Introducción

El 25 de marzo de 2026, un jurado en Los Ángeles encontró culpables a Meta Platforms, Inc. y a YouTube LLC de negligencia en el diseño de sus plataformas y condenó a las demandadas al pago de seis millones de dólares. Al día siguiente, otro jurado en Santa Fe, Nuevo México, condenó a Meta a pagar 375 millones de dólares por representaciones engañosas sobre la seguridad de sus productos y por no implementar controles efectivos frente al acceso de menores. Ambos veredictos llegaron en el primer caso de referencia para una litigación masiva que consolida más de 2.664 acciones federales y cerca de ochocientas acciones de distritos educativos en Estado Unidos (1).

No son casos aislados. Desde 2023, el Garante per la Protezione dei Dati Personali italiano impuso multas firmes a Luka Inc. (desarrolladora de Replika) y a OpenAI, L.L.C. por tratamiento ilícito de datos personales en plataformas conversacionales. En Florida, la jueza federal Anne C. Conway calificó a Character.AI como producto a los efectos de la responsabilidad civil, rechazó la defensa fundada en la Primera Enmienda y permitió el avance de la acción contra Google bajo la teoría de component part manufacturer liability. En California, la familia de un adolescente fallecido en 2025 demanda a OpenAI sosteniendo que el modelo GPT-4o detectó, mediante sus propios sistemas de moderación, cientos de mensajes con contenido de autolesión y no intervino.

En este trabajo intentamos identificar qué premisas jurídicas ya pueden considerarse consolidadas a partir de esas decisiones y analizar en qué medida el ordenamiento jurídico argentino vigente permite encuadrar riesgos equivalentes, sin necesidad de esperar un marco regulatorio específico de inteligencia artificial. El uso de términos técnicos en inglés busca mantener las referencias fieles a los conceptos originales.

Los casos que definieron el mapa

La palanca regulatoria más rápida

El primer enforcement serio contra un chatbot de IA generalista no vino de un tribunal civil sino de una autoridad de protección de datos. El 2 de febrero de 2023, el Garante italiano dictó medida cautelar limitando con efecto inmediato el tratamiento de datos personales de usuarios italianos por parte de Luka Inc., con fundamento en ausencia de base legal válida conforme al art. 6 del Reglamento (UE) 2016/679 (RGPD), incumplimiento del deber de información del art. 13 e incumplimiento del principio de privacy by design del art. 25 (2). Dos años después, en abril de 2025, el Garante dictó decisión definitiva imponiendo una multa de cinco millones de euros. El mismo organismo impuso, en diciembre de 2024, quince millones de euros a OpenAI por infracciones análogas (3).

Lo que esas dos decisiones dejaron en claro opera en tres planos. El RGPD aplica a los modelos de IA generativa sin necesidad de regulación específica adicional. Los datos volcados en conversaciones con chatbots rutinariamente incluyen datos sensibles en el sentido del art. 9 del RGPD (salud, vida sexual, creencias), lo cual eleva el estándar de licitud aplicable. Y la promesa pública de bienestar o soporte emocional incrementa, no reduce, el deber de cuidado del responsable del tratamiento.

Responsabilidad por producto. El caso Garcia

El 22 de octubre de 2024, Megan Garcia presentó una demanda en el Distrito Medio de Florida contra Character Technologies, Inc., los cofundadores Noam Shazeer y Daniel De Freitas, y Google LLC. El caso involucra a Sewell Setzer III, catorce años, fallecido el 28 de febrero de 2024 tras meses de interacción intensiva con un personaje de IA. El 21 de mayo de 2025, la jueza Anne C. Conway rechazó la defensa basada en la Primera Enmienda y calificó a Character.AI como producto a los efectos de la responsabilidad por producto defectuoso (4). El 7 de enero de 2026, los demandados suscribieron un acuerdo transaccional con la familia Garcia, en un paquete que incluyó simultáneamente resolución de las causas paralelas, entre ellas Montoya v. Character Technologies (D. Colo., N° 1:25-cv-02907), iniciada por la familia de Juliana Peralta, de trece años, fallecida en Colorado, en noviembre de 2023, tras tres meses de interacción con un bot de la misma plataforma. Sin embargo, la sentencia de la Jueza Conway de mayo de 2025 quedó firme y disponible como precedente (5).

La prueba interna como palanca. El caso Raine

El 26 de agosto de 2025, Matthew y Maria Raine presentaron demanda en la Superior Court del Condado de San Francisco contra OpenAI, Inc. (Caso N° CGC-25-628528), fundada en la muerte de su hijo Adam, de dieciséis años, el 11 de abril de 2025. La demanda, enmendada en octubre de 2025 para incluir la teoría de intentional misconduct, se apoya en logs de moderación interna de OpenAI que acreditan la detección de 377 mensajes con contenido de autolesión y 1.275 menciones de suicidio en las conversaciones del usuario, 23 de los primeros con score de confianza superior al noventa por ciento, sin que el sistema ejecutara protocolo de intervención alguno. La empresa imputa al lanzamiento de GPT-4o, en febrero de 2025, el relajamiento de salvaguardas que previamente ordenaban la terminación de conversaciones ante ideación suicida sostenida (6).

En noviembre de 2025, Wired publicó datos corporativos de OpenAI según los cuales aproximadamente 1,2 millones de usuarios de ChatGPT por semana expresan ideación suicida o planificación de suicidio en sus conversaciones. El dato compromete la defensa de “casos aislados de uso indebido” y convierte el patrón de riesgo en un hecho corporativamente conocido.

Los casos sistémicos y los casos de frontera

El litigio multidistrital (MDL) 3047 consolidado ante la jueza Yvonne Gonzalez Rogers en el Distrito Norte y el JCCP 5255 ante la jueza Carolyn B. Kuhl en Los Ángeles, ambos de California, materializaron en el bellwether trial KGM v. Meta Platforms, Inc. & YouTube LLC la distinción entre contenido (protegido por Section 230) y decisiones de diseño de producto (no protegidas) (7). La resolución del 25 de marzo de 2026 es el primer fallo de jurado que aplica esa distinción a una sentencia definitiva. El primer bellwether federal de la litigación de distritos educativos (caso Breathitt County Board of Education v. Meta et al., N° 4:23-cv-01804) fue acordado el 21 de mayo de 2026 por la totalidad de los demandados por un importe de 27 millones de dólares, antes de que pudiera celebrarse el juicio previsto para el 15 de junio. El MDL consolida ya más de 2.664 acciones y tiene agendado su segundo bellwether federal para agosto de 2026.

En los márgenes del mapa aparecen dos casos que la doctrina empieza a llamar de chatbot psychosis. El 29 de diciembre de 2025, el estudio Hagens Berman presentó una demanda en el Distrito Norte de California en representación de la sucesión de Suzanne Adams, mujer de ochenta y tres años asesinada por su hijo tras meses de interacción con ChatGPT, sosteniendo que la memoria conversacional persistente y la tendencia a la validación del modelo (sycophancy) operaron como factor causal del homicidio. En marzo de 2026, la Mold Crown Court de Gales incorporó a una sentencia firme de homicidio el dato de que el autor había obtenido instrucciones de DeepSeek mediante prompt injection elemental. Ambos casos amplían el perímetro de exposición más allá del usuario directo del producto.

Premisas consolidadas

Del conjunto de decisiones administrativas y procesales de los últimos treinta y seis meses identificamos un núcleo de premisas que ya no son hipotéticas. No se trata de proyecciones regulatorias sino de posiciones sostenidas por tribunales y autoridades de aplicación con expedientes abiertos y resoluciones firmes.

La primera y más relevante para el derecho civil es que los chatbots conversacionales con memoria persistente y rol antropomórfico son productos a los efectos de la responsabilidad civil, no servicios. La sentencia de la jueza Conway en Garcia lo sostuvo expresamente y rechazó el encuadre contrario. El deber de cuidado que pesa sobre sus desarrolladores no se mide por el usuario promedio sino por la foreseeable zone of risk, que en un producto dirigido a adolescentes incluye necesariamente a quienes se encuentran en situación de fragilidad psicológica.

La segunda es que cuando existe capacidad técnica acreditada de detectar señales de crisis y no se ejecuta protocolo de intervención, la omisión configura defecto de diseño, no error operativo. El caso Raine está construido sobre esa tesis, reforzada por el hecho de que los propios sistemas de moderación de OpenAI documentaron la crisis en tiempo real.

La tercera es que la protección de datos es una palanca regulatoria suficiente sin necesidad de regulación específica de IA. El RGPD y sus equivalentes nacionales aplican de pleno derecho. Los datos volcados en interacciones con chatbots conversacionales incluyen con frecuencia datos sensibles (art. 9 RGPD, art. 7 Ley 25.326 argentina), lo cual eleva el estándar de licitud aplicable a base legal reforzada. El Garante italiano lo demostró con dos multas firmes por un total de veinte millones de euros (8).

La cuarta es que las defensas más invocadas por la industria se debilitaron sustancialmente. La Section 230 no cubre decisiones de diseño de producto. La Primera Enmienda no protege automáticamente los outputs de un modelo de lenguaje. Los términos de uso que prohíben el acceso a menores no inmunizan el caso cuando el diseño del producto hace previsible el incumplimiento. Y la patología previa del usuario no opera como causal de ruptura del nexo causal cuando el daño tipo era previsible al momento del diseño.

La quinta es que la prueba documental interna de los demandados es decisiva. En los tres casos que llegaron a jurado (Nuevo México, Los Ángeles y, antes de su settlement, los casos Garcia en Florida y Montoya en Colorado), los documentos internos producidos por la demandada (correos, memorandos de safety teams, decisiones de relajamiento de salvaguardas) fueron el elemento que neutralizó los argumentos abstractos de la defensa. La litigación sobre IA y plataformas pasó de discutirse en términos de hipótesis tecnológica a cuestionarse en términos de gobierno corporativo documentado (9).

El ordenamiento jurídico argentino frente al fenómeno

Las herramientas existentes

A diferencia de lo que se suele asumir, el ordenamiento argentino no requiere una ley específica de inteligencia artificial para encuadrar el fenómeno descrito. La Ley 25.326 de Protección de los Datos Personales califica como sensibles los datos relativos a salud, vida sexual, origen racial, opiniones políticas y convicciones religiosas, filosóficas o morales (arts. 2 y 7). Prohíbe obligar a su suministro. Exige base legal reforzada para su tratamiento. Impone secreto profesional cuando el tratamiento ocurre en establecimientos sanitarios o por profesionales de la salud (art. 8). Restringe la transferencia internacional a países con nivel adecuado de protección o mediante instrumentos contractuales habilitantes (art. 12) (10). Estados Unidos no integra la lista de países adecuados, lo cual vuelve problemática la arquitectura técnica estándar de la mayor parte de los despliegues locales de IA conversacional.

La Ley 26.657 de Salud Mental y su reglamentación imponen un abordaje centrado en la singularidad de la persona, el enfoque interdisciplinario y la red comunitaria. La Ley 27.130 de Prevención del Suicidio exige coordinación interinstitucional, protocolos de derivación y prioridad reforzada en la asistencia a niñas, niños y adolescentes. La Ley 26.061 consagra el interés superior del niño y obliga al Estado a dar máxima exigibilidad a esos derechos en toda medida administrativa o de otra naturaleza que los afecte. La Ley 26.529 reconoce a los menores la condición de sujetos activos en decisiones que involucren su salud (11).

A nuestro entender, el conjunto resulta más exigente que el ordenamiento estadounidense en materia de datos sensibles, equiparable al europeo en materia de salud mental, y reforzado en lo relativo a niñez. Lo que falta no es ley. Es enforcement y, cuando corresponda, litigación.

El marco legal en curso

La Agencia de Acceso a la Información Pública (AAIP), autoridad de aplicación de la Ley 25.326, dictó en septiembre de 2023 la Res. AAIP 161/2023 creando el Programa Nacional de Transparencia y Protección de Datos Personales en el Uso de la Inteligencia Artificial (12). En octubre de 2024 publicó la Guía para entidades públicas y privadas en materia de Transparencia y Protección de Datos Personales para una Inteligencia Artificial Responsable. Hubieron dos proyectos de reforma integral de la Ley 25.326 ingresados al Congreso (uno impulsado por el ex diputado Pablo Carro y otro por el ex senador Martín Doñate) que incorporan principios de responsabilidad proactiva y demostrada, privacidad por defecto y por diseño, derecho a oponerse a decisiones automatizadas con efectos jurídicos sobre el titular, y disposiciones específicas sobre reconocimiento facial y otros sistemas de IA de alto riesgo (13). Probablemente hayan perdido estado parlamentario a la fecha.

En paralelo, el Poder Ejecutivo remitió al Senado en abril de 2026, mediante Mensaje N° 108/2026, un proyecto de reforma de la Ley 26.657 que sustituye el criterio de “riesgo cierto e inminente” para la internación involuntaria por el de “riesgo grave de daño para la vida o la integridad física de la persona o de terceros” e incorpora un criterio situacional que permite valorar antecedentes y evolución probable sin tratamiento. La iniciativa generó oposición en sectores del campo de la salud mental (14). Sin perjuicio de cómo se resuelva esa discusión, el cambio conceptual propuesto resulta directamente relevante para el análisis que aquí se desarrolla. El estándar de “riesgo grave de daño” coincide materialmente con la foreseeable zone of risk que los tribunales estadounidenses vienen aplicando en los casos citados. Si la reforma se aprobara en esos términos, el parámetro de conducta esperable de un sistema de IA conversacional frente a un usuario en crisis quedaría alineado con el estándar judicial que está consolidando la litigación civil en el derecho comparado.

La exposición de los proveedores internacionales

Los proveedores internacionales de modelos de lenguaje de gran escala que operan en Argentina, sea directamente, sea a través de clientes que integran sus APIs en aplicaciones locales, enfrentan tres frentes de exposición que distinguimos con precisión.

El primero es contractual. Cuando las usage policies y los acuerdos de tratamiento del proveedor se incumplen a nivel del cliente local (por ejemplo, por despliegues en verticales sanitarios sin supervisión profesional, o por configuración técnica que permite el acceso de menores), el integrador local genera un incumplimiento frente al proveedor, y la responsabilidad regulatoria primaria frente a la AAIP recae sobre el cliente. El proveedor internacional puede, sin embargo, ser citado como encargado del tratamiento o, según la arquitectura técnica, como responsable conjunto, con lo cual la distinción contractual no opera como escudo frente al regulador.

El segundo es regulatorio. La AAIP puede abrir actuaciones de oficio. Sus criterios están influidos por los de las autoridades de protección de datos de la red iberoamericana y europea, dentro de la cual el Garante italiano opera como referencia natural dado el volumen y la consistencia de su enforcement sobre plataformas de IA.

El tercero es reputacional. La litigación en Estados Unidos demostró que los proveedores con marca pública robusta absorben costos de marca cuando una aplicación cliente los expone, aunque la responsabilidad jurídica primaria recaiga en el integrador. Esa dinámica opera con independencia de la jurisdicción en que se desarrolle el incidente.

Reflexiones finales

La conversación regulatoria sobre inteligencia artificial y daño psicológico dejó de ser anticipatoria. Hay precedentes procesales firmes, una línea de enforcement administrativo europeo con multas acreditadas, y una litigación masiva en curso que acumula más de 2.664 acciones federales y produce resultados concretos: el primer bellwether estatal derivó en veredictos por 381 millones de dólares en dos días, y el primer bellwether federal fue acordado por 27 millones antes de que el jurado pudiera escuchar los argumentos. El fenómeno ingresó al derecho positivo por las puertas que ya existían, sin esperar marcos específicos de IA.

En Argentina, el ordenamiento vigente ofrece herramientas suficientes para encuadrar el problema. Consideramos que la Ley 25.326, la Ley 26.657, la Ley 27.130, la Ley 26.061 y la Ley 26.529 cubren, en conjunto, los principales vectores de exposición de un despliegue de IA conversacional orientado a salud mental. Lo que falta es enforcement. Ese déficit, sin embargo, tiende a reducirse en la medida en que la litigación internacional produce precedentes persuasivos que los operadores del sistema jurídico local pueden invocar y que los organismos de control pueden adoptar como referencia.

Para los proveedores internacionales con clientes locales, la asesoría preventiva en materia de protección de datos, responsabilidad civil, régimen sanitario y protección de menores vale, en términos económicos, mucho más que la gestión reactiva de un incidente con visibilidad regulatoria. La ventana para construir posiciones defensivas sólidas antes de que aparezca el primer caso testigo argentino sigue abierta. No indefinidamente. A partir del 2 de agosto de 2026, las obligaciones del Reglamento (UE) 2024/1689 para sistemas de IA de alto riesgo en salud y educación serán plenamente exigibles en Europa. Los proveedores internacionales que ya aplican ese estándar globalmente reducen la asimetría de exposición en cualquier jurisdicción, incluyendo Argentina.

Notas

(1) Cifras al 7 de junio de 2026. El primer bellwether federal (Breathitt County Board of Education v. Meta et al., N° 4:23-cv-01804, N.D. Cal.) fue acordado el 21 de mayo de 2026 por USD 27 millones antes del juicio previsto para el 15 de junio. El segundo bellwether federal (Fiscalía General) está agendado para el 6 de agosto de 2026.

(2) Garante per la Protezione dei Dati Personali, Provvedimento del 2 febbraio 2023 [9852214], doc. web N° 9852506. Disponible en garanteprivacy.it.

(3) Garante per la Protezione dei Dati Personali, Provvedimento del 10 aprile 2025 (Luka Inc.); Provvedimento del 2 dicembre 2024 (OpenAI, L.L.C.). Ambos disponibles en garanteprivacy.it.

(4) Garcia v. Character Technologies, Inc., et al., 785 F. Supp. 3d 1157 (M.D. Fla. 2025), Caso N° 6:24-cv-01903-ACC-DCI.

(5) Garcia v. Character Technologies, Inc., et al., Joint Notice of Settlement, ECF presentado el 7 de enero de 2026. El expediente completo está disponible en CourtListener: courtlistener.com/docket/69300919. El caso Montoya v. Character Technologies, Inc. es el Caso N° 1:25-cv-02907 (D. Colo., presentado el 15 de septiembre de 2025).

(6) Raine v. OpenAI, Inc., et al., San Francisco County Superior Court, Caso N° CGC-25-628528. Complaint original 26 de agosto de 2025; complaint enmendada 22 de octubre de 2025. Disponible en DocumentCloud. El dato sobre 1,2 millones de usuarios con ideación suicida fue publicado por Wired, noviembre de 2025.

(7) In re: Social Media Adolescent Addiction/Personal Injury Products Liability Litigation, MDL N° 3047, Caso N° 4:22-md-03047-YGR (N.D. Cal.); JCCP N° 5255, Superior Court of California, County of Los Angeles. State of New Mexico v. Meta Platforms, Inc., First Judicial District Court, Santa Fe, NM (veredicto 24 de marzo de 2026; fase 2 bench trial concluida el 22 de mayo de 2026, closing statements al juez debidos el 12 de junio de 2026, resolución pendiente). La primera fase de los bellwethers federales de school districts concluyó con settlement el 21 de mayo de 2026 (Breathitt County, USD 27 M).

(8) Jared Moore et al., estudios de Stanford y RAND sobre LLMs y salud mental, citados en el white paper completo. Moore et al., Stanford University, junio 2025; McBain et al., RAND Corporation, J Med Internet Res, marzo 2025 (DOI: 10.2196/67891).

(9) El patrón probatorio de los casos MDL y JCCP es analizado en Christopher Terry, “Two verdicts in two days: How American courts are rewriting the rules for Big Tech and children”, The Conversation, marzo 2026.

(10) Ley 25.326 (B.O. 2 de noviembre de 2000) y Decreto reglamentario 1558/2001. Para el listado de países adecuados, Agencia de Acceso a la Información Pública, Disposición 60-E/2016.

(11) Ley 26.657 (B.O. 3 de diciembre de 2010); Ley 27.130 (B.O. 8 de abril de 2015); Ley 26.061 (B.O. 26 de octubre de 2005); Ley 26.529 (B.O. 20 de noviembre de 2009). Sobre el cruce entre estos regímenes, Comité de los Derechos del Niño de Naciones Unidas, Observación General N° 25 (2021) sobre los derechos de los niños en relación con el entorno digital.

(12) Agencia de Acceso a la Información Pública, Res. AAIP 161/2023 (B.O. 6 de septiembre de 2023). Guía publicada en octubre de 2024.

(13) Para el detalle comparativo de los proyectos del ex diputado Carro y del ex senador Doñate, IAPP, “Novedades legislativas en Argentina sobre protección de datos personales e inteligencia artificial”, junio 2025. También disponibles por búsqueda en https://www.hcdn.gob.ar/proyectos/detalle_tp_adjunto/index.html?id=284237 y https://www.senado.gob.ar/parlamentario/comisiones/verExp/644.25/S/PL, respectivamente.

(14) Mensaje N° 108/2026 del Poder Ejecutivo Nacional, ingresado al Senado el 18 de abril de 2026. Modifica la Ley 26.657, la Ley 26.827 y los arts. 41, 42 y 59 del Código Civil y Comercial. Primera audiencia informativa el 29 de abril de 2026 (Ministerio de Salud, comunicación oficial).