Las obligaciones de la Unión Europea para los sistemas de IA de alto riesgo debían empezar a aplicarse el 2 de agosto de 2026. Una semana antes de esa fecha entró en vigor el Reglamento (UE) 2026/1744 y las trasladó al 2 de diciembre de 2027.
No es un detalle de calendario. Ese es justamente el capítulo del Reglamento de IA (AI Act) que describe qué debe hacer quien implantó el sistema en su propia empresa: supervisarlo, conservar los registros, reaccionar ante los fallos. Es decir, exactamente la parte que pone a una persona concreta al lado de un agente concreto ha quedado aplazada dieciséis meses, mientras los agentes ya trabajan en las empresas.
La pregunta «quién responde si el agente se equivoca» no ha desaparecido por eso. Simplemente ha dejado de tener respuesta en forma de artículo de un reglamento y ha vuelto al lugar de donde salió: tu contrato y tus logs.
La máquina no es sujeto de derecho: eso se resolvió hace seis años
La tentación de pensar que la responsabilidad por una decisión autónoma se diluye en alguna parte aparece cada vez que a un sistema se le llama «autónomo». Jurídicamente no se diluye en ninguna parte: una máquina no puede ser su destinataria, así que la responsabilidad sigue recayendo en personas y empresas. Una demanda se presenta contra una persona, física o jurídica. El agente no es ni lo uno ni lo otro.
El Parlamento Europeo lo dijo sin rodeos ya en 2020, en su resolución sobre un régimen de responsabilidad civil en materia de inteligencia artificial:
Observa que todas las actividades, dispositivos o procesos físicos o virtuales gobernados por sistemas de IA pueden ser técnicamente la causa directa o indirecta de un daño o un perjuicio, pero casi siempre son el resultado de que alguien ha construido o desplegado los sistemas o interferido en ellos; observa, a este respecto, que no es necesario atribuir personalidad jurídica a los sistemas de IA. — Resolución del Parlamento Europeo, de 20 de octubre de 2020, 2020/2014(INL), apartado 7
Lo esencial ahí no es la negación de la personalidad jurídica, sino lo que va antes: el daño causado por un sistema de IA es casi siempre «el resultado de que alguien ha construido o desplegado los sistemas o interferido en ellos». Tres verbos, tres personas distintas. La cuestión no es si alguien responde, sino cuál de las tres.
El debate filosófico sobre los derechos de las máquinas, en cambio, sigue muy vivo. En el número 470 de Import AI, del 24 de agosto de 2026, Jack Clark resume un extenso texto firmado por Taylor Belrose sobre por qué darles derechos a los sistemas de IA es mala idea; el argumento se apoya ahí en la imposibilidad de la conciencia, no en la ley. El propio Clark añade que se siente «profundamente confundido» respecto a la conciencia y los derechos de la IA. Conviene distinguir estas dos conversaciones: si una máquina merece derechos es una pregunta abierta; si carga con responsabilidad es una pregunta cerrada, y no a su favor.
«Así lo decidió el agente» no es una defensa en un litigio, porque ese demandado no existe.
La regla que debía señalar al responsable ha quedado aplazada dieciséis meses
El Reglamento (UE) 2026/1744, de 8 de julio de 2026 —el Ómnibus digital sobre IA (Digital Omnibus on AI)— se publicó en el Diario Oficial el 24 de julio y está en vigor desde el 27 de julio de 2026. Modificó el artículo 113 del Reglamento de IA y fijó nuevas fechas de aplicación:
Qué | Antes | Ahora |
|---|---|---|
Sistemas independientes de alto riesgo (artículo 6, apartado 2; anexo III) | 2 de agosto de 2026 | 2 de diciembre de 2027 |
Sistemas de alto riesgo integrados en productos regulados (artículo 6, apartado 1; anexo I) | 2 de agosto de 2027 | 2 de agosto de 2028 |
Obligaciones de transparencia (artículo 50) | 2 de agosto de 2026 | sin cambios |
El legislador expuso el motivo con franqueza en los considerandos: no están listas las normas armonizadas ni las especificaciones comunes, y no se han establecido las autoridades nacionales competentes. El regulador movió la fecha porque fue él quien no llegó a tiempo.
Junto con el capítulo se fueron también las obligaciones de quien implanta el sistema en su propia empresa: el responsable del despliegue (deployer), en términos del reglamento. En un proyecto típico, esa parte es el cliente: no quien desarrolló el agente, sino quien lo puso a trabajar con sus propios clientes y sus propios datos. El artículo 26, que describe esas obligaciones, no fue modificado por el Ómnibus: simplemente empezará a aplicarse más tarde.
Hasta finales de 2027 no habrá una lista de verificación oficial que permita revisar y decir «hemos hecho todo lo que se exigía». Que no haya exigencia no significa que no haya pérdida.
La directiva que debía facilitar la demanda fue retirada
La otra mitad de la construcción se eliminó incluso antes, y de eso se sabe mucho menos.
En septiembre de 2022, la Comisión Europea propuso una directiva específica sobre responsabilidad en materia de IA: la AI Liability Directive, COM(2022) 496 final. Debía resolver el problema más difícil del perjudicado: demostrar que el daño lo causó precisamente el sistema de IA cuando uno no ha visto ni su código, ni sus datos, ni sus logs. La directiva introducía presunciones de causalidad y el derecho a exigir la exhibición de pruebas.
La Comisión retiró esa propuesta. La decisión se adoptó en la reunión del 16 de julio de 2025 y el aviso se publicó en el Diario Oficial el 6 de octubre de 2025. El Programa de trabajo de la Comisión para 2025 formula el motivo literalmente así:
No se prevé un acuerdo: la Comisión evaluará si debe presentarse otra propuesta o es preferible otro tipo de enfoque. — COM(2025) 45 final, anexo IV, punto 32
Aquí es fácil equivocarse de fecha, y pasa a menudo: febrero de 2025 es solo el anuncio de la intención en el programa de trabajo; jurídicamente, la propuesta se retiró el 6 de octubre de 2025.
No hay una regla europea común sobre cómo probar la culpa en un caso con IA, y no la habrá en el corto plazo. Todo vuelve al derecho nacional del Estado miembro, que es distinto en cada uno. Por eso mismo, cualquier artículo que te prometa «las reglas de la UE sobre responsabilidad por la IA» en una sola lista te está vendiendo un producto que no existe.
Lo que sí llega a tiempo, y por qué lo más probable es que no te afecte
Frente a dos regímenes aplazados, hay uno que avanza según el calendario, y conviene conocerlo con precisión, porque es el que más confusión genera.
La Directiva (UE) 2024/2853 sobre responsabilidad por los daños causados por productos defectuosos debe ser transpuesta por los Estados miembros a más tardar el 9 de diciembre de 2026 y se aplica a los productos introducidos en el mercado después de esa fecha. Su principal novedad es la definición de producto:
«producto»: cualquier bien mueble, aun cuando esté incorporado a otro bien mueble o a un bien inmueble o interconectado con estos; incluye la electricidad, los archivos de fabricación digital, las materias primas y los programas informáticos. — Directiva (UE) 2024/2853, artículo 4, punto 1
Los programas informáticos ahora se nombran expresamente como producto. De ahí los titulares del tipo «por el error de la IA responderá el desarrollador bajo responsabilidad objetiva». Formalmente es así. Solo que, más adelante, el texto contiene dos limitaciones que casi nunca se citan.
La primera: quién puede demandar. El artículo 5, apartado 1, reconoce el derecho a indemnización a «toda persona física que sufra daños causados por un producto defectuoso». El demandante es una persona física. Tu empresa no figura en ese papel.
La segunda: por qué daños. El artículo 6, apartado 1, contiene una lista cerrada de tipos de daños: muerte o lesiones corporales, daños a bienes o su destrucción, y destrucción o corrupción de datos. Y en los dos últimos puntos hay excepciones: los bienes utilizados exclusivamente con fines profesionales y los datos que se utilicen con fines profesionales quedan fuera de la directiva.
Suma todo esto. El agente calculó mal un descuento y perdiste un cliente de cuarenta mil euros. El agente le envió a una contraparte las condiciones de otro y el negocio se cayó. El agente dañó registros en el CRM. Ninguno de estos casos está cubierto por la nueva directiva: aquí el demandante es una persona jurídica, la pérdida es puramente económica y los datos son profesionales. Es terreno del contrato y del derecho nacional, no de la responsabilidad por productos.
Un detalle en el que también se tropieza a menudo: la excepción se refiere a los bienes utilizados exclusivamente con fines profesionales. Un ordenador portátil que se usa tanto para el trabajo como en casa no entra en esa excepción: «exclusivamente» no está en el texto de adorno.
La trampa que no espera a 2027: puedes convertirte en proveedor
El error más caro en el reparto de roles es creer que el rol lo determina quién emitió la factura. El reglamento lo determina de otro modo.
El artículo 25 del Reglamento de IA dice que un distribuidor, importador, responsable del despliegue o cualquier tercero será considerado proveedor de un sistema de alto riesgo y asumirá todas las obligaciones del proveedor previstas en el artículo 16 si se da una de tres circunstancias:
- pone su nombre o marca en un sistema ya introducido en el mercado;
- modifica sustancialmente un sistema de alto riesgo, y este sigue siendo un sistema de alto riesgo;
- modifica la finalidad prevista de un sistema —incluido un modelo de uso general— de modo que se convierta en un sistema de alto riesgo.
El tercer punto describe un lunes cualquiera en muchas empresas. Tomas un modelo de uso general, lo envuelves en tus propios prompts para la selección de candidatos o la evaluación de solvencia y, según la letra del reglamento, ya no eres cliente del desarrollador del modelo, sino proveedor de un sistema de alto riesgo con el conjunto completo de obligaciones. El desarrollador del modelo, por su parte, sale de ese papel: el artículo 25, apartado 2, se lo quita a quien introdujo inicialmente el sistema en el mercado, pero no de forma incondicional, sino a condición de que entregue al nuevo proveedor un paquete determinado de documentación y accesos.
El Ómnibus no derogó este artículo: lo reforzó. Reescribió el apartado 2 y detalló qué debe entregar exactamente el proveedor inicial al nuevo: documentación técnica suficiente para evaluar el cumplimiento del artículo 16, información sobre las limitaciones y los modos de fallo conocidos, y un acceso técnico específico para la prueba y la validación. La obligación de celebrar un acuerdo escrito con los proveedores de componentes se amplió a quienes suministran modelos de IA, herramientas, servicios y procesos. Y, aparte, se añadieron multas por infringir precisamente estos apartados, mediante la nueva letra d bis) del artículo 99, apartado 4.
La fecha de aplicación de este artículo es la misma: diciembre de 2027. Pero los contratos que firmes esta semana seguirán vigentes sin problema para entonces. La pregunta «qué seremos en términos del reglamento cuando empiece a aplicarse» sale más barato hacerla ahora que rehacer después, con efecto retroactivo, los papeles de toda la cadena de suministro.
Qué se aplica ya, mientras el resto espera
Hay un bloque de obligaciones que el Ómnibus no tocó: las obligaciones de transparencia del artículo 50 se aplican desde el 2 de agosto de 2026, es decir, ya rigen. Son exigencias de divulgación: que la persona sepa que interactúa con un sistema de IA y que el contenido generado esté marcado como generado.
Y al lado está el único plazo cercano en este tema. El Ómnibus añadió un nuevo apartado 4 al artículo 111 del Reglamento de IA, el que regula los sistemas ya introducidos en el mercado: los proveedores de sistemas que generen contenido sintético de audio, imagen, vídeo o texto y que se hayan introducido en el mercado antes del 2 de agosto de 2026 deben adecuarlos a los requisitos de marcado del artículo 50, apartado 2, a más tardar el 2 de diciembre de 2026.
El orden resulta paradójico, pero es exactamente ese: hoy se te exige decirle al cliente que está hablando con una máquina, y no se te exige nada sobre quién responderá si la máquina se equivoca.
En Ucrania no hay ley de IA, y eso también es una respuesta
Para una empresa ucraniana la historia es más corta. No hay una ley de inteligencia artificial vigente, y tampoco un proyecto de ley registrado en la Rada Suprema (el parlamento de Ucrania).
Lo que hay es una sucesión de planes. El Ministerio de Transformación Digital presentó una hoja de ruta para la regulación de la IA el 7 de octubre de 2023 y un Libro Blanco el 26 de junio de 2024; ninguno de los dos documentos es un acto normativo. La Orden n.º 457-r del Gabinete de Ministros, de 9 de mayo de 2025, aprobó un plan de medidas, y su primer punto le fija al ministerio un plazo para elaborar y presentar al Gabinete un proyecto de ley sobre la regulación jurídica en el ámbito del desarrollo de la inteligencia artificial: cuarto trimestre de 2026. Es decir, para entonces el proyecto solo tiene que llegar al gobierno; al parlamento llegará todavía más tarde. En junio de 2026 empezó a funcionar, en la comisión competente de la Rada, un grupo de trabajo sobre la futura ley.
Así que hoy, en Ucrania, una disputa por el error de un agente se resuelve con las normas generales del derecho civil y contractual. Qué normas exactas aplicará el tribunal en tu situación es una pregunta para tu abogado, con tus hechos en la mano, y no para un artículo de blog. A propósito no citamos aquí números de artículos: la elección de la norma depende de quién eres tú en la cadena concreta y de qué daño se causó, y un error en esa elección cuesta más que la propia consulta.
Quién responde en realidad: el que no puede mostrar qué pasó
No hay regla europea común, no hay ley específica en Ucrania y la responsabilidad por productos no cubre las pérdidas empresariales. Quedan dos cosas: lo que dice el contrato y lo que se puede probar.
Lo segundo es más interesante que lo primero. En casi cualquier disputa sobre una acción autónoma perderá la parte que no pueda reconstruir qué pasó exactamente: con qué datos tomó el agente la decisión, con qué versión del prompt y del modelo trabajaba, si había una persona ahí y qué vio. Sin un registro, no podrás demostrar que tienes razón ni refutar la versión ajena: sencillamente no tendrás con qué.
Por cierto, tampoco existe todavía la obligación de llevar esos registros: el artículo 12 del Reglamento de IA, sobre conservación de registros, y el artículo 19, sobre archivos de registro generados automáticamente, están en el mismo capítulo aplazado. El registro no se lleva para el regulador, sino para la semana en que haya que explicarle a un cliente o a un tribunal por qué el agente hizo lo que hizo.
Una disputa la deciden tres cosas, y ninguna puede crearse a posteriori.
La primera y más importante es el registro de acciones. No «el sistema guarda logs», sino en concreto: qué hizo el agente, cuándo, con qué datos de entrada, con qué versión del prompt y del modelo, y qué persona vio ese paso. Los logs que se borran a los treinta días no valen nada en una disputa por una reclamación de hace medio año. Las otras dos son más simples: un límite de atribuciones fijado por escrito (qué hace el agente sin confirmación humana y qué no) y el reparto de roles en el contrato: quién responde por la calidad del modelo, quién por la configuración para tu proceso, quién por la supervisión en el trabajo diario.
Responde quien no se ocupó de los límites. Gana la disputa quien conservó los registros.
Preguntas que se hacen antes del lanzamiento
Seis preguntas que conviene cerrar antes de que el agente empiece a trabajar con clientes reales. No sustituyen al abogado: a él le ahorran horas y a ti, dinero.
- ¿Qué somos en términos del Reglamento de IA: responsable del despliegue o proveedor? Si pones tu nombre en un sistema ajeno o cambias su finalidad, la respuesta puede no ser la que esperabas.
- ¿Entra nuestro caso de uso en el anexo III? Selección de personal, evaluación de solvencia, acceso a servicios: son los candidatos típicos. De eso depende que diciembre de 2027 te alcance o no.
- ¿Qué puede hacer el agente sin una persona? El límite tiene que estar escrito, no sobreentendido. La diferencia entre «propone un descuento» y «otorga un descuento» es la diferencia en el coste del error.
- ¿Dónde están nuestros registros y cuánto duran? Si los logs se borran a los treinta días y la reclamación llega a los seis meses, no tienes nada.
- ¿Qué dice el contrato con el contratista sobre la responsabilidad por lo que haga el agente? No sobre la calidad del código: sobre lo que haga en producción.
- ¿Quién es nuestra contraparte ante la ley si el daño lo sufre un cliente? El cliente te demandará a ti, no a tu proveedor tecnológico ni al proveedor del modelo. La acción de repetición contra ellos es otra historia y otra cláusula del contrato.
Dónde deja de servir este artículo
Esto no es asesoramiento jurídico, y aquí a propósito no hay consejos para una situación concreta: la respuesta depende de la jurisdicción, del rol de las partes y de la naturaleza del daño, y no conocemos ninguno de esos tres parámetros.
Todo lo dicho sobre el Reglamento de IA y la responsabilidad por productos se refiere al derecho de la UE. Ucrania no es Estado miembro, así que estas reglas no pueden trasladarse mecánicamente a un contrato ucraniano, y a propósito no intentamos hacerlo por ti.
Y las fechas se mueven. La mejor prueba es este mismo texto: las obligaciones de las que durante medio año se escribió que empezarían el 2 de agosto de 2026 pasaron a diciembre de 2027 una semana antes de esa fecha. Antes de apoyarte en cualquier fecha de aquí, compruébala con la versión vigente en EUR-Lex.
Si ya tienes en funcionamiento un agente con el que empieza la conversación con el cliente o que modifica algo en sus datos, la comprobación más corta te llevará una tarde: toma la última semana de su trabajo e intenta reconstruir tres decisiones al azar. Si no lo consigues, tu primer riesgo ni siquiera es jurídico, sino de ingeniería.
Grow2.ai construye agentes de front-office a la medida del proceso del cliente y, junto con ellos, los límites de atribuciones y los registros con los que la decisión de un agente puede reconstruirse. Si quieres analizar tu caso, hablemos.
Seguir leyendo
- Fallos de los sistemas multiagente: dónde se rompe la cadena
- Cuando el modelo se niega: guardrails y límites de comportamiento
- Cuatro agentes de IA para la rutina de gestión
Fuentes
- Resolución del Parlamento Europeo, de 20 de octubre de 2020, sobre un régimen de responsabilidad civil en materia de inteligencia artificial, 2020/2014(INL): apartado 7, fuente original de la cita
- Reglamento (UE) 2026/1744, de 8 de julio de 2026 (Ómnibus digital sobre IA): nuevas fechas de aplicación, cambios en el artículo 25
- Reglamento (UE) 2024/1689 (Reglamento de Inteligencia Artificial, AI Act): artículos 25, 26, 50, 111, 113
- Aviso de retirada de propuestas de la Comisión, DO C/2025/5423, de 6 de octubre de 2025: retirada de la AI Liability Directive
- Programa de trabajo de la Comisión para 2025, COM(2025) 45 final, anexo IV, punto 32: fuente original de la formulación del motivo
- Directiva (UE) 2024/2853 sobre responsabilidad por los daños causados por productos defectuosos: artículo 4, punto 1; artículo 5, apartado 1; artículo 6, apartado 1; artículo 22, apartado 1
- Orden n.º 457-r del Gabinete de Ministros de Ucrania, de 9 de mayo de 2025: plan de medidas, plazo para presentar el proyecto de ley (en ucraniano)
- Import AI 470: No rights for machines, Jack Clark, 24 de agosto de 2026