IA y Derecho: criterios jurisprudenciales y adaptación normativa en 2025

Por Santiago Carretero, Profesor Titular de Filosofía del Derecho, Universidad Rey Juan Carlos 

De cara al 10 de diciembre de 2025, la interacción entre Derecho e inteligencia artificial se encuentra marcada por un doble movimiento: consolidación normativa europea y aparición de los primeros criterios jurisprudenciales que comienzan a perfilar los límites de uso de los sistemas automatizados, tanto en el sector público como en el privado. Se acaba el año y hay que hacer balance y previsiones en este tema.

1. La aplicación judicial del AI Act en España y la UE

El AI Act, en su fase inicial de operatividad, ya está generando litigios que permiten trazar líneas interpretativas tempranas. Destacan tres ámbitos:

• Control judicial de sistemas de alto riesgo en la Administración. Algunos tribunales superiores autonómicos han admitido recursos en los que se cuestiona la suficiencia de la documentación técnica de algoritmos utilizados en procedimientos selectivos y valoraciones automatizadas. El eje del debate es la trazabilidad exigida por el art. 12 del AI Act y la necesidad de que el órgano decisor pueda justificar, con base verificable, cómo el modelo llegó a un determinado resultado.
• Evaluación de impacto ex ante. Los jueces están reclamando informes completos, no meras fichas técnicas, cuando una parte impugna decisiones basadas en IA. Esto anticipa una línea jurisprudencial que equipara la transparencia algorítmica a la motivación reforzada.
• Proporcionalidad y sistemas prohibidos. En los primeros autos sobre herramientas de monitorización biométrica, se aprecia una tendencia a interpretar de forma estricta los supuestos del art. 5, lo que limita la incorporación de tecnologías intrusivas incluso en contextos de seguridad.

2. Jurisprudencia emergente sobre responsabilidad civil por IA generativa

Los pleitos originados por resultados erróneos o difamatorios de sistemas generativos han comenzado a generar doctrina incipiente:

• Responsabilidad por información incorrecta generada automáticamente. En dos resoluciones de Audiencias Provinciales se aprecia un criterio común: si el proveedor no acredita medidas razonables de supervisión humana y mecanismos de corrección, su responsabilidad se aproxima a una responsabilidad cuasiobjetiva.
• Daños derivados de deepfakes. Los tribunales están aplicando con flexibilidad la doctrina del daño moral, entendiendo que la capacidad multiplicadora y verosímil de la IA genera un perjuicio intensificado que justifica indemnizaciones más altas.

3. Integración normativa: intersección entre protección de datos, propiedad intelectual y ciberseguridad

2025 está siendo el año en que las piezas normativas comienzan a solaparse:

• RGPD y datasets de entrenamiento. La Agencia Española de Protección de Datos está endureciendo criterios sobre legitimidad del tratamiento cuando se entrenan modelos con fuentes abiertas pero no anonimizadas. Se exige análisis específico del equilibrio de intereses, especialmente para IA generativa.
• Propiedad intelectual y extracción de datos. Se consolida la interpretación según la cual la excepción de minería de textos e información no ampara usos que permitan reconstruir obras, lo que incide directamente en la forma en que se diseñan corpus de entrenamiento.
• Reglamento de Ciberresiliencia (CRA). La IA incorporada en productos digitales comerciales exige ciclos de actualización más breves y acreditación de seguridad, lo que obliga a rediseñar las obligaciones de los proveedores.

4. Perspectiva para los próximos meses

La jurisprudencia seguirá desempeñando un papel clave: marcará los límites del control humano efectivo, el alcance real de la explicabilidad y la extensión de la responsabilidad en sistemas autónomos. La convergencia entre AI Act, RGPD y CRA está configurando un ecosistema normativo donde el operador jurídico debe manejar simultáneamente exigencias técnicas, criterios de proporcionalidad y estándares de garantía procedimental.