Si has implantado un sistema de inteligencia artificial en tu cliente y ese sistema causa un daño, respondes tú. No hay ninguna ley que reparta esa responsabilidad de forma especial: la propuesta de Directiva europea sobre responsabilidad en materia de IA, que iba a crear ese régimen, fue retirada por la Comisión Europea dentro de su agenda de simplificación. Lo que queda es el derecho de siempre aplicado a una tecnología nueva: el artículo 1101 del Código Civil frente a tu cliente, el 1902 frente a terceros y, a partir del 9 de diciembre de 2026, el régimen de producto defectuoso, que por primera vez considera «producto» al software y a los sistemas de IA. Seamos claros: el marco existe, está más definido de lo que parece, y no juega a tu favor por defecto.
Tu contrato manda antes que cualquier reglamento
La primera fuente de responsabilidad no es el Reglamento europeo de IA. Es lo que firmaste. El artículo 1101 del Código Civil obliga a indemnizar los daños a quien incumple sus obligaciones, y la clave está en cómo definiste esas obligaciones: si prometiste un resultado —«el agente clasificará correctamente el 98 % de las incidencias»— respondes del resultado. Si comprometiste medios y supervisión humana, el listón es distinto.
Por eso, antes de discutir de seguros, merece la pena releer tres cláusulas de tus contratos: la que describe el alcance del servicio, la que limita tu responsabilidad y la que te exige tener póliza. Esa tercera suele ser la que te trae hasta aquí, porque cada vez más clientes corporativos y más licitaciones piden el certificado de seguro antes de firmar.
El software ya es un producto: lo que cambia el 9 de diciembre de 2026
La Directiva (UE) 2024/2853, de 23 de octubre de 2024, sobre responsabilidad por los daños causados por productos defectuosos incluye expresamente los programas informáticos en su definición de producto, y su considerando 13 aclara que los sistemas de IA son productos con independencia de cómo se suministren, también cuando se prestan como servicio en la nube. Los Estados miembros deben transponerla antes del 9 de diciembre de 2026, y solo se aplicará a los productos introducidos en el mercado a partir de esa fecha.
El detalle que más debería preocuparte no es la definición, sino el artículo 10. Introduce presunciones que alivian la carga de la prueba del perjudicado: si el demandado no aporta las pruebas pertinentes, si el producto incumple requisitos de seguridad obligatorios o si presenta un mal funcionamiento manifiesto, se presume el defecto. Y cuando la complejidad técnica o científica hace excesivamente difícil probarlo, basta con acreditar que es probable. Traducido a tu caso: en un pleito sobre un sistema de IA, la opacidad del modelo deja de ser tu escudo y pasa a ser tu problema.
El artículo 25: cuándo dejas de ser integrador y pasas a ser proveedor
El Reglamento (UE) 2024/1689 no te obliga a indemnizar a nadie, pero sí decide qué papel ocupas. Su artículo 25 establece que un distribuidor, un importador, un responsable del despliegue o cualquier tercero será considerado proveedor de un sistema de alto riesgo cuando ponga su nombre o su marca comercial en él, cuando realice una modificación sustancial o cuando modifique su finalidad prevista. Es exactamente lo que haces cuando coges un sistema de un tercero, lo personalizas, le pones tu marca y lo despliegas en el cliente: puedes heredar obligaciones de documentación, gestión de riesgos y conformidad que eran del proveedor original.
Sobre el calendario conviene actualizar lo que se leía hace un año. El Reglamento (UE) 2026/1744, el llamado Ómnibus digital sobre IA, adoptado el 8 de julio de 2026, retrasó las obligaciones de los sistemas de alto riesgo: al 2 de diciembre de 2027 las del anexo III y al 2 de agosto de 2028 las de los sistemas integrados en productos del anexo I. Lo que no se ha retrasado son las obligaciones de transparencia del artículo 50, aplicables desde el 2 de agosto de 2026, con un periodo transitorio que vence el 2 de diciembre de 2026 para el marcado de contenido sintético de los sistemas comercializados antes de esa fecha. Si despliegas herramientas generativas en tus clientes, esa es la fecha que toca mirar ahora.
En Valladolid, la pregunta ya llega por la puerta
Trabajamos desde la calle San José, 10 de Valladolid, a quince minutos del Parque Tecnológico de Castilla y León en Boecillo, y el perfil que nos pregunta por esto ya no es la gran consultora: son estudios de dos y tres personas, agencias de automatización y desarrolladores que acaban de recibir el contrato marco de un cliente grande con una cláusula de seguro que no saben si su póliza cumple. La respuesta, casi siempre, es que no la cumple, y no por el límite, sino porque la actividad descrita en la póliza se escribió cuando lo que hacían era «desarrollo e instalación de software».
Qué póliza cubre esto
La cobertura se arma en tres capas: responsabilidad civil profesional para los errores y omisiones de lo que implantas, incluidos los perjuicios puramente económicos de tu cliente sin daño material de por medio; responsabilidad civil de explotación y de producto; y ciberriesgo para la brecha de datos y la parada de sistemas. Hay un matiz que marca la diferencia: ya existen condicionados de responsabilidad civil tecnológica que aclaran de forma expresa que el uso o el desarrollo de tecnologías de IA —incluidos agentes de IA o IA generativa— bajo la supervisión y responsabilidad del asegurado forma parte de la actividad profesional asegurada. No todas las compañías lo dicen, y ese silencio se convierte en discusión el día del siniestro.
¿Implantas IA o automatizas procesos para tus clientes?
Mándanos tu póliza actual y el contrato que te pide tu cliente. Te decimos si la actividad que tienes descrita cubre lo que haces hoy y qué te falta. Estudio gratuito y sin compromiso, sin prima mínima.
Preguntas frecuentes
¿Existe una ley específica que diga quién responde por los daños de la IA?
No. La propuesta de Directiva sobre responsabilidad en materia de inteligencia artificial fue retirada por la Comisión Europea dentro de su agenda de simplificación normativa. Se aplica el régimen general: responsabilidad contractual del artículo 1101 del Código Civil frente a quien ha firmado contigo, responsabilidad extracontractual del artículo 1902 frente a terceros y, desde la transposición de la Directiva (UE) 2024/2853 prevista para el 9 de diciembre de 2026, el régimen de responsabilidad por producto defectuoso.
¿El Reglamento europeo de IA me convierte en proveedor si personalizo un sistema de otro?
Puede hacerlo. El artículo 25 del Reglamento (UE) 2024/1689 considera proveedor de un sistema de alto riesgo a quien pone en él su nombre o marca, a quien realiza una modificación sustancial y a quien modifica su finalidad prevista. En esos tres casos las obligaciones del proveedor original pasan a ti, incluidas la documentación técnica, la gestión de riesgos y la evaluación de conformidad.
¿Qué fechas del Reglamento de IA están vigentes ahora mismo?
Las prohibiciones de prácticas inaceptables y la alfabetización en IA se aplican desde febrero de 2025, y las obligaciones de los modelos de uso general desde agosto de 2025. Las de transparencia del artículo 50 son aplicables desde el 2 de agosto de 2026, con un periodo transitorio hasta el 2 de diciembre de 2026 para el marcado de contenido sintético de los sistemas comercializados antes de esa fecha. El Reglamento (UE) 2026/1744 retrasó las obligaciones de alto riesgo al 2 de diciembre de 2027 y al 2 de agosto de 2028 según el tipo de sistema.
¿Me vale la póliza de responsabilidad civil que ya tengo como empresa de informática?
Depende de cómo esté descrita la actividad asegurada y de qué exclusiones tecnológicas incorpore el condicionado. Una póliza redactada para desarrollo e instalación de software puede quedarse corta cuando lo que despliegas es un agente que ejecuta operaciones sobre los sistemas del cliente. Hay que revisar la descripción de la actividad en las condiciones particulares, las exclusiones del condicionado general y la fecha de retroactividad.
¿El seguro cubre las multas de la AEPD o del futuro régimen sancionador de la IA?
Las sanciones administrativas no son asegurables como tales en el ordenamiento español. Lo que una póliza de ciberriesgo o de responsabilidad civil profesional sí puede asumir son los gastos de defensa jurídica, el asesoramiento durante el expediente y los costes de notificación y gestión de la crisis. En España, el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial, aprobado por el Consejo de Ministros el 26 de mayo de 2026 y en tramitación parlamentaria, atribuye la supervisión a la Agencia Española de Supervisión de la Inteligencia Artificial.
Cuéntame tu caso
¿Te ha pedido un cliente el certificado de seguro y no sabes si tu póliza cubre lo que haces? Déjame un comentario con tu situación y te respondo personalmente. Tu duda seguro que le sirve también a otro lector. Si quieres profundizar, tenemos publicados el seguro de responsabilidad civil profesional de informáticos y el plan de ciberseguridad para proteger tu empresa.
Artículo escrito por Eduardo del Hierro, corredor de seguros en Valladolid desde 1999. Correduría inscrita en el registro de la DGSFP con la clave J-1997. Este contenido es informativo y no sustituye al asesoramiento personalizado sobre tu caso concreto. Fuentes normativas: Directiva (UE) 2024/2853 (DOUE de 18 de noviembre de 2024), Reglamento (UE) 2024/1689 y Reglamento (UE) 2026/1744, adoptado el 8 de julio de 2026.
Comentarios recientes