Tu empresa usa IA sin control: cuándo respondes como administrador con tu patrimonio

Un cliente reclama porque un algoritmo de scoring le denegó una operación. Un proveedor descubre que el precio que le ofreciste lo fijó una herramienta que nadie de tu equipo sabe explicar. Una previsión de tesorería generada automáticamente resultó estar mal y la sociedad tomó decisiones sobre ella. En los tres casos la primera pregunta que se hace todo el mundo es cuánto puede multar la administración a la empresa. Es la pregunta equivocada si el cargo que ocupas es el de administrador.

El Reglamento europeo de inteligencia artificial sanciona a la sociedad. La multa, si llega, la paga la sociedad y entra en su pasivo. La responsabilidad de administradores funciona por otra vía y tiene otro destinatario: tú, con tus bienes. Esa segunda vía no depende de que haya multa, ni de que el sistema sea de alto riesgo, ni de que exista todavía una autoridad española con procedimiento sancionador aprobado. Depende de cómo tomaste la decisión y de si puedes acreditarlo. Esta guía explica dónde está esa frontera.

Dos reclamaciones distintas que conviene no confundir

La primera es administrativa. El artículo 99 del Reglamento (UE) 2024/1689 fija tres tramos de multa: hasta 35 millones de euros o el 7% del volumen de negocios mundial por las prácticas prohibidas del artículo 5; hasta 15 millones o el 3% por el incumplimiento del resto de obligaciones, incluida la transparencia del artículo 50; y hasta 7,5 millones o el 1% por facilitar información incorrecta o engañosa a las autoridades. Para pymes y empresas emergentes se aplica el importe menor de los dos, no el mayor. El destinatario de esa sanción es siempre la empresa.

El calendario importa para medir el riesgo real. El Reglamento es de aplicación general desde el 2 de agosto de 2026, y desde esa fecha corresponde a la Oficina Europea de IA y a las autoridades nacionales aplicarlo y hacerlo cumplir. El Reglamento (UE) 2026/1744, el llamado Ómnibus digital sobre IA, en vigor desde el 27 de julio de 2026, desplazó las obligaciones de los sistemas de alto riesgo del Anexo III al 2 de diciembre de 2027 y las del Anexo I al 2 de agosto de 2028. En España, el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial (expediente 121/000096), que designaba autoridades de vigilancia del mercado y concretaba el procedimiento sancionador nacional, caducó el 6 de octubre de 2026 con la disolución de las Cortes Generales que acordó el Real Decreto 806/2026, de 5 de octubre. Si quieres el detalle de esos plazos, lo desglosamos en qué te exige hoy el AI Act como empresa.

La segunda reclamación es civil y va contra el administrador. El artículo 236.1 de la Ley de Sociedades de Capital establece que los administradores responden frente a la sociedad, frente a los socios y frente a los acreedores sociales del daño que causen por actos u omisiones contrarios a la ley o a los estatutos, o por los realizados incumpliendo los deberes inherentes al cargo, siempre que haya mediado dolo o culpa. La culpabilidad se presume cuando el acto es contrario a la ley o a los estatutos.

Las dos vías se cruzan en un punto concreto. Si la sociedad paga una multa por un incumplimiento que era evitable con una supervisión ordinaria, esa multa es un daño en el patrimonio social. Y un daño en el patrimonio social es exactamente lo que la acción social de responsabilidad sirve para reclamar. La sanción administrativa no es el final del asunto para el administrador: puede ser el hecho probado con el que se construye la demanda posterior.

Qué exige el deber de diligencia cuando hay una IA de por medio

El artículo 225 LSC obliga a desempeñar el cargo con la diligencia de un ordenado empresario, teniendo en cuenta la naturaleza del cargo y las funciones atribuidas. Añade dos deberes que suelen pasar desapercibidos y que aquí son los relevantes. El apartado 2 exige dedicación adecuada y la adopción de las medidas precisas para la buena dirección y el control de la sociedad. El apartado 3 configura la información como un deber, no como una facultad: el administrador tiene el deber de exigirla y el derecho de recabarla.

Es una obligación de medios. La ley no te pide acertar. Te pide organizar la información, el control y la supervisión de la actividad de forma razonable, decidir informado y reaccionar de manera proporcionada cuando aparece una señal de riesgo relevante. El cumplimiento normativo forma parte de ese deber, y ahí es donde la IA deja de ser un asunto técnico del departamento de producto.

Trasladado a una empresa que usa inteligencia artificial, el estándar se traduce en preguntas bastante concretas. Qué sistemas hay en uso, incluidos los que llegaron dentro de herramientas de terceros. Qué decisiones toma cada uno o sobre cuáles influye. Quién los supervisa y con qué margen real para corregir o detener el sistema. Qué queda registrado de todo eso. Ninguna de esas preguntas es sobre el modelo. Todas son sobre la organización que lo usa.

Delegar en la IA y no supervisarla: dónde está el límite

El artículo 226 LSC protege la discrecionalidad empresarial. Cuando la decisión es estratégica o de negocio, el estándar del ordenado empresario se entiende cumplido si el administrador actuó de buena fe, sin interés personal en el asunto, con información suficiente y con arreglo a un procedimiento de decisión adecuado. Es un puerto seguro que impide al juez revisar el acierto de la decisión con la ventaja de saber cómo acabó.

Ese puerto seguro tiene una condición de entrada que se olvida a menudo: no hay presunción de que los cuatro requisitos concurran. Doctrina y jurisprudencia coinciden mayoritariamente en que corresponde al administrador demandado probar que decidió informado y desinteresadamente. Invocar el artículo 226 sin acreditar nada no sirve de mucho en juicio.

Aquí es donde una decisión apoyada en IA se vuelve frágil. Adoptar un sistema de inteligencia artificial para una función de negocio es, con normalidad, una decisión estratégica amparada por el artículo 226. Lo que el precepto no cubre es lo que viene después. La salida de un sistema no equivale por sí sola a información suficiente cuando nadie en la organización puede explicar en qué se basa, verificar el dato o detectar que se ha degradado. Y un procedimiento de decisión adecuado difícilmente puede acreditarse si no quedó constancia de quién revisó qué.

Dos sentencias del Tribunal Supremo delimitan bien ese borde, aunque ninguna trate de inteligencia artificial. La STS 443/2023, de 31 de marzo (ECLI:ES:TS:2023:1290) resolvió una acción social contra los consejeros de una operadora de telecomunicaciones por no haber implantado los controles necesarios para cortar un fraude de IVA de sus proveedores desde que tuvieron conocimiento de él. El Supremo apreció la responsabilidad y descartó el amparo de la discrecionalidad empresarial: en ámbitos reglados, el control judicial no recae sobre el resultado económico, sino sobre la corrección del proceso de información y deliberación. Conviene añadir el desenlace completo, porque también dice algo. La demanda pedía 140.040.000 euros y el litigio acabó reducido a un periodo temporal acotado y a una cifra de otro orden. Que la acción prospere no significa que prospere por lo que se pedía.

La STS 1090/2025, de 9 de julio (ECLI:ES:TS:2025:3406), resolviendo un recurso frente a la Audiencia Provincial de Málaga, aborda el supuesto que aquí interesa: incumplimientos del órgano de administración que terminan en una sanción administrativa a la sociedad. Cuando eso ocurre, la discrecionalidad empresarial no opera como escudo y el examen se concentra en la antijuridicidad de la conducta y en la infracción del deber de diligencia.

Ninguna de las dos trata de algoritmos. No consta, a fecha de hoy, ningún pronunciamiento español que aplique el artículo 236 LSC a una decisión de gestión adoptada con apoyo de un sistema de IA. La analogía útil no está en la tecnología: está en el patrón de conducta. Un riesgo conocido, una capacidad de control que existía y una omisión documentada. Ese es el mismo esqueleto probatorio, se llame fraude carrusel o modelo de scoring sin supervisión.

Quién puede demandarte y qué tiene que probar

Hay dos acciones distintas y conviene saber cuál es cuál, porque cambian el legitimado y el daño reclamable.

La acción social (artículo 238 LSC) repara el daño causado al patrimonio de la sociedad. La ejerce en principio la propia sociedad, previo acuerdo de la junta general. Si la junta no la aprueba, o si los administradores no convocan la junta solicitada, o si la sociedad no la entabla en el plazo de un mes, la puede ejercitar la minoría que represente al menos el 5% del capital (artículo 239 LSC). Y si el patrimonio social resulta insuficiente para satisfacer sus créditos, los acreedores pueden ejercitarla de forma subsidiaria (artículo 240 LSC). Este es el cauce natural cuando el daño es una multa, una pérdida de negocio o el coste de reparar un incumplimiento.

La acción individual (artículo 241 LSC) es distinta. Repara el daño directo en el patrimonio de un socio o de un tercero, sin pasar por el patrimonio social. La ejerce el perjudicado.

En ambos casos el demandante tiene que acreditar tres cosas de forma acumulativa: una conducta antijurídica del administrador, un daño y una relación de causalidad entre una cosa y otra. La presunción de culpabilidad del artículo 236.1 solo alivia la prueba del elemento subjetivo cuando el acto contraviene la ley o los estatutos, y no ahorra ninguna de las otras tres. El nexo causal es, con diferencia, donde más demandas se caen. La STS 580/2019, de 5 de noviembre (ECLI:ES:TS:2019:3625) desestimó una acción individual precisamente por ahí, al no poder anudarse la falta de cobro del acreedor a la conducta imputada al administrador.

Tres reglas adicionales conviene tener presentes, porque desmontan defensas que suenan razonables y no lo son. La primera: el artículo 236.2 dispone que en ningún caso exonera de responsabilidad que el acto o acuerdo lesivo haya sido adoptado, autorizado o ratificado por la junta general. Que el consejo aprobara desplegar la herramienta no cierra el asunto. La segunda: el artículo 236.3 extiende la responsabilidad al administrador de hecho, incluido quien no figura en el cargo pero bajo cuyas instrucciones actúan los administradores. La tercera: si el detonante de la reclamación es que la sociedad no puede pagar, el terreno cambia y entran en juego los artículos 367 y 241 LSC, que tienen presupuestos propios; lo explicamos para el caso en que el detonante es la insolvencia, no un fallo de gobierno de la IA, y con carácter general en la guía general de cuándo respondes con tu patrimonio como administrador.

Hasta aquí llega lo que puedes comprobar por tu cuenta. Determinar si una decisión de gestión concreta cruzó esa frontera exige revisar la documentación real del caso: qué se decidió, con qué información, quién lo revisó y qué quedó registrado. Eso es un análisis caso por caso y no se resuelve con una lista. Si te han reclamado o anticipas que van a hacerlo, y la cuantía en juego se acerca o supera los 10.000 €, puedes reservar una videoconsulta de 60 minutos por 90 € (IVA incluido, pago por adelantado), que se descuenta de los honorarios si finalmente te proponemos un encargo. Si el cálculo no sale a tu favor, te lo decimos en la propia consulta.

Lo que conviene tener resuelto antes de que llegue la demanda

La posición defensiva de un administrador en esta materia se construye antes del conflicto, y es prueba documental antes que argumento jurídico. Cuatro cosas hacen casi todo el trabajo: un inventario de los sistemas de IA en uso, incluidos los que entraron dentro de software de terceros; una decisión escrita, por sistema, sobre quién lo supervisa y con qué facultad de corregirlo o pararlo; constancia de las revisiones efectivamente hechas, con fecha; y contratos con los proveedores que permitan exigirles la información técnica que tú necesitas para cumplir.

Ninguna de esas cuatro cosas exige tecnología. Exigen una decisión de gobierno y que quede por escrito. Construirlas cuando no hay conflicto cuesta unas semanas de trabajo ordenado; reconstruirlas cuando ya hay una demanda no suele ser posible, porque lo que faltaba entonces sigue faltando ahora. Si el punto de partida es no saber siquiera qué sistemas hay ni en qué posición está la empresa, ese es el objeto de una auditoría de gobernanza de IA antes de que llegue la demanda.

PREGUNTAS FRECUENTES

¿Esto solo afecta a la IA de alto riesgo o a cualquier uso de IA en la empresa?

A cualquier uso. La clasificación de alto riesgo determina qué obligaciones del Reglamento europeo recaen sobre la empresa y desde cuándo. El deber de diligencia de los artículos 225 y 226 LSC no depende de esa clasificación: se mide por la relevancia de la decisión y por el control que era razonable esperar de ti. Una herramienta de riesgo mínimo que fija precios o filtra clientes puede generar un daño patrimonial perfectamente reclamable.

¿El seguro de responsabilidad civil de administradores cubre esto?

Depende del condicionado concreto de la póliza, y conviene leerlo antes de necesitarlo. Como regla general, las pólizas D&O cubren la responsabilidad civil por actos negligentes en el ejercicio del cargo, que es justamente el supuesto del artículo 236 LSC. Hay dos límites habituales. La conducta dolosa queda fuera, porque el artículo 19 de la Ley de Contrato de Seguro excluye el siniestro causado por mala fe del asegurado. Y la multa administrativa impuesta a la sociedad no es responsabilidad civil del administrador, de modo que su cobertura no se presume: si aparece, será por una extensión específica del contrato.

¿Afecta también al socio que no es administrador pero impuso el uso de la herramienta?

Puede afectarle. El artículo 236.3 LSC extiende la responsabilidad al administrador de hecho, y define como tal tanto a quien ejerce las funciones propias del cargo sin título como a aquella persona bajo cuyas instrucciones actúan los administradores. La condición se valora por la conducta real, no por lo que diga el Registro Mercantil. Un socio de control que decide qué sistemas se despliegan y cómo se usan puede acabar en esa categoría.

¿Cuánto tiempo tienen para demandarme?

El artículo 241 bis LSC fija cuatro años, tanto para la acción social como para la individual, contados desde el día en que la acción hubiera podido ejercitarse. Ese día inicial no coincide necesariamente con el de la decisión: en un daño que aflora tarde, como suele ocurrir con un fallo de control, el cómputo arranca cuando la acción pudo ejercitarse de forma efectiva. Este plazo es el de las acciones de responsabilidad por daño y no debe confundirse con el de la responsabilidad por deudas sociales del artículo 367 LSC, que sigue una regla distinta.

Si el fallo es del proveedor de la IA, ¿eso me exonera?

No de forma automática, y por dos motivos. El primero es interno: contratar a un tercero no traslada el deber de supervisión, que es indelegable en su núcleo; lo que se delega es la ejecución, no el control. El segundo es regulatorio: el artículo 25 del Reglamento europeo puede atribuir a tu empresa la condición de proveedor sin que lo hayáis decidido, por poner el sistema bajo vuestra marca, modificarlo sustancialmente o darle una finalidad distinta de la prevista. La acción de la sociedad contra el proveedor por incumplimiento contractual existe y puede tener recorrido, pero es un pleito distinto y no impide el que se dirija contra ti.