29.10.2026
Imaginemos el siguiente escenario: un fondo de capital riesgo adquiere una empresa tecnológica cuyo valor depende, en gran medida, de una solución de inteligencia artificial desarrollada internamente. El modelo predictivo funciona, los ingresos recurrentes crecen y el equipo fundador muestra métricas impecables. Sin embargo, semanas después del cierre, el comprador descubre que los datos de entrenamiento carecen de licencias claras, que la arquitectura depende de la API de un tercero que puede revocar el acceso en cualquier momento y que el sistema no cumple los requisitos del Reglamento europeo de Inteligencia Artificial (“Reglamento de IA” o “RIA”). Lo que figuraba en el balance como activo estratégico esconde pasivos regulatorios, contractuales y técnicos de magnitud considerable.
Esta realidad se conoce como “deuda algorítmica”: el conjunto de riesgos latentes (jurídicos, técnicos y operativos) que un sistema de IA acumula cuando se desarrolla sin gobernanza adecuada y que solo afloran al someterlo a un análisis riguroso. Comprender y cuantificar esta deuda es una pieza esencial de cualquier auditoría previa (due diligence) de IA en operaciones de fusiones y adquisiciones.
Qué es la deuda algorítmica
Del mismo modo que la deuda técnica en ingeniería de software refleja decisiones que generan costes futuros, la deuda algorítmica engloba las deficiencias acumuladas en la construcción, documentación y explotación de un sistema de IA que pueden materializarse como contingencias tras la adquisición. Sus manifestaciones más habituales incluyen datos de entrenamiento sin licencia o de procedencia incierta, modelos entrenados con contenidos protegidos por derechos de autor, dependencia crítica de APIs o infraestructuras externas fuera del control del vendedor, incumplimientos del Reglamento de IA en gestión de riesgos, gobernanza de datos, transparencia o ciberseguridad, vulnerabilidades no documentadas, incluido el envenenamiento de datos como vector de ataque, ausencia de documentación técnica exigida por la normativa, y derechos insuficientes o ambiguos sobre el código fuente o los pesos del modelo.
Lo verdaderamente problemático es que esta deuda rara vez aparece en los estados financieros. Un comprador que no incorpore una due diligence de IA específica puede asumir, sin saberlo, obligaciones de proveedor de un sistema de alto riesgo conforme al RIA. El artículo 25 del Reglamento es claro: quien ponga su nombre o marca en un sistema de IA de alto riesgo, lo modifique sustancialmente o altere su finalidad prevista asume todas las obligaciones del proveedor, desde la evaluación de conformidad hasta la vigilancia poscomercialización.
Una metodología de due diligence específica para activos de IA
Las auditorías tradicionales de propiedad intelectual resultan insuficientes para valorar un activo de IA. En Rebés Ferrer recomendamos un enfoque estructurado en capas que aborde cada dimensión de riesgo.
(i) La primera capa es la titularidad y cadena de derechos. Debe verificarse quién ostenta la propiedad de los conjuntos de datos de entrenamiento, validación y prueba, así como del modelo resultante. El RIA exige que dichos conjuntos sean pertinentes, representativos y libres de errores, debiendo documentarse su origen y finalidad original de recogida. Cualquier laguna en esta cadena de custodia constituye deuda algorítmica.
(ii). La segunda capa se centra en la auditoría de licencias, tanto de datos como de software. Incluye el análisis de licencias de código abierto (open source) con efecto copyleft1 que puedan contaminar componentes propietarios y licencias de contenido protegido utilizado para entrenar el modelo.
(iii) Una tercera capa examina la arquitectura de dependencias externas. Modelos fundacionales de terceros, APIs de inferencia, servicios en la nube. La pregunta clave es qué sucede si un proveedor crítico modifica sus condiciones, incrementa precios o interrumpe el acceso.
(iv) La cuarta capa abarca el cumplimiento normativo. El RIA impone a los proveedores de sistemas de alto riesgo obligaciones extensas: gestión de riesgos continua, sistema de calidad, documentación técnica, registros, transparencia, supervisión humana y estándares de precisión, solidez y ciberseguridad. A ello se suma el RGPD y la normativa sectorial. Las infracciones se tipifican como graves en el proyecto de ley orgánica española para el buen uso y gobernanza de la IA, con sanciones muy elevadas.
(v) Finalmente, la quinta capa se dedica a la ciberseguridad y trazabilidad. Debe evaluarse si existen pruebas de seguridad automatizadas, si el sistema está protegido durante la inferencia en producción y si se ha implementado un protocolo de notificación de incidentes graves (el RIA exige plazos de quince días, o dos días en infracciones generalizadas).
Implicaciones para la negociación y el cierre de la operación
Los hallazgos de la due diligence de IA deben trasladarse a la estructura contractual. Las manifestaciones y garantías deben incluir declaraciones específicas sobre titularidad de datos y modelo, ausencia de infracciones de propiedad intelectual, cumplimiento del RIA y del RGPD, inexistencia de vulnerabilidades conocidas no remediadas y completitud de la documentación técnica.
En segundo lugar, resulta aconsejable establecer mecanismos de indemnización reforzados y cuentas de depósito en garantía (escrow) que cubran las contingencias identificadas. Cuando la deuda algorítmica sea significativa pero remediable, pueden pactarse condiciones suspensivas vinculadas a hitos de cumplimiento regulatorio o ajustes de precio basados en los costes de remediación.
Igualmente, crítico es el plan de integración regulatoria post-cierre. Si el comprador prevé modificar el sistema o hacer un cambio de marca (rebranding) del producto, debe asumir que se convertirá en proveedor a efectos del RIA y presupuestar los costes de conformidad, vigilancia postcomercialización y sistema de calidad.
La deuda algorítmica no es una hipótesis académica: es un riesgo tangible que puede erosionar la rentabilidad de una inversión y comprometer la viabilidad del activo adquirido. Identificarla a tiempo exige un equipo multidisciplinar que conjugue el análisis jurídico corporativo con la regulación tecnológica, la propiedad intelectual y la ciberseguridad.
Alba Terés | Departamento IA-Gobernanza Digital