Repercusiones para las personas jurídicas de la IA: la exigencia de un relato fáctico propio en las STS 768/2025 y 836/2025

 

Repercusiones para las personas jurídicas de la IA: la exigencia de un relato fáctico propio en las STS 768/2025 y 836/2025

Santiago Carretero Sánchez — Profesor Titular, Universidad Rey Juan Carlos

1 de diciembre de 2025

Las Sentencias del Tribunal Supremo 768/2025 (25‑IX‑2025) y 836/2025 (14‑X‑2025) confirman con claridad un principio esencial: no basta la condena de la persona física para atribuir responsabilidad penal a la persona jurídica. Para condenar a la empresa es preciso acreditar un defecto organizativo grave que explique el delito desde la perspectiva corporativa; es decir, un relato fáctico propio, diferenciado y probatorio.

Puntos fundamentales (síntesis):

• La persona jurídica requiere un hecho corporativo autónomo: la mera posición del autor, el beneficio o la condena del individuo no son suficientes.
• El defecto organizativo debe identificarse y acreditarse: riesgo relevante, medidas existentes y por qué eran ineficaces.
• El estándar probatorio exige que el fallo organizativo sea condición de posibilidad del ilícito desde la perspectiva empresarial.
• Sin este relato propio, el art. 31 bis CP no se activa y procede la absolución de la entidad.

En términos prácticos, el Tribunal Supremo rechaza la imputación por inercia: no admite que la responsabilidad corporativa derive por simple «arrastre» desde el plano individual. Esta exigencia protege garantías procesales y delimita con precisión el alcance de la culpabilidad organizativa.

Desde la perspectiva de la IA y su implantación en la empresa, las consecuencias son relevantes:

• Si una IA produce decisiones, documentos o procedimientos susceptibles de generar ilícitos, la acusación deberá demostrar que el diseño, implementación o supervisión de esa tecnología presentaba un defecto organizativo grave.
• La documentación técnica (logs, políticas de control, protocolos de validación, auditorías de IA) adquiere valor probatorio decisivo para acreditar la existencia o ausencia del fallo organizativo.
• Un programa de compliance eficaz frente a riesgos derivados de IA —incluidos registros de supervisión, pruebas de validación y responsables formales— puede ser elemento exonerador cuando esté debidamente implementado.

En la fase probatoria conviene, por tanto, distinguir con nitidez tres planos:

1. Hecho delictivo individual (autor material, motivación, conducta).
2. Función y relaciones internas (cómo la conducta encaja en la estructura organizativa).
3. Defecto organizativo (análisis técnico‑normativo que demuestre la inadecuación del sistema de control).

Para el estudiante de Derecho penal y compliance, la lección es doble: por un lado, comprender la técnica probatoria exigida por los tribunales; por otro, reconocer la importancia de diseñar en la práctica empresarial sistemas de gobernanza de IA que documenten decisiones, mitiguen riesgos y evidencien diligencia.

Conclusión: las STS 768/2025 y 836/2025 consolidan un estándar exigente y garantista. Frente a los retos que plantea la inteligencia artificial, la responsabilidad penal de la persona jurídica pivota sobre la existencia de un relato fáctico propio y sobre la prueba rigurosa de un defecto organizativo grave.

Conexión con la responsabilidad penal de las personas jurídicas en entornos de IA

La doctrina reforzada por el Tribunal Supremo adquiere especial relevancia en empresas que utilizan sistemas de inteligencia artificial para procesos decisionales, automatización documental o gestión de riesgos. Si un ilícito se genera a partir de una actuación de la IA —sea por error, sesgo, falta de supervisión o implementación defectuosa—, la imputación penal de la entidad no puede basarse únicamente en la existencia de un resultado dañoso ni en la participación indirecta del personal que operaba el sistema. Será imprescindible demostrar un defecto organizativo grave vinculado al ciclo de vida tecnológico, conforme a los arts. 31 bis CP y, en su caso, a la normativa sectorial sobre seguridad e integridad de sistemas automatizados.

Este estándar se relaciona directamente con el marco europeo introducido por el Reglamento (UE) 2024/1689 de Inteligencia Artificial (AI Act), que exige a los operadores obligaciones de evaluación de riesgos, gobernanza del sistema, trazabilidad, auditoría, registro de logs, documentación técnica y supervisión humana (arts. 9 a 15). El incumplimiento de estas obligaciones puede constituir la base fáctica del “defecto organizativo” exigido por el Tribunal Supremo, pues permite identificar de manera objetiva dónde la estructura empresarial falló para prevenir el resultado. En otras palabras, la constatación de infracciones del AI Act puede convertirse en evidencia probatoria directa del defecto estructural que activa el art. 31 bis CP.

Finalmente, esta conexión implica que el análisis judicial de la responsabilidad corporativa en casos con IA será cada vez más técnico. Los tribunales tendrán que valorar no solo la conducta de las personas físicas, sino también la arquitectura de gobernanza algorítmica: validaciones del modelo, controles internos, supervisión humana eficaz, gestión de datos, auditorías y mecanismos de corrección. Para los estudiantes y profesionales del compliance, esto supone que los programas de prevención deben incorporar módulos específicos de IA y documentación exhaustiva, pues la ausencia de estos elementos se configurará como prueba de un defecto organizativo grave, mientras que su adecuada implementación podrá operar como causa exoneradora.