Responsabilidad penal de la IA: ¿Quién comete realmente el delito?

Tal y como no resulta una novedad, en la actualidad —y desde los últimos años— estamos siendo testigos de un descenso de la criminalidad tradicional para dar paso a un evidente aumento de los delitos cometidos por medios informáticos o por parte de sistemas de IA. Así, desde hace ya algunos años se han venido dando casos de comisión de delitos por IA que han supuesto un quebradero de cabeza para los juzgadores para saber, en primer lugar, a quién investigar, y en segundo lugar, a quién y a qué condenar.

El papel de la IA en este proceso de dilucidación de responsabilidad podría ser el de un instrumento al servicio de los fines de la persona que la manipula, dejando de lado la concepción de un agente autónomo capaz de asumir culpa o responsabilidad penal por sí misma. Esto, no obstante, plantea desafíos futuros en la medida en que la autonomía de los sistemas de IA se incrementa, lo que podría dar lugar a debates sobre cómo establecer la responsabilidad en casos más complejos o cuando las máquinas operen sin intervención humana directa. Este enfoque sigue el principio de "responsabilidad subjetiva", según el cual la producción de un mal lesivo, de un daño a un bien jurídico, no es suficiente, sino que debe mediar dolo o imprudencia (artículo 5 CP), por lo que la inteligencia en sí misma no tiene capacidad de responder.

Todo este conflicto se debe a que la IA no tiene personalidad jurídica, por lo que, en puridad, no es sujeto de derecho ni se le han reconocido hasta la fecha derechos y deberes propios de los sujetos que sí gozan de esa personalidad. Es por esa razón que, si esta IA cometiera un delito, la persona a investigar y, en su caso, a condenar, sería aquella que la hubiera programado para delinquir o que estuviera manejando esa tecnología.

Sin embargo, esta conclusión no ha estado exenta de discusión doctrinal. Una primera aproximación partiría del análisis del artículo 5 del Código Penal, ya que del funcionamiento de la IA pueden derivarse una serie de acciones u omisiones a través de las cuales se determine responsabilidad civil o incluso penal. Ahora bien, reconocer que la IA tiene capacidad para responder de sus actos implicaría directamente dotar a un sistema informático de derechos y obligaciones, pasando por reconocerlo como sujeto de derecho, mientras que, si por el contrario no se le reconoce, sería considerado como un objeto de derecho, por lo que la responsabilidad recaería sobre el comerciante del programa, programador o bien el usuario final.

En este sentido, y asumiendo que la persona programadora de la IA sería aquella investigada por la comisión de tal hecho delictivo, sería de vital relevancia acreditar en el seno del procedimiento penal que se iniciara el dolo de esa persona programadora. Es decir, no se podría condenar a la persona que hubiera programado el sistema de IA a no ser que quedara plenamente acreditada su intención de hacerlo para dirigir dicho sistema hacia la delincuencia. Cuestión distinta sería el caso de que una persona programara un sistema de IA para que actuara de una determinada manera legítima, pero por cuestiones ajenas a su control esta programación mutara o se dieran las circunstancias casuales que tuvieran como consecuencia la comisión de un delito por parte del sistema, sin que fuera condenable por ello su programador, y es aquí donde surgiría el conflicto puesto que no habría sujeto de derecho alguno para investigar ni condenar.

La solución que se ha planteado por parte de la Doctrina hasta el momento es considerar a estos sistemas de IA como personas jurídicas y aplicar la doctrina del TS sobre responsabilidad penal de las personas jurídicas, que se basa en los siguientes presupuestos:

Sería exigible llevar a cabo un juicio de culpabilidad específica sobre la actuación de la IA basado en el principio de autorresponsabilidad. El fundamento de la responsabilidad penal no sería objetivo, sino que debería tener su soporte en la propia conducta de la IA. El principio de la presunción de inocencia se aplicaría a la IA y sería autónomo respecto del de la persona física. La IA debería haber actuado sin disponer de un sistema de control de sus administradores dirigido a controlarla.

Asumiendo lo anterior, se puede llegar a la conclusión de que, en esta tipología de supuestos, la implementación de un buen sistema de Compliance se vuelve fundamental, ya que un sistema robusto de cumplimiento normativo, con protocolos de seguridad, auditorías periódicas y formación continua, puede ayudar a prevenir la comisión de delitos y servir como defensa legal en caso de que se cuestione la responsabilidad. Si este sistema de IA —de forma análoga a lo que pudiera hacer una persona jurídica tradicional— pudiera demostrar que se tomaron medidas razonables para gestionar los riesgos y cumplir con las normativas, el sistema de Compliance podría exonerar o mitigar la responsabilidad penal al evidenciar que se actuó con la debida diligencia.

Todo ello evidencia la importancia del actual debate sobre la responsabilidad penal de la IA y la posible atribución de personalidad jurídica a este tipo de sistemas, toda vez que la legislación actual no está preparada para abordar este fenómeno de forma clara y uniforme. Aunque la IA pueda operar de manera autónoma, la responsabilidad penal debería recaer bien en los programadores o empresas responsables si se diera el caso de que hubieran diseñado un sistema de IA para delinquir, bien sobre el propio sistema de IA de forma análoga a la forma en la que se haría con una persona jurídica.

El tiempo, la Doctrina y los Tribunales dirán.

*Noelia Álvarez, asociada sénior de Ecija