¿Quién responde legalmente cuando una IA contrata, decide o causa un daño?

Cada vez más tareas las hace una máquina. El chatbot de la aerolínea contesta tus reclamaciones, un algoritmo decide si te conceden un préstamo y, con la llegada de los agentes de IA, ya hay programas que te reservan el hotel o te hacen la compra mientras tú haces otra cosa. El debate público discute si la inteligencia artificial acabará con el empleo o con la humanidad, pero los daños que ya ocurren son más pequeños y más cercanos: un reembolso prometido que no llega, una compra que no hiciste, una transferencia que no ordenaste. ¿Quién responde por lo que hace una IA? Siempre una persona. La IA no es sujeto de derecho, así que la responsabilidad acaba en una persona física o jurídica. El riesgo está en que acabe en la equivocada, y la última de la fila suele ser la víctima.

Esta guía te da un criterio para no caer en esa trampa y lo aplica a seis situaciones cotidianas, del chatbot que promete demasiado al robot que te quema la mano.

Índice
1. La regla de partida: alguien tiene que pagar
2. Cuatro posiciones ante un daño
3. Dónde se esconde la trampa con la IA
4. Seis casos cotidianos
5. ¿Por qué vía se reclama?
6. La prueba, en manos de quien tiene los registros
7. Las fechas que importan
8. Cómo reparte el riesgo quien automatiza
9. Preguntas frecuentes

La regla de partida: alguien tiene que pagar

La IA es una herramienta, y detrás de toda herramienta hay una persona que responde de los daños que causa, por lo que hace y por lo que deja de hacer. Responde quien la fabricó, quien la vende, quien la usa en su negocio o quien la maneja, según dónde estuviera el fallo.

Europa estuvo a punto de pensarlo de otra manera. En febrero de 2017, el Parlamento Europeo pidió estudiar una personalidad jurídica específica para los robots: los más autónomos serían «personas electrónicas» que repararían por sí mismas sus daños. Más de 150 expertos en robótica, IA, Derecho y ética respondieron con una carta abierta en contra, el grupo de expertos de la Comisión concluyó en 2019 que el daño debe atribuirse a personas que ya existen y el propio Parlamento rectificó en 2020. Una persona electrónica habría sido un deudor con los bolsillos vacíos, una máquina a la que demandar y de la que nunca cobrar.

Que la regla esté clara no significa que sea fácil aplicarla. La IA es una herramienta muy compleja: falla de formas difíciles de explicar, la fabrican unos, la configuran otros y la usan terceros, y su funcionamiento queda registrado en servidores a los que la víctima no llega. Esa complejidad es el terreno ideal para esquivar la responsabilidad. «Fue el algoritmo» suena a explicación y casi siempre es una excusa.

La IA no cambia una regla tan antigua como el Derecho: alguien tiene que pagar. El trabajo jurídico consiste en que pague quien debe.

Ese es el oficio de un abogado especializado en IA: impedir que el atractivo y la complejidad de la tecnología trasladen el daño a quien lo sufrió.

Cuatro posiciones ante un daño

Ante cualquier daño, cada persona implicada ocupa una de cuatro casillas, según deba responder o no y según acabe respondiendo o no.

Las dos casillas que importan son las de los errores. El falso positivo es quien acaba pagando sin deberlo: el cliente al que el banco cobra una transferencia que no ordenó, el usuario al que la plataforma le carga una compra que no autorizó. El falso negativo es quien debía responder y se escapa: la empresa que se escuda en su proveedor, el fabricante que culpa al usuario. El trabajo del abogado consiste en desplazar la responsabilidad del primero al segundo.

También existe el verdadero negativo, y conviene no olvidarlo. Hay daños de los que nadie responde, porque los causó la propia víctima o porque el fabricante demuestra que, cuando puso el producto en circulación, la ciencia y la técnica no permitían detectar el defecto. La tarea consiste en distinguir ese caso de la excusa que se le parece.

Dónde se esconde la trampa con la IA

En cuatro fronteras, cada una con su excusa favorita. Son las líneas por las que la responsabilidad se desliza con más facilidad hacia quien no debe:

• Proveedor frente a empresa que la usa. La empresa dice que el fallo es del modelo que contrató; el proveedor dice que la empresa lo configuró mal. Mientras discuten, nadie te paga. En un robo advisor, por ejemplo, el supervisor financiero pregunta quién responde ante el cliente de la recomendación, como cuenta la pieza sobre el robo advisor que recomienda inversiones con IA.
• Empresa frente a usuario. «Tú lo aceptaste», «la orden salió de tu cuenta», «el sistema registra que usaste tu clave». La empresa tiene los registros y tú no.
• Alguien frente a nadie. «Nadie podía preverlo», «el sistema aprende solo». A veces es verdad. Muchas veces es la forma de convertir un falso negativo en un verdadero negativo.
• Operadores frente al Estado. «Cumplíamos la norma», o «la norma todavía no existe». Cuando el legislador llega tarde, el riesgo es que el hueco lo pague la víctima. Hoy ninguna autoridad española puede multar por incumplir el AI Act, como explica el checklist del AI Act.

Seis casos cotidianos

En casi todos, la respuesta corta es la misma: reclama a quien tiene contrato contigo o a quien explota el sistema, y deja que sean ellos quienes se repartan después la culpa.

1. El chatbot que te promete lo que la empresa no quería prometer

Responde la empresa que lo usa. Tras la muerte de su abuela, en noviembre de 2022, Jake Moffatt preguntó al chatbot de Air Canada si podía pedir la tarifa reducida por fallecimiento después de volar. El chatbot le dijo que sí, en los 90 días siguientes a la emisión del billete. La política real de la aerolínea, publicada en otra página de su web, decía lo contrario.

La trampa. Air Canada llegó a sostener que no respondía de la información que dieran sus agentes o representantes, chatbot incluido. El tribunal de resolución civil de la Columbia Británica contestó en febrero de 2024 que eso equivalía a tratar al chatbot como una persona jurídica distinta, y que una empresa responde de toda la información de su web, la escriba una persona o la genere un programa. La condenó a devolverle la diferencia: 650,88 dólares canadienses, más intereses y tasas.

Quién responde. La empresa, frente a ti. Si el fallo venía del modelo que contrató, eso lo arregla después con su proveedor, que es la primera frontera de la lista. La ley europea obliga además a que sepas que hablas con una máquina cuando no resulte evidente, y el calendario de esas obligaciones está en la pieza sobre lo que exige el AI Act el 2 de diciembre a quien genera contenido con IA.

Qué puedes hacer.

• Haz capturas de la conversación con su fecha y su hora en cuanto te prometan algo.
• Reclama a la empresa por escrito y adjunta las capturas: lo que dijo su canal de atención forma parte de lo que te ofreció.

2. El agente que compra o reserva lo que no querías

Depende de lo que le encargaste. En febrero de 2025, un columnista del Washington Post pidió al agente Operator de OpenAI que le buscara la docena de huevos más barata con entrega a domicilio. El agente la compró con la tarjeta guardada y sin pedir confirmación, por 31,43 dólares con gastos y propina. OpenAI admitió el error.

La trampa. La orden salió de tu cuenta, y en la contratación por dispositivos automáticos hay consentimiento desde que se manifiesta la aceptación. Para el vendedor, compraste tú. Es la segunda frontera en estado puro.

Quién responde. Un agente de IA no es un mandatario, porque el mandatario es una persona, pero las reglas del mandato dan la mejor pista. Nadie puede contratar en nombre de otro sin su autorización, y quien encarga una gestión solo queda obligado dentro de los límites del encargo, salvo que ratifique lo demás de forma expresa o con sus actos. Si pediste buscar y el agente compró, se salió del encargo, y la plataforma del agente, con la que sí tienes contrato, responde de cómo funciona su producto.

Qué puedes hacer.

• Antes de usarlo, limita lo que el agente puede pagar sin preguntarte.
• Si compra sin permiso, no uses lo comprado: usarlo puede contar como ratificación.
• Reclama primero a la plataforma del agente y, a la vez, comunica al vendedor que no reconoces la compra.

3. El pago que tú no ordenaste

Si no diste la orden, el banco tiene que demostrar que la diste. Es el caso de la llamada con la voz clonada de un empleado del banco o de un familiar, que acaba con alguien moviendo tu dinero con tus claves.

La trampa. El banco enseña su registro: la operación se autenticó con tu clave y con el código de tu móvil, así que fuiste tú o fuiste negligente. Es la frontera entre empresa y usuario, con el registro como arma.

Quién responde. La ley de servicios de pago pone la carga del lado del banco: es él quien debe probar que la operación se autenticó, se registró y no falló, y su propio registro de uso de tu clave no basta por sí solo. Si la operación no estaba autorizada, debe devolverte el dinero de inmediato, y tu pérdida se limita a un máximo de 50 euros, salvo fraude o negligencia grave por tu parte. El escenario es otro si fuiste tú quien tecleó la orden, engañado. La pieza sobre la estafa con voz clonada y la devolución del dinero por el banco explica los dos escenarios y qué hacer en cada uno.

Qué puedes hacer.

• Avisa al banco en cuanto lo detectes y pide por escrito la devolución.
• Anota quién dio la orden y cómo: es el dato que decide tu caso.

4. La decisión automática que te deniega algo

Detrás de la decisión responde quien decidió usar el sistema. Un préstamo denegado, un proceso de selección del que te descartan, una ayuda pública rechazada o un detector que te acusa de haber escrito tu trabajo con IA pueden salir de un sistema automatizado.

La trampa. «Lo decidió el sistema». Es la tercera frontera: si nadie decidió, nadie responde.

Quién responde. La empresa o la Administración que lo usa. Si una empresa decide sobre ti de forma únicamente automatizada, con efectos jurídicos o igual de relevantes, tienes derecho a no quedar sometido a esa decisión y, cuando un contrato o tu consentimiento la permiten, a pedir que intervenga una persona, a dar tu punto de vista y a impugnarla. Para ciertos sistemas de alto riesgo, el AI Act añade un derecho a que te expliquen el papel que tuvo el sistema. Y si te causó un daño por incumplir la protección de datos, puedes pedir una indemnización.

Qué puedes hacer.

• Pide por escrito una explicación y que una persona revise tu caso. La pieza sobre la reclamación que exige explicar la decisión de una IA cuenta qué contestación basta.
• Si decidió la Administración, recurre: la pieza sobre cómo recurrir una actuación administrativa automatizada explica qué requisitos tiene que haber cumplido antes.
• Si te acusan de usar IA en un trabajo, la pieza sobre si te pueden suspender o expulsar por usar IA explica tus garantías, y la de si se puede saber que un texto lo escribió una IA, por qué un detector no prueba nada.

5. La máquina que te hiere

Responden el negocio que la usa y el fabricante, cada uno por lo suyo, y a veces también el usuario. Los negocios automatizados ya están aquí. En la terminal 1 de El Prat, el restaurante SELF de Areas prepara y entrega los pedidos con un brazo robótico desde enero de 2025, con un equipo humano en sala. En Chamberí, Pazzi abrió en marzo de 2026 una pizzería sin mostrador ni cocineros, vigilada por cámara desde el piso de arriba.

La trampa. El negocio culpa al fabricante del robot, el fabricante culpa a quien lo instaló o lo usó, y la víctima queda en medio. Es la primera frontera, ahora con lesiones.

Quién responde. Si el brazo de un restaurante te quema, el local responde como prestador del servicio salvo que pruebe que cumplió las exigencias y cuidados del servicio. El fabricante responde si el robot era defectuoso. El reparto entre ellos puede incluir al usuario: en agosto de 2025, un jurado de Miami juzgó un accidente de 2019 en Key Largo en el que un Tesla con el piloto automático activado, cuyo conductor buscaba su móvil caído, mató a una joven de 20 años e hirió gravemente a otra persona. El jurado atribuyó a Tesla el 33 % de la culpa y al conductor el 67 %, y condenó a la empresa a pagar unos 243 millones de dólares con daños punitivos. La jueza rechazó anular el veredicto en febrero de 2026, y Tesla ha recurrido. La culpa del usuario no borró la del fabricante.

Qué puedes hacer.

• Pide los datos del negocio y deja constancia por escrito de lo ocurrido en el momento.
• Reclama al local, que es quien te prestó el servicio: si el fallo era del robot, él puede repetir contra el fabricante.

6. La cerradura inteligente que no abre, o que abre a quien no debe

Responde quien te alquiló el alojamiento y, si el fallo era del software, su fabricante. Muchos apartamentos turísticos ya funcionan sin recepción: un código para el portal, otro para la puerta y el check-in en el móvil.

La trampa. El anfitrión culpa a la empresa de la cerradura, y la empresa alega que el fallo está en su software, un terreno que la ley española de consumidores no menciona. Aquí aparece la cuarta frontera: esa ley define el producto como un bien mueble, y la directiva europea que lo incluye llega el 9 de diciembre de 2026 sin que España la haya incorporado.

Quién responde. Si el código no abre y pierdes la noche, el anfitrión, por contrato. Si la cerradura abre a un intruso, también el fabricante. Con la nueva directiva, que trata expresamente los programas informáticos como productos, el fabricante ya no puede alegar que el defecto no existía al vender la cerradura si el fallo procede de una actualización o de la falta de una actualización de seguridad que dependía de él. Qué pasa con tu reclamación mientras España no incorpore la directiva lo explica la pieza sobre quién responde cuando un software o una IA te causa un daño.

Qué puedes hacer.

• Reclama al anfitrión o a la plataforma de reserva, con capturas de los mensajes y de la hora del fallo.
• Anota el modelo de la cerradura: su fecha de puesta en el mercado decide qué régimen se aplica.

¿Por qué vía se reclama?

Para cobrar, por una de tres vías civiles, y cada una tiene su plazo.

Hay otras dos vías que conviene no confundir con estas. La administrativa castiga: el AI Act prevé multas de hasta 35 millones de euros o el 7 % del volumen de negocio mundial y te deja reclamar ante la autoridad, pero no te reconoce un derecho a ser indemnizado. El RGPD sí lo hace, aunque el Tribunal de Justicia exige probar el daño más allá de la infracción. En Alemania está pendiente una acción colectiva que reclama indemnizaciones por entrenar IA con publicaciones de usuarios, como cuenta la pieza sobre si pueden usar tus fotos de Instagram para entrenar una IA. La penal apunta a personas físicas, porque una empresa solo comete los delitos que el Código Penal le atribuye expresamente, y el homicidio y las lesiones por imprudencia no están entre ellos.

La prueba, en manos de quien tiene los registros

Casi siempre los tiene el operador, y la nueva directiva le obliga a enseñarlos. Un sistema de IA de alto riesgo debe registrar automáticamente su funcionamiento, y la empresa que lo usa debe guardar esos registros al menos seis meses. Tú tienes tus capturas y tu daño.

Desde el 9 de diciembre de 2026, la Directiva (UE) 2024/2853 corrige ese desequilibrio en las reclamaciones por productos defectuosos. Si tu reclamación es verosímil, el juez puede ordenar al demandado que aporte las pruebas que tenga, protegiendo sus secretos empresariales. Y presumirá el defecto si no las aporta, si el producto incumplía requisitos de seguridad obligatorios o si falló de forma manifiesta en un uso normal. Cuando la complejidad técnica lo hace todo excesivamente difícil, basta con demostrar que el defecto es probable. Es la respuesta legal a la caja negra: quien la tiene, la abre o carga con lo que no enseña.

Las fechas que importan

Hoy rigen las normas de siempre, y desde el 9 de diciembre de 2026 rige una directiva que España llegará tarde a incorporar.

La pieza que iba a completar el sistema no llegará. La Comisión propuso en 2022 una directiva específica para las reclamaciones por culpa en materia de IA, la retiró en 2025 por falta de un acuerdo previsible y la retirada se publicó el 6 de octubre de 2025. En España, a 24 de octubre de 2026 no hay ningún texto público que incorpore la directiva de productos, y las Cortes están disueltas desde el 6 de octubre: las nuevas Cámaras no se constituirán hasta el 23 de diciembre. Con la disolución caducó también el proyecto de ley sancionadora de la IA, como cuenta la pieza sobre quién supervisa la IA en España mientras la ley no llega. El calendario del AI Act tras su reforma está en la pieza sobre el Ómnibus digital.

Cómo reparte el riesgo quien automatiza

Quien automatiza su negocio conserva la responsabilidad, pero puede decidir cómo se reparte entre los eslabones de la cadena. El cliente no tiene por qué saber quién falló; el negocio sí, y eso le da cuatro herramientas:

• El seguro. Un sistema que registra su funcionamiento da al asegurador los datos para medir el riesgo. Conviene comprobar si la póliza de responsabilidad civil cubre o excluye los daños de sistemas automatizados.
• El contrato con proveedor e integrador. Frente a la víctima, la directiva prohíbe excluir o limitar la responsabilidad por contrato. Entre las empresas de la cadena, el contrato decide quién asume qué cuando una paga y repite contra las demás: garantías, actualizaciones, acceso a los registros y límites. Es lo que conviene revisar con el contrato delante en una videoconsulta.
• Los registros. Los mismos registros que el juez puede exigir son la mejor defensa si prueban que el sistema funcionó bien o que el fallo vino de otro eslabón.
• El cumplimiento normativo. Demostrar que el producto cumplía los requisitos de seguridad obligatorios desactiva una de las presunciones de defecto. Clasificar cada sistema y documentar sus obligaciones es el punto de partida del cumplimiento del AI Act, y el test sobre si un proyecto de IA necesita abogado dice en dos minutos qué exige la ley antes de lanzarlo.

Las obligaciones de quien usa IA en su empresa están en la pieza sobre lo que el AI Act exige ya al responsable del despliegue, y la responsabilidad personal de quien la dirige, en la de la responsabilidad del administrador por el uso de IA. Quien desarrolla o integra IA en una startup tiene el mapa de papeles en la pieza sobre proveedor, responsable del despliegue o proveedor accidental. Si el proveedor del modelo está en EE. UU., la pieza sobre el Data Privacy Framework explica qué comprobar de la transferencia de datos.

Preguntas frecuentes

¿Quién es responsable si una IA se equivoca?

Una persona física o jurídica: la empresa que la usa frente a sus clientes, el fabricante o el proveedor si el sistema era defectuoso, o el usuario si la manejó mal. La IA no tiene personalidad jurídica, así que no puede ser demandada ni pagar.

¿Responde una empresa por lo que dice su chatbot?

Sí. La empresa responde de la información que da su canal de atención, la escriba una persona o la genere un programa. En el caso Moffatt contra Air Canada, el tribunal rechazó que el chatbot fuera una entidad separada y condenó a la aerolínea a devolver la diferencia con la tarifa prometida.

¿Qué pasa si un agente de IA compra por ti algo que no querías?

Si la compra excede lo que le encargaste, no te vincula salvo que la ratifiques, también con tus actos, como usar lo comprado. Como la orden salió de tu cuenta, la reclamación suele dirigirse primero contra la plataforma del agente.

¿A quién reclamas si te lesiona un robot en un restaurante robotizado o un negocio sin personal?

Al negocio que lo explota, como prestador del servicio. Si el daño procede de un defecto del robot, también puedes reclamar al fabricante, y el que pague puede repetir después contra el otro.

¿El AI Act te da derecho a una indemnización?

No. El AI Act fija obligaciones y multas y te permite reclamar ante la autoridad, pero la indemnización llega por el contrato, la responsabilidad extracontractual, los productos defectuosos o el RGPD.