Respuesta corta: la responsabilidad legal de agentes IA no recae automáticamente en el usuario, el proveedor o el desarrollador cuando un sistema causa un daño. La respuesta depende del contrato, del origen del fallo, del tipo de daño y del papel real de cada parte. En España pueden concurrir responsabilidad contractual, extracontractual, normas de consumo, protección de datos y regulación sectorial.
Última revisión jurídica y editorial: 12 de agosto de 2026. Esta guía explica de forma general la responsabilidad legal de los agentes de IA en España y la Unión Europea. No sustituye el asesoramiento de un abogado para un caso concreto.
Quién puede responder si un agente de IA se equivoca
Un agente autónomo puede enviar un correo incorrecto, aceptar una condición, borrar datos, recomendar una decisión o ejecutar una operación sin la revisión esperada. Para saber quién responde hay que reconstruir qué ocurrió y qué función tenía cada participante.
- La empresa que lo utiliza puede responder por una configuración negligente, permisos excesivos, falta de supervisión, incumplimiento contractual o decisiones tomadas a partir de la salida del sistema.
- El proveedor o desarrollador puede responder si el daño procede de un defecto atribuible al producto, una vulnerabilidad, información de seguridad insuficiente o el incumplimiento de sus obligaciones contractuales o legales.
- Un integrador o consultora puede tener responsabilidad si diseñó mal el flujo, ignoró riesgos previsibles o incumplió el alcance contratado.
- Varias partes pueden compartir responsabilidad cuando sus actuaciones contribuyeron al mismo daño.
El agente de IA no es una persona jurídica independiente que pueda asumir por sí mismo la deuda o la indemnización. La reclamación se dirige contra las personas físicas o jurídicas a las que el ordenamiento atribuya responsabilidad.
Responsabilidad legal de agentes IA: normas aplicables en España
1. Responsabilidad contractual
Si existe un contrato entre las partes, hay que empezar por sus obligaciones, garantías, límites válidos de responsabilidad y niveles de servicio. El artículo 1101 del Código Civil contempla la indemnización por daños cuando una parte incurre en dolo, negligencia, morosidad o contraviene lo pactado. En un servicio profesional, delegar una tarea en un agente no elimina las obligaciones asumidas frente al cliente.
2. Responsabilidad extracontractual
Cuando no hay contrato con la persona perjudicada, el artículo 1902 del Código Civil establece la obligación de reparar el daño causado por acción u omisión con culpa o negligencia. El artículo 1903 regula además determinados supuestos de responsabilidad por actos de otras personas, incluidos los dependientes en el servicio de una empresa. Su aplicación a un incidente de IA exige analizar los hechos y la jurisprudencia; no basta con llamar «desplegador» a una parte.
3. Productos defectuosos y protección de consumidores
El texto refundido de la Ley General para la Defensa de los Consumidores y Usuarios ya contiene un régimen específico para daños causados por productos defectuosos. También regula la responsabilidad por servicios defectuosos. El encaje de un sistema de software, el tipo de perjuicio indemnizable y la condición de consumidor o profesional deben estudiarse caso por caso.
4. Protección de datos y normas sectoriales
Si el agente trata datos personales, se aplican el RGPD y la normativa española de protección de datos. En sanidad, finanzas, empleo, seguros, consumo o servicios jurídicos pueden añadirse reglas sectoriales. Un mismo incidente puede generar, por separado, una reclamación civil, obligaciones ante una autoridad y consecuencias contractuales.
Qué cambia con la Directiva (UE) 2024/2853
En materia de responsabilidad legal de agentes IA, la Directiva europea actualiza la responsabilidad por productos defectuosos e incluye expresamente los programas informáticos en el concepto de producto. Es relevante para sistemas de IA, pero no convierte automáticamente a toda empresa usuaria en responsable objetiva.
El artículo 8 identifica, según el caso, a operadores económicos como el fabricante del producto defectuoso, el fabricante de un componente, el importador, el representante autorizado, el prestador de servicios logísticos o el distribuidor. También puede responder quien realice una modificación sustancial fuera del control del fabricante y comercialice o ponga en servicio el producto modificado.
Una organización que solo usa una herramienta de un tercero no pasa a ser fabricante por el mero uso. La conclusión puede cambiar si desarrolla el producto para uso propio, lo presenta bajo su marca, lo modifica sustancialmente o desempeña otro papel incluido en la Directiva.
Responsabilidad objetiva no significa responsabilidad automática
En el régimen de producto defectuoso no es necesario demostrar la culpa del operador responsable. Sin embargo, la persona perjudicada debe acreditar, con las reglas y presunciones previstas, el daño indemnizable, el carácter defectuoso del producto y la relación causal. La Directiva facilita la prueba en determinadas situaciones de complejidad técnica, pero no elimina todos esos requisitos.
Tampoco cubre cualquier pérdida imaginable. Su ámbito se centra en daños sufridos por personas físicas y en categorías concretas, como muerte o lesiones, determinados daños a bienes y destrucción o corrupción de datos no utilizados con fines profesionales. Una multa fiscal o una pérdida puramente empresarial no queda automáticamente cubierta por este régimen y puede depender, por ejemplo, de la responsabilidad contractual o profesional.
Fechas correctas en 2026
- 9 de diciembre de 2026: fecha límite para que los Estados miembros transpongan la Directiva.
- Después del 8 de diciembre de 2026: fecha aplicable a los productos introducidos en el mercado o puestos en servicio, conforme a la corrección de errores publicada el 7 de mayo de 2026.
- Los productos anteriores siguen sujetos al régimen previo y las normas nacionales contractuales o extracontractuales continúan siendo relevantes.
A fecha de esta revisión, la transposición española debe comprobarse de nuevo antes de tomar una decisión jurídica, porque el texto nacional puede concretar el procedimiento y su coordinación con la normativa vigente.
AI Act y responsabilidad civil: son marcos distintos
Para analizar la responsabilidad legal de agentes IA conviene separar la indemnización de las obligaciones regulatorias. El Reglamento de Inteligencia Artificial, conocido como AI Act, establece prohibiciones, obligaciones de transparencia, gobernanza y requisitos para determinados sistemas. No crea un régimen general que decida por sí solo quién paga cada daño.
Desde el 2 de agosto de 2026 se aplican, entre otras disposiciones, determinadas obligaciones de transparencia del artículo 50. No significan que todo agente deba mostrar siempre el mismo aviso: dependen del tipo de sistema y del uso. Por ejemplo, hay reglas específicas cuando una persona interactúa directamente con IA, para ciertos contenidos generados o manipulados, y para sistemas de reconocimiento de emociones o categorización biométrica.
El cumplimiento o incumplimiento del AI Act puede ser relevante como evidencia de diligencia, seguridad o defecto, pero la indemnización seguirá dependiendo de las normas civiles y del caso concreto. Además, el calendario de los sistemas de alto riesgo fue modificado en 2026: conviene verificar la fecha aplicable al supuesto exacto y no usar una cronología antigua.
Matriz práctica: dónde mirar primero
| Situación | Pregunta clave | Marco que puede ser relevante |
|---|---|---|
| El agente incumple lo prometido a un cliente | ¿Qué obligaciones asumió la empresa? | Contrato, artículo 1101 CC y normativa profesional |
| Se causa daño a un tercero sin contrato | ¿Hubo acción u omisión negligente y nexo causal? | Artículos 1902 y 1903 CC |
| El software presenta un defecto de seguridad | ¿Quién es fabricante u operador económico y qué daño se produjo? | Régimen de productos defectuosos |
| El agente filtra o usa datos personales indebidamente | ¿Quién decide los fines y medios del tratamiento? | RGPD, LOPDGDD, contratos y seguridad |
| Se usa IA en empleo, crédito, salud u otro ámbito regulado | ¿Es un uso de alto riesgo o sujeto a reglas sectoriales? | AI Act y normativa sectorial |
Caso práctico: una gestoría usa un agente fiscal
Una gestoría configura un agente para clasificar facturas y preparar una declaración. El sistema interpreta mal un documento y el cliente recibe una sanción. No puede concluirse sin más que «responde el desplegador» ni que «responde el proveedor».
- Hay que revisar el contrato de la gestoría con el cliente y el nivel de supervisión profesional exigible.
- Debe determinarse si el error procede del modelo, de una integración, de instrucciones inadecuadas, de datos incorrectos o de una decisión humana.
- Hay que estudiar el contrato entre la gestoría, el integrador y el proveedor, incluidas garantías y obligaciones de seguridad.
- La sanción económica de un cliente profesional no pasa automáticamente al régimen europeo de productos defectuosos; puede encajar mejor en responsabilidad contractual o profesional.
Los registros de actividad, las versiones del modelo, las instrucciones utilizadas y las revisiones humanas serán esenciales para reconstruir el incidente.
Checklist para reducir la exposición legal
- Inventaría los agentes en producción. Incluye automatizaciones creadas por departamentos sin un proceso central.
- Asigna un responsable humano y un propietario técnico. Debe estar claro quién autoriza cambios, revisa incidentes y puede detener el sistema.
- Clasifica el riesgo por acción. No es igual redactar un borrador que enviar pagos, firmar contratos o tomar decisiones sobre personas.
- Aplica mínimo privilegio. Limita datos, herramientas, importes y acciones. Consulta nuestra guía de seguridad y permisos para agentes de IA.
- Introduce aprobación humana efectiva. Define umbrales y operaciones que el agente nunca pueda ejecutar solo.
- Conserva trazabilidad. Registra entradas, salidas, versiones, herramientas llamadas, aprobaciones y cambios de configuración, respetando la protección de datos.
- Prueba escenarios adversos. Incluye inyección de instrucciones, datos incompletos, duplicados, caída de servicios y acciones fuera de alcance.
- Revisa contratos y proveedores. Comprueba seguridad, notificación de incidentes, auditoría, subencargados, propiedad intelectual y reparto de responsabilidad.
- Prepara un plan de incidentes. Debe permitir detener el agente, preservar pruebas, corregir el daño y notificar cuando proceda.
- Obtén asesoramiento especializado. Es especialmente importante en usos con impacto sanitario, financiero, laboral, legal o sobre derechos fundamentales.
Preguntas frecuentes
¿Siempre responde la empresa que utiliza el agente?
La responsabilidad legal de agentes IA exige analizar cada papel. La empresa puede responder si incumple un contrato, actúa con negligencia o vulnera una norma, pero la causa del daño puede estar en un defecto atribuible al fabricante, en una integración o en varias partes a la vez.
¿El proveedor del modelo nunca responde?
Tampoco es correcto. Su posible responsabilidad depende de su papel jurídico, del defecto o incumplimiento alegado, del contrato, de la información facilitada y del nexo con el daño. Un proveedor no queda exonerado automáticamente por llamar «experimental» al sistema.
¿La Directiva 2024/2853 hace responsable al desplegador?
No por el simple hecho de usar IA. La Directiva se centra en los operadores económicos enumerados en su artículo 8. Una empresa usuaria puede entrar en alguna categoría si, por ejemplo, fabrica para uso propio, comercializa bajo su marca o modifica sustancialmente el producto, pero requiere un análisis concreto.
¿Cumplir el AI Act evita una reclamación civil?
No. El cumplimiento ayuda a gestionar riesgos y puede ser relevante como prueba de diligencia, pero no elimina automáticamente la responsabilidad contractual, extracontractual, de producto o de protección de datos.
¿Es obligatorio contratar un seguro para agentes de IA?
No existe una obligación general de asegurar cualquier agente de IA. La conveniencia y las coberturas deben estudiarse según la actividad, el riesgo y las exclusiones de la póliza. Un seguro no sustituye los controles técnicos y organizativos.
Fuentes oficiales
- Código Civil español, especialmente artículos 1101, 1902 y 1903.
- Real Decreto Legislativo 1/2007, texto refundido de la Ley General para la Defensa de los Consumidores y Usuarios.
- Directiva (UE) 2024/2853 sobre responsabilidad por los daños causados por productos defectuosos.
- Corrección de errores de 7 de mayo de 2026, que corrige la fecha del artículo 2.1.
- Reglamento (UE) 2024/1689 de Inteligencia Artificial.
- Comisión Europea: guía de aplicación del AI Act, con el calendario actualizado.
Contenido divulgativo. Las normas, su transposición y su interpretación pueden cambiar. Comprueba siempre la versión vigente y solicita asesoramiento profesional antes de actuar.
