Si la IA de vuestra empresa causa un daño, ¿Quién paga?
Hay aseguradoras que ya están excluyendo expresamente la inteligencia artificial de determinadas pólizas, según publicaciones sobre el mercado estadounidense y otros seguros que expresamente están incluyendo coberturas de daños causados por IA.
Pero ¿Qué ocurre si nuestra póliza no nos protege y somos responsables del daño?.
En este articulo he planteado dos posibles escenarios que se dan habitualmente en el uso de la IA y sus posibles consecuencias.
Dos posibles escenarios en el uso de la IA.
Persona autónoma que usa IA en su trabajo.
Una arquitecta técnica prepara un informe para un cliente. Usa una herramienta de IA para redactar parte de la memoria y comprobar unos cálculos. No revisa un dato concreto. El cliente toma una decisión con ese informe y pierde dinero.
Lo primero que hay que entender: usar una máquina no elimina la responsabilidad profesional. Quien firma el informe no deja de tener sus obligaciones por haber utilizado IA.
Habrá que comprobar qué revisión exigía el trabajo, si hubo incumplimiento y si este causó el perjuicio. La IA es una herramienta que ella eligió usar, eso no impide que también pueda existir responsabilidad del proveedor de esa herramienta si concurren los requisitos para exigírsela (Ej: Vulneración propiedad intelectual).
Una vez establecida la responsabilidad correspondiente e imputable habría que revisar el seguro, ver si la profesional tiene una póliza de responsabilidad civil que la cubra.
Depende de tres cosas que la cobertura de la póliza la proteja.
Si la actividad declarada en la póliza incluye lo que realmente hace.
Si el perjuicio reclamado es de los que esa póliza cubre, porque aquí no hay daño físico ni material, hay una pérdida económica, y no todas las pólizas de RC profesional las cubren con la misma amplitud.
Y si existe alguna exclusión aplicable, sea específica de IA o esté redactada en otros términos.
Una pyme que monta un agente y el agente recomienda mal.
Una empresa de treinta personas desarrolla sobre un modelo de terceros un asistente que recomienda configuraciones a sus clientes. Funciona bien durante meses. Un día recomienda algo que provoca una parada de producción en el cliente y provoca un perjuicio.
Antes de seguir avanzando un breve inciso. En este supuesto podría ocurrir, que la Pyme hubiera desarrollado un sistema propio sobre un modelo ajeno con modificaciones sobre el mismo y esa empresa podría también ocupar la posición de proveedor del sistema conforme al Reglamento de IA (atentos por si se trata de un sistema de alto riesgo y asume otro tipo de obligaciones y responsabilidades al ser proveedor). No basta con llamarse usuario o desplegador del modelo de un tercero, importa qué sistema desarrolla, bajo qué nombre lo ofrece y cuál es su finalidad.
Los pasos para determinar su responsabilidad serían los siguientes:
1. Reconstruir qué ocurrió y quién intervino
Prueba clave: registros de la conversación, datos de entrada, versiones, instrucciones, cambios de configuración, registros de producción y peritaje técnico.
No basta con que la parada sucediera después de la recomendación, hay que reconstruir el mecanismo que las conecta.
2. Determinar qué posición ocupaba la Pyme
Se trata de identificar las obligaciones regulatorias de cada participante, sin confundirlas todavía con la obligación de indemnizar.
3. Identificar por qué vía se le exige responsabilidad.
¿Qué vínculo tenía la pyme con el cliente perjudicado?
Si había un contrato para suministrar el asistente o prestar el servicio.
Si el perjudicado no tenía contrato con ella, se examina, en su caso, la responsabilidad extracontractual.
Si concurren las condiciones de algún régimen especial, habrá que analizarlo separadamente.
4. Precisar qué debía hacer la pyme y si incumplió
¿Qué obligación concreta incumplió o qué diligencia exigible omitió?
La diligencia se valora atendiendo a la naturaleza de la obligación y a las circunstancias. Si había comprometido un resultado concreto, también debe comprobarse si lo incumplió.
5. Comprobar que ese incumplimiento causó el daño
Hay que enlazar el incumplimiento identificado, no simplemente la existencia del asistente, con la parada.
Por ejemplo, como hipótesis de análisis:
Si se sostiene que faltaba un control de compatibilidad, habrá que demostrar que ese control habría detectado la configuración peligrosa y evitado la parada.
También deben examinarse causas alternativas, datos incorrectos del cliente, aplicación distinta de la recomendada, modificaciones posteriores, fallos de maquinaria o actuaciones de terceros.
Una infracción regulatoria no acredita por sí sola todos los requisitos de una indemnización; y cumplir el Reglamento tampoco excluye automáticamente una responsabilidad contractual o negligente. La reclamación debe conectarse con el daño conforme al régimen civil aplicable.
6. Acreditar el perjuicio y calcular qué parte es indemnizable
En responsabilidad contractual también debe examinarse el alcance de los daños previsibles y derivados del incumplimiento.
7. Examinar las defensas y la posible intervención de otros responsables
Finalmente, se comprueba si existen circunstancias que excluyan, reduzcan o distribuyan la responsabilidad. (Ej: Si fue un error de un empleado y hubo una política adecuada de formación, etc).
Hechos → papel de cada empresa → régimen aplicable → obligación incumplida o negligencia → relación causal → daño acreditado → defensas y reparto de responsabilidad.
Con los datos del supuesto, hay motivo para investigar una posible responsabilidad, pero no para darla por demostrada. La pregunta decisiva no es solo “¿se equivocó la IA?”, sino “¿Qué obligación incumplió la pyme y cómo produjo ese incumplimiento el perjuicio reclamado?”
Si la Pyme ha causado un daño directamente imputable a la misma todavía no basta para concluir que debe indemnizar: además hay que establecer el fundamento jurídico de esa imputación y el alcance del perjuicio resarcible.
Una vez establecida la responsabilidad de la Pyme habría que revisar los seguros de la misma. En este ejemplo, el cliente ha sufrido una pérdida económica por la parada, sin que se haya descrito daño corporal ni material previo. ¿Qué póliza responde? ¿La de explotación, que cubre la actividad? ¿La profesional, si la tiene? ¿La de productos, si se considera que hay un producto? No son intercambiables y responden a cosas distintas. La respuesta está en el condicionado y en la determinación del daño.
En este supuesto ¿Podría haber responsabilidad del Consejo de Administración?. La cuestión es si incumplieron sus propios deberes de dirección y control, con dolo o culpa, y si ese incumplimiento causó el daño. En una acción individual del cliente contra ellos habrá que acreditar, además, un daño directo imputable a su actuación.
Dicho en términos de consejo, si se permitió que entrara inteligencia artificial en un producto que la empresa vende sin que nadie evaluara el riesgo, sin información suficiente y sin controles, esos hechos pueden ser relevantes. No significa que cada integración técnica tenga que aprobarse formalmente por el consejo ni que la falta de esa aprobación determine responsabilidad.
Para una eventual reclamación personal contra administradores, la póliza que habrá que revisar es la D&O, si existe. Para la responsabilidad de la sociedad por el producto, habrá que examinar su propio seguro. No son coberturas intercambiables.
¿Qué hacer antes de que pase algo?
Al contratar o renovar el seguro
Preguntas relevantes que os recomiendo:
¿Quién está asegurado exactamente?
¿La actividad declarada se corresponde con lo que hacemos hoy?
¿Qué tipo de daño cubre?
¿Qué exclusiones hay, y cómo están redactadas?
¿Cuándo tiene que producirse el hecho y cuándo hay que comunicarlo?
¿Y la defensa jurídica?
Al negociar contratos de IA
Vale tanto si contratáis la herramienta como si sois quienes la vendéis.
Quién responde de qué, por escrito.
Qué hace el sistema, qué no hace, qué limitaciones tiene y cómo debe usarse.
Las garantías de funcionamiento.
Las indemnidades. Comprobad si existen y qué reclamaciones cubren.
Los límites de responsabilidad.
Las actualizaciones y las correcciones.
Y la revisión humana.
Si tuviera que resumir este articulo en una frase sería que el riesgo no es que la IA se equivoque, sino descubrir después del error que nadie había decidido quién debía revisarla ni qué seguro tenía que responder.
Y eso no se arregla el día del incidente. Se revisa antes del despliegue y en la próxima renovación y el próximo contrato que firméis.
Si tenéis dudas ya sabéis donde encontrarme, espero os haya sido de utilidad.
