Pocas cláusulas se leen con menos atención y deciden tanto como las de responsabilidad. Van casi siempre al final del contrato, redactadas en un lenguaje que parece rutinario. Y, sin embargo, son las que determinan quién paga —y hasta qué límite— cuando el programa deja de funcionar, cuando el sistema pierde datos o cuando un modelo de inteligencia artificial genera un resultado erróneo con consecuencias reales. En la contratación de software y, más aún, de soluciones de IA, comprender estas cláusulas ha dejado de ser un asunto técnico reservado a los departamentos jurídicos: afecta a cualquier empresa o profesional que incorpore estas herramientas a su actividad diaria.
Cuando compramos un producto físico damos por hecho que funcionará y que, si es defectuoso, alguien responderá. El software funciona de otro modo: casi nunca se “vende”, sino que se licencia; casi nunca se garantiza que esté libre de errores, sino que se ofrece “tal cual”; y casi siempre el proveedor limita de antemano lo que está dispuesto a pagar si algo sale mal. Esa asimetría no es necesariamente ilícita: el Derecho español parte de la autonomía de la voluntad del artículo 1255 del Código Civil, que permite a las partes pactar lo que tengan por conveniente. Pero sí tiene límites que conviene conocer, porque muchas de estas cláusulas se dan por buenas sin discusión cuando en realidad son negociables o, en algunos casos, directamente nulas.
Las cláusulas que hay que saber leer y hasta dónde puede llegar el contrato
En la práctica, casi todo el reparto de riesgos se concentra en cuatro tipos de cláusula. La primera es la limitación cuantitativa (el llamado “cap”): el proveedor acepta responder, pero solo hasta una cifra, que suele fijarse en el importe pagado en los últimos doce meses. Es la fórmula más habitual y la que más conviene revisar, porque un incidente grave puede causar un daño muy superior a lo que se pagó por la licencia.
La segunda es la exclusión de daños indirectos, que aparta de la indemnización el lucro cesante, la pérdida de negocio o de reputación. Es una cláusula legítima entre empresas, pero en un contrato de IA de la que depende, por ejemplo, la atención al cliente o la toma de decisiones, esos “daños indirectos” pueden ser precisamente los más importantes.
La tercera son las garantías y su exención. Aquí es donde aparece el famoso “as is” o “tal cual”, con el que el proveedor declara que el software se entrega sin garantía de que sea apto para un fin concreto ni de que funcione sin interrupciones. La cuarta, cada vez más relevante, es la cláusula de indemnidad, por la que una parte se compromete a mantener indemne a la otra frente a reclamaciones de terceros, típicamente por infracción de propiedad intelectual o por incumplimiento de la normativa de protección de datos.
Ahora bien, la libertad de pacto no es absoluta. El límite más claro lo marca el artículo 1102 del Código Civil: la responsabilidad derivada del dolo —es decir, del incumplimiento intencionado o de mala fe— no puede excluirse ni limitarse por anticipado, y la renuncia a exigirla es nula. Una cláusula que pretendiera blindar al proveedor incluso cuando actúa deliberadamente mal no tendría efecto alguno. La jurisprudencia extiende habitualmente ese mismo razonamiento a la culpa grave, por su equiparación funcional al dolo.
El artículo 1103 permite además a los tribunales moderar la responsabilidad por negligencia según las circunstancias, lo que introduce cierto margen de corrección incluso cuando existe una cláusula limitativa. Y por encima de todo ello, el artículo 1255 sujeta cualquier pacto a la ley, la moral y el orden público.
El escenario cambia por completo cuando una de las partes es consumidor. Aquí entra en juego la normativa de protección de los consumidores, que considera abusivas —y, por tanto, nulas de pleno derecho— las cláusulas que limiten o priven al consumidor de sus derechos, incluidas las que excluyen o restringen indebidamente la responsabilidad del empresario (artículo 86 del texto refundido de la Ley General para la Defensa de los Consumidores y Usuarios, en relación con la Ley de Condiciones Generales de la Contratación). En contratación con consumidores, buena parte de las cláusulas “tal cual” y de los topes de responsabilidad que son válidos entre empresas simplemente no se sostienen.
La inteligencia artificial y un marco europeo en plena transformación
Todo lo anterior se complica cuando el contrato tiene por objeto un sistema de inteligencia artificial. Un software tradicional es, en esencia, previsible: hace lo que se le ha programado. Un modelo de IA, en cambio, presenta tres rasgos que tensionan las cláusulas clásicas de responsabilidad.
El primero es la opacidad: muchos modelos funcionan como una “caja negra” cuyo proceso de decisión no es plenamente explicable ni siquiera para quien los desarrolla, lo que dificulta enormemente probar dónde y por qué se produjo el fallo.
El segundo es la autonomía: el sistema aprende y adapta su comportamiento, de modo que el resultado dañoso puede no derivar de un defecto de origen, sino de la evolución del propio modelo tras su puesta en servicio.
Y el tercero es lo que coloquialmente se conoce como “alucinaciones”: la generación de contenidos plausibles pero incorrectos, un riesgo específico que ningún contrato de software convencional contemplaba.
Estos rasgos hacen que la pregunta esencial —¿quién responde: el proveedor que desarrolla el modelo, el que lo integra, o el usuario profesional que lo despliega?— no tenga una respuesta evidente, y que las cláusulas contractuales sean, más que nunca, el terreno donde se reparte ese riesgo.
A esa dificultad se añade que el contexto normativo es, además, cambiante, y conviene conocerlo porque condiciona lo que el contrato puede o no puede hacer. Tres piezas resultan decisivas.
La primera es el Reglamento (UE) 2024/1689 de Inteligencia Artificial (el “AI Act”), que impone obligaciones de carácter público —transparencia, gestión de riesgos, supervisión humana— según el nivel de riesgo del sistema. No regula directamente la responsabilidad civil entre las partes de un contrato, pero sí define un estándar de diligencia que pesará de forma creciente al valorar si ha habido culpa.
La segunda es una ausencia significativa. La Comisión Europea había propuesto una Directiva sobre responsabilidad civil en materia de IA, pensada para aligerar la carga de la prueba de las víctimas y facilitar el acceso a la documentación técnica. Sin embargo, ante la falta de acuerdo entre los Estados miembros, la Comisión retiró formalmente la propuesta, con publicación de la retirada en el Diario Oficial de la Unión Europea el 6 de octubre de 2025. La consecuencia práctica es que, hoy por hoy, no existe una armonización europea de la responsabilidad por culpa en la IA. Las reclamaciones de este tipo se rigen por el Derecho nacional de daños —en nuestro caso, el artículo 1902 del Código Civil—, con toda la dificultad probatoria que ello implica frente a sistemas opacos.
La tercera pieza, en cambio, sí llega y con fuerza. La Directiva (UE) 2024/2853 sobre responsabilidad por productos defectuosos, que sustituye al régimen de 1985, incorpora expresamente el software y los sistemas de inteligencia artificial al ámbito de la responsabilidad objetiva —aquella que no exige probar culpa, sino solo el defecto, el daño y la relación causal—. Se aplicará a los productos introducidos en el mercado o puestos en servicio a partir del 9 de diciembre de 2026, fecha límite también para su transposición por los Estados miembros. A partir de entonces, un programa o un modelo defectuoso podrá generar responsabilidad objetiva de su fabricante frente a los perjudicados, y ninguna cláusula contractual entre el proveedor y su cliente podrá oponerse a la víctima que reclama por esa vía.
Qué mirar antes de firmar
La conclusión práctica es que estas cláusulas no son una formalidad de cierre, sino el verdadero reparto del riesgo del contrato. Al revisarlas conviene hacerse varias preguntas. ¿El tope de responsabilidad guarda proporción con el daño que un fallo podría causar de verdad? ¿La exclusión de daños indirectos deja fuera, precisamente, el perjuicio que más importa? ¿Qué garantías se ofrecen sobre el rendimiento del sistema y qué se esconde tras un “tal cual”? Y, por último, ¿cómo se reparten las indemnidades por propiedad intelectual y protección de datos?
Este último punto es especialmente sensible cuando el modelo se ha entrenado con datos de terceros. Y en los contratos de IA merece atención específica, además, el reparto de responsabilidad por los resultados que el sistema genera y las exigencias de supervisión humana, tanto por prudencia como por coherencia con el marco regulatorio.
Las cláusulas de responsabilidad deciden quién asume el coste cuando un programa o un sistema de IA falla, y su validez depende de matices —dolo, culpa grave, condición de consumidor— que rara vez se aprecian a simple vista. Por eso, revisar el contrato antes de firmarlo, y no cuando ya ha surgido el problema, resulta clave para repartir el riesgo de forma equilibrada y conforme a Derecho. En Navas & Cusí contamos con un equipo especialista en derecho de las nuevas tecnologías y software que puede estudiar su caso, resolver sus dudas y acompañarle en cada fase. Si necesita orientación legal, puede contactar con nuestro despacho para recibir un asesoramiento personalizado.
