¿Quién responde cuando un agente de IA actúa por su cuenta?

La nueva entrega de la serie explicativa de MIT Technology Review, publicada este 28 de septiembre, arranca con un recordatorio incómodo: en los últimos meses, una cascada de ciberataques ejecutados por agentes de IA ha sacudido a medio mundo, y en julio fue la propia OpenAI la que dio a conocer un caso en el que estaba implicado un enjambre de sus agentes. La pregunta que plantea el artículo es fácil de formular y difícil de responder: cuando un agente causa daños, ¿quién paga?

Para quienes trabajamos con Claude, el antecedente más cercano es de noviembre de 2025. Anthropic publicó entonces que había detectado y cortado una campaña de ciberespionaje atribuida a un grupo patrocinado por el Estado chino, que utilizó Claude Code para automatizar la mayor parte de las operaciones contra una treintena de organizaciones. Los atacantes engañaron al modelo troceando el trabajo en tareas que, por separado, parecían inofensivas. Ese caso ya dejó ver el problema de fondo: la intención era humana, pero la ejecución, casi entera, no.

Un agente no es una persona jurídica

El punto de partida legal apenas se discute: un agente de software no tiene personalidad jurídica, así que no puede responder de nada. La responsabilidad acaba en alguien de la cadena. El problema es que esa cadena es larga: quien entrena el modelo, quien lo integra en un producto, quien le conecta herramientas con permisos reales y quien da la instrucción final.

Hay un precedente que se cita a menudo. En febrero de 2024, un tribunal civil de la Columbia Británica obligó a Air Canada a compensar a un cliente después de que el chatbot de su web le diera información errónea sobre las tarifas por duelo. La aerolínea llegó a argumentar que el chatbot era una entidad separada, responsable de sus propios actos. El tribunal rechazó el argumento: la empresa responde de toda la información de su web, la escriba una persona o un bot. La cuantía fue pequeña, pero la idea que deja es útil. Quien despliega el sistema frente al cliente no puede escudarse en su autonomía.

Qué dice el marco europeo

En la Unión Europea el debate tiene fechas concretas. En febrero de 2025, la Comisión anunció la retirada de su propuesta de directiva sobre responsabilidad por IA, que pretendía facilitar las reclamaciones por daños causados por estos sistemas. Lo que sí sigue adelante es la nueva Directiva sobre responsabilidad por productos defectuosos, que incluye de forma expresa el software y los sistemas de IA dentro del concepto de producto y que los Estados miembros deben trasponer antes del 9 de diciembre de 2026.

A eso se suma el Reglamento de IA, que desde agosto de 2025 exige a los proveedores de modelos de propósito general documentación técnica y, en los modelos con riesgo sistémico, evaluación y mitigación de riesgos. Traducido: en Europa, un agente que causa daños puede acabar tratándose como un producto defectuoso, y el foco se desplaza hacia quién lo puso en circulación y con qué controles.

Lo que implica para quien despliega agentes

Para los equipos que ponen agentes en producción, ya sea con Claude Code, con la API o con cualquier otro stack, la lectura práctica es que la diligencia técnica se convierte en diligencia legal. Si algo sale mal, la pregunta no será solo qué hizo el agente, sino qué permisos tenía y quién se los concedió.

Algunas prácticas ayudan a tener respuesta:

1. Permisos mínimos. En Claude Code, las reglas de permitir y denegar del `settings.json` delimitan qué herramientas y comandos puede ejecutar el agente sin pedir confirmación.
2. Controles previos. Los hooks `PreToolUse` permiten bloquear una acción antes de que ocurra, no solo registrarla después.
3. Trazabilidad. Guardar qué pidió el usuario, qué decidió el agente y qué herramienta ejecutó. Sin ese rastro no hay forma de reconstruir la cadena.
4. Credenciales acotadas. Un agente no debería operar con las credenciales personales de un administrador, sino con cuentas de servicio de alcance limitado y fáciles de revocar.

Ninguna de estas medidas resuelve la cuestión jurídica, pero sí determina en qué posición queda cada parte cuando llega la reclamación.

En ElephantPink pensamos que el derecho irá más despacio que los despliegues, y que mientras tanto la mejor defensa es poder explicar, con registros, qué hizo un agente y por qué tenía permiso para hacerlo. Quien hoy no pueda reconstruir esa cadena lo tendrá difícil cuando alguien se la pida.