En resumen
- El código producido solo por la IA probablemente no está protegido por el derecho de autor europeo. Lo que cuenta son las decisiones humanas, y hay que poder demostrarlas.
- No cuente con el solo pago para convertirse en propietario de un desarrollo. Haga que le cedan los derechos por escrito, con cada derecho nombrado, con su alcance, su finalidad, su lugar y su duración.
- Exija la entrega del código fuente, de la documentación y de los accesos. Compruebe también si su software entra en el reglamento europeo sobre la ciberseguridad de los productos.
Usted encarga el desarrollo de un software para su empresa. Su prestador escribe una parte del código con inteligencia artificial. Surgen tres preguntas: ¿está protegido ese código? ¿A quién pertenece? ¿Qué hay que leer en el contrato antes de firmar?
Este artículo se basa en el Derecho europeo. Informa, no sustituye el consejo de un abogado. Haga revisar las cláusulas por un asesor del país cuyo Derecho rija su contrato.
Derecho de autor e IA: el criterio de originalidad
Una directiva europea de 2009 obliga a cada país de la Unión a proteger los programas informáticos mediante el derecho de autor, como obras literarias. Incluye en ella el material de diseño preparatorio (directiva 2009/24/CE, artículo 1). Pero un programa solo está protegido si es original, es decir, si es la creación intelectual propia de su autor. No se aplica ningún otro criterio.
El autor, según la misma directiva, es en principio la persona física, o el grupo de personas, que ha creado el programa (artículo 2). Por tanto, el código producido solo por la IA probablemente no está protegido.
Lo que esto cambia para usted: el valor jurídico de su software depende de la aportación humana. El pliego de requisitos, la arquitectura (la forma en que está organizado el software), las decisiones tomadas por el camino, la revisión y la reescritura del código deben dejar constancia por escrito. El historial de versiones forma parte de ello: es el registro que conserva cada modificación del código, con su fecha y su autor.
Las condiciones de los proveedores de IA: a quién corresponden los resultados
Su prestador utiliza una herramienta de IA con las condiciones de su proveedor. Estas condiciones vinculan al proveedor y a su prestador: usted no es parte en ellas.
Tomemos Anthropic, la editora de Claude. Sus condiciones comerciales (versión del 17 de junio de 2025) prevén que su cliente, aquí su prestador, es propietario de los resultados producidos, «to the extent permitted by applicable law»: en la medida en que la ley lo permita. Anthropic le cede además sus derechos sobre esos resultados, «(if any)»: si los tiene. Un proveedor no puede ceder un derecho de autor que no existe. Corresponde después a su prestador cederle lo que posee.
Estas condiciones prevén también que Anthropic defiende a su cliente, en un uso de pago, si un tercero alega que los resultados vulneran su propiedad intelectual. Esta protección no se aplica, entre otros casos, cuando el cliente ha modificado los resultados o los ha combinado con elementos que Anthropic no ha proporcionado. Ahora bien, un software a medida mezcla casi siempre código revisado, modificado y ensamblado con otras piezas.
La herramienta de desarrollo Claude Code se rige por las condiciones comerciales para las ofertas Team y Enterprise y para la API, pero por condiciones para consumidores en las ofertas Free, Pro y Max (página jurídica de Claude Code). Las condiciones para consumidores (versión del 8 de octubre de 2025, publicada en el sitio de Anthropic y consultada el 13 de octubre de 2026) ceden también los posibles derechos de Anthropic sobre los resultados, pero no prevén esa defensa frente a reclamaciones de terceros. Pregunte, por tanto, a su prestador qué herramienta utiliza, con qué oferta y qué dicen esas condiciones sobre los resultados.
El contrato de cesión: nombrar cada derecho, su territorio y su duración
No cuente con el solo pago. Para los programas informáticos, la misma directiva prevé que los derechos sobre un programa creado por un empleado en el ejercicio de sus funciones corresponden a su empleador, salvo pacto en contrario (artículo 2). Los derechos sobre el código escrito por los empleados de su prestador corresponden, por tanto, en principio, a su prestador. Para recibirlos hace falta una cesión.
Hágala por escrito y nombre cada derecho cedido, con su alcance, su finalidad, su lugar y su duración. Los requisitos de forma exactos, sobre todo cuando su prestador es una sociedad y no el propio autor, deben comprobarse con su asesor. Esta precisión sigue siendo la forma más segura de saber exactamente lo que recibe.
Para un programa informático, los derechos que hay que nombrar son los que la directiva reserva al autor (artículo 4):
- la reproducción del programa, total o parcial;
- la traducción, la adaptación, el arreglo o cualquier otra transformación;
- cualquier forma de distribución al público, incluido el alquiler.
Una frase como «el cliente se convierte en propietario del software» sigue siendo demasiado vaga: no dice qué derechos recibe ni para qué usos. Una buena cláusula nombra cada derecho, sus usos, su territorio (el mundo entero, por ejemplo) y su duración (todo el periodo de protección previsto por la ley, por ejemplo). Cubre el código fuente, el software listo para funcionar, la documentación y los documentos de diseño.
Añada dos garantías. Primera, que el prestador posee realmente los derechos de todos los que han escrito el código: sus empleados, pero también sus subcontratistas y sus autónomos. No puede cederle más de lo que tiene. Segunda, que declara todos los elementos de terceros integrados en el software, en particular los componentes libres (código abierto), cada uno con su licencia.
Reversibilidad: código fuente, documentación y accesos de alojamiento entregados al cliente
La reversibilidad es su capacidad de cambiar de prestador o de retomar el control sin partir de cero. Poseer los derechos no sirve de nada si no tiene el código.
El contrato debe prever la entrega:
- del código fuente completo, con su historial de versiones;
- de la documentación: instalación, organización del software, decisiones que han guiado el desarrollo;
- de los accesos: alojamiento, nombre de dominio, cuentas de los servicios utilizados, copias de seguridad.
Fije el momento (en cada entrega y al final del contrato), el formato y el plazo. Por ejemplo, una pyme de 40 empleados que encarga una herramienta de planificación de obras debe poder confiar su mantenimiento a otro prestador el día en que lo decida.
En Kendu Intelligence, lo que se le entrega al entregar un software a medida (código fuente, documentación, accesos de alojamiento) se precisa en su presupuesto.
Cyber Resilience Act: según la Comisión, una aplicación web que se usa en el navegador no está afectada; una aplicación instalada puede estarlo
El Cyber Resilience Act (CRA, Reglamento (UE) 2024/2847) impone normas de ciberseguridad a los «productos con elementos digitales». Sus obligaciones principales se aplican a partir del 11 de diciembre de 2027 (Comisión Europea). Desde el 11 de septiembre de 2026, el fabricante de un producto afectado ya debe notificar las vulnerabilidades explotadas activamente y los incidentes graves que afecten a la seguridad del producto. Los dirige al equipo nacional de respuesta a incidentes de seguridad informática (CSIRT) del país de su establecimiento principal; la ENISA, la agencia de la UE para la ciberseguridad, los recibe al mismo tiempo (Comisión Europea).
El trabajo a medida no queda excluido por principio. Las directrices publicadas por la Comisión el 27 de julio de 2026 recuerdan, siguiendo la Guía azul, que la comercialización se aprecia producto por producto, ya se fabrique por unidades o en serie (punto 11).
Estas directrices dan ejemplos útiles (ejemplos 3 a 5):
- una aplicación web que solo se usa en un navegador no es un producto en el sentido del CRA; solo entra en su ámbito si sirve para el funcionamiento de un producto que sí lo es;
- una aplicación móvil descargada e instalada en el teléfono, o una aplicación de escritorio instalada en el ordenador, sí lo es. Puede entonces entrar en el CRA si se comercializa en el marco de una actividad comercial.
Cuidado con los casos intermedios. Para la Comisión, todo depende del lugar donde se ejecuta el software: un software suministrado al usuario y que funciona en su propio sistema informático puede entrar en el ámbito (punto 20). Otro ejemplo: una empresa que entrega a un cliente, bajo licencia, el código fuente de una plataforma interna comercializa ese código, aunque el cliente todavía tenga que adaptarlo (ejemplo 7). ¿Su aplicación web se instalará en sus servidores o se le entregará su código fuente? Pregúnteselo a su prestador y a su asesor. Estas directrices no son vinculantes: solo el Tribunal de Justicia interpreta el reglamento con autoridad (punto 8).
Las cinco cláusulas que hay que comprobar antes de firmar
- La cesión de derechos: por escrito, con cada derecho nombrado, con su alcance, su finalidad, su lugar y su duración; y la garantía de que el prestador posee los derechos de todos los que han escrito el código.
- La constancia de la aportación humana: pliego de requisitos validado, decisiones, revisiones e historial de versiones, entregados con el código.
- La herramienta de IA: qué herramienta, qué oferta, a quién corresponden los resultados; la lista de componentes de terceros y de sus licencias.
- La reversibilidad: código fuente, documentación y accesos entregados, con un momento, un formato y un plazo.
- La seguridad: ¿aplicación web, aplicación instalada, alojamiento en sus servidores o entrega del código fuente? ¿Quién vigila y corrige las vulnerabilidades, y durante cuánto tiempo?
Para ir más allá
- Cómo construimos un software cuyo presupuesto propone usted: Software a medida.
- Adónde van sus datos y cómo los protegemos: Datos y seguridad.
- Las etapas, desde el pliego de requisitos validado hasta la entrega: Nuestro método.
- Para describirnos su proyecto: contáctenos.