¿Quién responde cuando la IA causa daños en el Reino Unido? Lee el contrato, no la keynote
Las condiciones estándar de los proveedores de IA suelen limitar tu recurso a poco más de un año de cuota, y el derecho inglés solo ofrece una vía de escape que depende de los hechos. Esa brecha entre la pérdida real y la recuperación realista es asunto de tus números de compras, no de la autopsia posterior al incidente.
Preguntar quién responde cuando la IA causa daños en el Reino Unido lleva a una respuesta que no está en ninguna ley. Está en la cláusula de limitación de responsabilidad que firmaste. A fecha de redacción de este artículo (agosto de 2026), las Business Terms de OpenAI excluían las pérdidas indirectas y consecuenciales y limitaban la responsabilidad total a las cuotas abonadas por el servicio correspondiente durante los 12 meses anteriores. Los Commercial Terms of Service de Anthropic seguían el mismo patrón: pérdida consecuencial excluida y responsabilidad agregada limitada por referencia a las cuotas pagadas, con la versión que revisamos por última vez midiendo también ese límite sobre los 12 meses anteriores. Estos documentos se revisan sin previo aviso, así que conviene comprobar la versión adjunta a tu propio pedido en lugar de fiarte del resumen de nadie, incluido este. Y para dejar claro que la aritmética que sigue es una ilustración y no un caso real: si un agente que corre sobre una suscripción de 60.000 libras destruyera 2.000.000 de libras en datos de producción, un límite de ese tipo dejaría la recuperación contractual en 60.000 libras, antes incluso de discutir si el límite es ejecutable. Eso no es un descuido. Es el trato.
Nada de esto es una novedad propia de la IA. El software empresarial lleva cuarenta años vendiéndose bajo cláusulas de exclusión y límites atados a la cuota. Lo que ha cambiado es el radio de la explosión: un chatbot que muestra una respuesta equivocada desperdicia unos minutos; un agente con credenciales de producción actúa sobre sistemas, dinero y personas. La cláusula se quedó del mismo tamaño mientras crecía aquello que perdona.
¿Quién responde cuando la IA causa daños en el Reino Unido?
No, automáticamente, tú no respondes siempre, y ese es el error de la versión fatalista de este argumento. El derecho inglés incorpora obligaciones reales al contrato. En un contrato entre empresas, el artículo 13 de la Supply of Goods and Services Act 1982 implica un término de que el servicio se prestará con un cuidado y una pericia razonables; el artículo 49 de la Consumer Rights Act 2015 cumple la misma función en los contratos con consumidores. Un proveedor cuyo sistema destroza tus datos por negligencia está, a primera vista, incumpliendo el contrato.
El límite es donde la reclamación muere, y también es donde el derecho inglés se pone interesante. Según el artículo 3 de la Unfair Contract Terms Act 1977 (UCTA), una parte que contrata sobre las condiciones estándar escritas de la otra solo puede excluir o restringir su propia responsabilidad por incumplimiento en la medida en que la cláusula sea razonable. La mayoría de los acuerdos empresariales de IA que se aceptan con un clic parecerán condiciones estándar, aunque incluso eso es una cuestión de hecho: en African Export-Import Bank v Shebah Exploration [2017] EWCA Civ 845, el Tribunal de Apelación exigió probar que las condiciones se usaban habitualmente y eran esencialmente innegociables antes de que el artículo 3 pudiera aplicarse. Sobre los límites en sí, la jurisprudencia va en ambas direcciones. En St Albans City and District Council v International Computers Ltd [1996] 4 All ER 481, un límite de 100.000 libras para software defectuoso se consideró irrazonable frente a una pérdida varias veces mayor, señalando el tribunal la cobertura de seguro de 50.000.000 de libras del proveedor y su posición negociadora superior. Cinco años después, en Watford Electronics v Sanderson, un límite similar sobrevivió porque dos partes comerciales lo habían negociado de verdad. Existe, por tanto, una vía para superar el límite, pero depende de los hechos, es cara de litigar y está lejos de garantizada.
Y hay una puerta antes de esa vía. Los tribunales ingleses suelen respetar la ley elegida por las partes comerciales, y las condiciones estándar de los grandes proveedores estadounidenses han elegido históricamente la ley y los tribunales de California, aunque la entidad contratante y la cláusula varían según la región y el producto, así que conviene leer la tuya. La UCTA anticipa la táctica, pero solo en parte: el artículo 27(2) preserva la ley cuando una cláusula de ley extranjera parece impuesta total o principalmente para eludirla, una vía de escape deliberadamente estrecha, mientras que el artículo 26 excluye del test de razonabilidad a muchos contratos transfronterizos, como confirmó el Tribunal de Apelación en Trident Turboprop v First Flight Couriers, aunque esa excepción está pensada para el suministro de bienes y su alcance sobre un contrato puramente de servicios y API es discutible. Nada de esto es lo bastante sólido como para planificar sobre ello. Llevar el contrato bajo ley y jurisdicción inglesas es lo que pone el test de razonabilidad realmente sobre la mesa, y eso convierte la cláusula más árida del documento en lo primero que merece negociarse.
¿Por qué la responsabilidad de producto no ha alcanzado al software?
La responsabilidad de producto estricta, el régimen que permite a un demandante ir contra un fabricante sin probar negligencia, procede de la Consumer Protection Act 1987, redactada para bienes tangibles. Si el software independiente es un «producto» a sus efectos nunca se ha resuelto con claridad, y las pérdidas puramente empresariales nunca fueron su preocupación de todos modos. La UE ya ha respondido a la pregunta para su propio mercado: la Directiva de responsabilidad por productos defectuosos revisada incorpora expresamente el software y los sistemas de IA a su ámbito, y los Estados miembros, España incluida, deben transponerla antes del 9 de diciembre de 2026. Conviene no idealizarla: protege a las personas (muerte, lesiones, daños materiales y pérdida de datos personales), no la base de datos de producción destrozada de una empresa. La otra mitad del plan de Bruselas retrocedió: la propuesta de Directiva de responsabilidad en materia de IA, que habría facilitado las reclamaciones por culpa, figuraba para su retirada en el programa de trabajo 2025 de la Comisión (COM(2025) 45 final, 11 de febrero de 2025), con el argumento de que no se preveía acuerdo, y a fecha de agosto de 2026 no se ha presentado ninguna sucesora. El Reglamento de IA, por su parte, vigila conductas e impone multas, pero no crea un derecho privado a indemnización. El Reino Unido no ha hecho ni lo uno ni lo otro. Para una empresa británica no llega ninguna ayuda externa: el contrato es el régimen de responsabilidad.
La exposición que nadie limitó
Tu proveedor limitó tu recurso; nadie limitó tu exposición. Si un agente que has desplegado daña los sistemas o los datos de un tercero, la reclamación normalmente llegará primero a ti: el contrato, el sistema y el nombre visible son los tuyos, y tu reclamación posterior contra el proveedor choca de frente con la cláusula anterior. Un demandante podría en principio ir directamente contra el proveedor por negligencia, pero el derecho de daños inglés es tacaño con la pérdida puramente económica, así que no cuentes con ser el segundo en la fila. La asimetría se agudiza cuando el agente juzga a personas en lugar de borrar archivos. Si una criba automatizada perjudica al personal que se tomó un permiso parental, la reclamación suele recaer en el empleador: según el artículo 109 de la Equality Act 2010, una organización responde de lo que hacen sus empleados y agentes en su nombre, y «lo hizo el software» es menos una defensa que una confesión de que nadie estaba vigilando. Es improbable que el proveedor de la herramienta de puntuación sea el demandado ante el tribunal laboral, aunque no está a salvo del todo: el artículo 112 puede alcanzar a quien ayuda a sabiendas a una infracción. Mantener a una persona en las decisiones con consecuencias es ingeniería básica de responsabilidad.
La mayor parte de lo que se archiva como «incidente de IA» es higiene de ingeniería que se saltaron. El Secure Software Development Framework del NIST prescribe los controles poco vistosos: entornos separados, mínimo privilegio, acceso auditado. Un agente capaz de alcanzar datos de producción que nunca necesitó es una prueba débil de voluntad emergente de la máquina y una prueba sólida de que alguien se saltó lo básico. Y eso juega en ambas direcciones. La exposición es controlable, lo cual es buena noticia. Pero es probable que un tribunal o una aseguradora lean la ausencia de controles estándar como culpa propia, lo que debilita a la vez tu defensa frente a terceros y tus argumentos de razonabilidad frente al proveedor. Las organizaciones que adelgazaron sus equipos de ingeniería con la promesa de que la IA volvía redundante esa disciplina son precisamente las que ya no construyen la separación y las puertas de control que mantenían segura la operación, y por eso asegurar los sistemas agénticos es un problema organizativo antes que un problema de modelo.
La keynote y el contrato
Los máximos responsables de OpenAI y Anthropic firmaron ambos la declaración sobre el riesgo de la IA de 2023, que sitúa mitigar el riesgo de extinción por la IA al mismo nivel de prioridad global que las pandemias o la guerra nuclear. Esas mismas compañías venden la tecnología en condiciones que limitan su exposición a alrededor de un año de cuota. Cuando la keynote y el contrato no coinciden sobre lo peligroso que es un producto, cree al contrato: es el único lugar donde queda por escrito la estimación de probabilidad real del proveedor. Y el reparto de la responsabilidad es negociable cuando el mercado lo exige. El Customer Copyright Commitment de Microsoft y la indemnización por IA generativa de Google Cloud prometen ambos defender al cliente frente a reclamaciones de propiedad intelectual sobre el resultado del modelo, porque la inquietud por los derechos de autor estaba frenando ventas empresariales. Las indemnizaciones por daños causados por agentes llegarán de la misma forma, cuando los compradores las conviertan en condición de compra. Mientras tanto, pregunta igualmente: la firmeza de la negativa indica cómo valora el proveedor el riesgo de su propio producto. Son preguntas de reparto que pertenecen al trabajo de estrategia técnica mucho antes de que un agente reciba credenciales de producción.
Así que el veredicto defendible no es que el comprador cargue siempre con todo. Es que, en condiciones estándar, la brecha entre tu pérdida real y tu recuperación realista es lo bastante ancha como para ser asunto de consejo de administración, y el derecho inglés solo la estrecha de forma ocasional, cara y a toro pasado. Nada de esto es asesoramiento jurídico, y los casos citados dependieron de sus hechos concretos: una disputa real necesita un abogado colegiado en Inglaterra y Gales que lea tus documentos reales. Mejor poner precio a la brecha en la fase de compras: ley y jurisdicción inglesas, un límite ajustado a tu exposición real, una indemnización para las acciones autónomas y la disciplina de ingeniería que te mantiene fuera de ese supuesto de hecho. El momento más barato para corregir el reparto es antes del despliegue, que es justo cuando casi nadie mira.
Preguntas frecuentes
¿Puedo demandar a mi proveedor de IA si su agente borra mis datos?
En principio sí: los contratos empresariales incorporan un término implícito de cuidado y pericia razonables según el artículo 13 de la Supply of Goods and Services Act 1982, y un límite de responsabilidad irrazonable en las condiciones estándar puede impugnarse al amparo de la Unfair Contract Terms Act 1977, como en St Albans v ICL. En la práctica, esa impugnación depende de los hechos, es costosa y puede quedar bloqueada si el contrato se rige por ley extranjera o entra en la excepción de suministro internacional de la UCTA, así que tu recurso realista suele ser el límite que firmaste.
¿Se aplica la Consumer Rights Act 2015 a los contratos empresariales de IA?
No. El artículo 49 de la Consumer Rights Act, que exige que los servicios se presten con cuidado y pericia razonables, protege a los consumidores que contratan con un profesional. Una empresa que compra servicios de IA depende en cambio del término implícito equivalente de la Supply of Goods and Services Act 1982 y del test de razonabilidad de la UCTA de 1977 para atacar exclusiones injustas, por lo que la cláusula de ley aplicable importa tanto.
¿Qué cláusulas de responsabilidad debería llevar un contrato de compra de IA?
Empieza por ley y jurisdicción inglesas, porque eso es lo que hace que el test de razonabilidad de la UCTA sea siquiera invocable. Después busca un límite de responsabilidad proporcional a tu exposición real, no a la cuota de licencia, una indemnización que cubra los daños causados por acciones autónomas del agente, obligaciones de notificación de incidentes y derechos de auditoría. Espera resistencia; su intensidad indica cómo valora el proveedor su propio producto.
Relacionado
- La prima de la soberanía: por qué las soluciones de IA soberana para empresas ganan por acceso, no por velocidad
- Washington ha puesto a su propio laboratorio de IA en una lista de riesgos. Así cambia el concepto de dependencia de un proveedor de IA
- Por qué los pilotos de IA empresarial no escalan: es un problema de confianza, no de capacidad
- Security & Trust
Escrito por una persona editorial de IA del sistema editorial propietario de Abyshire y revisado por nuestro equipo.