Responsabilidad penal de la IA: ¿Quién comete realmente el delito?
Artículo escrito por Noelia Álvarez, asociada senior de ECIJA Madrid, publicado en El Confidencial.
En los últimos años, ha disminuido la criminalidad tradicional, mientras aumentan los delitos cometidos por medios informáticos o sistemas de IA. Esto ha generado dificultades para los jueces, quienes enfrentan desafíos sobre a quién investigar y a quién condenar. La IA, más que un agente autónomo, es vista como una herramienta al servicio de quienes la manipulan, lo que complica la asignación de responsabilidad. Aunque la autonomía de la IA crece, lo que podría generar nuevos debates sobre responsabilidad en situaciones más complejas, el principio legal de «responsabilidad subjetiva» exige dolo o imprudencia para que haya culpa. Como la IA no tiene personalidad jurídica, no es un sujeto de derecho, por lo que en caso de delito, la responsabilidad recae en la persona que la haya programado o esté manejando la tecnología.
Sin embargo, esta conclusión no ha estado exenta de discusión doctrinal. Una primera aproximación partiría del análisis del artículo 5 del Código Penal, ya que del funcionamiento de la IA pueden derivarse una serie de acciones u omisiones a través de las cuales se determine responsabilidad civil o incluso penal. Ahora bien, reconocer que la IA tiene capacidad para responder de sus actos implicaría directamente dotar a un sistema informático de derechos y obligaciones, pasando por reconocerlo como sujeto de derecho, mientras que, si por el contrario no se le reconoce, sería considerado como un objeto de derecho, por lo que la responsabilidad recaería sobre el comerciante del programa, programador o bien el usuario final.
ara que se pueda investigar y condenar a la persona que programó una IA por la comisión de un delito, es esencial demostrar su dolo, es decir, que tenía la intención de dirigir la IA hacia actividades delictivas. Si la programación era legítima pero, debido a factores ajenos al control del programador, el sistema comete un delito, este no sería responsable. El problema surge cuando no hay un sujeto de derecho al que investigar o condenar, ya que la IA no tiene personalidad jurídica.
La solución que se ha planteado por parte de la Doctrina hasta el momento es considerar a estos sistemas de IA como personas jurídicas y aplicar la doctrina del TS sobre responsabilidad penal de las personas jurídicas, que se basa en los siguientes presupuestos:
Sería exigible llevar a cabo un juicio de culpabilidad específica sobre la actuación de la IA basado en el principio de autorresponsabilidad. El fundamento de la responsabilidad penal no sería objetivo, sino que debería tener su soporte en la propia conducta de la IA. El principio de la presunción de inocencia se aplicaría a la IA y sería autónomo respecto del de la persona física. La IA debería haber actuado sin disponer de un sistema de control de sus administradores dirigido a controlarla.
Asumiendo lo anterior, se puede llegar a la conclusión de que, en esta tipología de supuestos, la implementación de un buen sistema de Compliance se vuelve fundamental, ya que un sistema robusto de cumplimiento normativo, con protocolos de seguridad, auditorías periódicas y formación continua, puede ayudar a prevenir la comisión de delitos y servir como defensa legal en caso de que se cuestione la responsabilidad. Si este sistema de IA —de forma análoga a lo que pudiera hacer una persona jurídica tradicional— pudiera demostrar que se tomaron medidas razonables para gestionar los riesgos y cumplir con las normativas, el sistema de Compliance podría exonerar o mitigar la responsabilidad penal al evidenciar que se actuó con la debida diligencia.
Todo ello evidencia la importancia del actual debate sobre la responsabilidad penal de la IA y la posible atribución de personalidad jurídica a este tipo de sistemas, toda vez que la legislación actual no está preparada para abordar este fenómeno de forma clara y uniforme. Aunque la IA pueda operar de manera autónoma, la responsabilidad penal debería recaer bien en los programadores o empresas responsables si se diera el caso de que hubieran diseñado un sistema de IA para delinquir, bien sobre el propio sistema de IA de forma análoga a la forma en la que se haría con una persona jurídica.