La inteligencia artificial ha transformado la operativa de muchas empresas, pero también ha introducido nuevos desafíos normativos. Los problemas legales surgen cuando no se cumplen la normativa vigente.

Problemas legales que puede tener una empresa por no documentar correctamente el funcionamiento de su IA

La documentación técnica y funcional de los sistemas de inteligencia artificial no es opcional bajo la nueva Ley de IA. Toda empresa que utilice sistemas de IA, especialmente si son de alto riesgo, debe ser capaz de explicar, justificar y demostrar cómo funcionan sus modelos, qué datos utilizan y cómo toman decisiones.

No hacerlo implica riesgos legales significativos, tanto en el plano regulatorio como en términos de responsabilidad civil.

Problema legal Resumen
Falta de documentación Infracción grave del AI Act con posibles multas millonarias.
Ausencia de trazabilidad Sin registros, no se puede justificar cómo actúa la IA.
Presunción de culpa Si no se explica la decisión, se presume negligencia empresarial.
Daño reputacional Falta de transparencia afecta la confianza de clientes y autoridades.
Doble infracción legal No documentar vulnera tanto el AI Act como el RGPD.

Incumplimiento del AI Act: multas y sanciones

El artículo 71 del AI Act establece que la falta de documentación adecuada puede considerarse un incumplimiento grave. Esto incluye mantener:

  • Registros técnicos actualizados,
  • Informes de evaluación de riesgos,
  • Evidencia de supervisión humana,

Además, si el sistema no está debidamente inscrito en el registro público europeo de IA de alto riesgo, el incumplimiento es doble.

Falta de trazabilidad: inseguridad jurídica ante errores

Si una IA comete un error —por ejemplo, discrimina en un proceso de selección de personal o deniega injustamente un crédito— y no existe documentación que explique cómo llegó a esa decisión, la empresa no podrá justificar ni defender su actuación legalmente.

Esto afecta directamente a principios jurídicos clave:

  • Carga de la prueba: en muchos casos, será la empresa quien deba demostrar que el sistema actuó de forma legal.
  • Presunción de responsabilidad: si no puedes explicar cómo funciona tu IA, es más probable que se considere que existe negligencia empresarial.

Daños reputacionales y pérdida de confianza

La opacidad en los sistemas de IA también afecta a la imagen pública y la confianza de clientes, inversores y reguladores. Empresas que no pueden justificar cómo toman decisiones automatizadas se exponen a:

  • Reclamaciones colectivas.
  • Investigaciones por parte de autoridades de protección de datos.
  • Pérdida de contratos con clientes del sector público o empresas que exigen cumplimiento estricto.

Relación con el RGPD y la transparencia algorítmica

Además del AI Act, el Reglamento General de Protección de Datos (RGPD) ya exige que cualquier decisión automatizada que afecte significativamente a una persona debe ser explicable, revisable y basada en datos adecuados y proporcionales (art. 22).

No documentar cómo funciona un sistema de IA podría suponer, por tanto, una doble infracción: del AI Act y del RGPD.

Cumplir la Ley de Inteligencia Artificial con Atico34: su AI Governance Software permite inventariar los sistemas, clasificarlos por riesgo y documentar responsables, controles y evidencias. Las plantillas y el asesoramiento experto ayudan a preparar la documentación exigible y el seguimiento posterior.

Problemas legales de una IA empresarial que toma decisiones automatizadas puede afectar a consumidores o empleados

Cuando una empresa utiliza inteligencia artificial para tomar decisiones automatizadas que impactan directamente a personas, como clientes o trabajadores, se enfrenta a una serie de obligaciones legales y riesgos significativos. Estas situaciones están expresamente reguladas tanto en el AI Act como en el Reglamento General de Protección de Datos (RGPD).

El control operativo que debe existir entre la norma y el uso diario

El cumplimiento se vuelve manejable cuando cada sistema tiene propietario, finalidad, nivel de riesgo, proveedor, versión, evaluaciones y fecha de revisión. Sin ese inventario, las obligaciones quedan repartidas entre documentos generales y resulta imposible saber qué control corresponde a una herramienta concreta.

La aprobación inicial debe continuar con seguimiento de incidentes, quejas, desviaciones y cambios. Si el modelo o su uso dejan de coincidir con lo evaluado, la organización necesita un proceso para limitar funciones, exigir correcciones al proveedor o retirar el sistema.

  • Entrada al inventario antes de comprar, probar o conectar la herramienta.
  • Clasificación razonada y responsables de negocio, tecnología y cumplimiento.
  • Evidencias de pruebas, formación, supervisión y aceptación del riesgo residual.
  • Revisión periódica y eventos que activan suspensión o reevaluación.

Tipos de decisiones automatizadas que generan problemas legales

Algunos ejemplos habituales:

  • Denegar un crédito o financiación mediante un scoring automatizado.
  • Filtrar candidatos en un proceso de selección laboral sin intervención humana.
  • Ajustar salarios, asignar turnos o aplicar medidas disciplinarias mediante sistemas de IA.
  • Modificar precios, condiciones o acceso a servicios online en función de algoritmos de perfilado.

Estas decisiones no solo tienen consecuencias económicas, sino que pueden afectar derechos fundamentales, como la igualdad de trato, el acceso al trabajo, o la no discriminación.

Obligaciones legales clave para las empresas

  • Supervisión humana efectiva: La Ley de IA exige que este tipo de decisiones nunca sean totalmente automáticas si tienen consecuencias legales o relevantes para las personas. Siempre debe haber un humano con capacidad real de intervenir y revertir la decisión.
  • Transparencia frente al afectado: La empresa debe informar al usuario o empleado de que la decisión se basa en un sistema de IA, explicarle cómo funciona (en lenguaje claro) y permitirle formular alegaciones o solicitar revisión humana.
  • Evaluación de impacto legal y ética: Tanto el AI Act como el RGPD obligan a las empresas a realizar evaluaciones de impacto sobre derechos fundamentales y privacidad cuando se aplican decisiones automatizadas de este tipo.

Consecuencias legales del incumplimiento

Si una IA rechaza a un candidato por un criterio que luego se revela discriminatorio (por ejemplo, por edad o nacionalidad), la empresa puede ser:

  • Sancionada por la autoridad de protección de datos (AEPD en España).
  • Demandada por el afectado por daños morales o perjuicios económicos.
  • Investigada por uso indebido de tecnologías de vigilancia o selección algorítmica.

Además, si el sistema no es explicable, la carga probatoria recae sobre la empresa, que deberá demostrar que no hubo sesgo ni error.

Principales conflictos legales del uso de IA en recursos humanos, contratación o evaluación de personal

El uso de inteligencia artificial en procesos de selección, evaluación o gestión de personal se ha extendido en muchas empresas para ganar eficiencia. Sin embargo, este ámbito es uno de los más delicados desde el punto de vista legal y ético, y está expresamente considerado de alto riesgo por el AI Act.

  • Discriminación algorítmica: Si el sistema ha sido entrenado con datos sesgados, puede favorecer sistemáticamente a ciertos perfiles (por ejemplo, hombres frente a mujeres, nacionalidades concretas o ciertas edades). Esto puede generar discriminación indirecta, prohibida por la legislación laboral y antidiscriminación.
  • Falta de transparencia y derecho a la explicación: Los candidatos o empleados tienen derecho a saber si están siendo evaluados por un sistema automatizado, cómo funciona y qué criterios se aplican. No informar o utilizar sistemas “opacos” vulnera el principio de transparencia algorítmica, recogido tanto en el AI Act como en el RGPD.
  • Ausencia de supervisión humana: El AI Act exige que cualquier decisión que afecte significativamente a una persona (como no ser contratado o recibir una sanción) no puede tomarse exclusivamente por una IA. Debe haber intervención humana real y posibilidad de revisión.
  • Violación de la privacidad y tratamiento indebido de datos:Muchas herramientas recogen y procesan datos sensibles sin consentimiento claro o sin base legal suficiente: análisis faciales, voz, pruebas psicológicas… Esto puede violar el RGPD y dar lugar a sanciones por parte de la AEPD.
  • Responsabilidad por decisiones erróneas: Si un sistema de IA rechaza a un candidato válido o discrimina a un empleado, la empresa puede enfrentarse a reclamaciones judiciales, indemnizaciones y sanciones administrativas, aunque haya utilizado software de terceros.
  • Conflictos sindicales y laborales: La introducción de IA en procesos internos de personal puede generar conflictos colectivos, sobre todo si afecta condiciones de trabajo sin negociación previa con representantes de los trabajadores.

Responsabilidades legales de una empresa si su IA causa daños, errores o decisiones discriminatorias

Una de las cuestiones más críticas que plantea la implantación de inteligencia artificial en empresas es la responsabilidad legal en caso de que el sistema cometa errores, tome decisiones injustas o cause daños a personas. El AI Act no regula en profundidad la responsabilidad civil, pero establece obligaciones cuyo incumplimiento puede derivar en responsabilidad directa para la empresa usuaria o desarrolladora.

Responsabilidad Resumen
Tipos de daños Discriminación, errores financieros, perjuicios psicológicos o económicos por decisiones automatizadas.
Responsable legal La empresa usuaria, incluso si adquirió la IA a terceros.
Causas de responsabilidad Falta de supervisión, incumplimiento normativo, errores sin control humano.
Medidas de protección Evaluar riesgos, supervisar uso, documentar, exigir garantías y formar al personal.

¿Quién es el responsable legal?

En principio, la empresa usuaria o integradora de la IA es responsable, incluso si el sistema fue adquirido a un proveedor externo. La lógica jurídica se basa en:

  • El deber de diligencia empresarial: la empresa debe asegurarse de que la herramienta utilizada cumple con la normativa.
  • El principio de control: si la empresa decide utilizar un sistema, debe asumir sus riesgos.
  • La responsabilidad por productos defectuosos (en algunos casos): si el daño proviene de un fallo técnico imputable al proveedor, puede haber responsabilidad compartida.

Por tanto, no basta con “culpar al software” o al proveedor. Si la IA falla y no había supervisión humana, la empresa puede ser legalmente responsable.

¿Qué debe hacer la empresa para protegerse?

  • Evaluar los riesgos jurídicos de cualquier sistema de IA antes de su implantación.
  • Supervisar activamente el funcionamiento de la herramienta.
  • Documentar todo el proceso, incluyendo decisiones, revisiones humanas y justificación técnica.
  • Exigir garantías contractuales al proveedor (auditorías, soporte legal, responsabilidad compartida).
  • Formar al personal sobre los límites de uso y el marco legal aplicable.

En definitiva, si una IA causa un daño, la empresa responde legalmente, incluso aunque no haya desarrollado el sistema. El AI Act y las directivas de la UE refuerzan la idea de que la responsabilidad no puede externalizarse sin control.