Susana Navas Navarro és catedràtica de Dret Civil de la Universitat Autònoma de Barcelona i experta en dret digital i intel·ligència artificial. Ha respost aquestes vuit preguntes per escrit.
1. Quan un sistema d’intel·ligència artificial causa un dany (un diagnòstic erroni, un vehicle que xoca, una decisió automatitzada que perjudica algú), qui n’ha de respondre avui segons el nostre dret: qui el fabrica, qui el comercialitza o qui el fa servir?
Primer de tot, voldria deixar clar que el sistema d’IA no té personalitat jurídica, almenys ara per ara, i, per tant, ell mateix no serà responsable del dany ocasionat. Això implica que serà l’humà el responsable del dany ocasionat. I aquí hem de fer una distinció: si el dany és ocasionat per un defecte del sistema que fa que no ofereixi la seguretat que una persona té dret a esperar i que s’exigeix en virtut del dret de la UE o del dret nacional (art. 7 de la Directiva (UE) 2024/2853, de 23 d’octubre, sobre responsabilitat pels danys ocasionats per productes defectuosos), i els danys formen part dels grups de danys que estableix la normativa, respondran els operadors econòmics que intervenen en la cadena de comercialització del sistema: fabricants del sistema d’IA, fabricants de components, importadors, representants autoritzats i distribuïdors del producte (art. 8 de la Directiva citada). Si el dany és ocasionat per l’usuari, aplicarem les regles generals de la responsabilitat civil que es troben al Codi civil.
2. Per què el règim de responsabilitat civil que ja tenim es queda curt davant la IA? On són els buits principals: l’opacitat dels sistemes, la seva autonomia, la cadena llarga d’actors que hi intervenen?
Aquí hem de tornar a fer la distinció entre els danys que entren en l’àmbit d’aplicació de la Directiva abans esmentada i els danys que es compensen d’acord amb les normes del Codi civil o de lleis especials. En el primer cas, es tracta d’una responsabilitat objectiva o pel risc creat, si bé atenuada. L’aspecte interessant és que la víctima no necessita provar la culpa de l’agent causant del dany, i les presumpcions de defecte i de nexe causal que preveu, que faciliten la càrrega de la prova. Ara bé, els danys compensats d’acord amb aquesta norma són uns danys concrets. Pel que fa als altres danys, que es compensen d’acord amb el Codi civil, la responsabilitat es basa en la culpa o negligència del causant del dany, que ha de provar, en línia de principi, la víctima, com també el nexe causal i, evidentment, el dany. Problemes en aquest cas: com determinar què ha passat exactament, tenir accés a la informació rellevant, l’opacitat dels sistemes, els biaixos que poden tenir quan prenen decisions, recomanen accions o determinen perfils, i la dificultat de provar que el proveïdor o el responsable del desplegament no han complert les seves obligacions d’acord amb el Reglament d’IA.
També es poden aplicar lleis especials en relació amb determinats danys que deriven de discriminacions o de l’afectació a l’honor o la reputació d’una persona.
3. La nova Directiva europea de productes defectuosos considera producte el programari, i també els sistemes d’IA. Què canvia això, a la pràctica, per a una persona que ha patit un dany?
Com deia, la víctima no haurà de provar la culpa del fabricant del sistema d’IA o d’altres operadors econòmics en determinats casos i, a més, podrà sol·licitar que se li faciliti informació rellevant del sistema d’IA, de com ha funcionat, a l’efecte de presentar una demanda o quan ja l’ha presentada. Per poder demanar aquesta informació (exhibició de proves), la víctima demandant ha de presentar fets i proves suficients que puguin recolzar la versemblança de la seva demanda (art. 9). I també, com deia abans, es pot beneficiar de les presumpcions que estableix la Directiva en relació amb la prova del nexe causal o del defecte, en el sentit que serà el demandat qui haurà de provar que no hi ha nexe causal o que no hi ha defecte en el sistema d’IA (art. 10). Per tant, li facilita la càrrega de la prova, en desplaçar-la al demandat, que seria l’operador econòmic corresponent.
4. La Directiva vol facilitar la prova a la persona perjudicada. Com pot funcionar això quan el sistema és una «caixa negra» que ni el mateix fabricant sap explicar del tot?
Aquí el tema clau és l’exhibició de les proves, és a dir, demanar l’exhibició de la informació rellevant que té a veure amb el funcionament del sistema d’IA, la qual cosa s’enllaça amb el compliment de determinats requisits i obligacions que exigeix el Reglament d’IA, com ara la transparència, l’explicabilitat i la robustesa del sistema. És més, si el fabricant no aporta les proves (la informació) pertinents, es presumirà que el sistema d’IA era defectuós. Aquesta presumpció també facilita la prova a la víctima.
5. La Comissió Europea va retirar la proposta de directiva específica sobre responsabilitat per IA. Què es perd amb aquesta retirada, i què queda cobert igualment?
Després de modificar, el 2024, la proposta de directiva sobre responsabilitat civil per danys ocasionats per sistemes d’IA, la Comissió va decidir que no era una prioritat i no va seguir endavant. Un dels problemes és la dificultat dels estats membres respecte de l’harmonització de la responsabilitat civil a la UE. Els estats membres responen a tradicions jurídiques diferents, que volen mantenir també en matèria de responsabilitat civil. Això implica que els danys no coberts per la Directiva de responsabilitat per defectes en els productes s’hauran de reclamar d’acord amb el dret nacional de cada estat membre, i els resultats no sempre seran els mateixos. Per exemple, els danys morals no sempre s’indemnitzen, ni en la mateixa quantia, a Espanya que a Alemanya o a França.
La proposta establia una presumpció de nexe causal en relació amb l’incompliment d’obligacions del proveïdor establertes en el Reglament d’IA. Si s’aplica el dret nacional, aquesta presumpció no s’aplicarà. En qualsevol cas, hi ha mecanismes processals que poden alleugerir la càrrega de la prova a la víctima.
6. Els estats han d’incorporar la Directiva al seu ordenament aquest any. Què hauria de tenir en compte el legislador espanyol, i quin paper hi pot tenir el dret civil català?
El legislador espanyol, entre altres aspectes, haurà de tenir present que hi ha determinats danys morals derivats del caràcter defectuós d’un producte que es compensaran per la normativa interna de cada país. També, que és una directiva de màxims: per tant, no pot establir disposicions més o menys estrictes que determinin un nivell diferent de protecció dels consumidors, tret d’aquells extrems que permeti la mateixa Directiva, com és el cas de l’excepció dels riscos del desenvolupament (art. 18). Els estats membres podran mantenir en els seus sistemes jurídics les mesures vigents per les quals els operadors econòmics són responsables encara que demostrin que l’estat objectiu dels coneixements científics i tècnics en el moment en què es va posar en circulació el producte no permetia detectar-ne el caràcter defectuós.
Pel que fa al legislador català, pot introduir alguna referència a aquesta legislació en el Codi de consum, per exemple. I, si considerem que el repartiment de competències en matèria civil que estableix la Constitució (art. 149.1.8a) no afecta la responsabilitat civil, podria arribar a regular-la en el Codi civil de Catalunya.
7. Hi ha danys que no són físics: la pèrdua o la corrupció de dades, la discriminació, el dany a la reputació. Queden protegits o són el gran forat del sistema?
Una millora de la nova Directiva és que ha ampliat l’àmbit dels danys indemnitzables. Així, segons l’article 6.1, a banda de la mort i les lesions personals, s’hi inclouen per primer cop els danys a la salut psicològica reconeguts mèdicament, la destrucció i la corrupció de dades, sempre que no s’emprin per a finalitats professionals, i, a més, els danys morals derivats del caràcter defectuós del sistema d’IA. En aquest darrer cas, s’aplicarà la normativa nacional, que serà el Codi civil, la normativa contra la discriminació o la Llei orgànica del dret a l’honor, a la intimitat personal i familiar i a la pròpia imatge. Per tant, no hi ha una llacuna normativa, sinó que s’apliquen altres normes nacionals.
8. Què aconsellaria a una persona, a una pime o a un centre sanitari que ja fan servir eines d’IA: què han de comprovar, què han de documentar i com es poden protegir?
A una persona física que fa servir IA, com ara assistents virtuals o xatbots, li aconsellaria, primer de tot, no publicar dades personals ni seves ni de tercers, i comprovar els resultats que genera el sistema, que poden ser inventats o bé infringir la normativa, per exemple els drets d’autor. A més, li explicaria que delegar algunes activitats mentals en la IA pot portar a un deteriorament cognitiu que s’està començant a detectar. Per tant, li aconsellaria que es formés i que apliqués un sentit d’autoresponsabilitat en l’ús de les eines d’IA.
Pel que fa a una pime o a un centre sanitari, caldria veure si es tracta d’un sistema d’alt risc o no, perquè hauran de complir unes obligacions determinades en el Reglament d’IA, entre les quals destaca tenir un sistema de gestió de la qualitat, que suposa el compliment de les normes legals i la gestió dels riscos. Aquest sistema de gestió de la qualitat implica que es documenti absolutament tot, perquè es pugui traçar el funcionament del sistema d’IA. També és important tenir molt present la normativa de dades personals i, sobretot, l’alfabetització en IA i la contractació d’un responsable de compliment normatiu (legal compliance officer): un jurista que no només conegui el dret, sinó també la part més tecnològica.