1. Antecedentes

La Unión Europea (UE)[1] lleva años buscando una configuración adecuada para la responsabilidad civil de los sistemas inteligentes: (i) en 2017, se aprobó la Resolución del Parlamento Europeo (PE) con recomendaciones a la Comisión Europea (CE) sobre normas de Derecho civil sobre robótica[2]; (ii) en 2020, se publicaron el Libro Blanco sobre la Inteligencia Artificial[3] y el Informe de la CE al PE, al Consejo, y al Comité Económico y Social Europeo sobre seguridad y responsabilidad civil de la Inteligencia Artificial (IA), el internet de las cosas (IoT) y la robótica[4], y (iii) sumado a la reciente aprobación del Reglamento de Inteligencia Artificial (IA) cuyo texto se acordó a fines de 2023[5] y ha sido aprobado por el PE en 2024[6].

Recientemente, el trabajo co-legislativo de la UE ha dado importantes pasos, al impulsarse: (i) en 2020, una Resolución del PE y del Consejo con una propuesta de creación de un Reglamento que aborde la responsabilidad civil por el funcionamiento de los sistemas de IA de alto riesgo[7]; y (ii) en 2022 se impulsó por un lado una propuesta de Directiva del PE y del Consejo sobre adaptación de las normas de responsabilidad civil extracontractual para los sistemas de IA de alto riesgo[8], y por el otro, una propuesta de una nueva Directiva sobre responsabilidad por daños causados por productos defectuosos[9], que incluye el software y todos los demás sistemas de IA, actualizando el régimen creado en 1985 con la Directiva 85/374/CEE1 sobre responsabilidad por daños causados por productos defectuosos (en adelante, ambas serán conjuntamente referidas como las Directivas).

Ya desde la Resolución del PE de 2017 enfocada en robótica, el PE solicitó a la CE que propusiera instrumentos legislativos sobre los aspectos jurídicos relacionados con el desarrollo y el uso de la robótica y la IA, junto con instrumentos no legislativos —por ejemplo, directrices y códigos de conducta—[10], y que determinase si debiera aplicarse un enfoque de la responsabilidad objetiva o un enfoque de gestión de riesgos, entendiéndose que en el primero, únicamente se exige probar que se ha producido un daño o perjuicio y el establecimiento de un nexo causal entre el funcionamiento perjudicial del robot y los daños o perjuicios causados a la persona que los haya sufrido, mientras que en el enfoque de gestión de riesgos, el análisis no se centra en la persona “que actuó de manera negligente” como personalmente responsable, sino en la persona que es capaz, en determinadas circunstancias, de minimizar los riesgos y gestionar el impacto negativo.

Asimismo, se valoró ya en 2017 que una posible solución a la complejidad de la asignación de responsabilidad por los daños y perjuicios causados por robots cada vez más autónomos, podría ser el establecimiento de un régimen de seguro obligatorio, como ya se aplica, por ejemplo, en el caso de los automóviles, y que dicho sistema podría completarse con un fondo que garantizara la reparación de daños en los casos de ausencia de una cobertura de seguro[11].

2. Puntos sobresalientes de las Directivas

Las propuestas que impulsa la UE de dos nuevas Directivas[12] que actualicen, modernicen, clarifiquen y armonicen criterios de responsabilidad civil y seguridad[13] por productos defectuosos[14], regulando expresamente la responsabilidad extracontractual emergente por el uso de Sistemas de IA –recientemente regulados en el Reglamento de la IA de la UE[15]–, constituyen un relevante hito global en relación a cómo abordar las consecuencias civiles de sistemas complejos que pueden fallar (o ser atacados por terceros, y fallar por tal razón).

Este esfuerzo comunitario debe encastrarse con las normas nacionales ya en vigor en materia de responsabilidad civil en los 27 Estados Miembros, que generalmente se basan en la culpa, y por tanto pueden no ser adecuadas para acoger indemnizaciones por daños causados por productos y servicios en los que se utiliza la IA, dado que las víctimas deben demostrar que ha habido una acción u omisión ilícita por parte de una “persona” que ha causado el daño.

Las características específicas de la IA, incluidas su complejidad, su autonomía y su opacidad (el denominado efecto de “caja negra”), pueden dificultar o hacer excesivamente costoso para las víctimas determinar cuál es la persona responsable y probar que se cumplen los requisitos para una demanda de responsabilidad civil admisible[16].

Por otro lado, las estrategias nacionales de IA de varios Estados miembros están estudiando nuevas medidas legislativas sobre la responsabilidad civil en los casos en que medie IA y se espera que, si la UE no actúa a nivel supranacional, los Estados miembros adapten sus normas nacionales de responsabilidad civil a los retos que plantea la IA. Esto dará lugar a una mayor fragmentación y a un aumento de los costos para las empresas que operan en la UE[17].

Por ello el objetivo de las Directivas es promover la introducción generalizada de una IA fiable y confiable, a fin de aprovechar plenamente sus beneficios para el mercado interior, y a la vez garantizar que las víctimas de daños causados por la IA obtengan una protección equivalente a la de las víctimas de daños causados por los demás productos[18].

Es por eso que la CE adopta un enfoque holístico, proponiendo también ciertas adaptaciones a la responsabilidad civil del productor por productos defectuosos. Las dos iniciativas políticas están estrechamente vinculadas y forman un solo paquete: la Directiva sobre responsabilidad por los daños causados por productos defectuosos cubrirá la responsabilidad objetiva del productor por productos defectuosos, lo que da lugar a una indemnización por determinados tipos de daños, principalmente sufridos por particulares; mientas que la Directiva sobre responsabilidad extracontractual de la IA cubrirá principalmente la culpa de cualquier persona, con el fin de indemnizar por cualquier tipo de daño y a cualquier tipo de víctima[19].

La UE entiende que, en ausencia de normas comunitarias armonizadas para indemnizar los daños causados por los sistemas de IA, los proveedores, operadores y usuarios de sistemas de IA, por una parte, y, por otra, las personas perjudicadas, todos se verían confrontados a 27 regímenes de responsabilidad diferentes, lo que daría lugar a distintos niveles de protección y falsearía la competencia entre las empresas de los distintos Estados miembros. Es necesario reducir la fragmentación y otorgar una mayor seguridad jurídica con respecto a la exposición de las partes interesadas a la responsabilidad civil, garantizando un nivel (mínimo) de protección uniforme para todas las víctimas (particulares y empresas) e incentivos uniformes para prevenir daños y garantizar la rendición de cuentas[20].

En esta línea, la CE entiende que si bien los contenidos digitales, el software y los datos[21] desempeñan un papel crucial en el funcionamiento de muchos productos nuevos, aún no está claro hasta qué punto esos elementos intangibles pueden clasificarse como productos. Esto puede generar inseguridad jurídica sobre cómo se puede compensar a las partes perjudicadas por los daños causados ​​por el software, incluidas las actualizaciones de software, y quién será responsable de dichos daños. La inclusión del software[22] y herramientas de IA dentro del régimen de productos defectuosos es deseable, y para ello es que se impulsa la modificación del régimen de productos defectuosos[23].

Además, las investigaciones de la CE mostraron que las nuevas tecnologías introducen nuevos riesgos, como la apertura a la entrada de datos que afectan la seguridad o los riesgos de ciberseguridad, mientras que la Directiva de productos defectuosos prevé compensaciones sólo por daños físicos o materiales[24].

En este contexto, algunas características específicas de la IA (por ejemplo, opacidad/falta de transparencia, explicabilidad, comportamiento autónomo, adaptación continua, previsibilidad limitada) hacen que sea particularmente difícil cumplir con la carga de la prueba para poder ganar una demanda de daños y perjuicios. Con arreglo a las normas de responsabilidad actuales, para reclamar una indemnización por daños y perjuicios, las víctimas suelen tener que probar la existencia del daño, una culpa del responsable y una causalidad entre esa culpa y el daño, o bien probar el daño, el defecto y la relación causal entre los dos[25].

Algunos sistemas de IA tienen características que hacen excesivamente difícil o incluso imposible que las víctimas identifiquen y prueben la culpa de una persona potencialmente responsable, o la existencia de un defecto y el vínculo causal entre esa culpa/defecto y el daño sufrido y, por tanto, se dificulta poder obtener una indemnización por los daños sufridos.

Estas particularidades propias de los sistemas actuales de responsabilidad civil crean un riesgo a nivel comunitario: que los 27 tribunales nacionales diverjan en sus enfoques, lo que podría llevar a una mayor fragmentación de las normas de responsabilidad por los daños causados ​​por la IA en toda la UE. Esta fragmentación jurídica puede darse ya que los jueces tendrán que interpretar normas generales preexistentes que no fueron diseñadas teniendo en cuenta la IA para decidir pleitos de responsabilidad civil.

A lo anterior, se suma que la ley aplicable a una reclamo de responsabilidad civil en un contexto transfronterizo es, por defecto, la ley del país en el que se produce el daño, y dado que existen diferentes regímenes de responsabilidad, diferentes normas sobre onus probandi podrían aplicarse al mismo tipo de producto o servicio de IA desplegado en varios Estados miembros, aunque causen el mismo tipo de daño. Esto genera para las empresas una mayor inseguridad jurídica debido a normas de responsabilidad nacionales obsoletas y poco claras, pero también perjudica en potencia a las víctimas de daños causados ​​por productos de IA, que tienen dificultades para obtener una indemnización justa en la UE.  Esta diferencia de posibles indemnizaciones según dónde resida el ciudadano podría socavar la confianza de los ciudadanos en la IA, y también afectar la capacidad del sistema legal y judicial para garantizar resultados justos y equitativos en demandas relacionadas con sistemas de IA[26].

De allí que el fin de las Directivas sea que en la UE los eventuales perjudicados por los sistemas de IA disfruten del mismo nivel de protección que las personas perjudicadas por otras tecnologías. Para ello, se aligera la carga de la prueba de manera muy específica y proporcionada mediante el uso del deber de exhibición y las presunciones relativas (iuris tantum)[27]. Se establece la posibilidad de obtener información sobre los sistemas de IA de Alto Riesgo que deben registrarse, o documentarse de conformidad con el Reglamento de IA.

Por tal razón, la Directiva sobre responsabilidad por el uso de IA se aplicará respecto a las demandas civiles de responsabilidad extracontractual por daños y perjuicios causados por un sistema de IA, cuando dichas demandas se interpongan en el marco de regímenes de responsabilidad subjetiva (por culpa), es decir, conforme a los regímenes que establecen la responsabilidad legal de indemnizar los daños causados de forma deliberada o por un acto u omisión negligente y, más allá de las presunciones que crea, la Directiva no afecta a las normas nacionales o de la UE que determinan, por ejemplo, qué parte ha de soportar la carga de la prueba, qué grado de certeza es necesario para que haya fuerza probatoria o cómo se define la culpa[28], y tampoco afecta a las normas vigentes específicas de Ley de Servicios Digitales[29].

Ambas Directivas son parte de un conjunto más amplio de iniciativas, que incluyen el Reglamento de IA recientemente aprobado por el PE, pero también incluye la revisión de las Directivas sobre seguridad general de productos del año 2001[30], sobre productos elaborados del año 1984, y sobre maquinarias, ésta recientemente modificada por el Reglamento 2023/1230 de Junio de 2023, que armoniza los requisitos de salud y seguridad de las máquinas en los 27 Estados de la UE. También se impulsa una modificación a la Directiva (UE) 2020/1828, del 25 de noviembre de 2020, relativa a las acciones de representación para la protección de los intereses colectivos de los consumidores, de modo tal que se permitan class actions en la materia[31].

Es poco probable que las Directivas sobre responsabilidad civil extracontractual y responsabilidad por productos defectuosos que impulsa la UE sean aprobadas por el PE durante 2024, dados los pasos que aún deben transitarse[32].

La Directiva sobre responsabilidad civil extracontractual por uso de IA otorgaría a los tribunales nacionales el poder de ordenar la exhibición de evidencias sobre Sistemas de IA de Alto Riesgo sospechosos de haber causado daños. No obstante el buen timing legislativo de las Directrices propuestas, distintas partes interesadas y académicos han cuestionado la idoneidad y eficacia del régimen de responsabilidad propuesto, su coherencia con el Reglamento de IA aprobado por el PE el 13 de Marzo de 2024 con 523 votos a favor[33], y también alertado sobre su potencial impacto perjudicial sobre la innovación y la interacción entre las normas nacionales y de la UE[34].

3. Propuesta de Directiva de responsabilidad extracontractual por uso de IA:

El deber de diligencia y la inversión del onus probandi

Esta Directiva de responsabilidad por IA está compuesta por 8 Artículos, y pretende armonizar el derecho nacional de los 27 para que permitan reclamar una indemnización basada en  la culpa consistente en el incumplimiento de un deber de diligencia impuesto por el Derecho de la Unión o el derecho nacional[35]. Asume que puede resultar difícil para los demandantes probar que existe un nexo causal entre dicho incumplimiento y la información de salida producida por el sistema de IA o la no producción de una información de salida por parte del sistema de IA que haya dado lugar a los daños en cuestión.

En su Art. 4 abajo transcripto se crea una presunción relativa de causalidad específica en relación con este nexo causal[36], bajo la creencia que esta presunción es la medida menos gravosa para dar respuesta a la necesidad de una indemnización justa para la víctima[37]. El actor debe demostrar la culpa del demandado con arreglo a las normas nacionales o de la Unión aplicables. Esta culpa puede determinarse por incumplir un deber de diligencia en virtud del Reglamento de IA, o de otras normas comunitarias, como las que regulan el uso de la supervisión y la toma de decisiones automatizadas para el trabajo en plataformas, o las que regulan el funcionamiento de aeronaves no tripuladas.

Ahora bien, en virtud del Art. 3 abajo transcripto, el Juez también puede presumir la culpa sobre la base del incumplimiento de una orden judicial de exhibición o conservación de pruebas[38]. No obstante, solo procede introducir una presunción de causalidad cuando pueda considerarse probable que la culpa en cuestión haya influido en la información de salida del sistema de IA pertinente —o en la ausencia de la información de salida—, lo cual puede evaluarse en función de las circunstancias generales del caso. Al mismo tiempo, el actor aún tiene que demostrar que el sistema de IA (es decir, su información de salida o la no producción de una información de salida) le ha causado los daños.

A su turno, el Art. 4 distingue entre demandas interpuestas contra el proveedor de un Sistema de IA de Alto Riesgo –o contra una persona sujeta a las obligaciones del proveedor en virtud del Reglamento de IA– y, por otra parte, las demandas interpuestas contra el usuario de dichos sistemas.

En el caso de los Sistemas de IA de Alto Riesgo (regulados en el Título III y en el Anexo III del Reglamento de IA), se establece una excepción a la presunción de causalidad cuando el demandado demuestre que el demandante puede acceder razonablemente a pruebas y conocimientos especializados suficientes para demostrar el nexo causal. Esta posibilidad busca incentivar a los demandados a cumplir sus obligaciones de exhibición y con las medidas establecidas por el Reglamento de IA para garantizar un alto nivel de transparencia de la IA, o el cumplimiento de los requisitos de documentación y registro[39].

En el caso de los Sistemas de IA de riesgo no elevado, se establece una condición para aplicar la presunción de causalidad: que el órgano jurisdiccional determine que es excesivamente difícil para el demandante demostrar el nexo causal[40]. Tales dificultades deben evaluarse a la luz de las características de ciertos sistemas de IA, como la autonomía y la opacidad, que hacen muy difícil en la práctica la explicación del funcionamiento interno del sistema de IA, lo que afecta la capacidad del actor para demostrar el nexo causal entre la culpa del demandado y la información de salida de IA[41].

En los casos en que el demandado utilice el sistema de IA en el transcurso de una actividad personal y no profesional, se establece que la presunción de causalidad solo debe aplicarse si el demandado ha interferido sustancialmente en las condiciones de funcionamiento del sistema de IA o si el demandado tenía la obligación y estaba en condiciones de determinar las condiciones de funcionamiento del sistema de IA y no lo hizo[42]. Esta condición se justifica por la necesidad de ponderar los intereses de los perjudicados y de los usuarios no profesionales, eximiendo de la aplicación de la presunción de causalidad aquellos casos en que los usuarios no profesionales no incrementen el riesgo a través de su comportamiento. Por último, el Art. 4, apartado 7, establece que el demandado tiene derecho a refutar la presunción de causalidad basada en el Art. 4, apartado 1[43].

CONTINUAR LEYENDO