Autorización, culpa y responsabilidad por acciones automatizadas

Uno lee los incidentes protagonizados por agentes de inteligencia artificial y tiende a ubicarlos en un mundo lejano: grandes laboratorios, modelos experimentales, entornos de evaluación y fallas de contención. Yo mismo había analizado y escrito sobre esos problemas. Hasta que una versión pequeña, incomparable en escala y gravedad, apareció en mi propia práctica.

Vi en una red profesional el anuncio de un producto relacionado con mi campo de trabajo. Le pedí a un agente de codificación que estudiara sus prestaciones y las comparara con uno de mis desarrollos. Mi intención era revisar información pública y obtener un benchmark funcional. El agente produjo un informe favorable. Leí las conclusiones y di por terminada la tarea, sin revisar las acciones empleadas para producirlas.

Días más tarde recibí, mediante un canal público de contacto, un mensaje en el que se atribuían a mi entorno consultas automatizadas contra aquel servicio. La otra parte las percibía como un ataque.

Yo no había instruido una intrusión, una sobrecarga ni el acceso a información restringida. Contesté, expliqué lo ocurrido, detuve la actividad, eliminé los artefactos asociados y pedí disculpas. El asunto se cerró. Hasta donde pude verificar, no hubo acceso a sectores restringidos, extracción de información confidencial ni perjuicio comprobable.

Sin embargo, la ausencia de una finalidad dañosa no agotaba el problema. Yo había definido el objetivo, habilitado un entorno con herramientas y revisado solamente el resultado. La experiencia planteaba una pregunta jurídica que será cada vez menos excepcional: cómo se atribuyen las consecuencias cuando una persona encarga una finalidad legítima, un agente selecciona medios no expresamente autorizados y un tercero recibe sus efectos?

Según la comunicación recibida, una parte importante de las consultas consistía en búsquedas de jurisprudencia pública y ampliamente conocida. Ese contenido era compatible con una evaluación funcional elemental y no indicaba, por sí mismo, una finalidad de obtener información reservada o reproducir activos ajenos. Pero la naturaleza inocua de una consulta no define toda la conducta. Su frecuencia, automatización, modalidad, autorización e impacto deben analizarse separadamente.

El agente no ocupa todavía el lugar del responsable

Un sistema de IA puede seleccionar herramientas, dividir una tarea en pasos y adaptar su conducta según los resultados. Esa autonomía funcional no lo convierte, por sí sola, en una persona jurídica ni desplaza automáticamente la responsabilidad humana.

El análisis debe reconstruir la cadena de intervención: quién definió el objetivo, quién configuró el agente, qué herramientas y credenciales habilitó, qué restricciones impuso, qué acciones eran previsibles y quién debía supervisarlas.

Decir que “la IA actuó sola” puede describir una parte técnica del proceso. No responde la pregunta jurídica sobre atribución.

La ausencia de dolo importa, pero no resuelve todo

En el derecho civil argentino, dolo y culpa no son equivalentes. El artículo 1724 del Código Civil y Comercial define la culpa como omisión de la diligencia debida según la naturaleza de la obligación y las circunstancias de personas, tiempo y lugar. Comprende imprudencia, negligencia e impericia. El dolo supone, entre otras hipótesis, producción intencional de un daño o manifiesta indiferencia por los intereses ajenos.

Por eso, demostrar que una persona no quiso perjudicar a un tercero no basta para descartar toda posible responsabilidad. Todavía habría que preguntar si el riesgo era previsible, si las instrucciones fueron suficientes y si las medidas de supervisión resultaban adecuadas para las capacidades del sistema.

Tampoco corresponde concluir automáticamente lo contrario. El uso de un agente no convierte cualquier resultado inesperado en negligencia. La valoración exige circunstancias concretas: estado de la técnica, información disponible, naturaleza de la tarea, accesibilidad del recurso, volumen, duración, controles existentes y conducta posterior al incidente.

El estándar no puede ser retrospectivo. Que hoy conozcamos el resultado no significa que antes fuera razonablemente previsible cada paso elegido por el agente.

Sin daño no hay indemnización automática

La responsabilidad resarcitoria requiere algo más que una conducta inconveniente. El régimen del Código Civil y Comercial articula antijuridicidad, factor de atribución, daño y relación causal. El artículo 1737 caracteriza el daño como lesión de un derecho o interés no reprobado por el ordenamiento, con consecuencias sobre la persona o el patrimonio.

Si no existe perjuicio cierto, causalmente vinculado y jurídicamente relevante, el terreno de una reparación indemnizatoria se reduce de manera decisiva. Una percepción de riesgo, una molestia o una calificación unilateral de los hechos no demuestran por sí solas un daño resarcible.

Pero la falta de daño consumado no vuelve irrelevante el episodio. El Código también reconoce una función preventiva. Una acción no deseada puede revelar un defecto de control que deba corregirse antes de que produzca consecuencias mayores.

La distinción es importante: prevenir no equivale a admitir responsabilidad por un daño inexistente.

Accesibilidad técnica no es autorización jurídica

Que un sistema responda una solicitud no significa necesariamente que cualquier forma de acceso esté autorizada. La evaluación puede involucrar términos de uso, límites técnicos, expectativas de funcionamiento y reglas contractuales.

En el plano penal, el artículo 153 bis del Código Penal se refiere a quien, a sabiendas, accede sin debida autorización o excediendo la que posee a un sistema o dato informático de acceso restringido. Sus elementos no deben proyectarse indiscriminadamente sobre cualquier consulta automatizada a un servicio público. Importan el carácter restringido del sistema o dato, el conocimiento, el mecanismo empleado y las circunstancias concretas.

El contenido de las consultas puede aportar indicios sobre su finalidad. Búsquedas de fuentes públicas, sin instrucciones dirigidas a obtener secretos, credenciales o información restringida, son compatibles con un benchmark funcional. Ese dato no resuelve por sí solo la autorización ni excluye un eventual impacto técnico. Permite, en cambio, evitar que intención, modalidad y consecuencia sean tratadas como si fueran una sola cuestión.

También debe examinarse si existió tratamiento de datos personales. La Ley 25.326 regula recolección, almacenamiento, consulta, comunicación y otras operaciones sistemáticas sobre datos referidos a personas determinadas o determinables. No toda telemetría ni toda respuesta técnica contiene datos personales, pero cuando los contiene aparecen deberes específicos de finalidad, consentimiento, seguridad y confidencialidad.

La autorización debe alcanzar los medios

Las instrucciones humanas suelen formular objetivos: investigar, comparar, verificar, obtener una respuesta. Los agentes, en cambio, necesitan seleccionar medios. Allí se abre una zona que el derecho y la ingeniería deben gobernar conjuntamente.

Una autorización para conocer no debería interpretarse como autorización para interactuar. Leer documentación pública no es lo mismo que enviar consultas automatizadas. Observar una interfaz no equivale a descubrir endpoints. Comparar funciones no implica permiso para ejecutar un benchmark contra infraestructura ajena.

En los sistemas agentivos, el consentimiento operativo necesita más granularidad:

AGENTS.md no es un firewall

En términos sencillos, AGENTS.md es una especie de manual interno que la inteligencia artificial debe leer antes de comenzar a trabajar. Allí se le indica qué tareas puede realizar, qué límites debe respetar, cuándo puede actuar por sí misma y en qué situaciones debe detenerse y pedir autorización. Es comparable a las instrucciones, políticas y niveles de autorización que una organización entrega a sus empleados o proveedores. Su existencia ayuda a demostrar que se establecieron reglas de actuación, aunque no garantiza por sí sola que el agente siempre las cumpla.

Los archivos de instrucciones como AGENTS.md cumplen una función relevante. Definen políticas de trabajo para los agentes: convenciones, límites, prioridades y conductas esperadas. Pueden integrar un sistema de diligencia y aportar evidencia sobre las medidas adoptadas.

Pero una regla lingüística no es una barrera técnica. Puede ser interpretada de manera imperfecta, desplazada por otra instrucción o aplicada en un contexto no previsto.

Las restricciones sensibles deben tener expresión ejecutable: allowlists de herramientas y dominios, separación de credenciales, límites de egreso, presupuestos de solicitudes, sandboxes, confirmaciones previas y logs durables.

El principio debería ser sencillo: toda evaluación externa comienza en modo de sólo lectura. La interacción automatizada requiere una autorización nueva, concreta e informada.

Del humano en el circuito al humano antes de la acción

La supervisión humana suele situarse al final. El agente actúa y una persona revisa su respuesta. Ese modelo sirve para borradores confinados y reversibles. Resulta insuficiente cuando el sistema puede producir efectos externos.

Revisar el informe final no deshace una consulta, un correo, una publicación, una transferencia o una divulgación de información.

Por eso deben distinguirse tres momentos:

La misma persona puede cumplir los tres roles. Lo que no debe hacer el sistema es confundirlos.

Una responsabilidad basada en la arquitectura de delegación

La discusión sobre agentes no debería quedar atrapada entre dos respuestas demasiado simples: culpar al usuario por todo lo que haga el sistema o atribuir cada incidente a una IA que actuó autónomamente.

La pregunta más útil es otra: cómo estaba diseñada la delegación?

Habrá que examinar objetivo, previsibilidad, permisos, controles, trazabilidad, posibilidad de intervención y respuesta posterior. La falta de dolo, la ausencia de acceso restringido y la inexistencia de daño comprobable son circunstancias jurídicamente relevantes. No son una licencia para omitir el análisis de diligencia. Del mismo modo, una acción no autorizada por el usuario no demuestra por sí sola ilicitud ni responsabilidad resarcitoria.

La autonomía sin arquitectura de permisos no es autonomía gobernada. Es delegación insuficientemente delimitada.

El derecho de los agentes probablemente se construirá menos alrededor de una ficción de voluntad de la máquina que alrededor de una disciplina humana de diseño, autorización y control. En ese terreno, los incidentes pequeños también enseñan. Permiten corregir el sistema antes de que una falla de escala mínima se convierta en un daño de escala real.