Responsabilidad civil de la IA: cláusulas para tus contratos
Aprende qué cláusulas de indemnidad y seguros de responsabilidad civil exigir a tu proveedor de IA para proteger tu empresa ante fallos, alucinaciones o errores del sistema.
La responsabilidad legal de la IA en empresas españolas recae, salvo pacto en contrario, sobre quien despliega y firma la actuación apoyada en el sistema, no sobre el modelo. El AI Act exige trazabilidad y supervisión humana; el contrato con tu proveedor debe repartir ese riesgo con SLA y cláusulas de indemnidad claras.
La justicia española ya ha dictado sentencia: el Tribunal Superior de Justicia de Canarias sancionó a un letrado por presentar jurisprudencia inexistente fabricada por IA. Como bien detalla Prudencia AI Legal Insights, el argumento de la máquina defectuosa no exime al responsable de su firma. Traslada esta realidad a tu negocio. Imagina una gestoría zaragozana que automatiza informes de riesgo o una clínica dental valenciana usando chatbots para triaje: si el sistema falla o filtra datos, la respuesta no reside en el software, sino en el contrato que firmaste antes de activarlo. Esa línea de texto es la diferencia entre un susto técnico y una ruina judicial.
¿Qué ha cambiado realmente con el AI Act y por qué afecta a tu contrato?
El marco normativo aplicable a la inteligencia artificial en la Unión Europea y en España se articula a través del Reglamento Europeo de Inteligencia Artificial (AI Act), que clasifica herramientas y sistemas según su nivel de riesgo —inaceptable, alto, limitado y mínimo— e impone obligaciones de explicabilidad, gobernanza y supervisión humana, según Prudencia AI Legal Insights y Devesa Law.
Esto no es letra pequeña para abogados. Es información operativa que debería aparecer en la primera reunión con cualquier proveedor. Si tu sistema de IA entra en la categoría de alto riesgo —pensemos en selección de personal, scoring crediticio o diagnóstico sanitario asistido—, las obligaciones de documentación, trazabilidad y supervisión humana no son opcionales ni delegables por contrato. Y aquí está el matiz que muchas pymes pasan por alto: el hecho de que la obligación normativa recaiga sobre ti como empresa desplegadora no significa que el proveedor quede libre de toda culpa cuando el fallo es suyo. Significa que tú respondes primero ante el regulador, y luego reclamas al proveedor si el contrato te lo permite.
Ahí está la trampa de la ingenuidad contractual: firmar sin preguntar qué pasa si el modelo falla. Si quieres entender qué ayudas y marcos de financiación acompañan esta adopción de IA en pymes españolas, conviene revisar antes la Estrategia Nacional de IA: ayudas e inversión para pymes, porque muchas líneas de subvención exigen precisamente acreditar gobernanza y cumplimiento normativo para poder cobrarlas.
¿Qué es la responsabilidad vicaria de un fallo del agente de tu proveedor?
La responsabilidad vicaria es, en términos sencillos, responder por los actos de un tercero que actúa bajo tu control o en tu nombre. Cuando un agente autónomo de IA —uno que reserva citas, responde a clientes, ejecuta pagos o genera contenido legal— comete un error, la pregunta de quién responde no tiene una respuesta automática favorable al cliente. Los contratos comerciales relativos a la adquisición e implementación de IA deben incorporar mecanismos de rendición de cuentas, auditoría, trazabilidad y supervisión del comportamiento del modelo, según Kennedys Law e IBM Think.
Dos escenarios de negligencia de agentes autónomos que ya circulan en el día a día de las pymes:
- Un ataque de prompt injection manipula las instrucciones del agente y este revela datos confidenciales de otro cliente o ejecuta una acción no autorizada.
- El modelo alucina una condición contractual, un precio o una cifra regulatoria y el cliente final actúa en consecuencia, con perjuicio económico.
En ambos casos, si tu contrato con el proveedor se limita a un "el software se ofrece tal cual, sin garantías", el riesgo económico y reputacional se queda en tu empresa. No en quien lo construyó. Esa es la brecha de madurez que señala el mercado: la oferta de proveedores de IA agéntica y RAG crece más rápido que la gestión del riesgo contractual de quien la compra. Antes de evaluar costes de infraestructura, conviene tener claro qué parte de ese gasto también cubre garantías: puedes revisar cómo se calculan los costes de agentes de IA en 2026 para entender qué entra y qué no entra en el presupuesto de un proveedor serio.
¿Qué cláusulas de indemnidad y SLA debe exigir tu empresa por escrito?
Una cláusula de indemnidad es, en román paladino, la promesa escrita de que el proveedor te compensará si su software falla y ese fallo te genera un daño económico o reputacional. Sin ella, cualquier conversación sobre responsabilidad se queda en buena voluntad verbal, y la buena voluntad no paga una sanción ni restituye a un cliente perjudicado.
El SLA —acuerdo de nivel de servicio— es el documento donde se fijan compromisos medibles: tiempo de respuesta, disponibilidad, resolución de incidencias críticas y, esto es lo que casi nadie pide, qué pasa cuando el fallo no es de infraestructura sino del propio modelo: una alucinación, una manipulación por prompt injection, una decisión agéntica fuera de los límites establecidos. Los contratos comerciales relativos a la adquisición e implementación de IA deben incorporar mecanismos de rendición de cuentas, auditoría, trazabilidad y supervisión del comportamiento del modelo, según Kennedys Law e IBM Think.
Las cláusulas mínimas cambian según el tipo de proyecto. Esta tabla resume qué exigir en cada caso, cruzando las perspectivas de mercado, técnica y de cumplimiento recogidas en el dossier de expertuno:
¿Qué cláusulas de indemnidad y SLA debe exigir tu empresa por escrito?
| Tipo de proyecto IA | Cláusula mínima a exigir | Por qué importa | Fuente |
|---|---|---|---|
| Chatbot conversacional | Indemnidad por respuestas erróneas con impacto comercial + logs de conversación exportables | Evita que una alucinación genere un compromiso contractual falso ante un cliente | Kennedys Law |
| RAG documental | Trazabilidad de las fuentes consultadas y versión del índice documental en cada respuesta | Permite auditar el origen exacto del dato ante una reclamación | IBM Think |
| Agente autónomo (ejecuta acciones) | SLA con niveles de disponibilidad + responsabilidad vicaria compartida ante ejecución no autorizada | Reparte el riesgo cuando el agente actúa sin supervisión directa | Prudencia AI Legal Insights |
| Automatización de procesos (RPA + IA) | Auditoría periódica del comportamiento del modelo y registro inmutable de inputs | Sirve de soporte probatorio ante un incidente de seguridad | Kennedys Law |
Falta una pieza que se olvida con frecuencia: la titularidad de los outputs. Quién es dueño del texto, el código o el diseño que genera el sistema, y quién es dueño de los datos que tu empresa aporta para ajustar el modelo. Si el contrato no lo especifica, el proveedor puede terminar siendo dueño de facto de aquello que tu empresa paga por generar. Pide esto por escrito, junto con la frecuencia y metodología de la auditoría periódica del modelo.
¿Qué cubre un seguro de responsabilidad civil profesional de IA y qué no?
Una póliza de responsabilidad civil profesional técnica para consultoras e integradores de IA cubre, cuando está bien redactada, los daños económicos causados a terceros por errores del sistema implementado: una alucinación que induce a una decisión financiera errónea, una brecha provocada por una inyección de prompt no detectada, un fallo de integración que expone datos personales.
Lo que normalmente no cubre —la letra pequeña que conviene leer antes de firmar— son los daños derivados de decisiones de negocio tomadas por tu empresa sobre un output de IA sin supervisión humana, ni los incumplimientos del AI Act que son responsabilidad directa de la empresa desplegadora, no del proveedor.
La lógica económica es sencilla: externalizar el riesgo mediante cláusulas de indemnidad y seguros de responsabilidad civil profesional previene sobrecostes litigiosos y contingencias sancionadoras que superan, con holgura, el coste de desarrollo o licenciamiento de la solución, según el análisis recogido en el dossier de expertuno. Una prima anual de unos pocos miles de euros es barata comparada con una sanción del AI Act o una indemnización a clientes perjudicados.
La otra pieza no negociable: protocolos de supervisión humana vinculantes —human-in-the-loop— para cualquier decisión automatizada con impacto legal, financiero o sobre datos personales. No es un capricho de compliance. Es lo que te permite demostrar que tu empresa no delegó ciegamente una decisión crítica en un sistema estocástico cuya naturaleza de caja negra lo hace, por diseño, impredecible en los márgenes.
¿Qué preguntar a un proveedor antes de firmar?
Antes de firmar nada, haz estas preguntas y exige respuesta por escrito:
- ¿Cómo clasifica el proveedor su sistema según el AI Act: riesgo mínimo, limitado, alto o inaceptable? Si no lo sabe, es la primera señal de alerta.
- ¿Existen logs de inferencia accesibles para tu empresa en caso de incidencia, o todo queda en los servidores del proveedor sin posibilidad de auditoría?
- ¿Qué cláusula de indemnidad cubre errores críticos del sistema, y qué límite económico tiene?
- ¿Quién es titular de los outputs generados y de los datos usados para ajustar el modelo?
- ¿Con qué frecuencia se audita el comportamiento del modelo y quién lo hace?
Las señales de alerta más comunes: contratos de adhesión que exoneran al proveedor de toda responsabilidad salvo dolo o negligencia grave probada —una redacción casi imposible de activar en la práctica—, ausencia total de registros de inferencia, y la incapacidad del proveedor de explicarte en qué categoría de riesgo del AI Act encaja su propio producto. Si no puede responder con claridad a estas tres cuestiones, no está preparado para que le confíes un proceso crítico de tu negocio.
Qué significa para tu empresa
Si tienes una pyme con un chatbot de atención al cliente: exige como mínimo logs de conversación exportables y una cláusula de indemnidad acotada a errores que generen compromisos comerciales falsos (precios, plazos, condiciones).
Si tu empresa conecta un agente autónomo a tu ERP o CRM para ejecutar acciones —facturación, pedidos, modificación de datos de clientes—: el SLA debe incluir responsabilidad vicaria compartida y un protocolo de reversión de acciones no autorizadas, además de un seguro de RC profesional específico del integrador.
Si operas en un sector regulado —salud, finanzas, seguros, selección de personal—: tu sistema probablemente entra en la categoría de alto riesgo del AI Act, y ahí no hay margen de improvisación. Necesitas auditoría documentada, supervisión humana vinculante en cada decisión con impacto sobre personas, y un proveedor que acredite certificaciones de cumplimiento, no solo promesas comerciales.
El criterio de decisión, en los tres casos, es el mismo: no contrates a quien no pueda enseñarte por escrito cómo reparte el riesgo contigo. Para eso existe el directorio de expertuno: compara especialistas en compliance verificados que ya trabajan con empresas españolas en clasificación AI Act, auditoría de modelos y redacción de cláusulas contractuales, en lugar de fiarte del primer contrato tipo que te envíe un proveedor.
Si además tu proyecto puede financiarse con ayudas públicas, ten en cuenta que muchas convocatorias —como las recogidas en la guía de Agentes Digitalizadores de Red.es— exigen acreditar precisamente esta gobernanza contractual para justificar el gasto subvencionado.
La opinión de Expertuno
Desde expertuno observamos que la ingenuidad contractual es el error más costoso al integrar IA. Vemos contratos donde el proveedor se blinda ante cualquier fallo salvo dolo, dejando al cliente frente al espejo del AI Act y al abismo reputacional. Nuestra postura es clara: nada de aceptar contratos de adhesión sin supervisión. Exigid SLA que contemplen errores del modelo y requerid pólizas de responsabilidad civil técnica antes de integrar nada. Es un error peligroso creer que los tribunales ya han resuelto quién responde por la IA; hoy, la ley es tajante: el firmante es el responsable último. Antes de poner tu firma, busca asesoramiento experto en nuestro directorio. Los mejores proveedores se distinguen precisamente por una letra pequeña que no temen negociar.
Metodología y fuentes
Este artículo se ha elaborado triangulando al menos tres fuentes independientes —legal, de práctica contractual internacional y de gobernanza técnica— y sometiendo cada hecho a una segunda verificación antes de presentarlo como tal, separando siempre lo confirmado de lo que todavía es interpretación o expectativa de mercado.
Fuentes y metodología
- Prudencia AI Legal Insights · Prudencia AI
- Kennedys Law - Commercial Contracts & AI · Kennedys Law LLP
- IBM Think Topics: Responsible AI · IBM Corporation