Una empresa utiliza inteligencia artificial (IA) para evaluar postulantes a un puesto de trabajo. El sistema analiza los perfiles, selecciona candidatos y descarta a otros. Meses después, se descubre que sus decisiones incorporaban criterios discriminatorios. Ningún responsable de Recursos Humanos aprobó individualmente esas exclusiones. ¿Quién debe responder por sus consecuencias?
El escenario es hipotético, pero plantea un problema que cobra importancia conforme las organizaciones incorporan herramientas capaces de ejecutar tareas y tomar decisiones con menor intervención humana. Aunque una operación sea automatizada, sus consecuencias legales no desaparecen ni pueden atribuirse al algoritmo como si fuera una persona.
En el Perú, la Ley N.º 31814, que promueve el uso de inteligencia artificial, y su reglamento, aprobado en 2025, establecen principios y condiciones para su implementación. Sin embargo, no contienen un régimen autónomo y exhaustivo de sanciones por los daños que estos sistemas puedan ocasionar. Para determinar responsabilidades, deben tomarse en cuenta las disposiciones de orden general en el ámbito civil, administrativo y penal, aplicables a cada situación.
“La inteligencia artificial no tiene personería jurídica, es decir, no tiene una identificación propia que pueda ser sujeto de atribuciones de responsabilidad”, explica Mauricio Cavero Blumenfeld, socio de Aramburú, Castañeda, Boero Abogados. Desde el punto de vista legal, la IA es considerada una herramienta, un bien o un servicio, y no una persona natural o jurídica. Esta distinción es importante para determinar las responsabilidades de las empresas, los desarrolladores, los proveedores tecnológicos y quienes tienen a su cargo la implementación y supervisión de estos sistemas.
Las distintas vías de responsabilidad
Desde el ámbito civil, Luis Gutiérrez, socio en Gutiérrez Oliva Abogados, identifica dos disposiciones relevantes del Código Civil. El artículo 1970 establece la obligación de reparar los daños causados mediante bienes o actividades riesgosas o peligrosas, mientras que el artículo 1981 regula la responsabilidad de quien tiene a otro bajo sus órdenes por los daños ocasionados en el ejercicio del cargo o servicio. Su aplicación a un incidente de IA dependerá de las circunstancias y de que se cumplan los supuestos previstos en cada norma.
Esta última disposición recoge la denominada responsabilidad vicaria, por la cual una empresa puede responder civilmente por los daños ocasionados por sus dependientes durante el cumplimiento de sus funciones. Gutiérrez sostiene que este principio resulta relevante para examinar situaciones en las que una organización incorpora herramientas automatizadas a sus operaciones, aunque su aplicación concreta requiere determinar quién ocasionó el perjuicio y bajo qué condiciones.
Cavero Blumenfeld añade que la responsabilidad civil puede ser contractual, cuando existe una relación de esa naturaleza entre las partes, o extracontractual. En ambos casos, será necesario evaluar elementos como la existencia del daño, la relación causal y el factor jurídico que permita atribuir responsabilidad.
La situación también puede involucrar a distintas autoridades administrativas. Gutiérrez menciona, entre otras, a Indecopi, por posibles infracciones a las normas de protección al consumidor; a la Autoridad Nacional de Protección de Datos Personales, ante el tratamiento indebido de información; y a los organismos competentes en materias laborales o financieras, según la actividad afectada.
¿Y qué sucede con los ejecutivos que autorizan la implementación de estos sistemas? “La responsabilidad penal en Perú es estrictamente personal”, dice Gutiérrez. Esto significa que podría alcanzar a directivos, gerentes o integrantes de los equipos técnicos cuando su conducta configure un delito. Por ejemplo, si una persona conoce que una herramienta presenta fallas capaces de poner en riesgo la vida o el patrimonio de terceros y, pese a ello, autoriza su utilización, podrían examinarse las consecuencias penales de esa decisión.
El especialista menciona, entre los posibles supuestos, la comisión por omisión, que puede configurarse cuando una persona incumple un deber jurídico de actuar para impedir un resultado delictivo. Sin embargo, ni el cargo que ocupa un ejecutivo ni su participación en un proyecto tecnológico bastan por sí solos para establecer responsabilidad penal. Deben acreditarse los elementos del delito y las obligaciones específicas que correspondían a esa persona.
Cavero Blumenfeld precisa que el uso de IA también puede generar consecuencias penales cuando se emplea para cometer delitos, como un fraude. En ese caso, lo que se sanciona no es la utilización de la tecnología, sino la conducta ilícita de la persona que se sirve de ella.
Qué resuelve la legislación sobre IA
La Ley N.º 31814 y su reglamento introducen reglas específicas para el desarrollo y uso de inteligencia artificial, pero no sustituyen las disposiciones generales de responsabilidad civil, penal o administrativa.
Cavero Blumenfeld precisa que el marco regulatorio no incorpora un sistema sancionador autónomo. Esto significa que, ante un perjuicio, las consecuencias legales deben examinarse también mediante otras normas, como las de protección de datos personales, defensa del consumidor o responsabilidad civil.
Gutiérrez comparte esa observación y afirma que la regulación todavía no desarrolla un régimen específico de responsabilidad por los denominados daños algorítmicos. En consecuencia, la atribución de responsabilidades requiere analizar las disposiciones legales existentes y las circunstancias de cada incidente.
No obstante, el reglamento sí establece condiciones relevantes para las organizaciones que incorporan estas tecnologías. Clasifica sus usos según el nivel de riesgo y califica de alto riesgo determinadas aplicaciones vinculadas con la selección y evaluación de trabajadores, la evaluación crediticia y decisiones que pueden afectar la salud o los derechos fundamentales de las personas.
También contempla mecanismos de transparencia, protección de datos y supervisión humana. Para determinados sistemas de alto riesgo del sector privado, exige que el personal encargado de supervisarlos esté capacitado y tenga capacidad para detener, corregir o invalidar sus decisiones. A su vez, prevé evaluaciones de impacto voluntarias para los desarrolladores e implementadores privados, junto con medidas de mitigación de riesgos.
Así, la ausencia de un régimen sancionador exclusivo para la IA no significa que las empresas carezcan de obligaciones. El alcance de estas dependerá de la aplicación tecnológica, las disposiciones pertinentes y el sector en el que operen.
Cuando el error viene del proveedor
La atribución de responsabilidades se vuelve más compleja cuando una organización utiliza modelos o soluciones desarrolladas por terceros. Cavero Blumenfeld distingue dos relaciones que deben examinarse por separado: la de la compañía con sus clientes o personas afectadas y la que mantiene con su proveedor tecnológico.
Si una herramienta ocasiona perjuicios por un defecto atribuible al proveedor, la empresa que la contrató podría disponer de mecanismos para reclamar una reparación. Sin embargo, esa posibilidad dependerá de las obligaciones pactadas, las condiciones de utilización y las pruebas que permitan establecer el origen del fallo.
“Distinto será el caso si la empresa utiliza de manera indebida la herramienta que se le ha provisto”, precisa Cavero Blumenfeld. El letrado subraya que los contratos deben establecer las condiciones de funcionamiento, las restricciones y las obligaciones de cada parte.
Gutiérrez concuerda en que los proveedores pueden quedar comprendidos en una controversia legal cuando el perjuicio se relaciona con el producto o servicio suministrado. En ese contexto, también identifica al Código de Protección y Defensa del Consumidor como una de las normas que podrían resultar relevantes, dependiendo de la relación jurídica y de la naturaleza del daño.
Por tanto, contratar una plataforma externa no elimina las posibles obligaciones de la organización que la implementa. Tampoco convierte al proveedor en responsable automático de cualquier decisión perjudicial.
Los controles antes de automatizar
Más allá de las consecuencias de un incidente, el desafío para las empresas es establecer qué decisiones pueden delegarse a un sistema de IA y bajo qué condiciones.
El socio de Aramburú, Castañeda, Boero Abogados distingue entre utilizar estas tecnologías como apoyo para analizar información y permitirles ejecutar decisiones dentro de los procesos empresariales. La segunda alternativa puede incrementar los riesgos, particularmente cuando las operaciones afectan derechos o intereses de terceros. "La automatización de las decisiones es peligrosa", enfatiza.
Por eso, recomienda incorporar un sistema de gestión de riesgos de inteligencia artificial dentro de los programas internos de compliance y buen gobierno corporativo.
El primer paso es identificar qué herramientas utiliza o pretende incorporar la organización, para qué actividades y con qué grado de autonomía. A partir de ello, debe evaluar los posibles perjuicios antes de implementar cada solución, considerando el tipo de información procesada, las personas que podrían resultar afectadas y las exigencias legales de su sector.
La supervisión humana constituye otro elemento central. No se trata únicamente de que exista un trabajador encargado de revisar los resultados, sino de definir en qué operaciones debe intervenir, qué decisiones requieren su aprobación y cómo puede detener o corregir una actuación automatizada. El reglamento peruano contempla estas capacidades para determinados usos de alto riesgo.
A estos mecanismos deben sumarse auditorías y revisiones periódicas para comprobar el funcionamiento de los sistemas, así como registros que permitan reconstruir las operaciones realizadas. Cavero Blumenfeld destaca especialmente la documentación y la trazabilidad, pues pueden aportar elementos relevantes para investigar un incidente y determinar cómo se produjo una decisión.
La gestión de proveedores es igualmente importante. Las compañías deben revisar las condiciones de contratación, las restricciones de uso y las obligaciones relacionadas con el funcionamiento de la solución. También necesitan procedimientos para atender los reclamos de clientes o terceros que puedan resultar perjudicados.
Gutiérrez pone el foco en quienes administran, supervisan y parametrizan estas herramientas. Identificar sus funciones y facultades puede resultar determinante para establecer quién debía intervenir ante una falla conocida y qué actuaciones correspondían a cada responsable.
Estos procedimientos no están reservados a las grandes organizaciones. Cavero Blumenfeld sostiene que las empresas medianas y pequeñas también pueden implementar controles internos adaptados a sus operaciones. “No tienen que ser complejas. Tienen que ser efectivas”, asegura sobre las reglas de cumplimiento.
El sector financiero permite ilustrar los límites de estos mecanismos. Si un agente de IA utilizado por un banco ejecuta operaciones que ocasionan pérdidas a sus clientes o compromete información personal, las consecuencias legales dependerán tanto del origen del incidente como de las obligaciones de la entidad. Gutiérrez indica que pueden entrar en juego las normas de responsabilidad civil, protección al consumidor y protección de datos personales, además de la regulación sectorial correspondiente.
¿Qué ocurre si la empresa adopta controles y, aun así, el sistema causa un perjuicio? Cavero Blumenfeld señala que las consecuencias deberán evaluarse según las circunstancias. En materia civil, por ejemplo, podrían existir situaciones en las que la compañía demuestre que el daño obedeció a factores no atribuibles a ella. En otras, el cumplimiento de procedimientos internos no bastará para excluir una infracción, como podría suceder ante el incumplimiento de obligaciones de protección de datos personales.
La automatización, por tanto, no genera una respuesta jurídica única. La forma en que se implementó la herramienta, los controles establecidos, las obligaciones de cada participante y las causas del perjuicio serán elementos centrales para determinar responsabilidades.
Para las empresas, la discusión comienza antes de que ocurra el error: al decidir qué operaciones confiar a la IA, quién puede intervenir en ellas y cómo documentar su funcionamiento. A medida que estos sistemas adquieren mayor autonomía, establecer esas condiciones deja de ser únicamente una decisión tecnológica y pasa a formar parte de la gestión legal y empresarial.
