La inteligencia artificial generativa se desplegó a escala comercial antes de que sus fundamentos técnicos, jurídicos y de gobernanza estuvieran consolidados. Según estimaciones citadas por MIT Sloan Management Review, alrededor de 2.400 millones de personas utilizan plataformas de IA generativa cada mes, una adopción que superó con creces la velocidad a la que maduran los marcos de responsabilidad que deberían acompañarla.
Construir sobre una base inacabada no es metáfora: es la descripción técnica de lo que ocurre cuando organizaciones —y reguladores— adoptan sistemas cuyas propiedades de comportamiento, trazabilidad de decisiones y límites de responsabilidad civil aún no están definidos con precisión suficiente. Los agentes de codificación ya cambiaron el modo en que se escribe software; las plataformas de IA generativa se comercializaron a velocidad industrial. Pero la arquitectura jurídica que debería contener ese despliegue todavía está en construcción —en algunos casos, ni siquiera ha comenzado.
Qué significa “base inacabada” para los sistemas de IA en producción
Una base inacabada implica, en términos operativos, al menos tres brechas simultáneas. Primera, la brecha técnica: los modelos de lenguaje de gran escala exhiben comportamientos emergentes que sus propios desarrolladores no anticiparon, y la explicabilidad de sus decisiones sigue siendo insuficiente para entornos regulados como banca, salud o justicia. Segunda, la brecha de gobernanza: la mayoría de las organizaciones que despliegan IA generativa no tienen políticas internas consolidadas sobre uso aceptable, propiedad de los outputs ni gestión del riesgo reputacional derivado de alucinaciones o sesgos. Tercera, la brecha regulatoria: los marcos legales aplicables —cuando existen— fueron diseñados para tecnologías anteriores y se aplican por analogía, con interpretaciones que varían según la jurisdicción.
Esta combinación crea un escenario en el que la velocidad de adopción supera con creces la capacidad de las organizaciones —y de los estados— para gestionar las consecuencias. El problema no es abstracto: es el mismo patrón que produjo los escándalos de privacidad de la primera generación de redes sociales, con la diferencia de que la IA generativa opera a mayor escala y con menor visibilidad sobre sus mecanismos internos.
El AI Act europeo y la ausencia de equivalentes en América Latina
En la Unión Europea, el Reglamento de Inteligencia Artificial (AI Act, Reglamento UE 2024/1689) entró en vigor en agosto de 2024 y establece una clasificación de sistemas por niveles de riesgo, con prohibiciones para usos considerados inaceptables y requisitos de transparencia, evaluación de conformidad y supervisión humana para los de alto riesgo. Es, hasta ahora, el único instrumento jurídico vinculante de alcance amplio específicamente diseñado para IA. Para los modelos de uso general —los mismos que alimentan las plataformas de IA generativa masiva— el AI Act impone obligaciones de documentación técnica y cumplimiento de derechos de autor que todavía están en fase de implementación práctica.
América Latina no tiene un equivalente. Brasil avanza en la tramitación de un proyecto de ley de IA que recupera principios del AI Act, aunque sin fecha de sanción definitiva a la fecha de publicación de esta nota. Colombia publicó en 2023 una política nacional de inteligencia artificial que orienta pero no vincula. México, Argentina, Chile y Perú tienen iniciativas en distintos estados de madurez legislativa, ninguna convertida aún en ley. Esta fragmentación no es solo un problema de política pública: es una ventaja competitiva para los proveedores de IA que operan en la región con menores exigencias de transparencia y responsabilidad que las que enfrentarían en Europa.
Responsabilidad civil sobre sistemas cuyo comportamiento no es predecible
Uno de los problemas jurídicos más complejos que surge de desplegar IA sobre una base inacabada es la atribución de responsabilidad cuando el sistema produce un daño. Los regímenes de responsabilidad civil tradicionales —tanto en el modelo continental latinoamericano como en el anglosajón— fueron construidos sobre la premisa de que existe un agente identificable cuya conducta puede evaluarse. Con sistemas de IA generativa, esa cadena causal se fragmenta entre el desarrollador del modelo base, el proveedor de la plataforma, el integrador empresarial y el usuario final. La Directiva europea de Responsabilidad por IA (2022/0303), aún en proceso de adopción definitiva, intenta resolver parte de esta brecha con presunciones de causalidad, pero ningún país de América Latina tiene un instrumento equivalente en tramitación avanzada.
Para las organizaciones que ya tienen IA generativa en producción, esto significa que operan en un vacío de responsabilidad que tarde o temprano se cerrará por vía judicial o regulatoria, probablemente bajo condiciones menos favorables que las que hubieran podido negociar con un marco preventivo. Las empresas que hoy documentan sus sistemas, definen políticas de uso aceptable y establecen mecanismos de supervisión humana estarán en mejor posición cuando ese momento llegue.
Cuándo aplica la cautela regulatoria y cuándo no alcanza
La cautela regulatoria tiene sentido en entornos de alto riesgo: decisiones automatizadas en crédito, salud, empleo o justicia penal, donde un error del sistema puede causar daño irreversible a personas físicas. En esos contextos, esperar a que la base esté terminada antes de desplegar sin controles es la única postura jurídicamente defensible. Donde la cautela no alcanza es en la ilusión de que los entornos de bajo riesgo están exentos: incluso un chatbot de atención al cliente puede generar responsabilidad contractual, infringir derechos de propiedad intelectual en sus respuestas o procesar datos personales sin base legal suficiente bajo regímenes como la LGPD brasileña o la Ley 25.326 argentina. La categoría de “bajo riesgo” no equivale a “sin riesgo jurídico”.
La adopción masiva de IA generativa no esperó a que los fundamentos estuvieran listos, y eso ya es un hecho consumado. Lo que todavía puede decidirse es cuánto de ese riesgo residual asumen conscientemente las organizaciones y cuánto acumulan sin saberlo. Para las que operan en América Latina, ese inventario empieza por mapear qué sistemas están en producción, bajo qué contratos de servicio, con qué obligaciones de transparencia hacia usuarios y reguladores —y con qué respuesta preparada para cuando llegue la primera demanda o la primera inspección.
El texto completo del AI Act europeo (Reglamento UE 2024/1689) está disponible en el Diario Oficial de la Unión Europea; el proyecto de ley de IA de Brasil puede seguirse en el portal del Senado Federal en senado.leg.br.
