servicio conexo</td> <td>Artículos 4 y 8</td> <td>Cuando su defecto hace defectuoso el producto</td> </tr> <tr> <td>Importador y representante autorizado</td> <td>Artículo 8</td> <td>Fabricante establecido fuera de la Unión</td> </tr> <tr> <td>Prestador de servicios de tramitación de pedidos</td> <td>Artículo 8</td> <td>A falta de los dos anteriores</td> </tr> <tr> <td>Distribuidor y plataforma en línea</td> <td>Artículo 8, apartados 3 y 4</td> <td>Solo si no identifican a un operador de la Unión en un mes desde la solicitud</td> </tr> <tr> <td>Quien modifica sustancialmente el producto fuera del control del fabricante</td> <td>Artículo 8, apartado 2</td> <td>Se le considera fabricante</td> </tr> <tr> <td>Responsable del despliegue como mero usuario</td> <td>Fuera de la directiva</td> <td>Culpa, según el Derecho nacional</td> </tr> </table> Dos filas interesan a quien compra IA. La primera es el componente: un modelo integrado en un producto ajeno, o un servicio digital sin el cual ese producto no realiza alguna de sus funciones, sitúa a su proveedor en la cadena. La diligencia debida de proveedores de IA pasa a ser parte de la defensa. La segunda es la modificación sustancial: la que cambia el rendimiento, la finalidad o el tipo originales sin haber sido prevista en la evaluación de riesgos inicial del fabricante y altera la naturaleza del peligro, crea uno nuevo o aumenta el riesgo (artículo 4, apartado 18). Quien reentrena un sistema ajeno puede dejar de ser usuario. El artículo 25, apartado 1, del Reglamento de IA convierte igualmente en proveedor a quien modifica sustancialmente un sistema de IA de alto riesgo o cambia su finalidad prevista. En la responsabilidad civil de la IA, la obligación es solidaria (artículo 12) y el perjudicado puede reclamar la totalidad a cualquiera de los operadores. Frente al perjudicado no cabe limitación ni exclusión, ni por contrato ni por norma nacional (artículo 15).

El reinicio europeo: una directiva retirada y otra reescrita

Había dos textos. El primero, la propuesta de Directiva sobre responsabilidad en materia de IA de 28 de septiembre de 2022, trataba las reclamaciones basadas en la culpa. La Comisión la retiró en su programa de trabajo para 2025, publicado el 11 de febrero de 2025, por no preverse un acuerdo. En octubre de 2026 no hay propuesta sucesora, y la página de la Comisión sobre responsabilidad e IA seguía sin mencionar la retirada el 13 de octubre de 2026. Queda el segundo: la Directiva sobre responsabilidad por los daños causados por productos defectuosos, en vigor desde el 8 de diciembre de 2024. Deroga la Directiva 85/374/CEE con efectos desde el 9 de diciembre de 2026; la norma de 1985 sigue rigiendo para los productos anteriores. El cambio de fondo está en la definición de producto. El software lo es con independencia de su modo de suministro, también en la nube o como servicio (considerando 13). La información no lo es, lo que excluye el contenido de los archivos digitales y el mero código fuente. Tampoco se aplica la directiva al software libre y de código abierto desarrollado o suministrado al margen de una actividad comercial. El daño indemnizable (artículo 6) comprende la muerte y las lesiones corporales, incluido el daño a la salud psicológica reconocido médicamente; el daño a bienes; y la destrucción o corrupción de datos no utilizados con fines profesionales.

Lo que la directiva no cubre

Solo las personas físicas pueden reclamar (artículo 5). Quedan fuera las reclamaciones de personas jurídicas, el daño puramente económico, la discriminación, la lesión de la intimidad como tal y los bienes utilizados exclusivamente con fines profesionales. Esos daños se reclaman por otras vías: la culpa del Derecho nacional, el contrato y, para los datos personales, el artículo 82 del RGPD, que tratamos en nuestra guía sobre RGPD e inteligencia artificial.

Responsabilidad civil de la IA: cómo se prueba el defecto

Un producto es defectuoso cuando no ofrece la seguridad que una persona tiene derecho a esperar o que exige el Derecho de la Unión o nacional (artículo 7). Varias de las circunstancias que el juez debe valorar están pensadas para la IA: la capacidad del producto de seguir aprendiendo tras su introducción en el mercado, su interconexión con otros productos, los requisitos de seguridad pertinentes, incluidos los de ciberseguridad, y cualquier recuperación o intervención de una autoridad. La deriva del modelo pasa a ser una circunstancia de defectuosidad. En la responsabilidad civil de la IA, el demandante sigue probando el defecto, el daño y el nexo causal. Según el artículo 9, quien presente hechos y pruebas suficientes para sustentar la verosimilitud de su pretensión puede obtener una orden para que el demandado exhiba las pruebas pertinentes de que disponga. La orden se limita a lo necesario y proporcionado, y el tribunal protege los secretos comerciales. A partir de ahí operan las presunciones del artículo 10, todas refutables:

1. Falta de exhibición: el defecto se presume si el demandado no exhibe las pruebas ordenadas.
2. Incumplimiento de un requisito de seguridad: se presume si el producto no cumple requisitos obligatorios destinados a proteger frente al riesgo del daño sufrido.
3. Mal funcionamiento manifiesto: se presume si el daño se debe a un fallo evidente durante un uso razonablemente previsible.
4. Complejidad técnica o científica: el tribunal presume el defecto, el nexo causal o ambos cuando el demandante afronta dificultades excesivas y demuestra que son probables. El considerando 48 cita el aprendizaje automático como ejemplo.

Las exenciones del artículo 11 se estrechan. Subsiste la de riesgos de desarrollo: el estado de los conocimientos científicos y técnicos no permitía descubrir el defecto mientras el producto estuvo bajo el control del fabricante. En cambio, alegar que el defecto apareció después no sirve cuando se debe a un servicio conexo, al software y sus actualizaciones, a la falta de las actualizaciones necesarias para mantener la seguridad o a una modificación sustancial, siempre que estén bajo el control del fabricante. Ese control dura mientras conserve la capacidad de suministrar actualizaciones.

Donde el Reglamento de IA se convierte en prueba

La directiva no fija un estándar de seguridad propio: toma como referencia el Derecho de la Unión sobre seguridad de los productos. Según el análisis de Freshfields de 21 de abril de 2026, el incumplimiento regulatorio puede generar exposición. Nuestra lectura va un paso más allá: la documentación que exige el Reglamento de IA es la prueba que un tribunal ordenará exhibir, y su ausencia activa las presunciones. La responsabilidad civil de la IA se juega en estos documentos. <table header-row=»true»> <tr> <td>Disposición de la directiva</td> <td>Artefacto del Reglamento de IA</td> <td>Qué buscará el tribunal</td> </tr> <tr> <td>Artículo 9, exhibición de pruebas</td> <td>Documentación técnica (artículo 11 y anexo IV), conservada diez años (artículo 18)</td> <td>Que describa la versión que causó el daño</td> </tr> <tr> <td>Artículo 10, falta de exhibición</td> <td>Archivos de registro (artículos 12 y 19)</td> <td>Los registros del periodo del incidente</td> </tr> <tr> <td>Artículo 10, requisito de seguridad</td> <td>Requisitos de alto riesgo y evaluación de la conformidad</td> <td>Un requisito incumplido que protegía frente al daño</td> </tr> <tr> <td>Artículo 7, capacidad de aprender</td> <td>Gestión de riesgos (artículo 9) y vigilancia poscomercialización (artículo 72)</td> <td>Si el cambio estaba previsto y vigilado</td> </tr> <tr> <td>Artículo 7, ciberseguridad</td> <td>Artículo 15</td> <td>Las medidas y pruebas anteriores al daño</td> </tr> <tr> <td>Artículo 7, intervención de una autoridad</td> <td>Incidentes graves (artículo 73)</td> <td>Qué se notificó y qué medida siguió</td> </tr> <tr> <td>Artículo 7, grupo de usuarios</td> <td>Instrucciones de uso (artículo 13) y supervisión humana (artículo 14)</td> <td>Si el usuario pudo hacer un uso seguro</td> </tr> </table>

Dos relojes

El Reglamento de IA obliga al proveedor a conservar los archivos de registro al menos seis meses, igual que al responsable del despliegue. La acción prescribe a los tres años desde que el perjudicado conoció el daño, el defecto y el operador; el derecho se extingue a los diez años de la introducción en el mercado, veinticinco si la lesión corporal es latente. Quien conserve solo el mínimo habrá destruido legalmente la prueba que un juez puede pedirle nueve años después.

El desfase de 2027

Los requisitos de alto riesgo del anexo III se aplazaron al 2 de diciembre de 2027 por el Reglamento (UE) 2026/1744. Durante cerca de un año, la presunción por incumplimiento de un requisito obligatorio de seguridad tendrá poco contenido del Reglamento de IA en que apoyarse. Las presunciones por falta de exhibición y por complejidad técnica operan plenamente desde el primer día.

Transposición: quién llega al 9 de diciembre de 2026

A ocho semanas del plazo, el mapa que dibujan el seguimiento de Reed Smith y el informe de Faegre Drinker es desigual. <table header-row=»true»> <tr> <td>Estado miembro</td> <td>Situación</td> <td>Fecha o detalle</td> </tr> <tr> <td>Hungría</td> <td>Ley adoptada</td> <td>16 de diciembre de 2025, primer Estado miembro</td> </tr> <tr> <td>Lituania</td> <td>Ley adoptada por el Seimas</td> <td>25 de junio de 2026</td> </tr> <tr> <td>Croacia</td> <td>Transposición notificada a la Comisión</td> <td>Verano de 2026</td> </tr> <tr> <td>Alemania</td> <td>Aprobada por el Bundestag, pendiente del Bundesrat</td> <td>Votación de 8 de octubre de 2026</td> </tr> <tr> <td>Países Bajos y Eslovaquia</td> <td>Proyectos en tramitación parlamentaria</td> <td>Sin fecha</td> </tr> <tr> <td>Finlandia y Suecia</td> <td>Textos con variaciones nacionales</td> <td>Borrador finlandés de febrero de 2026; propuesta sueca prevista en otoño de 2026</td> </tr> <tr> <td>Italia</td> <td>Proceso legislativo iniciado</td> <td>Sin desviación significativa prevista</td> </tr> <tr> <td>Francia</td> <td>Grupo de trabajo interministerial</td> <td>Sin borrador publicado</td> </tr> <tr> <td>España</td> <td>Sin avances públicos conocidos</td> <td>Septiembre de 2026</td> </tr> <tr> <td>Portugal</td> <td>Trabajos preparatorios</td> <td>Sin borrador público</td> </tr> </table> La ley alemana es una transposición casi literal que conserva la exención de riesgos de desarrollo salvo para los productos de ingeniería genética. Las variaciones nacionales se concentran donde la directiva deja margen. El borrador finlandés suprime la exención de riesgos de desarrollo y elimina el calificativo de excesivas en el umbral de dificultad probatoria; Suecia también lo elimina. Para un grupo con varias filiales, la responsabilidad civil de la IA se juzgará con umbrales distintos, y una misma notificación de incidentes de IA no pesará igual en Helsinki que en Berlín. En España, el régimen vigente figura en los artículos 135 a 146 del texto refundido de la Ley General para la Defensa de los Consumidores y Usuarios (Real Decreto Legislativo 1/2007). Según Reed Smith, en septiembre de 2026 no constaba ningún avance público hacia la transposición.

Fuera de la Unión: tribunales y leyes de Estados Unidos

Al otro lado del Atlántico no hay régimen armonizado. El informe de RAND (2024) recuerda que el Derecho de daños estadounidense es sobre todo common law estatal y deja abiertas la responsabilidad por productos, la Primera Enmienda y la sección 230.

• Garcia contra Character Technologies (Distrito Medio de Florida): el 21 de mayo de 2025 el tribunal rechazó en gran parte la solicitud de desestimación, aceptó en esa fase que la aplicación de chatbot pudiera tratarse como producto y no consideró que su resultado fuera expresión protegida. Terminó en un acuerdo en enero de 2026, sin sentencia firme.
• Mobley contra Workday (Distrito Norte de California): en julio de 2024 el tribunal dejó continuar las pretensiones de discriminación contra el proveedor de software con una teoría de agencia, y en mayo de 2025 certificó condicionalmente una acción colectiva por discriminación por edad. Sigue pendiente.
• Moffatt contra Air Canada (2024 BCCRT 149, Canadá): el 14 de febrero de 2024, el Civil Resolution Tribunal de Columbia Británica declaró a la aerolínea responsable de la información inexacta de su chatbot.

En el plano legislativo, la AI LEAD Act (S.2937), presentada el 29 de septiembre de 2025 por los senadores Durbin y Hawley, calificaría los sistemas de IA como productos y crearía una acción federal; en octubre de 2026 no ha sido aprobada. California ha ido más rápido: la sección 1714.46 de su Código Civil, en vigor desde el 1 de enero de 2026, impide a quien desarrolló, modificó o utilizó un sistema de IA alegar que este causó el daño de forma autónoma. El mismo Estado ha regulado los chatbots de compañía. El American Law Institute aprobó además en octubre de 2024 su proyecto de principios sobre responsabilidad civil por inteligencia artificial. Para un grupo europeo, la responsabilidad civil de la IA supone que el mismo producto se enfrenta a dos regímenes probatorios. Un solo expediente, coherente en ambas orillas, protege mejor que dos relatos distintos.

Responsabilidad civil de la IA: el expediente probatorio en siete pasos

Preparar la responsabilidad civil de la IA antes de diciembre de 2026 consiste en dejar en condiciones de ser exhibido lo que ya existe.

1. Fije el papel y la fecha de cada sistema. Determine si su empresa es fabricante, proveedor de un componente, importador, autor de una modificación o usuario, y si el sistema se introdujo en el mercado antes o a partir del 9 de diciembre de 2026. Un registro de sistemas de IA es el lugar natural para anotarlo.
2. Decida qué es producto. Distinga el software autónomo, el componente y el servicio conexo, y anote qué actualizaciones siguen bajo su control.
3. Ajuste la conservación de registros al plazo de exposición. La referencia son los diez años, no el mínimo de seis meses.
4. Mantenga la documentación legible. El tribunal puede exigir una prueba fácilmente accesible y comprensible; un expediente de riesgos que nadie sabe leer funciona como una falta de exhibición.
5. Lleve un registro de actualizaciones y modificaciones. Anote cada cambio de modelo, reentrenamiento o ajuste fino junto con la evaluación de riesgos que lo preveía, o con la constancia de que no lo preveía: es el criterio del artículo 4, apartado 18.
6. Revise los contratos. Ninguna cláusula excluye la responsabilidad frente al perjudicado. Organice el regreso en la cadena, compruebe la renuncia admitida frente a pequeñas empresas de software y pida a sus proveedores las pruebas que a usted le ordenarían exhibir.
7. Conecte la gestión de incidentes con las reclamaciones. Una notificación de incidente grave conforme al artículo 73, una recuperación o una medida correctiva son circunstancias de defectuosidad. Prepare la solicitud de protección de secretos comerciales y revise sus pólizas.

Una auditoría de IA periódica comprueba que siguen al día. El AI Registry de AI Sigil reúne por sistema el papel, la documentación y el historial de cambios.

Preguntas frecuentes

¿Puede una IA ser jurídicamente responsable? No. Un sistema de IA no tiene personalidad jurídica ni patrimonio y no puede ser demandado. La responsabilidad civil de la IA recae siempre en una persona física o jurídica. En Moffatt contra Air Canada, el tribunal no aceptó que el chatbot fuera una entidad distinta de la aerolínea, y California prohíbe desde 2026 alegar que la IA actuó de forma autónoma. ¿Quién responde cuando un sistema de IA causa un daño? Depende del papel de cada operador. En la responsabilidad civil de la IA, la directiva sitúa primero al fabricante, que incluye al proveedor del sistema de IA, y al fabricante de un componente. Si el fabricante está fuera de la Unión, responden el importador, el representante autorizado y, en su defecto, el prestador de servicios de tramitación de pedidos. Quien modifica sustancialmente el sistema pasa a ser fabricante. El mero usuario responde por culpa según el Derecho nacional. ¿Qué ha pasado con la Directiva sobre responsabilidad en materia de IA? La Comisión presentó la propuesta el 28 de septiembre de 2022 y la retiró en su programa de trabajo para 2025, publicado el 11 de febrero de 2025, por no preverse un acuerdo. En octubre de 2026 no existe propuesta sucesora. La responsabilidad por culpa sigue regida por cada Derecho nacional, y el único texto europeo específico es la directiva de productos defectuosos. ¿Se aplica la directiva de productos defectuosos al SaaS y a los modelos de código abierto? Al SaaS, sí: el software es producto con independencia de su modo de suministro, también en la nube. A los modelos de código abierto, depende: la directiva excluye el software libre y de código abierto desarrollado o suministrado al margen de una actividad comercial. La exclusión no alcanza al que se suministra comercialmente. El mero código fuente no se considera producto. ¿Ha ganado ya alguien un pleito por un sistema de IA? Sí, pero los precedentes son escasos. En Moffatt contra Air Canada, un tribunal de Columbia Británica condenó en febrero de 2024 a la aerolínea por la información inexacta de su chatbot. En Estados Unidos, el asunto Garcia superó en mayo de 2025 la fase de desestimación, pero terminó en un acuerdo en enero de 2026, sin sentencia. Mobley contra Workday sigue pendiente. ¿Qué es un seguro de responsabilidad civil de la IA y sustituye al expediente probatorio? No existe todavía un producto de seguro estandarizado. Según un análisis de la IAPP de 7 de enero de 2026, algunas aseguradoras tratan de excluir la IA de las pólizas corporativas y muchas tratan estos riesgos como extensión de las coberturas de ciberriesgo, responsabilidad profesional y errores y omisiones. El seguro financia la indemnización, pero no impide la presunción de defecto.

Conclusión

La responsabilidad civil de la IA no se resolverá en Europa con una gran teoría sobre la autonomía de las máquinas, sino con documentos. La Directiva (UE) 2024/2853 convierte el software en producto, permite al juez ordenar la exhibición de pruebas y presume el defecto ante el silencio del fabricante, un requisito de seguridad incumplido o la complejidad del caso. El Reglamento de IA dice qué documentos deben existir; la directiva dice qué ocurre cuando faltan. Este artículo ofrece información jurídica general y no constituye asesoramiento jurídico. La fecha que cuenta es el 9 de diciembre de 2026, y lo que conviene tener listo ese día es el expediente probatorio.