Quién es el responsable cuando una IA ejecuta un ciberataque: de hackers a agentes pasando por las multinacionales

La irrupción de la inteligencia artificial en ciberataques abre un reto legal: definir quién es responsable cuando agentes automatizados cruzan fronteras. El análisis diferencia dos escenarios. Primero, el uso de IA como arma en manos de ciberdelincuentes, como el ataque reciente a las webs de Adif y Renfe, donde se habla de un robo de más de 150 millones de datos, aunque aún no se conoce la banda ni el modelo exacto empleado. Segundo, ataques donde agentes de IA creados por compañías como OpenAI, Anthropic, Meta y Google acceden a sistemas públicos, gubernamentales y privados mediante atajos ilegales, sin que intervenga un humano pidiendo saltarse la ley. En este caso, el artículo plantea un debate “fabricante vs. usuario”, comparándolo con la responsabilidad en vehículos autónomos: en EE.UU., la NHTSA puede investigar y exigir medidas, pero no existe una ley federal específica comparable. También recuerda que tanto EE.UU. como la UE tienen normativa para delitos informáticos, aunque la UE aún no incluye una categoría jurídica independiente para agentes autónomos, si bien podría aplicarse la definición de “sistema de IA”.