04 Nov La Unión Europea amplía la responsabilidad legal del software y la inteligencia artificial a partir de diciembre de 2026
La evolución tecnológica está transformando las responsabilidades legales de las empresas que desarrollan y comercializan productos digitales. Los programas informáticos, las aplicaciones y los sistemas de inteligencia artificial forman parte de numerosos servicios cotidianos, pero también pueden ocasionar daños cuando presentan defectos de seguridad o funcionamiento.
Para adaptar la legislación a esta realidad, la Unión Europea ha aprobado la Directiva (UE) 2024/2853, que actualiza el régimen de responsabilidad por productos defectuosos.
La principal novedad es que el software queda expresamente incluido en el concepto de producto, independientemente de que se distribuya mediante una instalación tradicional, una plataforma en la nube u otros modelos tecnológicos.
Este cambio tendrá consecuencias importantes para fabricantes, desarrolladores y proveedores de soluciones digitales.
El software pasa a tener un reconocimiento jurídico más amplio
Tradicionalmente, la responsabilidad por productos defectuosos se asociaba principalmente a bienes físicos, como vehículos, electrodomésticos o maquinaria industrial.
Sin embargo, los productos actuales dependen cada vez más de componentes digitales capaces de influir directamente en su seguridad.
Un dispositivo médico, un automóvil conectado o un sistema doméstico inteligente pueden experimentar fallos como consecuencia de errores en sus programas informáticos.
La nueva directiva reconoce expresamente esta realidad e incorpora los sistemas operativos, las aplicaciones y los sistemas de inteligencia artificial dentro de su ámbito de aplicación.
También contempla los programas suministrados mediante servicios en la nube, sin que su forma de distribución altere necesariamente su consideración jurídica.
Por tanto, los desarrolladores deberán prestar especial atención a las consecuencias que puedan derivarse de los defectos presentes en sus soluciones.
¿Cuándo puede considerarse defectuoso un programa informático?
No todos los errores de software implican automáticamente una responsabilidad indemnizatoria.
La directiva establece que un producto es defectuoso cuando no ofrece la seguridad que legítimamente cabe esperar de él o que exige la normativa aplicable.
Para determinarlo, deben valorarse diferentes circunstancias, como sus características, el uso razonablemente previsible y los requisitos de seguridad correspondientes.
Por ejemplo, un fallo menor en la presentación de una aplicación no tiene las mismas implicaciones que una vulnerabilidad capaz de comprometer el funcionamiento de un dispositivo médico.
También deben considerarse las características de los sistemas que incorporan inteligencia artificial y pueden modificar su comportamiento mediante procesos de aprendizaje.
En estos casos, resulta especialmente importante evaluar los riesgos asociados a su funcionamiento y a las posibles consecuencias de sus decisiones automatizadas.
Las actualizaciones de seguridad adquieren mayor importancia
Otra cuestión relevante es la responsabilidad relacionada con las actualizaciones de software.
Los productos digitales evolucionan después de su comercialización. Sus fabricantes pueden incorporar nuevas funcionalidades, corregir errores o introducir modificaciones destinadas a mejorar la seguridad.
La directiva contempla situaciones en las que determinados defectos aparecen posteriormente como consecuencia de actualizaciones o modificaciones que permanecen bajo el control del fabricante.
También considera la falta de actualizaciones necesarias para mantener la seguridad cuando esa omisión está dentro de su esfera de control.
Esto no significa que cualquier fabricante tenga una obligación ilimitada de actualizar sus productos, pero sí que determinadas decisiones relacionadas con su mantenimiento pueden influir en la responsabilidad por daños.
La seguridad del software deja de analizarse exclusivamente en el momento de su comercialización y adquiere una dimensión vinculada a su evolución posterior.
¿Qué daños pueden reclamarse?
La nueva regulación contempla la indemnización de determinados daños sufridos por personas físicas como consecuencia de productos defectuosos.
Entre ellos se encuentran las lesiones personales, los daños a bienes en las condiciones previstas por la directiva y la destrucción o corrupción de datos que no se utilicen con fines profesionales.
Esta última incorporación resulta especialmente significativa en un entorno donde gran parte de la información personal se almacena digitalmente.
Por ejemplo, un defecto de software que provoque la pérdida irrecuperable de archivos personales podría generar consecuencias indemnizatorias cuando se cumplan los requisitos legales.
Sin embargo, la norma no establece una responsabilidad general por cualquier pérdida económica o interrupción informática.
Los daños exclusivamente profesionales, las pérdidas económicas puras y determinadas situaciones relacionadas con datos empresariales quedan fuera de este régimen específico, sin perjuicio de otras posibles acciones legales.
Cambios en la prueba de los defectos tecnológicos
Demostrar que un programa informático es defectuoso puede resultar especialmente complejo.
En muchos casos, los usuarios desconocen su funcionamiento interno y no tienen acceso al código, los registros técnicos o la documentación utilizada durante su desarrollo.
La directiva introduce mecanismos destinados a facilitar el acceso a determinadas pruebas dentro de los procedimientos judiciales.
Cuando se cumplan las condiciones legales, los tribunales podrán exigir la exhibición de información relevante, respetando los principios de necesidad, proporcionalidad y protección de los secretos comerciales.
También se contemplan determinadas presunciones sobre la existencia del defecto o la relación causal cuando concurran las circunstancias previstas legalmente, especialmente ante dificultades probatorias derivadas de una elevada complejidad técnica.
Estas medidas pretenden reducir los desequilibrios existentes entre las personas perjudicadas y los operadores económicos que disponen de la información técnica.
¿Cuándo comenzarán a aplicarse las nuevas reglas?
Los Estados miembros deben adaptar sus legislaciones a la Directiva (UE) 2024/2853 a más tardar el 9 de diciembre de 2026.
El nuevo régimen se aplicará a los productos introducidos en el mercado o puestos en servicio a partir de esa fecha. Los productos anteriores continuarán sometidos al régimen precedente que corresponda.
La directiva también establece una exclusión específica para el software libre y de código abierto desarrollado o suministrado fuera de una actividad comercial.
Por ello, el alcance de la responsabilidad dependerá de las características del producto, de su comercialización y de las circunstancias que hayan provocado el daño.
Un nuevo escenario para las empresas tecnológicas
La actualización del régimen europeo de responsabilidad obliga a prestar mayor atención a la calidad y seguridad del software.
Los fabricantes y desarrolladores deberían revisar sus procedimientos de pruebas, documentar adecuadamente las modificaciones y establecer mecanismos para identificar posibles defectos.
También adquiere relevancia la conservación de evidencias técnicas que permitan reconstruir el funcionamiento de los productos cuando se produzcan incidencias.
En definitiva, el desarrollo tecnológico y la responsabilidad jurídica estarán cada vez más relacionados.
La nueva normativa europea refleja una realidad que las empresas ya no pueden ignorar: los productos digitales pueden generar consecuencias materiales y personales, y su seguridad debe ocupar un lugar central durante todo su ciclo de vida.
Contáctanos en luis@luisvilanova.es