En la primera entrega formulé tres ideas que estimo relevantes para cualquier aproximación a la responsabilidad civil vinculada con inteligencia artificial y desarrollé las dos primeras. Por un lado, la disponibilidad de herramientas razonablemente validadas para un uso concreto y accesibles en la práctica puede modificar el estándar de diligencia exigible a profesionales y empresas, tanto cuando se omite evaluar su uso como cuando se las emplea de manera acrítica. Por otro, en muchos casos el problema central no será la ausencia de una norma aplicable, sino la dificultad práctica de probar los elementos necesarios para atribuir responsabilidad, porque los sistemas pueden ser opacos y cambiantes, y la información relevante suele estar distribuida entre distintos participantes.

Al trabajar en la transcripción y desarrollo de una presentación que realicé hace unos días y profundizar en la tercera idea y en los dos casos que había anunciado al final de la primera entrega, esta segunda entrega terminó creciendo más de lo previsto. Por eso decidí dividirla en dos partes. Ambas desarrollan la tercera idea que había enunciado: la opacidad no exonera por sí sola, sino que exige una gobernanza (entendida como decisiones, controles, registros y responsabilidades) proporcional al riesgo.

Aunque en la primera entrega formulé esta idea principalmente respecto de los modelos de lenguaje, el problema adquiere una dimensión más amplia cuando la IA se incorpora a la ejecución de prestaciones o recibe capacidad para actuar frente a clientes y terceros.

Esta primera parte se concentra en la responsabilidad contractual y en los sistemas que una empresa o un profesional utiliza para informar, atender, recomendar, facturar, contratar o ejecutar prestaciones frente a sus clientes. La segunda ampliará el análisis hacia los vehículos autónomos y los agentes de IA que actúan por objetivos, cuando su actuación puede producir efectos frente a terceros ajenos a la relación contractual.

Estas reflexiones son deliberadamente acotadas. No pretenden agotar los múltiples problemas jurídicos involucrados, sino ordenar algunas preguntas, introducir distinciones que considero relevantes y proponer puntos de partida que deberán ser desarrollados con mayor profundidad en trabajos posteriores.

Como señalé en la primera entrega, los registros, aprobaciones y evidencia de supervisión no son únicamente documentos de cumplimiento, sino elementos de una eventual defensa judicial. En el ámbito contractual, esa conclusión adquiere una dimensión adicional: la gobernanza permite concretar qué diligencia era exigible y demostrar cómo fue ejecutada la prestación.

Tercera idea. La opacidad no exonera y exige más gobernanza

Cuando una empresa incorpora inteligencia artificial a la ejecución de una obligación, la tecnología no reemplaza al deudor ni crea un nuevo centro autónomo de responsabilidad. Frente al acreedor, la pregunta continúa siendo si la prestación fue ejecutada conforme al contrato, a su naturaleza y a la diligencia exigible. La manera en que el deudor organiza internamente el cumplimiento, mediante trabajadores, proveedores, software tradicional o sistemas de IA, no elimina su posición jurídica frente a la contraparte.

En el derecho peruano, esta conclusión puede construirse a partir de las reglas generales de inejecución de obligaciones. El artículo 1314 excluye la imputabilidad cuando el deudor actuó con la diligencia ordinaria requerida, mientras que el artículo 1321 vincula la indemnización con la inejecución, el cumplimiento parcial, tardío o defectuoso imputable al deudor. El artículo 1329 añade una presunción de culpa leve ante la inejecución. La intervención de IA no cambia esas preguntas; obliga a aplicarlas a un cumplimiento organizado mediante sistemas, proveedores y personas.

En efecto, el análisis debe comenzar por identificar qué se debía. No es lo mismo utilizar IA como apoyo interno para preparar una recomendación profesional que prometer al cliente una respuesta automatizada, una clasificación, una verificación o la ejecución de una operación. Tampoco es igual una obligación de medios, en la que se evalúa principalmente la diligencia desplegada, que una prestación cuyo contenido contractual exige alcanzar un resultado específico. La distinción no es rígida: en una misma relación pueden coexistir deberes de diligencia y compromisos concretos de resultado. En cada caso será necesario determinar con precisión qué exigía la obligación a partir del contrato, su finalidad, la naturaleza de la prestación y las normas aplicables. A ello pueden añadirse deberes de información, seguridad, confidencialidad, no discriminación o protección de datos.

En las relaciones de consumo existe, además, una regla especialmente relevante. El Código de Protección y Defensa del Consumidor dispone que, en la contratación electrónica, telefónica o mediante sistemas de atención automatizada asistidos por inteligencia artificial o asistentes digitales, corresponde al proveedor acreditar que la información fue puesta oportunamente a disposición del consumidor y que este aceptó los términos contratados. La regla confirma que la automatización no desplaza la posición del proveedor y refuerza la necesidad de conservar evidencia sobre la información brindada y la formación del consentimiento.[1]

Cuando la IA utiliza datos personales o adopta decisiones sobre el cliente, la normativa de protección de datos añade reglas propias. Exige informar sobre la existencia y las consecuencias de determinadas decisiones automatizadas, incluida la elaboración de perfiles, y reconoce el derecho al tratamiento objetivo de datos personales frente a decisiones, automatizadas o no, que produzcan efectos jurídicos, discriminación o una afectación significativa, incluidas aquellas basadas únicamente en tratamientos automatizados. No prohíbe de manera general la automatización contractual, pero exige transparencia y que la persona pueda hacer valer su posición frente a la decisión.[2]

En los sectores regulados, además, el contenido de la prestación no se determina únicamente por el contrato y las reglas generales. La regulación sectorial puede concretar deberes de información, contratación, seguridad, continuidad, facturación, atención y conservación de evidencia. En telecomunicaciones, por ejemplo, las Condiciones de Uso de OSIPTEL regulan, entre otras, la verificación de identidad, la facturación y la baja, y atribuyen a la empresa operadora la carga de acreditar su cumplimiento. Si un sistema de IA interviene en esos procesos, no bastará con evaluar la diligencia general de la empresa o la idoneidad del servicio; también deberá acreditarse el cumplimiento de las obligaciones sectoriales aplicables.[3]

Por eso, la afirmación de que una empresa “responde por su IA” es intuitiva, pero insuficiente. La formulación más precisa consiste en señalar que la empresa continúa respondiendo por la obligación que asumió y que el uso de IA forma parte del modo en que decidió organizar su cumplimiento. La existencia de la herramienta puede modificar los medios disponibles, los riesgos previsibles y las medidas de control exigibles, pero no transforma al sistema en deudor.

La opacidad no es una exoneración

Existe una intuición bastante extendida según la cual la opacidad de los sistemas complejos podría funcionar como atenuante o incluso como exoneración. El razonamiento sería que, si ni siquiera los desarrolladores pueden explicar con precisión por qué un modelo produjo determinado resultado, no debería exigirse responsabilidad por aquello que resulta inexplicable. Aunque entiendo la intuición, creo que jurídicamente conduce al lugar equivocado.

Para ordenar el análisis, conviene distinguir la dificultad técnica para explicar cómo se produjo el resultado, la dificultad probatoria para acceder a los registros y la fragmentación organizacional entre quienes diseñan, integran y utilizan el sistema. A ello se suma que el sistema puede cambiar debido a actualizaciones posteriores a su despliegue. Cada uno de estos problemas exige respuestas distintas.

La sola dificultad para explicar el resultado de un sistema no configura, por sí misma, una causa no imputable ni fractura el nexo causal. La opacidad es una característica conocida del sistema que debe ser considerada al definir los deberes de diseño, selección, validación, monitoreo, documentación y cooperación probatoria. Que en ciertos supuestos no pueda anticiparse el resultado concreto que producirá un sistema complejo de IA no significa necesariamente que sea imprevisible la clase de riesgo asociada con su utilización. Esto tampoco significa que la responsabilidad nazca de la opacidad misma ni que todo error de un sistema opaco sea imputable al deudor. El estándar exigible dependerá de la naturaleza y del riesgo de la prestación, de la fiabilidad de la herramienta para el uso concreto y de aquello que cada actor podía razonablemente decidir, supervisar o corregir. La pregunta no es si el sistema podía hacerse perfectamente explicable, sino qué medidas razonables se adoptaron frente a sus limitaciones conocidas.

En el ámbito contractual, esas medidas pueden incluir una selección responsable del sistema, pruebas adecuadas para el uso concreto, definición de límites y permisos, advertencias específicas, supervisión humana efectiva, control de actualizaciones, mecanismos de reversión, conservación de registros y procedimientos para corregir errores. La ausencia de estas medidas no genera automáticamente responsabilidad, pero puede ser relevante para determinar si la prestación fue ejecutada de manera diligente y conforme a lo prometido.

Herramienta, auxiliar y proveedor no son lo mismo

El artículo 1325 del Código Civil establece una regla relevante para el deudor que se vale de terceros en la ejecución de una obligación. Sin embargo, una IA no es, en rigor, el tercero al que se refiere esa disposición. No es una persona distinta del deudor, no tiene voluntad jurídica propia y no puede actuar con dolo o culpa. Es una herramienta mediante la cual el deudor organiza o ejecuta su prestación.

La posición del proveedor tecnológico es distinta. Cuando el deudor se vale de un proveedor, integrador u operador externo para ejecutar materialmente la obligación, puede resultar aplicable el régimen de los auxiliares, según la estructura de la relación y la función efectivamente asumida. Frente al cliente, ello no implica que la empresa pueda trasladar sin más el incumplimiento a su proveedor. En el plano interno, en cambio, será necesario examinar las garantías ofrecidas, los niveles de servicio, los usos autorizados, las obligaciones de actualización y seguridad, el acceso a registros y las reglas de indemnidad o limitación de responsabilidad. Cuando el servicio tecnológico involucra el tratamiento tercerizado de datos personales, la organización responsable del tratamiento debe conservar las decisiones esenciales y el control del proceso, sin perjuicio de las obligaciones propias del proveedor.

Esta separación entre relación externa e interna es esencial. La responsabilidad de la empresa frente a su cliente y la distribución posterior del costo entre la empresa y el proveedor no tienen por qué coincidir. Una organización puede continuar obligada frente al acreedor y, al mismo tiempo, contar con una pretensión contra el proveedor que entregó un sistema defectuoso, incumplió una garantía o impidió reconstruir el incidente. También puede ocurrir lo contrario: que el proveedor haya advertido claramente los límites del sistema y que el daño derive de utilizarlo para una finalidad distinta de aquella para la que había sido evaluado o sin los controles recomendados.

Aquello que cada participante podía decidir, supervisar o corregir ayuda a precisar sus deberes, pero no basta per se para atribuirle responsabilidad. El desarrollador puede controlar el diseño y la evaluación del modelo; el integrador, su adaptación y compatibilidad con el sistema completo; la empresa que lo despliega, la aplicación concreta, los permisos y la supervisión; y el operador, la utilización concreta y la intervención ante alertas. La responsabilidad de cada uno requiere, además, identificar el régimen jurídico aplicable y una contribución causal relevante al incumplimiento o al daño.

Cuando el sistema ya no solo recomienda...

La discusión se vuelve más urgente con la transición desde herramientas que producen textos o recomendaciones hacia agentes capaces de planificar, utilizar herramientas, conectarse con sistemas empresariales y ejecutar acciones. Utilizo aquí la expresión “agente de IA” en un sentido funcional, para referirme a un sistema capaz de perseguir una finalidad, encadenar distintos pasos y ejecutar acciones mediante herramientas o sistemas conectados, dentro de los permisos que le hayan sido asignados. Así, un agente puede aplicar un descuento, modificar un registro, enviar una comunicación, cancelar un servicio, generar un cargo, ordenar una operación o tramitar un reclamo.

Cuando el sistema actúa, no aparece por ello un sujeto jurídico nuevo. Lo que cambia es el grado de autonomía operativa que la organización concede al sistema y, con ello, el tipo de control que resulta razonable exigir. La pregunta contractual se orienta entonces a identificar quién definió la finalidad del agente, qué permisos recibió, qué límites de autoridad tenía, qué operaciones requerían aprobación humana, qué mecanismos existían para detener o revertir una actuación y qué registros permiten reconstruir qué hizo el sistema y en qué orden.

También importa distinguir entre una actuación realizada dentro de los permisos concedidos, aunque produzca un resultado incorrecto, y una actuación que exceda la configuración prevista. En el primer caso, el problema puede estar en el diseño del proceso, la validación o la calidad de las instrucciones. En el segundo, será necesario examinar si el exceso era razonablemente previsible, si existían salvaguardas adecuadas y si la organización respondió oportunamente cuando detectó la desviación. En ambos supuestos, atribuir el resultado a “la decisión del agente” oculta las elecciones humanas y organizacionales que hicieron posible su actuación.

Una decisión comparada ofrece una ilustración útil, aunque limitada. En Moffatt v. Air Canada, 2024 BCCRT 149, el Civil Resolution Tribunal de Columbia Británica resolvió una reclamación por negligent misrepresentation derivada de información incorrecta proporcionada por un chatbot sobre una tarifa por duelo. El tribunal rechazó que la empresa pudiera tratar al chatbot como una entidad separada de su sitio web y de su propio canal de atención. No era un caso de agente autónomo en sentido técnico ni una decisión sobre responsabilidad contractual en sentido estricto, pero sí muestra una idea relevante: la complejidad tecnológica interna no debe trasladarse sin más al cliente.[4]

El problema será más complejo cuando el sistema no solo recomiende, sino que ejecute actos con consecuencias contractuales. En esos casos habrá que determinar si la actuación se encontraba dentro del contenido de la prestación, de las autorizaciones otorgadas y de la confianza razonablemente generada en el cliente. También deberá evaluarse si la organización diseñó una supervisión compatible con la importancia de la operación y si conservó evidencia suficiente para explicar lo ocurrido. El problema deja de ser exclusivamente contractual, sin embargo, cuando esa misma actuación produce daños a personas ajenas a la relación.

Delimitar la prestación no es lo mismo que exonerarse

Los contratos que incorporan IA suelen contener advertencias sobre errores, falta de exactitud, usos no autorizados y necesidad de verificación humana. Algunas de esas cláusulas cumplen una función legítima: describen el uso para el que la herramienta fue evaluada y permiten al usuario comprender qué servicio recibe. Sin embargo, una cosa es delimitar honestamente la prestación y otra prometer una funcionalidad para luego excluir toda consecuencia por su ejecución defectuosa.

El artículo 1328 del Código Civil declara nula toda estipulación que excluya o limite anticipadamente la responsabilidad por dolo o culpa inexcusable del deudor o de los terceros de quienes este se vale. Asimismo, declara nulo cualquier pacto que exonere o limite la responsabilidad por la violación de obligaciones derivadas de normas de orden público. En relaciones de consumo, además, deben considerarse las normas imperativas de idoneidad, información y protección frente a cláusulas abusivas. Una advertencia genérica acerca de que “la IA puede equivocarse” no debería operar como autorización para desplegarla sin controles en un uso sensible ni como exoneración frente a una prestación que fue ofrecida precisamente como confiable.

La validez y el alcance de estas cláusulas deben analizarse caso por caso, atendiendo principalmente a si las limitaciones fueron informadas de manera clara, si el cliente podía razonablemente comprenderlas y, cuando correspondiera, verificar el resultado, y si la herramienta fue utilizada dentro del ámbito anunciado.

La gobernanza contractual debe construirse de manera anticipada

En los litigios relacionados con IA, la prueba debe construirse mucho antes de que aparezca el conflicto. Para reconstruir una actuación puede ser necesario conocer, entre otras, la versión del modelo, las instrucciones y datos de entrada, la configuración vigente, los permisos disponibles, las acciones ejecutadas, las intervenciones humanas, las actualizaciones posteriores y las alertas generadas. Sin esos registros, tanto el acreedor como el deudor pueden quedar atrapados en afirmaciones imposibles de verificar.

Por eso, la gobernanza no es solo una política interna de cumplimiento. Es también una forma de concretar y probar la diligencia. Para las empresas, esto exige identificar las aplicaciones concretas de IA dentro de la organización, distinguir las herramientas de asistencia de los sistemas capaces de actuar, documentar aprobaciones y límites, conservar los registros necesarios según la importancia y el riesgo de cada aplicación y establecer mecanismos de intervención. Cuando una aplicación de IA incida en un proceso sujeto a regulación sectorial, la evaluación previa debe identificar también las obligaciones específicas aplicables y la evidencia necesaria para demostrar su cumplimiento. Para los profesionales, exige comprender el alcance de la herramienta, verificar sus resultados cuando corresponda y no delegar en ella el juicio que forma parte de la prestación asumida.

Los contratos con proveedores tecnológicos deberían acompañar esa arquitectura. No basta con negociar precio, disponibilidad y propiedad intelectual. También conviene regular el ciclo de vida del sistema, la gestión de incidentes y de la evidencia técnica, los riesgos vinculados con la seguridad, la distribución interna de responsabilidad entre las partes, entre otros múltiples temas. Un contrato que limita ampliamente la responsabilidad del proveedor, pero no garantiza acceso a la evidencia necesaria para defenderse frente al cliente, puede dejar a la empresa expuesta frente al cliente y sin mecanismos efectivos para reclamar contra el proveedor.

Conclusiones preliminares

La utilización de inteligencia artificial en la ejecución de contratos no exige reconocer personalidad jurídica a los sistemas ni establecer un régimen general de responsabilidad objetiva por el solo uso de IA. Exige aplicar con precisión las categorías contractuales vigentes a una nueva forma de organizar el cumplimiento.

La IA no sustituye al deudor. Frente al acreedor, sigue siendo necesario identificar qué prestación se asumió, si fue ejecutada correctamente y qué diligencia correspondía según su naturaleza. La tecnología puede modificar los medios disponibles y los riesgos previsibles, pero no crea un obligado independiente.

La opacidad tampoco funciona por sí sola como exoneración. Cuando es conocida y relevante para el uso concreto, debe ser gobernada mediante supervisión, trazabilidad y mecanismos de corrección proporcionales al riesgo. La responsabilidad no nace de la opacidad, sino del incumplimiento de los deberes aplicables frente a ella.

Los agentes de IA profundizan la delegación tecnológica y hacen más importante definir permisos, intervención humana y evidencia. Cuando el sistema actúa frente al cliente, la organización no debería poder presentar esa actuación como ajena a la manera en que decidió ejecutar su prestación.

Una conclusión sobre la que conviene insistir es que buena parte de estas preguntas puede empezar a abordarse con las categorías del derecho vigente. Ello no excluye la conveniencia de reformas específicas sobre preservación y acceso a evidencia, presunciones o usos de IA de especial riesgo. Pero tampoco justifica esperar una legislación integral para comenzar a gobernar los riesgos contractuales que ya existen.

Cuando esa capacidad de actuación deja de afectar únicamente al cliente y produce efectos frente a terceros, aparecen preguntas distintas sobre riesgo, causalidad, productos defectuosos y atribución de responsabilidad. Esas cuestiones serán objeto de la segunda parte de esta entrega, en la que volveré sobre el ejemplo del vehículo autónomo que utilicé en un artículo de 2019 y propondré una hipótesis preliminar sobre los agentes de IA que actúan por objetivos.

(Continuará...)