1 Planteo del tema
La inteligencia
artificial, en adelante también IA, en la gestión empresarial
plantea una interrogante que, hasta hace poco, nos hacía pensar en
ciencia ficción antes que en derecho societario: ¿puede una
sociedad comercial tomar decisiones mediante algoritmos? Actualmente
la IA ya no es una mera herramienta auxiliar circunstancial u
ocasional, pues muchas veces resulta integrada al proceso decisorio.
El directorio de una sociedad comercial puede utilizar sistemas de IA
para muchas y variadas operaciones: evaluar inversiones, seleccionar
proveedores, analizar riesgos crediticios, proyectar escenarios
financieros, detectar oportunidades de negocio, formular estrategias
o incluso preparar propuestas destinadas a la consideración de la
asamblea. No es relevante para qué se utiliza la IA en un plano
instrumental, propositivo, lo que importa en una perspectiva juridica
es quién toma la decisión, quién define.
La utilización de
IA no desplaza las competencias orgánicas ni transforma al algoritmo
en sujeto de derecho. La sociedad comercial continúa actuando
mediante sus órganos y las personas que los integran siguen siendo
responsables por las decisiones que adoptan. La IA puede modificar
profundamente la forma de administrar la sociedad, pero no modifica,
por su sola utilización, la estructura jurídica de imputación de
sus actos. La ley n.° 16.060, en adelante también LSC, contiene un
régimen suficientemente flexible como para comprender nuevas
modalidades tecnológicas de administración, pero suficientemente
exigente como para impedir que la tecnología se convierta en una
excusa para diluir la responsabilidad. Su artículo 79 atribuye a los
administradores la gestión de los negocios sociales y la
representación de la sociedad y el artículo 83 les impone actuar
con lealtad y con la diligencia de un buen hombre de negocios. En
cuanto a las sociedades anónimas, el artículo 375 LSC establece que
la administración estará a cargo de un administrador o de un
directorio, mientras que el artículo 391 LSC regula específicamente
la responsabilidad de los administradores y directores por los daños
derivados de la violación de la ley, el estatuto o el reglamento,
del mal desempeño del cargo y de determinados supuestos de abuso,
dolo o culpa grave.
2 De sociedad
digital a sociedad algorítmica
En el proceso de
transformación digital de las sociedades comerciales se pueden
identificar distintas etapas:
a digitalización
de documentos;
b digitalización
de las comunicaciones
c virtualidad en
reuniones y deliberaciones;
d automatización
informática de procesos internos de gestión.
En este esquema
progresivo, la IA es un verdadero salto cualitativo, porque no se
limita a transmitir o almacenar información, sino que puede analizar
grandes volúmenes de datos, identificar patrones, formular
predicciones, establecer clasificaciones y generar recomendaciones.
Una
sociedad comercial comienza a adquirir rasgos que podrían
denominarse “algorítmicos” cuando una parte relevante de sus
decisiones económicas se encuentra estructuralmente condicionada por
sistemas de IA. Esta circunstancia se aprecia crecientemente en los
ámbitos de actividades tales como de evaluación de inversiones,
selección de proveedores, determinación de límites de crédito,
detección de fraude, selección de personal, fijación de precios,
evaluación de riesgos financieros o elaboración de escenarios
estratégicos. La voluntad
humana en la actuación en la sociedad comercial, en estos contextos
aparece instrumentada tecnológicamente por mecanismos avanzados al
definir las soluciones.
La diferencia es
de notar. No es lo mismo que el directorio reciba de un sistema de IA
un informe que aconseja invertir en determinada empresa, frente a que
el sistema ejecute automáticamente la inversión sin intervención
humana. En el primer caso, existe una herramienta sofisticada de
asesoramiento. En el segundo, puede apreciarse - eventualmente - un
tipo de delegación, control y trazabilidad que puede afectar
directamente al cumplimiento de los deberes de administración.
La evolución
internacional de la gobernanza de la IA confirma esta orientación.
Los Principios de Inteligencia Artificial de la OCDE exigen
transparencia, explicabilidad, robustez, seguridad y responsabilidad,
incluyendo mecanismos de trazabilidad sobre datos, procesos y
decisiones a lo largo del ciclo de vida del sistema (OECD,
2019/2024).
3 El directorio y
el uso de una IA para decidir
El
directorio de una sociedad comercial puede valerse de una aplicación
de la IA para la toma de decisiones, como instrumento
para el ejercicio de sus competencias. De ninguna manera podrá
trasladar a la IA la responsabilidad jurídica inherente a las
decisiones tomadas.
No hay norma legal
que imponga una gestión necesariamente intelectual humana o
tradicional a los directores, que pueden recurrir – siempre han
podido y hace muchos años que lo hacen – a soluciones informáticas
como herramientas para hacer mejor sus tareas. Basta pensar en lo que
significa el software de contabilidad en una empresa. El punto que se
añade a la discusión con la IA es cuando su utilización afecta la
calidad del juicio que razonablemente debe esperarse del
administrador.
El estándar del
“buen hombre de negocios” previsto por el artículo 83 de la ley
n.° 16.060 no puede interpretarse como una exigencia de conocimiento
tecnológico absoluto. Tampoco es compatible con él una conducta
consistente en aceptar automáticamente cualquier recomendación
algorítmica sin comprender sus límites, sin verificar la calidad de
los datos utilizados o sin considerar la razonabilidad de sus
resultados.
Así
como el deber de
diligencia no exige que el director sea ingeniero de IA, es dable
esperar que sea suficientemente diligente como para comprender cuándo
está utilizando una herramienta cuyos resultados pueden comprometer
o perjudicar a la sociedad comercial por cuyas acciones y toma de
decisiones es responsable desde el punto de vista jurídico.
Si un directorio utiliza IA para comparar tres proyectos de inversión
y el sistema recomienda uno de ellos sobre la base de determinados
indicadores, no parece razonable exigir que cada director pueda
reconstruir matemáticamente el algoritmo. Lo que incluye la base de
exigencia para su gestión es que conozca qué información cargó el
sistema de IA que se trate, cuáles son sus principales criterios,
qué márgenes de incertidumbre existen, cuáles son sus limitaciones
y qué controles fueron efectuados antes de adoptar la decisión.
Hay
un contenido del deber de diligencia que está reconfigurado cuando
se utilizan mecanismos de la IA, que eventualmente puede elevar
el nivel de diligencia tecnológicamente exigible.
4 ¿Se puede
hablar de delegación algorítmica?
El artículo 81
LSC establece, como regla general, que los administradores y
representantes no podrán delegar sus funciones sin consentimiento de
los socios, salvo pacto en contrario. ¿Qué sucede cuando la
delegación no se realiza en otra persona sino en un sistema
tecnológico?
Usar IA para
elaborar una recomendación no equivale necesariamente a delegar la
función de administración, hasta que el sistema pasa de recomendar
a ejecutar o hasta que los administradores dejan de ejercer un
verdadero control sobre el proceso decisorio.
Pongamos el caso
de un sistema que recibe diariamente información financiera
actualizada, clasifica automáticamente inversiones, selecciona las
que considera más convenientes y ejecuta operaciones hasta
determinados límites previamente establecidos. ¿Se trata de un uso
como herramienta, ante cuyo resultado decide la persona responsable o
ha operado una modalidad de delegación de funciones de la
administración?
Depende
del caso concreto, de la autonomía
de esa IA y del control humano existente.
El
derecho europeo – no así todavía el uruguayo - para sistemas de
alto riesgo exige mecanismos de supervisión humana adecuados al
riesgo, al nivel de autonomía y al contexto de utilización
(Reglamento (UE) 2024/1689, art. 14). Es decir que, a
mayor autonomía algorítmica, es esperable un deber de supervisión
humano más intenso.
5 IA asesora del
directorio
Enfocar el rol de
la IA como asesor técnico del directorio puede ser adecuado. Un
directorio podría solicitar a un sistema de IA el análisis de
estados financieros de una empresa, que compare sus indicadores con
los de competidores, identifique riesgos, proyecte diferentes
escenarios y formule una recomendación. O también podría utilizar
IA para analizar contratos de proveedores, detectar cláusulas
problemáticas, evaluar antecedentes comerciales o elaborar
propuestas de estrategia.
La decisión
continúa siendo humana, el directorio recibe información, la
analiza y resuelve.
Restan
definir las consecuencias de que la información sea manifiestamente
defectuosa, tenga datos incompletos o los resultados aparezcan como
poco confiables, cuando su utilización como herramienta fue
acrítica. Se aplican las reglas generales de valoración de
responsabilidad para la toma de decisión y corresponde plantearse si
el proceso mediante
el cual el directorio llegó a esa decisión, considerando la
información disponible, la naturaleza del riesgo y la tecnología
utilizada fue razonable. Es decir, hay que distinguir entre
error empresarial y defecto en el proceso decisorio.
6 Operaciones que
se pueden realizar en la empresa por medio de aplicaciones de la IA
6 . 1 IA y
selección de proveedores
Una sociedad
comercial puede utilizar un algoritmo para clasificar proveedores
según precio, calidad, historial de cumplimiento, capacidad
financiera, tiempos de entrega u otros factores. Esta selección de
base algorítmica puede generar problemas específicos, pues el
modelo puede incorporar sesgos existentes en los datos históricos,
favorecer o excluir operadores por variables no voluntarias o,
incluso, generar resultados desviados de principios generales por un
manejo de datos de la IA donde prevalecieron factores que
distorsionan el resultado.
Ello, que
eventualmente acarrea responsabilidades a la sociedad comercial, hace
necesaria la consideración de los criterios adoptados por la IA que
se trate, saber la razón de inclusiones y de exclusiones, por
ejemplo.
En Uruguay, esta
cuestión puede además afectar la regular aplicación del régimen
de protección de datos personales. La ley n.° 18.331 reconoce el
derecho de las personas a no verse sometidas a determinadas
decisiones con efectos jurídicos, cuando son basadas exclusivamente
en tratamientos destinados a valorar determinados aspectos
personales, a la vez que reconoce derechos de impugnación e
información sobre los criterios de valoración y el programa
utilizado (ley n.° 18.331, art. 16).
El Decreto N.º
64/020, por su parte, exige evaluación de impacto en protección de
datos, entre otros supuestos, cuando el tratamiento implica evaluar
aspectos personales para crear o utilizar perfiles, incluyendo
cuestiones vinculadas con rendimiento, situación económica,
solvencia financiera, preferencias o comportamiento. De modo que una
sociedad comercial que utilice IA para clasificar personas físicas
- por ejemplo, clientes, trabajadores, representantes o empresarios
individuales - no puede analizar el problema exclusivamente desde el
derecho societario.
6 . 2 IA para
aprobar créditos
Pongamos el caso
de una sociedad financiera que utiliza un modelo de IA, asigna
automáticamente un nivel de riesgo a cada solicitante y, a partir de
ese resultado, recomienda aprobar o rechazar el crédito. Si el
directorio decide utilizar ese sistema como herramienta general de
gestión, no es que tenga que revisar personalmente cada solicitud,
bastará con establecer procedimientos adecuados de selección,
validación, supervisión y actualización del sistema.
El directorio
podría incurrir en una conducta jurídicamente reprochable si conoce
que el modelo presenta errores sistemáticos y, aun así, permite que
sus resultados sean utilizados sin controles. Igualmente podría, si
no establece mecanismos de revisión para decisiones particularmente
sensibles o dependiendo d manera absoluta de la recomendación de la
IA sin prever mecanismos de intervención.
La
responsabilidad del directorio, antes
que en la decisión concreta,
está en la forma en que el órgano definión el uso de la IA.
6 . 3
Determinación algorítmica del riesgo
La evaluación de
riesgos por aplicaciones de la IA es un avance muy grande. Permite
detectar correlaciones que escaparían a un análisis humano
convencional, procesar grandes volúmenes de información y construir
escenarios complejos.
Lo
que hay que tener claro es que no es lo mismo capacidad
predictiva y verdad jurídica.
Una predicción
algorítmica no es el futuro, sino una inferencia basada en datos,
modelos y parámetros determinados. El directorio no puede perder su
capacidad crítica frente a ella.
La Estrategia
Nacional de Inteligencia Artificial de Uruguay 2024-2030 adopta
precisamente una perspectiva basada en gobernanza, seguridad,
transparencia, protección de derechos y evaluación de impactos,
aplicable al sector público y privado. El documento destaca que los
marcos regulatorios deben considerar los distintos roles dentro del
ciclo de vida de los sistemas de IA y adoptar, cuando corresponda,
enfoques basados en riesgo.
6 . 4 IA que
elabora la estrategia de la sociedad comercial
Una IA puede
analizar mercados, competidores, tendencias de consumo, información
financiera, escenarios macroeconómicos y patentes, y elaborar
diferentes estrategias empresariales. Puede incluso sugerir cuál
sería la más conveniente según determinados objetivos. Con todo
esto puede proponer una estrategia para la sociedad comercial o más
de una alternativa estratégica.
No se trata de una
operación matemática, una estrategia implica definir objetivos,
asumir riesgos, ponderar intereses y decidir qué empresa se
pretende. Naturalmente, es una decisión propiamente humana, que en
una sociedad comercial corresponde al órgano de gobierno.
La IA puede
proyectar posibilidades de que algo suceda, pero no puede responder
qué es lo que corresponde que unas personas quieran.
6 . 5 IA formula
propuestas para la asamblea
La IA, a partir de
una serie de datos puede elaborar una o más propuetas para que la
asamblea de accionistas tome una decisión.
Una aplicación de
IA puede instrumentar un proyecto de aumento de capital, de
reorganización, un plan de inversión, pero la decisión
corresponderá al órgano societario al que la ley o el estatuto
atribuyan competencia.
La IA no puede
convocar válidamente una asamblea, instrumenta el proceso.
7 Responsabilidad
en caso de decisión asistida por IA que genera un daño
No se trata de
analizar la “responsabilidad de la IA”, porque esta no es sujeto
de derecho al que atribuir responsabilidad societaria por el mero
hecho de producir una recomendación o una salida algorítmica. La
responsabilidad corresponde a los distintos sujetos humanos y
jurídicos que intervienen en el proceso de las decisiones que
provocan el eventual daño.
En primer lugar,
puede responder el administrador o director cuando exista una
conducta personalmente imputable que haya infringido sus deberes
legales o estatutarios y producido el daño. El artículo 83 de la
ley n.° 16.060 establece el deber de lealtad y diligencia del buen
hombre de negocios y atribuye responsabilidad por los daños
derivados de su acción u omisión. Para las sociedades anónimas, el
artículo 391 LSC establece además la responsabilidad de
administradores y directores en los supuestos allí previstos.
En segundo lugar,
puede existir responsabilidad de la propia sociedad comercial frente
a terceros, según la naturaleza del acto y del daño producido.
En tercer lugar,
puede existir responsabilidad del proveedor tecnológico. Si el
sistema utilizado presenta defectos, incumplimientos, fallas de
seguridad, errores atribuibles a su prestación o infracciones de
obligaciones asumidas, la responsabilidad deberá analizarse conforme
al vínculo contractual.
En cuarto lugar,
puede existir responsabilidad de otros actores que hayan intervenido
en el diseño de la IA como producto tecnológico, su entrenamiento,
implementación, integración o supervisión del sistema.
Tengamos
presente que la
responsabilidad algorítmica no es una nueva categoría de
responsabilidad, sino un nuevo contexto tecnológico para categorías
jurídicas ya existentes.
La UNESCO ha
formulado expresamente este principio: la responsabilidad jurídica
debe poder atribuirse a personas físicas o entidades jurídicas
existentes y la IA no debe recibir personalidad jurídica para evitar
la responsabilidad de quienes intervienen en su desarrollo o
utilización (UNESCO, 2021).
Es complicado
cuando el sistema no permite comprender adecuadamente por qué
produjo determinado resultado, cuando la opacidad algorítmica se
opone al deber de adoptar decisiones societarias informadas. Se suele
hacer referencia a la “caja negra”.
No implica esto
que cada director deba conocer el código fuente de un modelo, pero
sí que puede razonablemente exigir una documentación suficiente del
proceso que generó la IA que se utiliza o que aspiran aplicar a la
sociedad comercial. Es lógico que sepa qué sistema se utilizó,
para qué finalidad, con qué datos, qué resultado produjo, qué
advertencias presentó, qué controles se realizaron y quién adoptó
finalmente la decisión. Se trata de la trazabilidad de la toma de
decisiones.
Ante una
controversia futura, la sociedad debería poder reconstruir el
proceso decisorio. Si el único registro disponible consiste en “la
IA recomendó hacerlo”, la defensa del administrador puede resultar
– por lo menos - más difícil.
La OCDE vincula
expresamente la responsabilidad algorítmica con la trazabilidad de
datos, procesos y decisiones, así como con mecanismos que permitan
comprender y eventualmente cuestionar los resultados producidos por
sistemas de IA (OECD, 2019/2024).
También se
plantea el tema de la responsabilidad por no usar IA, tanto como por
usarla.
Si la inteligencia
artificial se convierte en una herramienta habitual para detectar
determinados riesgos, ¿podría llegar a considerarse negligente un
administrador que decidiera no utilizarla? Depende, pero podría ser.
El deber de
diligencia no consiste en utilizar siempre la tecnología más
avanzada disponible, sino en adoptar una conducta razonablemente
adecuada a las circunstancias. El estándar de diligencia es
dinámico, por lo que si una determinada tecnología se convierte en
una herramienta ordinaria, accesible y razonablemente necesaria para
identificar riesgos relevantes de una actividad, su desconocimiento
absoluto podría eventualmente ser valorado como una deficiencia en
la gestión.
Hoy no se puede
afirmar que todo director debe utilizar IA, pero tampoco que en todo
caso la IA sea jurídicamente irrelevante para el estándar de
diligencia del administrador.
8 El acta del
directorio y la IA
No
necesariamente siempre debe quedar constancia
en el acta de que una decisión fue asistida por IA. Cada uso
instrumental de IA no puede tener que formalizarse a nivel de la
documentación societaria. Depende de la relevancia en cada caso.
Tratándose de decisiones
relevantes, cuando la IA tuvo incidencia sustancial en la decisión,
es aconsejable que así sea. Puede resultar esencial para demostrar
que los directores ejercieron efectivamente sus competencias.
La oposición de
un director es muy importante también. El artículo 391 de la ley
n.° 16.060 contempla la posibilidad de exoneración de
responsabilidad para quien no haya votado una resolución y haya
dejado constancia de su oposición en los términos legalmente
previstos.
9 SAS y la
administración algorítmica
La ley n.° 19.820
establece que la SAS no está obligada a contar con administrador,
directorio u órgano de administración colegiado y permite que,
salvo disposición estatutaria diferente, las funciones de
administración y representación correspondan al representante
legal.
Su artículo 31
establece, además, un régimen específico de responsabilidad de
administradores y representantes legales por violaciones cometidas
con dolo o culpa grave a normas legales o estatutarias y a sus
deberes fiduciarios de lealtad y diligencia cuando causen perjuicio
al patrimonio social. Además, las personas físicas o jurídicas
que, sin ser administradores o representantes legales, actúen de
hecho en forma estable y permanente realizando una actividad positiva
de gestión, administración o dirección, quedan sometidas a las
mismas responsabilidades aplicables a los administradores o al
representante legal.
Un algoritmo no es
una persona que pueda ser considerado administrador de hecho. Sin
embargo, ¿se podría extender la responsabilidad a quienes diseñan,
controlan y operan sistemas que terminan determinando de manera
sustancial la gestión empresarial? La respuesta afirmativa no puede
ser lineal, pero habrá que considerar algunas situaciones, según
las circunstancias.
Otra cuestión que
se plantea es la denominada posible “administración por proxy”.
Es
muy peligroso plantearse el futuro como un escenario en el cual los
directores continúen ocupando formalmente sus cargos, pero que en
los hechos las decisiones sean determinadas por sistemas que no
controlan suficientemente. Es lo que se denomina administración
por proxy, con un
órgano que conserva formalmente la competencia, pero el contenido de
sus decisiones viene predeterminado por modelos algorítmicos.
El director no
puede transformarse en un mero “firmante humano” de decisiones
producidas por sistemas tecnológicos. Entre otras razones no lo
puede ser porque ello no inhibe su responsabilidad indelegable por su
gestión.
10 Sociedad
algorítmica y una regla de diligencia tecnológica razonable
Una “sociedad
algorítmica” se considera aquella en la que una proporción
significativa de las decisiones empresariales se produce o se
encuentra condicionada por sistemas algorítmicos.
De todas maneras,
mientras el derecho societario continúe atribuyendo la personalidad
jurídica a la sociedad y las competencias a sus órganos, no habrá
una sociedad jurídicamente dirigida por una IA. Estamos ante una
sociedad humana cuya organización decisoria incorpora IA como
herramienta para hacer con más eficiencia operaciones complejas.
Tal
vez en el futuro lo que tengamos no sean directores robots, sino
directorios humanos que toman decisiones con sistemas artificiales
capaces de procesar información, anticipar escenarios y formular
recomendaciones que ningún director podría elaborar
individualmente.
Corresponde
apreciar que la
existencia de una herramienta de IA no genera por sí sola un deber
jurídico de utilización. Sin embargo, cuando la herramienta sea
razonablemente adecuada, accesible, fiable para cierta actividad
empresarial, recurrir a la aplicación IA que se trate puede integrar
el estándar de diligencia del buen hombre de negocios.
Si el
administrador o el directorio decide utilizarla, su deber de
diligencia comprende la selección adecuada de la herramienta, la
evaluación de sus datos y limitaciones, la supervisión de sus
resultados y la conservación de un ámbito suficiente de juicio
humano.
La
IA no crea un nuevo deber autónomo de los administradores, pero
puede transformar el contenido del deber de diligencia que ya existe.
En algunas situaciones será importante determinar cuándo
la ausencia de IA revela una ausencia de diligencia.
No
será más diligente, en el futuro, un administrador o un directorio
cuanta más IA aplique en su empresa, sino quien o quienes sepan
cuándo se debe
utilizar, para qué, cómo controlarla y, especialmente cuándo no
confiar en esa IA.
Referencias
Agencia
de Gobierno Electrónico y Sociedad de la Información y del
Conocimiento [AGESIC]. (2024). Estrategia
Nacional de Inteligencia Artificial de Uruguay 2024–2030.
Presidencia de la República Oriental del Uruguay.
https://www.gub.uy/agencia-gobierno-electronico-sociedad-informacion-conocimiento/comunicacion/publicaciones/estrategia-nacional-inteligencia-artificial-uruguay-2024-2030
Organización
de Cooperación y Desarrollo Económicos [OCDE]. (2019, actualizados
en 2024). OECD AI
Principles.
https://www.oecd.org/en/topics/ai-principles.html
Organización
de las Naciones Unidas para la Educación, la Ciencia y la Cultura
[UNESCO]. (2021). Recomendación
sobre la Ética de la Inteligencia Artificial.
https://www.unesco.org/es/legal-affairs/recommendation-ethics-artificial-intelligence
Unión
Europea. (2024). Reglamento
(UE) 2024/1689 del Parlamento Europeo y del Consejo, de 13 de junio
de 2024, por el que se establecen normas armonizadas en materia de
inteligencia artificial (Reglamento de Inteligencia Artificial).
Diario Oficial de la Unión Europea.
https://eur-lex.europa.eu/legal-content/ES/ALL/?uri=CELEX%3A32024R1689
Uruguay.
(1989). Ley n.° 16.060
de 4 de setiembre de 1989, ley de sociedades comerciales, grupos de
interés económico y consorcios.
IMPO.
Uruguay.
(2008). Ley n.° 18.331
de 11 de agosto de 2008, que reglamenta la protección de datos
personales. IMPO.
Uruguay.
(2019). Ley n.° 19.820
de 18 de setiembre de 2019, de promoción del emprendedurismo y que
regula las sociedades por acciones simplificada.
IMPO.
Uruguay.
(2020). Decreto n.º
64/020 de 21 de ferero de 2020, sobre protección de datos.
IMPO
Imagen: https://publicdomainreview.org/collection/snowball-fights/
