Responsabilidad legal del output de IA en marketing: el vacío que hay que llenar hoy
La conversación con el director legal que había revelado las preguntas sobre propiedad intelectual tuvo una segunda parte, en la reunión del mes siguiente, sobre responsabilidad legal de los outputs de IA en marketing. Era un área donde el marco legal colombiano, como el de la mayoría de las jurisdicciones en ese momento, no tenía respuestas claras para los escenarios específicos que el uso de IA en marketing generaba. La ausencia de marco legal claro no eliminaba el riesgo legal. Lo hacía más difícil de gestionar porque no existía un estándar establecido contra el cual verificar si el comportamiento de la empresa era el adecuado.
El director legal identificó 3 escenarios específicos de riesgo legal que el uso de IA en marketing podía generar. El primero era la responsabilidad por afirmaciones incorrectas: si la empresa publicaba contenido generado por IA con afirmaciones incorrectas sobre un competidor, sobre el mercado o sobre regulaciones que dañaran a un tercero, ¿podía la empresa alegar que el error lo había cometido el sistema de IA y no la empresa? La respuesta era no. La empresa era responsable del contenido que publicaba independientemente de cómo había sido generado.
El segundo escenario era de responsabilidad por discriminación algorítmica: si el sistema de personalización de marketing producía mensajes o condiciones diferentes para distintos segmentos de clientes de formas que pudieran considerarse discriminatorias bajo la legislación de protección al consumidor colombiana, la empresa podía enfrentar responsabilidad aunque el sesgo no hubiera sido intencional sino el resultado del comportamiento del algoritmo sobre datos históricos. El tercer escenario era de responsabilidad por privacidad: el uso de datos de comportamiento para personalización de marketing estaba regulado por la Ley 1581 de 2012 y sus decretos reglamentarios, y algunos usos que el equipo hacía de los datos del CRM para personalización de IA podían estar en una zona gris de ese marco regulatorio.
Para cada escenario, el director legal y yo diseñamos un protocolo de mitigación de riesgo específico. Para el primer escenario, el protocolo de verificación de precisión factual ya existía y se fortaleció con especial atención a las afirmaciones sobre terceros. Para el segundo, el análisis de sesgo algorítmico pasó a ser un elemento de la revisión trimestral del framework. Para el tercero, solicitamos una revisión legal de los tipos de datos que usábamos para personalización y obtuvimos un dictamen sobre cuáles requerían consentimiento explícito adicional del cliente y cuáles estaban cubiertos por los términos generales de contrato ya aceptados.
El mayor aprendizaje de esas conversaciones con la dirección legal fue sobre la importancia de involucrar perspectivas legales en el diseño del programa de gobernanza de IA desde el principio, no como revisores de un programa ya diseñado sino como coautores de los límites que el programa establece. La gobernanza de IA diseñada solo por el equipo de marketing optimiza para la efectividad operacional. La diseñada con input legal, de privacidad y de ética produce un framework que gestiona el rango completo de riesgos que el uso de IA en marketing genera.