Riesgo Penal del Uso Empresarial de la IA: EU AI Act y Compliance

La adopción empresarial de la inteligencia artificial avanza más deprisa que los controles internos que deberían acompañarla. Un sistema de IA que decide a quién se contrata, que puntúa a un solicitante de crédito o que responde a los clientes en nombre de la empresa no es solo una herramienta de eficiencia: es una fuente de riesgo penal corporativo. Cuando ese sistema produce un resultado lesivo, la pregunta deja de ser técnica y pasa a ser jurídica: ¿quién responde? Desde el asesoramiento en riesgo penal de la inteligencia artificial explicamos cómo se gestiona este riesgo bajo el EU AI Act y el compliance del artículo 31 bis del Código Penal.

De Qué Riesgo Penal Hablamos

No existe un "delito de usar inteligencia artificial". El riesgo penal no nace de la tecnología en abstracto, sino de los resultados típicos que un sistema puede provocar cuando se integra en la actividad de la empresa. La IA actúa aquí como un amplificador: automatiza decisiones, las aplica a escala y diluye la frontera entre quién decide y quién ejecuta. Ese es precisamente el terreno donde el Derecho penal busca a un responsable.

El enfoque, por tanto, no es "el delito de X", sino la prevención y la defensa corporativa: identificar dónde un sistema de IA puede cruzar el umbral penal, blindar a la organización con controles idóneos y, si llega la investigación, articular una defensa que reparta o excluya responsabilidades. Es un trabajo de compliance penal antes que de litigio.

El EU AI Act como Marco de Gobernanza

El Reglamento (UE) 2024/1689, conocido como EU AI Act, es la primera norma europea que regula de forma horizontal la inteligencia artificial. No crea tipos penales, pero establece un sistema de obligaciones graduadas según el nivel de riesgo del sistema:

• Riesgo inaceptable: prácticas prohibidas, como ciertos usos de identificación biométrica o el social scoring.
• Alto riesgo: sistemas con impacto en derechos —selección de personal, evaluación crediticia, acceso a servicios esenciales— sujetos a obligaciones reforzadas de documentación, gestión del riesgo, supervisión humana y trazabilidad.
• Riesgo limitado: sistemas como los chatbots, sometidos sobre todo a deberes de transparencia frente al usuario.
• Riesgo mínimo: la mayoría de aplicaciones, sin obligaciones específicas.

Su relevancia penal es indirecta pero decisiva: el cumplimiento o incumplimiento de estas obligaciones se convierte en un termómetro del defecto de control. Una empresa que desatiende la gobernanza exigida para un sistema de alto riesgo y deja que ese sistema cause un resultado típico habrá generado un indicio sólido de fallo en la supervisión, justo el elemento sobre el que se construye la responsabilidad penal de la persona jurídica.

Responsabilidad Penal de la Persona Jurídica (Art. 31 bis CP)

El artículo 31 bis del Código Penal permite imputar penalmente a la empresa por los delitos cometidos en su nombre o por su cuenta y en su beneficio directo o indirecto, cuando ha existido un defecto de control. Las consecuencias para la sociedad pueden ser graves: multa proporcional, inhabilitación para contratar con el sector público y, en los casos más severos, suspensión de actividades.

La clave del precepto es su causa de exención: la persona jurídica queda exenta si, antes de la comisión del delito, ha adoptado y ejecutado con eficacia un modelo de organización y gestión idóneo para prevenir delitos de esa naturaleza. En el ámbito de la IA, ese modelo no puede ser un compliance genérico de cajón: debe contemplar específicamente los sistemas algorítmicos que la empresa utiliza. Un programa de cumplimiento que ignore por completo la IA difícilmente será considerado idóneo si el delito proviene precisamente de un sistema automatizado.

Los Tipos Penales Más Expuestos

Aunque cualquier delito empresarial puede aparecer mediado por IA, hay tres focos donde el riesgo es más nítido:

• Discriminación y delitos de odio (art. 510 CP): castigado con prisión de uno a cuatro años y multa de seis a doce meses. Un sistema de IA entrenado con datos sesgados puede generar tratos discriminatorios por motivos protegidos —origen, sexo, religión, orientación—, especialmente en publicidad dirigida, moderación de contenidos o segmentación de usuarios.
• Discriminación grave en el empleo (art. 314 CP): sanciona la discriminación grave en el empleo, público o privado, no restablecida tras requerimiento o sanción administrativa. Es el marco natural del sesgo algorítmico en selección de personal y RRHH, donde los sistemas de cribado automatizado pueden penalizar de forma estructural a determinados colectivos.
• Estafa (art. 248 CP): prisión de seis meses a tres años en el tipo básico, con la pena modulada por la cuantía y las circunstancias. Aplicable cuando el output erróneo de un chatbot o asesor virtual induce a error al cliente y le causa un perjuicio patrimonial —por ejemplo, afirmando condiciones, precios o coberturas que la empresa no asume—.

En todos los casos, el delito no lo "comete" el sistema: se imputa a las personas físicas que lo diseñaron, lo desplegaron o debían supervisarlo, y a la empresa que se sirve de él. La trazabilidad de quién aprobó cada sistema y con qué controles es, por eso, una pieza central tanto de la prevención como de la defensa.

Governance Algorítmica: el Compliance del Art. 31 bis Ampliado

La forma de neutralizar este riesgo es ampliar el modelo de prevención penal con una capa de governance algorítmica. En la práctica, eso se traduce en un conjunto de controles documentados:

• Inventario de sistemas: identificar todos los sistemas de IA en uso, su finalidad y su nivel de riesgo conforme al EU AI Act.
• Evaluación de riesgos: analizar, para cada sistema, qué resultados típicos podría provocar y sobre qué bienes jurídicos incide.
• Supervisión humana: garantizar que ninguna decisión sensible se ejecute de forma plenamente automática sin posibilidad de control y revisión por una persona.
• Trazabilidad y registro: conservar la documentación técnica, los conjuntos de datos, las versiones del modelo y el rastro de quién validó cada despliegue.
• Auditoría periódica: revisar el comportamiento real de los sistemas, detectar sesgos y corregirlos, dejando constancia de las medidas adoptadas.

Esta capa no es un añadido cosmético: es lo que permite a la empresa demostrar, llegado el caso, que su modelo de prevención era idóneo y se ejecutaba con eficacia. La página de riesgo penal de la IA en la empresa detalla cómo se integra esta governance en el programa de compliance penal de la organización.

Qué Ocurre si Llega la Investigación

Cuando un resultado lesivo ya se ha producido y se abre una investigación, el trabajo de defensa se concentra en reconstruir la cadena de decisión. La pregunta penal nunca es "¿falló el algoritmo?", sino "¿quién debía controlarlo y qué hizo o dejó de hacer?".

La defensa corporativa trabaja entonces sobre varios ejes: acreditar que existía un modelo de prevención idóneo y ejecutado; delimitar el papel de cada interviniente —proveedor del sistema, responsable de su despliegue, supervisor humano—; cuestionar la imputación objetiva del resultado al comportamiento de la empresa cuando medió un uso indebido o imprevisible del sistema; y aportar pericial técnica que explique cómo funcionaba realmente el sistema y qué controles operaban. La jurisprudencia consolidada del Tribunal Supremo en materia de responsabilidad de la persona jurídica exige analizar caso por caso la realidad y eficacia del programa de cumplimiento, no su mera existencia formal.

Defensa Penal Económica y Compliance de IA en Madrid y Toda España

El despacho penalista Alonso Sala, con sede en la calle Velázquez 27 de Madrid y cobertura en toda España, asesora a empresas en la prevención y la defensa del riesgo penal derivado del uso de inteligencia artificial. Trabajamos la integración de la governance algorítmica en el modelo de compliance del artículo 31 bis CP, el análisis de los sistemas de alto riesgo bajo el EU AI Act y la defensa corporativa cuando una decisión automatizada deriva en una investigación penal.