La Ley de IA y tu chatbot: quién responde cuando se equivoca

1.Hitos y calendario de aplicación

El Reglamento de IA, Reglamento (UE) 2024/1689, despliega sus efectos a través de un calendario escalonado (artículo 113). El Ómnibus Digital sobre IA, Reglamento (UE) 2026/1744, se aprobó el 8 de julio de 2026, se publicó el 24 de julio y entró en vigor el 27 de julio de 2026: aplazó los plazos de cumplimiento para sistemas de alto riesgo y redefinió el deber de alfabetización organizativa. Todas las fechas detalladas a continuación corresponden a legislación comunitaria en vigor, no a meros borradores.

1. 1 de agosto de 2024En aplicación

   Entrada en vigor del Reglamento de IA

   El Reglamento (UE) 2024/1689 adquiere fuerza de ley en toda la Unión Europea, iniciando los periodos transitorios de adaptación.

2. 2 de febrero de 2025En aplicación

   Prácticas prohibidas y alfabetización en IA

   Pasan a ser vinculantes las prohibiciones absolutas sobre prácticas manipuladoras o discriminatorias (artículo 5) y las obligaciones de alfabetización organizativa (artículo 4).

3. 2 de agosto de 2025En aplicación

   Gobernanza de modelos generales y régimen sancionador

   Entran en aplicación las normas para proveedores de modelos de IA de uso general (capítulo V), la estructura de la Oficina Europea de IA y el régimen general de sanciones (artículo 99).

4. 27 de julio de 2026En aplicación

   Entrada en vigor del Ómnibus Digital sobre IA

   El Reglamento (UE) 2026/1744 actualiza el artículo 4 sobre alfabetización de los equipos y prorroga los plazos para sistemas de alto riesgo.

5. 2 de agosto de 2026En aplicación

   Transparencia en chatbots y aplicación general

   Pasa a ser exigible el artículo 50: debe informarse a las personas de que interactúan con una IA, salvo que resulte evidente. Las autoridades de vigilancia de mercado asumen plenas facultades inspectoras y sancionadoras.

6. 2 de diciembre de 2026Próximamente

   Marcado de sistemas generativos previos y nuevas prohibiciones

   Los sistemas generativos comercializados antes del 2 de agosto de 2026 deben incorporar marcado legible por máquina en sus resultados (artículo 50.2 y artículo 111.4). Se aplican prohibiciones expresas sobre desnudos sintéticos no consentidos y explotación infantil.

7. 9 de diciembre de 2026Próximamente

   Transposición de la Directiva de productos defectuosos

   Finaliza el plazo para que los Estados miembros transpongan la Directiva (UE) 2024/2853. El régimen objetivo y las presunciones procesales de defecto se aplican a todo software e IA comercializados a partir de esta fecha.

8. 2 de diciembre de 2027Próximamente

   Sistemas de alto riesgo del anexo III

   Cobran plena eficacia los requisitos exigibles a proveedores y desplegadores en casos de uso como solvencia crediticia, selección de personal y tarificación de seguros de salud y vida. Aplazado desde el 2 de agosto de 2026 por el Ómnibus Digital.

9. 2 de agosto de 2028Próximamente

   IA de alto riesgo en productos armonizados (anexo I)

   Obligaciones vinculantes para componentes de seguridad de IA integrados en productos regulados como dispositivos médicos, maquinaria y ascensores. Aplazado desde el 2 de agosto de 2027.

2.Qué exige el Reglamento de IA a un chatbot empresarial

La inmensa mayoría de los asistentes conversacionales en producción —como chats de soporte técnico, canales de WhatsApp para clientes o agentes de información comercial— no constituyen sistemas de alto riesgo. Para ellos resultan de aplicación directa tres bloques normativos principales, junto a un cuarto si el sistema adopta decisiones vinculantes sobre personas.

• Avisar de forma nítida de la naturaleza artificial del sistema. Desde el 2 de agosto de 2026, los sistemas de IA diseñados para interactuar de manera directa con personas físicas deben informar expresamente a los usuarios de dicha condición, a menos que resulte indiscutible por las circunstancias del caso (artículo 50.1). El aviso debe presentarse con claridad diferenciada y facilitarse, a más tardar, en el instante de la primera interacción (artículo 50.5). Las directrices oficiales de la Comisión Europea del 20 de julio de 2026 recalcan que los bots de soporte que emplean lenguaje humano natural nunca pueden acogerse a la excepción de lo «evidente».
• Acreditar medidas formativas de alfabetización en IA. Tanto los proveedores como los responsables del despliegue deben implantar iniciativas que garanticen la adecuada alfabetización en IA del personal y terceros encargados de gestionar o supervisar el sistema (artículo 4, según la redacción del Reglamento (UE) 2026/1744). La norma no exige una titulación académica uniforme, pero sí reclama evidencias documentadas de capacitación adaptadas al rol de cada trabajador.
• Respetar estrictamente las prácticas prohibidas. El artículo 5 proscribe de forma tajante el empleo de técnicas subliminales, engañosas o manipuladoras orientadas a viciar el criterio de los usuarios causando perjuicios de consideración, así como sistemas que aprovechen vulnerabilidades vinculadas a la edad, discapacidad o precariedad social o económica. Estas prohibiciones tienen fuerza vinculante desde el 2 de febrero de 2025.
• Comprobar si el sistema adopta decisiones encuadradas en el anexo III. Utilizar herramientas de IA para valorar la solvencia financiera, calcular calificaciones crediticias o determinar primas en seguros de vida y salud clasifica el sistema como de alto riesgo (anexo III, punto 5). Los responsables del despliegue deben operar el sistema ciñéndose a sus especificaciones técnicas, encomendar la supervisión a personal cualificado, verificar la pertinencia de los datos aportados, registrar eventos durante al menos seis meses e informar debidamente a los afectados (artículo 26). Estas obligaciones entran en aplicación el 2 de diciembre de 2027.

3.Distribución de papeles: proveedor, desplegador y tu empresa

El Reglamento de IA distribuye deberes regulatorios en función del papel desempeñado en la cadena de valor, no únicamente de la autoría técnica del código. Una misma organización puede acumular varias condiciones. La responsabilidad civil frente a clientes y terceros perjudicados, en cambio, constituye un ámbito normativo independiente que se rige por el derecho civil y de consumo.

• Tu empresa, frente a sus clientes

  Sujeto habitual: La mercantil que pone a disposición el asistente en su sitio web, aplicación móvil o centralita telefónica.

  Ámbito de responsabilidad legal: Responsabilidad civil directa por la veracidad de los compromisos, condiciones y precios comunicados por el asistente, según el régimen contractual y de consumo, al margen de la tipificación que fije el Reglamento de IA.

• Proveedor (Reglamento de IA, artículo 3.3)

  Sujeto habitual: La entidad que diseña o encarga un sistema de IA para comercializarlo o ponerlo en servicio bajo su propia marca comercial.

  Ámbito de responsabilidad legal: Garantizar que el diseño informe de forma inequívoca al usuario sobre la naturaleza artificial del sistema (artículo 50.1) y, tratándose de sistemas de alto riesgo, cumplir con la totalidad de las obligaciones previas del proveedor y de registro.

• Responsable del despliegue (artículo 3.4)

  Sujeto habitual: Cualquier persona física o jurídica que emplea un sistema de IA bajo su propia autoridad en el ejercicio de una actividad profesional.

  Ámbito de responsabilidad legal: Implantar medidas de capacitación del personal (artículo 4), suministrar los avisos previstos en el artículo 50.3 y 50.4 cuando proceda y observar las obligaciones operativas del artículo 26 si el sistema es de alto riesgo.

• Proveedor del modelo fundacional

  Sujeto habitual: La compañía tecnológica desarrolladora del modelo de lenguaje de propósito general subyacente (por ejemplo, Anthropic, OpenAI, Google o Microsoft).

  Ámbito de responsabilidad legal: Cumplir con las obligaciones de los artículos 53 a 55 del Reglamento de IA (documentación técnica y mitigación de riesgos sistémicos). La entidad desarrolladora del modelo no asume tus indemnizaciones civiles frente al cliente final.

• Agencia integradora o desarrollador externo

  Sujeto habitual: La consultora o firma tecnológica que configuró, conectó o ajustó el asistente a medida para tu empresa.

  Ámbito de responsabilidad legal: Las obligaciones estipuladas en el contrato de prestación de servicios. Si comercializa el asistente con su propio nombre o marca, asume la condición formal de proveedor del sistema.

Frente al cliente que sufre un perjuicio por una respuesta equivocada, el examen jurídico parte de principios clásicos de representación y derecho de contratos. En la conocida resolución Moffatt contra Air Canada (2024 BCCRT 149, 14 de febrero de 2024), el chatbot de atención al cliente de la aerolínea informó erróneamente a un usuario de que podía solicitar una tarifa reducida por duelo con carácter retroactivo tras volar, cuando las condiciones oficiales lo impedían. La aerolínea sostuvo ante el tribunal que el chatbot era un ente autónomo responsable de sus propios actos.

El tribunal desestimó de plano dicha alegación, declarando que «debería ser evidente para Air Canada que es enteramente responsable de toda la información difundida en su sitio web; carece de relevancia si dicha información procede de una página estática o de un chatbot». La compañía fue condenada a indemnizar al pasajero, con intereses y costas. Aunque dictada en Canadá, esta fundamentación refleja con exactitud el estándar de imputación que sostienen los tribunales y autoridades de consumo en la Unión Europea.

4.Responsabilidad civil cuando el asistente proporciona datos erróneos

El Reglamento de IA pertenece al ámbito del derecho administrativo sancionador: los organismos públicos supervisan el mercado e imponen multas. El resarcimiento económico de un usuario engañado o perjudicado procede de los códigos civiles y las leyes de consumo, plenamente aplicables en la actualidad.

• Derecho contractual y protección de los consumidores hoy en vigor. La normativa de la UE cataloga como desleal y engañosa cualquier práctica comercial que contenga información falsa o induzca a error al consumidor medio sobre las características sustanciales del servicio, el precio final o sus derechos legales (Directiva 2005/29/CE, artículo 6). En el ordenamiento español, este principio se articula a través de la Ley 3/1991 de Competencia Desleal (artículos 5 y 7). Asimismo, la Ley General para la Defensa de los Consumidores y Usuarios (TRLGDCU) exige suministrar información precontractual veraz, clara y comprensible (artículo 60) y determina que las condiciones ofertadas vinculan al empresario aunque no consten expresamente en el contrato final (artículo 61.2). Las empresas no pueden eludir la vinculación jurídica de lo manifestado por sus asistentes.
• La Directiva de productos defectuosos entrará en vigor el 9 de diciembre de 2026. La Directiva (UE) 2024/2853 califica formalmente como producto al software y a los sistemas de inteligencia artificial (artículo 4.1), otorgando consideración de fabricantes a los proveedores de estos sistemas (considerando 13). El texto regula un régimen de responsabilidad objetiva por fallecimiento, daños corporales (incluida la salud psicológica médicamente diagnosticada), daños patrimoniales y destrucción o corrupción de datos personales (artículo 6). Los jueces quedan expresamente facultados para decretar la exhibición de pruebas internas (artículo 9) y deben presumir el carácter defectuoso del sistema cuando la dificultad técnica impida al perjudicado probarlo con facilidad (artículo 10). Modificar sustancialmente un sistema traslada al modificador la responsabilidad del fabricante (artículo 8.2).
• Retirada formal de la propuesta de Directiva sobre responsabilidad en IA. La Comisión Europea formalizó la retirada de su propuesta de Directiva de 2022 sobre responsabilidad en materia de IA; dicha retirada se notificó en el Diario Oficial el 6 de octubre de 2025 (C/2025/5423). Por consiguiente, las pretensiones de resarcimiento por fallos de IA se encauzan a través de la Directiva de productos defectuosos, los códigos civiles nacionales y la legislación general de consumidores.
• Las sanciones administrativas del Reglamento de IA siguen un cauce independiente. El quebrantamiento de los deberes de transparencia del artículo 50 o de las obligaciones del responsable del despliegue previstas en el artículo 26 acarrea multas de hasta 15 millones de euros o el 3 % del volumen de negocio mundial anual; la comisión de prácticas prohibidas se sanciona con hasta 35 millones de euros o el 7 % (artículo 99). Para pymes, empresas emergentes y pequeñas empresas de mediana capitalización se aplica preceptivamente la cuantía inferior (artículo 99.6 y 99.6 bis). Cada Estado miembro define sus autoridades competentes y el correspondiente procedimiento administrativo.

5.Patrones habituales de fallo en asistentes conversacionales

El análisis pericial de sistemas de IA en producción evidencia patrones de error reiterados, cada uno de los cuales activa responsabilidades jurídicas específicas.

• Facilitar tarifas o comisiones desactualizadas

  El asistente ofrece una lista de precios derogada o una bonificación ya expirada como si continuase en vigor.

  Normativa aplicable: Prácticas comerciales desleales por engaño (Directiva 2005/29/CE, artículo 6; Ley 3/1991, artículo 5); carácter vinculante de la oferta precontractual (TRLGDCU, artículos 60 y 61).

• Inventar coberturas o condiciones contractuales inexistentes

  El asistente de una aseguradora promete cobertura sin periodos de carencia o un chatbot de transportes autoriza reembolsos improcedentes, como en el caso Moffatt.

  Normativa aplicable: Responsabilidad contractual por confianza legítima y protección al consumidor: el usuario interactuó a través del canal oficial de la empresa.

• Informar erróneamente sobre derechos del consumidor

  El asistente asevera que un producto no admite desistimiento o indica plazos de revocación inferiores a los legales.

  Normativa aplicable: Infracción grave por falseamiento de los derechos reconocidos al consumidor (Directiva 2005/29/CE, artículo 6.1.g).

• Omitir la advertencia de interacción con una IA

  Una interfaz de atención al cliente utiliza nombre y fotografía realista sin advertir en ningún momento que se trata de un software automatizado.

  Normativa aplicable: Incumplimiento de las obligaciones de transparencia del Reglamento de IA (artículo 50.1 y 50.5), aplicable desde el 2 de agosto de 2026.

• Proporcionar pautas técnicas o de salud perjudiciales

  El sistema comunica una posología farmacológica equivocada, omite precauciones de seguridad en una reparación o indica tolerancias mecánicas erróneas.

  Normativa aplicable: Responsabilidad civil por daños y lesiones; encuadrada bajo responsabilidad objetiva por producto defectuoso con arreglo a la Directiva (UE) 2024/2853 desde el 9 de diciembre de 2026.

• Ejecutar transacciones u operaciones indebidas

  Un agente autónomo anula una reserva en firme, liquida una devolución sin causa o altera parámetros contractuales sin consentimiento.

  Normativa aplicable: Responsabilidad directa por las acciones realizadas a través de los sistemas corporativos; la repetición contra el proveedor depende estrictamente del contrato suscrito.

6.España: la AESIA y el marco normativo estatal

El Reglamento europeo de IA posee naturaleza reglamentaria: es una norma de aplicación directa y obligatoria en todo el territorio español sin necesidad de ley de transposición (artículo 113).

España puso en marcha la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA), con sede en A Coruña, cuyos estatutos fueron formalizados mediante el Real Decreto 729/2023. La AESIA publica periódicamente guías prácticas y directrices para facilitar el cumplimiento ordenado de la normativa europea.

La iniciativa legislativa del Gobierno destinada a regular el régimen sancionador nacional y adaptar los procedimientos internos (Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial, expediente 121/000096) fue remitida al Congreso el 28 de mayo de 2026. Dicho texto decayó formalmente el 6 de octubre de 2026 al promulgarse el Real Decreto 806/2026 de disolución de las Cortes Generales y convocatoria de elecciones generales para el 29 de noviembre de 2026. Conforme a las normas parlamentarias, un proyecto de ley caducado debe registrarse nuevamente en la siguiente legislatura.

A fecha de 23 de octubre de 2026, por consiguiente, no existe una ley orgánica española de IA promulgada. Las exigencias del Reglamento europeo son vinculantes con plenitud de efectos en España, quedando el desarrollo sancionador interno a expensas de la nueva composición de las Cortes.

7.Lista de comprobación práctica para empresas

Recomendaciones operativas para cada asistente conversacional, chatbot o agente inteligente desplegado:

1. 1.Elabora un registro exhaustivo de asistentes. Documenta responsable interno, modelo y proveedor tecnológico, canales de comunicación habilitados, capacidades de ejecución (informativa frente a transaccional) y bases documentales de conocimiento vinculadas.
2. 2.Determina formalmente tu rol regulatorio. Califica con precisión si la compañía opera como Proveedor o Responsable del despliegue según el Reglamento de IA, y comprueba si alguna operativa se subsume en los supuestos del anexo III.
3. 3.Garantiza el aviso inicial de transparencia. Incorpora advertencias transparentes en el primer mensaje de la conversación, mediante distintivos visuales permanentes en la ventana de chat o a través de locuciones audibles al inicio de las llamadas (artículo 50).
4. 4.Fija límites operativos y protocolos de escalado. Delimita por escrito las materias autorizadas, las directrices de abstención preceptiva y los mecanismos automáticos de derivación hacia personal humano.
5. 5.Audita el sistema frente a tu documentación oficial. Diseña conjuntos de prueba representativos sobre tarifas, condiciones de cobertura, plazos y derechos del cliente, asegurando que las respuestas esperadas sean validadas por los responsables de cada área. Conserva los resultados.
6. 6.Reitera las pruebas tras cada cambio técnico. Ejecuta exámenes de regresión tras actualizar el modelo, modificar las instrucciones del sistema, incorporar nueva documentación o variar las condiciones comerciales.
7. 7.Supervisa el comportamiento real en producción. Audita muestras de conversaciones reales, asegura el almacenamiento estructurado de registros y monitoriza las discrepancias comunicadas por los usuarios.
8. 8.Asigna un responsable humano con atribuciones. Nombra a una persona competente encargada de supervisar el funcionamiento del asistente, con autoridad técnica para corregir respuestas, pausar el servicio o retirarlo de producción.
9. 9.Revisa los términos suscritos con proveedores de software. Asegura cláusulas contractuales sobre acceso a documentación técnica y registros, plazos de subsanación de anomalías, notificación de brechas de seguridad y delimitación de indemnizaciones.
10. 10.Custodia un expediente probatorio inmutable. Conserva un archivo cronológico con las auditorías de rendimiento, consultas de prueba, errores detectados y medidas correctoras, listo para su exhibición ante inspecciones administrativas, tribunales o entidades aseguradoras.

8.Acreditación documental del deber de diligencia

Ninguna disposición comunitaria garantiza una respuesta automática infalible. Lo que valoran los órganos judiciales, tribunales arbitrales y autoridades administrativas es si la empresa actuó con un cuidado diligente y razonable: midiendo la tasa de error con datos contrastados, subsanando fallos de forma continuada y manteniendo supervisión efectiva. Ese estándar motivó la condena en el caso Moffatt v. Air Canada y delimita la documentación exigible en los requerimientos de exhibición bajo la Directiva de productos defectuosos.

• Bancos de prueba empíricos: Baterías de preguntas redactadas a partir de la documentación corporativa oficial, donde cada respuesta correcta se sustenta en un extracto fidedigno y contrastado, ejecutadas antes del lanzamiento y tras cada iteración.
• Delimitación documental del alcance: Especificación pormenorizada de los objetivos del asistente, sus límites de actuación y el control de versiones de las fuentes de conocimiento ingeridas.
• Seguimiento de calidad continuado: Trazabilidad de puntuaciones a lo largo del tiempo, garantizando que ajustes en las instrucciones o en el modelo no provoquen degradaciones imprevistas.
• Supervisión humana efectiva: Profesionales designados con facultades reales para analizar anomalías, aplicar correcciones y desactivar el asistente ante desviaciones imprevistas.
• Custodia de registros de inferencia: Almacenamiento seguro de las preguntas de los usuarios, el contexto recuperado y las salidas generadas, permitiendo reconstruir con precisión cualquier interacción en litigio.

Una evaluación técnica de Caudals genera precisamente ese expediente probatorio. Extraemos preguntas de prueba a partir de tus manuales y de consultas reales de clientes, colaboramos con expertos del sector para validar las respuestas de referencia, calificamos semánticamente cada respuesta frente al texto citado y proporcionamos informes auditables con puntuaciones cuantitativas y desglose de fallos por causas. Las evaluaciones mensuales añaden supuestos inéditos y detectan regresiones silenciosas. Cada resultado es completamente trazable hasta su pregunta, fuente original, revisor humano, ejecución y nota asignada. Descubre nuestra metodología de evaluación, consulta un informe de ejemplo, evalúa tu asistente gratis o contacta con nuestro equipo.

Lo que no hacemos: un informe de evaluación de Caudals no certifica tu sistema de IA, no es una evaluación de conformidad y no hace que nadie cumpla el Reglamento de IA. Aporta evidencias empíricas contrastadas que tus asesores jurídicos y directivos pueden integrar en su propio análisis de riesgos. Nunca realizamos pruebas adversarias, como inyecciones de instrucciones o jailbreaks, sin la autorización previa y por escrito del titular.

9.Preguntas frecuentes

10.Fuentes oficiales consultadas

Disposiciones normativas y resoluciones judiciales oficiales, contrastadas en la fecha que figura en la cabecera.

1. 1.Reglamento (UE) 2024/1689 (Reglamento de Inteligencia Artificial)Diario Oficial de la Unión Europea, 12 de julio de 2024. Artículos 3, 4, 5, 25, 26, 50, 99 y 113 y anexo III.
2. 2.Reglamento (UE) 2026/1744 (Ómnibus Digital sobre IA)De 8 de julio de 2026, Diario Oficial del 24 de julio de 2026, en vigor desde el 27 de julio de 2026. Nuevo artículo 4 y modificaciones de los artículos 99, 111 y 113.
3. 3.Directrices sobre las obligaciones de transparencia del artículo 50 del Reglamento de IAComisión Europea, C(2026) 5054, 20 de julio de 2026 (en inglés).
4. 4.La Comisión publica directrices sobre las obligaciones de transparencia (IP/26/1653)Nota de prensa de la Comisión Europea, 20 de julio de 2026: la mayor parte del Reglamento, incluidos los poderes de supervisión, se aplica desde el 2 de agosto de 2026.
5. 5.Directiva (UE) 2024/2853 sobre responsabilidad por los daños causados por productos defectuososDe 23 de octubre de 2024, Diario Oficial del 18 de noviembre de 2024. Artículos 2, 4, 6 a 10, 21 y 22; considerandos 13 y 24.
6. 6.Retirada de propuestas de la Comisión (C/2025/5423)Diario Oficial de la Unión Europea, 6 de octubre de 2025, incluida la propuesta de Directiva sobre responsabilidad en materia de IA, COM(2022) 496.
7. 7.Directiva 2005/29/CE relativa a las prácticas comerciales deslealesArtículos 6 y 7, sobre acciones y omisiones engañosas.
8. 8.Moffatt v. Air Canada, 2024 BCCRT 149Civil Resolution Tribunal de la Columbia Británica, 14 de febrero de 2024 (en inglés).
9. 9.Real Decreto Legislativo 1/2007, texto refundido de la Ley General para la Defensa de los Consumidores y UsuariosBoletín Oficial del Estado, texto consolidado. Artículos 60 y 61.
10. 10.Ley 3/1991, de 10 de enero, de Competencia DeslealBoletín Oficial del Estado, texto consolidado. Artículos 5 y 7.
11. 11.Real Decreto 729/2023, Estatuto de la AESIABoletín Oficial del Estado, 2 de septiembre de 2023.
12. 12.Guías de la AESIA sobre el Reglamento de IAAgencia Española de Supervisión de la Inteligencia Artificial.
13. 13.Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial (121/000096)Congreso de los Diputados: presentado el 28 de mayo de 2026, caducado el 6 de octubre de 2026.
14. 14.Real Decreto 806/2026, de disolución de las Cortes y convocatoria de eleccionesBoletín Oficial del Estado, 6 de octubre de 2026.