Ningún gerente de una empresa, PyME o emprendimiento lo decidió en una reunión. Nadie firmó un contrato con un proveedor de inteligencia artificial. No hubo una compra, ni una capacitación, ni una línea en el organigrama. Y sin embargo ya está adentro.
Tres técnicos descubrieron que una IA gratuita les redacta el informe en la mitad del tiempo. Le pegan los datos que mandó el cliente, le piden que "lo deje más prolijo", copian el resultado y lo mandan. Lo hacen desde su cuenta personal, en su horario, sin pedirle permiso a nadie. Funciona. Ahorra horas.
La empresa no se enteró. Eso es lo que en el mundo del compliance se llama shadow AI (IA en las sombras): la inteligencia artificial que trabaja en tu organización sin que vos la hayas visto entrar. Y acá viene la parte que casi nadie ve venir.
El dueño no eligió, pero ya firmó
La reacción intuitiva del titular de la empresa, cuando se entera, es la misma siempre: "yo no la autoricé, yo no respondo". Es exactamente al revés.
El art. 1753 CCyCN dice que el principal responde por los daños que causen quienes están bajo su dependencia. Y responde de manera objetiva: no se discute si dio permiso, si lo sabía, si estaba de acuerdo. El empleado usó la herramienta en el marco de su tarea, y el hecho del dependiente es el hecho de la empresa. Punto.
Este criterio no es teórico. Los tribunales lo aplican de forma efectiva. La Cámara Nacional de Apelaciones del Trabajo, Sala I, en la causa "G., L. c/ Banco de Servicios Financieros S.A. y otros s/ despido" (sentencia del 22/05/2026), sostuvo que el daño causado por dependientes en ejercicio o con ocasión de sus funciones "torna operativa la responsabilidad objetiva de las empleadoras, sin necesidad de acreditar culpa o dolo propio" (art. 1753, en conexión con el art. 1722 del mismo Código).
Que la IA haya entrado por la puerta de atrás no la deja afuera del contrato. La deja adentro, pero sin control. Es lo peor de los dos mundos: la responsabilidad está, la trazabilidad no.
El segundo artículo cierra la trampa. El art. 1710 CCyCN impone a toda persona el deber de prevenir el daño, en cuanto de ella dependa. Traducido: la ley no espera que el titular sea adivino, pero sí que haya hecho lo razonable para evitar el problema.
Por eso "no me enteré" no funciona como escudo. En sede judicial o ante tu cliente, "no me enteré" es precisamente la descripción de la falla. Si tres personas usaban una IA con datos de un cliente durante meses y la empresa no tenía ni una regla, ni un aviso, ni un responsable que mirara, el "no sabía" no absuelve, sino que confirma que no se previno.
Acá, no hay vacío legal. Hay derecho suficiente, y bastante viejo, para que la falta de orden interno tenga consecuencias.
Lo que separa a la empresa prolija de la que quedó expuesta
Ahora, la buena noticia. Ese mismo deber de prevención que hoy juega en contra es el que, bien usado, te pone del lado bueno de la pérdida.
Hay que pensarlo como el mantenimiento preventivo de una máquina. Nadie espera que el equipo nunca falle. Lo que se mira, cuando algo se rompe, es si había un plan de mantenimiento o si se lo dejó girar hasta que reventó. La política interna de uso de IA es exactamente eso para el software: no promete que nada salga mal, demuestra que la empresa hizo lo que debía.
¿Qué se documenta en concreto? Una regla escrita y comunicada de qué se puede y qué no se puede hacer con IA, y con qué datos. Un responsable interno, alguien con nombre y apellido a cargo de que la regla se cumpla y se revise. Un registro mínimo de qué herramientas se usan y para qué, para que la empresa sepa lo que hasta hoy no sabía. Y la constancia de que al equipo se le avisó.
La política interna y la capacitación no son un trámite, son la prueba de que la regla existió antes del problema, no después. Nada de esto es sofisticado ni caro pero si es la diferencia entre llegar a una discusión con papeles y llegar con las manos vacías.
El detalle que no se puede reconstruir
Hasta hoy, en la cadena minera, ninguna operadora sancionó a un proveedor por usar IA. El tema todavía no explotó. Y esa calma es, justamente, la trampa.
Porque el enforcement nunca llega en el momento del uso. Llega después, cuando aparece el error, la filtración, el reclamo del cliente y se evalúa hacia atrás. Se mira si, en el momento en que la IA hizo su trabajo, la empresa tenía o no tenía cómo demostrar que actuó con diligencia.
Y ese es el problema con esperar, que la trazabilidad no se reconstruye. La política que escribís hoy vale. La que escribís el día que estalla el conflicto, con fecha posterior al daño, no le sirve a nadie.
Alguien siempre responde por lo que sale de la empresa. La única pregunta que vale la pena hacerse es si, el día que toque responder, vas a tener con qué mostrar que el orden ya estaba puesto.
Nahuel Sánchez es abogado (M.P. 8584, Colegio de Abogados y Procuradores de Salta), con seis años de experiencia en técnica legislativa Salta y certificación en Compliance de Riesgos Legales de IA por la Universidad de Salamanca. Es Fundador y Director de PRAGMAIA S.A.S., consultora de gobernanza de IA que ayuda a PyMEs y proveedores de la cadena minera a ordenar el uso de inteligencia artificial en su organización.
