¿Quién responde cuando la IA se equivoca y por qué Ecuador necesita una ley de IA?
Si un agente de inteligencia artificial filtra los datos de un cliente o redacta mal un contrato, ¿quién paga? La pregunta se planteó en el panel «Más allá del agente: orquestación, autonomía y el nuevo perfil del talento en la era de la IA», del V Digital Transformation Summit de AMCHAM Quito, en el que participó Meythaler & Zambrano Abogados. En un panel, el tiempo alcanza para la respuesta corta; aquí va la completa.
En Ecuador, la empresa que utiliza inteligencia artificial en la prestación de sus servicios puede responder por los daños derivados de su utilización. Esa responsabilidad no necesariamente es exclusiva: dependiendo del caso, también puede alcanzar a otros participantes de la cadena tecnológica, como el desarrollador o el proveedor del sistema.
Las reglas que hoy permiten llegar a esa respuesta son parciales y están distribuidas en distintas normas, cada una con un ámbito de aplicación diferente. Por eso, Ecuador necesita una ley de inteligencia artificial, pensada para un país cuyo tejido empresarial está formado sobre todo por MIPYMES.
La IA no es sujeto de derecho
Un sistema de inteligencia artificial no tiene personalidad jurídica, domicilio ni patrimonio. No puede ser demandado ni pagar una indemnización, así que la ley busca a las personas que están detrás de él.
El Código Civil ecuatoriano parte de una regla amplia: todo daño que pueda imputarse a malicia o negligencia de otra persona debe ser reparado por esta (art. 2229). La decisión de utilizar un sistema automatizado sin controles adecuados puede constituir una conducta negligente imputable a la empresa, si de ella se deriva un daño
La responsabilidad se reparte y depende del caso
La empresa que usa la IA está al frente, pero quién más responde depende sobre todo de dos preguntas.
¿El afectado es un consumidor? En las relaciones de consumo, el artículo 28 de la Ley Orgánica de Defensa del Consumidor hace solidariamente responsables, por los daños que cause un bien o servicio con vicio o defecto, a todos aquellos cuya participación influyó en el daño. Eso podría incluir al proveedor tecnológico, según las circunstancias del caso. Quien paga puede después repetir contra los demás.
¿El sistema trata datos personales? La Ley Orgánica de Protección de Datos Personales reconoce el derecho a no ser objeto de decisiones basadas única o parcialmente en valoraciones automatizadas que produzcan efectos jurídicos o afecten sus derechos (art. 20).
Además, la Superintendencia de Protección de Datos Personales (SPDP) expidió la Norma General para la Garantía del Derecho de Protección de Datos Personales en el Uso de Sistemas de Inteligencia Artificial (Resolución SPDP-SPD-2026-0009-R, Registro Oficial No. 240, 10 de marzo de 2026). Exige gestionar los riesgos antes de desarrollar el sistema, hacer una evaluación de impacto cuando corresponda, informar a los titulares, registrar los tratamientos y auditar el sistema según su nivel de riesgo.
En septiembre de 2026, la SPDP reformó esa norma (Resolución SPDP-SPD-2026-0037-R). Los proveedores que actúan como encargados quedan obligados cuando tienen acceso, visibilidad o control efectivo sobre los datos, y deben informar a la empresa sobre el funcionamiento, los límites y los riesgos del sistema.
Lo que muestran otros casos y países
Estos casos y normas no rigen en Ecuador, pero muestran hacia dónde va la discusión y ayudan a anticipar riesgos.
Australia: el caso Robodebt
El Gobierno australiano usó un sistema automatizado, no de inteligencia artificial, que promediaba los ingresos anuales declarados al fisco para determinar supuestos pagos indebidos de ayudas sociales. Así atribuyó deudas por al menos 1.763 millones de dólares australianos a unas 433.000 personas y cobró cerca de 751 millones. El propio Estado reconoció que no tenía base legal para hacerlo (Corte Federal de Australia).
La factura incluyó devolver lo cobrado y pagar compensaciones. Un primer acuerdo, aprobado en 2021, sumó 112 millones de dólares australianos. El segundo, aprobado en junio de 2026, agrega 475 millones más, además de hasta 73,5 millones en costos legales y de administración (Corte Federal de Australia). La comisión real que investigó el caso lo calificó como un mecanismo «burdo y cruel, ni justo ni legal» (Fiscal General de Australia).
Canadá: el chatbot de Air Canada
En 2024, un tribunal de Columbia Británica condenó a Air Canada por la información errónea que dio su chatbot y rechazó que este fuera una entidad separada. La empresa responde por todo lo que aparece en su web, venga de una página fija o de un chatbot (Civil Resolution Tribunal).
Unión Europea: del fabricante a toda la cadena
La nueva Directiva sobre responsabilidad por productos defectuosos considera el software, incluidos los sistemas de IA, como un producto cuyo fabricante responde por sus defectos aunque no haya culpa.
Que el sistema se comporte de forma inesperada no lo libera: al evaluar el defecto se considera su capacidad de seguir aprendiendo después de salir al mercado, y el fabricante sigue respondiendo por el software y sus actualizaciones mientras estén bajo su control (arts. 7 y 11). Los países de la Unión deben incorporarla a su legislación hasta el 9 de diciembre de 2026 (EUR-Lex).
Igual que nuestra Ley de Defensa del Consumidor, la Directiva permite hacer responsables solidarios a varios operadores de la cadena, y quien paga puede repetir contra los demás (arts. 12 y 14) (EUR-Lex). La lista de posibles responsables es amplia (art. 8). Incluye a fabricantes de productos y componentes y a quien modifica sustancialmente un producto. Si el fabricante está fuera de la UE, también responden el importador, el representante autorizado y el prestador de servicios logísticos. En ciertos casos, también los distribuidores y las plataformas en línea.
Su ámbito, sin embargo, es la responsabilidad por productos defectuosos, no por todos los servicios que se prestan con IA. Por eso, en nuestra lectura, la ley ecuatoriana podría ofrecer una protección más amplia en servicios, porque el art. 28 alcanza a todos los que, con su participación, influyeron en el daño.
El Reglamento europeo de IA, además, reparte deberes a lo largo de la cadena.
El importador y el distribuidor deben verificar que un sistema de alto riesgo cumpla antes de ponerlo en el mercado. Si tienen motivos para creer que no es conforme, no pueden comercializarlo, y si detectan un riesgo deben avisar a los demás actores de la cadena y a las autoridades.
Quien pone su nombre o marca en un sistema de alto riesgo, lo modifica sustancialmente o cambia su finalidad asume las obligaciones del proveedor.
Quien usa el sistema debe confiar la supervisión humana a personas con la competencia, la formación y la autoridad necesarias (arts. 23 a 26) (EUR-Lex).
Estas reglas se aplicarán desde el 2 de diciembre de 2027 para los sistemas de IA de alto riesgo contemplados en el Anexo III, y desde el 2 de agosto de 2028 para los sistemas de alto riesgo integrados en productos regulados del Anexo I (EUR-Lex).
Lo que existe hoy en Ecuador y por qué no basta
Ecuador no tiene una ley de inteligencia artificial. El 15 de septiembre de 2026, el Pleno de la Asamblea archivó con 88 votos el Proyecto de Ley Orgánica de Regulación y Promoción de Inteligencia Artificial. El informe de la comisión advirtió que el proyecto podía crear barreras para los emprendimientos y las MIPYMES, y que le faltaban herramientas como evaluaciones de impacto para sistemas de alto riesgo y códigos de conducta.
Pero la presidenta de la comisión aclaró que archivarlo no significa renunciar a regular la IA (Asamblea Nacional). Una nueva propuesta, el Proyecto de Ley Orgánica para el Desarrollo, Uso Ético y Gobernanza de la Inteligencia Artificial en el Ecuador, está en trámite en la Comisión de Educación (Asamblea Nacional).
Mientras tanto, la IA se rige por estas reglas:
Política pública de IA. El Ministerio de Telecomunicaciones expidió la Estrategia para el Fomento del Desarrollo y Uso Ético y Responsable de la Inteligencia Artificial en el Ecuador (Acuerdo Ministerial MINTEL-MINTEL-2025-0030), publicada en el Registro Oficial el 19 de enero de 2026 y con horizonte 2025-2029 (Lexis). Establece once principios rectores, entre ellos la protección de datos, la no discriminación, la supervisión humana, la transparencia y el enfoque basado en riesgos. Aunque su ámbito de aplicación es obligatorio, no desarrolla un régimen integral de obligaciones técnicas, clasificación de riesgos, supervisión y sanciones específicas para los distintos actores de la cadena de IA.
Protección de datos personales. La LOPDP y la norma de IA de la SPDP, descritas arriba.
Responsabilidad civil y de consumo. El Código Civil y la Ley Orgánica de Defensa del Consumidor, también descritos arriba.
Libre competencia. La Ley Orgánica de Regulación y Control del Poder de Mercado puede aplicarse a conductas anticompetitivas ejecutadas mediante algoritmos, como acuerdos restrictivos o abusos de poder de mercado. Usar tecnología no excluye estas prohibiciones.
Políticas institucionales. Algunas entidades públicas han adoptado reglas internas para el uso de IA por parte de sus funcionarios. Por ejemplo, la Superintendencia de Competencia Económica reformó su Código de Ética para exigir seguridad, confidencialidad, trazabilidad de las decisiones y control humano en el uso de estas herramientas.
Estas normas cubren partes del problema, pero dejan vacíos:
Responsabilidad sin un marco preventivo integral. El Código Civil y la Ley de Defensa del Consumidor permiten exigir reparación después del daño. No fijan obligaciones preventivas graduadas según el riesgo, como supervisión humana, documentación técnica y vigilancia continua.
Cobertura parcial. La norma de la SPDP solo alcanza a los sistemas que tratan datos personales, y la legislación de competencia solo interviene ante conductas anticompetitivas. La Estrategia del MINTEL fija principios, pero no obligaciones exigibles. Ninguna norma clasifica y supervisa todos los sistemas de IA según su nivel de riesgo.
Sectores sensibles sin régimen propio. Ecuador todavía no cuenta con un marco transversal específico para IA que establezca obligaciones de evaluación de riesgos, supervisión humana y control de decisiones automatizadas en todos estos sectores, como el de la salud.
Las políticas institucionales no alcanzan a las empresas. Obligan a los funcionarios públicos, no al sector privado, y los códigos voluntarios no sustituyen las obligaciones legales.
En efecto, Ecuador necesita una ley de inteligencia artificial. La IA no es una herramienta más: puede decidir o ayudar a decidir sobre créditos, empleos o prestaciones, y trata datos personales a una escala que ninguna persona podría revisar. Como mostró Robodebt, un error automatizado se repite miles de veces antes de que alguien lo detecte. Una tecnología con ese alcance necesita reglas propias, no solo normas pensadas para otros problemas.
Pero la ley debe tener en cuenta a quién se aplica. El tejido empresarial ecuatoriano está compuesto mayoritariamente por micro, pequeñas y medianas empresas (MIPYMES). Por eso, una regulación que imponga las mismas exigencias a una microempresa que a una gran compañía tecnológica podría generar cargas desproporcionadas. Una ley que exija a una microempresa lo mismo que a una gran tecnológica sería inaplicable para la mayoría de las empresas del país.
La región avanza en esa dirección. Perú reglamentó su ley de IA mediante el Decreto Supremo N.° 115-2025-PCM (El Peruano). La Unión Europea tiene su Reglamento de Inteligencia Artificial desde 2024; tras la reforma aprobada en 2026, sus reglas para los sistemas de alto riesgo se aplicarán desde el 2 de diciembre de 2027, y desde el 2 de agosto de 2028 para los integrados en productos regulados (EUR-Lex). Brasil tramita su marco legal: el Senado lo aprobó en diciembre de 2024 y hoy se discute en la Cámara de Diputados (Senado Federal).
Qué debe hacer su empresa desde ya
Sin esperar una ley, estos pasos reducen el riesgo y ayudan a cumplir la LOPDP y la norma de la SPDP:
Inventario. Identifique las herramientas de IA que usa la empresa, incluidas las que el personal usa por su cuenta.
Política interna. Defina qué herramientas están permitidas y qué información no se puede cargar en ellas.
Contratos con proveedores. Defina quién paga si el sistema se equivoca, con cláusulas de indemnidad, confidencialidad, tratamiento de datos y niveles de servicio. Exija información sobre el funcionamiento, los límites y los riesgos del sistema.
Gestión de riesgos previa. Si el sistema trata datos personales, gestione los riesgos antes de desarrollarlo o ponerlo en marcha, no después, y haga la evaluación de impacto cuando corresponda según el nivel de riesgo.
Registro de actividades de tratamiento. Incluya los tratamientos con IA y las decisiones automatizadas con efectos jurídicos.
Revisión humana real. Las decisiones que afectan derechos de clientes o trabajadores debe revisarlas alguien con tiempo, información y autoridad para rechazarlas. Cuando hay que aprobar cientos de acciones por hora, la revisión se reduce a un clic, y quien aprueba solo queda como el lugar donde recae la culpa (Forbes). Para lo que no puede esperar a una persona, fije de antemano topes de gasto y de operaciones, y la posibilidad de detener el sistema.
Transparencia. Informe a las personas cuando sus datos se traten con IA y respete su derecho a no ser objeto de decisiones basadas únicamente o en parte en valoraciones automatizadas.
Evidencia. Documente los controles que aplica. Ante un reclamo o una auditoría de la autoridad, eso es lo que demuestra diligencia.
Hablemos antes de que llegue el reclamo
En Meythaler & Zambrano Abogados, nuestro Departamento de Compliance y Protección de Datos Personales le ayuda a revisar sus contratos con proveedores tecnológicos, preparar evaluaciones de impacto y ajustar sus procesos a las normas de la Superintendencia.
