Des de desembre, el teu programari respon com un producte defectuós.
La Directiva (UE) 2024/2853 fica els programes informàtics dins de la definició de «producte». Això vol dir responsabilitat sense culpa, que no es pot excloure per contracte, i de la qual no exonera que el defecte aparegués després si la causa va ser no publicar una actualització de seguretat. Espanya encara no l'ha transposada.
- 01Des del 9 de desembre de 2026, els programes informàtics són producte a efectes de responsabilitat objectiva. S'aplica al que s'introdueixi al mercat o es posi en servei a partir d'aquella data.
- 02Responsabilitat sense culpa: qui reclama no ha de provar que ho vas fer malament, sinó que el producte no oferia la seguretat que calia esperar.
- 03No es pot excloure ni limitar per contracte davant la persona perjudicada. La clàusula de limitació de responsabilitat del teu contracte no val per a això.
- 04No actualitzar és respondre. No exonera que el defecte aparegués després de vendre si es deu a la manca d'actualitzacions de seguretat i el producte continuava sota el teu control.
- 05Afecta també qui desenvolupa programari per al seu propi ús. I Espanya encara no ha transposat la directiva.
No és una llei d'IA. És la de productes defectuosos, i ara el programari és un producte.
El règim de responsabilitat per productes defectuosos fa quaranta anys que funciona igual: si un producte no ofereix la seguretat que cal esperar i causa un dany, el seu fabricant respon sense necessitat de provar culpa. N'hi havia prou d'acreditar el defecte, el dany i la relació entre tots dos. El que no era clar és si un programa era un producte.
La Directiva (UE) 2024/2853, de 23 d'octubre de 2024, ho tanca a la mateixa definició. El seu article 4, punt 1, diu que producte és «qualsevol bé moble […]; inclou l'electricitat, els arxius de fabricació digital, les matèries primeres i els programes informàtics». No hi ha matisos ni excepcions per tipus de programari: el sistema operatiu, l'aplicació de gestió, el microprogramari d'una màquina i el model que hi ha darrere d'un assistent són producte.
I no només el programari sol. L'article 4, punt 3, crea la figura del servei connex —un servei digital integrat en un producte sense el qual el producte no pot fer alguna de les seves funcions— i el punt 4 el fica dins de la definició de component. El núvol que fa funcionar l'aparell forma part de l'aparell.
La data, i què queda a cada costat
L'article 2.1 és escuet: la directiva «serà aplicable als productes introduïts al mercat o posats en servei després del 9 de desembre de 2026». L'article 21 deroga la Directiva 85/374/CEE amb efectes d'aquella mateixa data, però afegeix que continuarà aplicant-se al que s'hagués introduït abans.
D'aquí surt la conseqüència que convé tenir clara: no hi ha cap apagada, hi ha dos règims convivint durant anys, i el que decideix quin s'aplica és la data en què aquell producte concret —aquella versió concreta— va sortir al mercat.
El que es mou, punt per punt.
A l'esquerra, el règim que decau el 9 de desembre de 2026. A la dreta, el que entra.
| Aspecte | Règim anterior | Des del 9 de desembre de 2026 |
|---|---|---|
| És producte, un programa? | Discutit. No era a la definició. | Sí, expressament — art. 4, punt 1. |
| Serveis connexos i actualitzacions | Fora del quadre. | Component del producte — arts. 4, punts 3 i 4. |
| Defecte sobrevingut | Exonerava: si no existia en comercialitzar, no se'n responia. | No exonera si es deu a programari, a la seva manca d'actualització de seguretat o a un servei connex sota el teu control — art. 11.2. |
| Danys indemnitzables | Mort, lesions i danys a béns d'ús privat, amb franquícia. | El mateix, més dany psicològic reconegut mèdicament i destrucció o corrupció de dades no professionals — art. 6.1. |
| Càrrega de la prova | Íntegra per a qui reclama. | Continua sent seva, però amb presumpcions al seu favor i exhibició forçosa de proves — arts. 9 i 10. |
| Terminis | 3 anys des del coneixement; 10 des de la posada en circulació. | Igual, amb una excepció: 25 anys si la lesió és latent — arts. 16 i 17. |
| Marge del legislador espanyol | Directiva de mínims en alguns punts. | Harmonització màxima — art. 3. No es pot endurir ni suavitzar. |
L'última fila és la que més gent passa per alt. L'article 3 prohibeix als Estats apartar-se de la directiva «incloses disposicions més o menys estrictes». Quan Espanya transposi, no podrà suavitzar res per donar aire al sector: el text que hi ha és el que hi haurà.
No publicar el pedaç és una manera de respondre.
Si t'haguessis de quedar amb un sol article de tota la directiva, és l'11.2.
L'article 11.1, lletra c), manté l'exoneració de sempre: no respons si demostres que «és probable que el caràcter defectuós que hagi causat el dany no existís en el moment en què el producte va ser introduït al mercat […] o que aquest caràcter defectuós s'originés després d'aquell moment». És la defensa clàssica del fabricant: quan va sortir de la meva fàbrica estava bé.
L'apartat 2 la desactiva per al programari. Diu que no en quedes exempt quan el defecte es degui a alguna d'aquestes causes, sempre que estiguin sota el teu control: un servei connex; els programes informàtics, incloses les seves actualitzacions o millores; la manca d'actualitzacions o millores dels programes informàtics necessàries per mantenir la seguretat; o una modificació substancial del producte.
Llegeix-ho a poc a poc, perquè és una inversió completa de la lògica anterior. Abans, el pas del temps et protegia: com més vell el producte, més fàcil sostenir que el problema no venia d'origen. Ara, mentre conservis la capacitat de publicar una actualització —i l'article 4, punt 5, lletra b), defineix «control del fabricant» precisament com la capacitat de subministrar actualitzacions, per tu mateix o mitjançant un tercer—, el temps juga en contra teva. Una vulnerabilitat coneguda i no pedaçada és un defecte del qual respons.
Què implica això a la pràctica
Que el cicle de vida del producte deixa de ser una decisió només comercial. Decidir fins quan es manté una versió, quan es declara el final de suport i com s'avisa qui la fa servir passa a tenir conseqüències de responsabilitat civil. I que la traça importa: si no pots demostrar quan vas saber d'una fallada, quan vas publicar l'arranjament i a qui l'hi vas comunicar, no tens amb què defensar-te.
Convé dir també el que l'article 7.3 aclareix, perquè evita el pànic contrari: un producte no és defectuós pel sol fet que després n'existeixi un de millor, ni perquè hagi sortit una versió posterior. L'obligació és de seguretat, no d'estar sempre a l'última.
Et demanaran la teva documentació, i no ensenyar-la té preu.
La directiva no inverteix formalment la càrrega de la prova, però munta un sistema de presumpcions que a la pràctica s'hi assembla bastant.
L'article 10.1 manté la regla: qui reclama ha de provar el defecte, el dany i el nexe causal. El que canvia és tot el que ve després.
L'article 9 obliga els Estats a garantir que, quan qui reclama presenti fets i proves suficients per fer versemblant la seva demanda, s'exigeixi al demandat exhibir les proves pertinents de què disposi. Hi ha contrapesos —proporcionalitat, protecció de secrets comercials, mesures de confidencialitat—, però l'obligació existeix.
I l'article 10.2, lletra a), tanca el cercle: es presumeix el caràcter defectuós del producte quan el demandat no exhibeix aquestes proves. No és una multa processal: és perdre el plet en el seu punt central.
Hi ha dues presumpcions més que convé conèixer. Es presumeix el defecte quan el dany es va causar per «un mal funcionament manifest del producte durant un ús raonablement previsible» (art. 10.2, lletra c), i el jutge ha de presumir el defecte o el nexe causal quan qui reclama s'enfronti a «dificultats excessives, en particular a causa de la complexitat tècnica o científica» i demostri que és probable que el producte sigui defectuós (art. 10.4). Totes admeten prova en contra (art. 10.5).
La conseqüència operativa és incòmoda però simple: la documentació tècnica que avui tens per a tu, demà és la prova de la teva defensa. Registres de versions, avisos de seguretat, decisions de disseny, proves superades. Si no existeix, la presumpció corre en contra teva.
Més gent de la que sembla, i solidàriament.
| Qui | Quan respon | Base |
|---|---|---|
| El fabricant | Qui desenvolupa, fabrica o produeix el producte. També qui hi posa el seu nom o la seva marca. I qui el produeix per al seu propi ús. | Art. 4, punt 10 |
| El fabricant d'un component | Quan el seu component està integrat o interconnectat sota el control del fabricant del producte i ha causat que aquest sigui defectuós. | Art. 8.1.b |
| Qui modifica substancialment | Qui modifica un producte fora del control del fabricant i després el comercialitza o el posa en servei passa a ser considerat fabricant. | Art. 8.2 |
| Importador i representant autoritzat | Quan el fabricant està establert fora de la Unió. Si no n'hi ha cap, el prestador de serveis logístics. | Art. 8.1.c |
| El distribuïdor | Només si no es pot identificar un operador dels anteriors establert a la Unió i no identifica qui li va subministrar en el termini d'un mes. | Art. 8.3 |
Quan responen diversos, ho fan solidàriament (art. 12.1): qui reclama pot anar a buscar-ne qualsevol pel total, i després aquest repeteix contra els altres (art. 14).
Hi ha una excepció que interessa especialment a qui ven components de programari sent petit. L'article 12.2 impedeix el dret de repetició contra el fabricant d'un component de programa informàtic defectuós quan, en el moment d'introduir-lo al mercat, era microempresa o petita empresa i així es va pactar contractualment amb qui el va integrar. És una protecció real, però només funciona si està escrita al contracte: no opera sola.
La clàusula de limitació de responsabilitat no et cobreix això.
L'article 15 no deixa escletxa: els Estats garantiran que la responsabilitat de l'operador econòmic «no estigui limitada o exclosa, en relació amb la persona perjudicada, per una disposició contractual o pel Dret nacional».
Convé entendre bé l'abast, perquè s'exagera en les dues direccions. No vol dir que els teus contractes deixin de valer: entre tu i el teu client continuen regint, i el repartiment intern del risc entre empreses continua sent teu. El que vol dir és que davant la persona física perjudicada —que sovint no és el teu client, sinó l'empleat del teu client, o el pacient, o qui passava per allà— aquella clàusula és paper mullat.
El límit d'exposició real no el posa el contracte, doncs, sinó quins danys són indemnitzables. I aquí l'article 6.1 acota: mort o lesions corporals, inclòs el dany psicològic reconegut mèdicament; danys a béns, excepte els utilitzats exclusivament amb finalitats professionals; i destrucció o corrupció de dades que no es facin servir amb finalitats professionals.
Llegeix-ho en positiu i sabràs on ets: si el teu programari només toca béns i dades professionals i no pot lesionar ningú, la teva exposició per aquesta via és baixa. Si pot causar un dany personal —salut, seguretat física, vehicles, maquinària, domòtica, qualsevol cosa que arribi a un consumidor— o toca dades personals d'ús privat, hi ets de ple.
Sense transposar, amb el termini a sobre.
L'article 22 dona als Estats fins al 9 de desembre de 2026 per posar en vigor les disposicions necessàries. A Espanya el que s'ha de reformar són els articles 128 a 149 del text refós de la Llei general per a la defensa dels consumidors i usuaris, hereus de la Llei 22/1994, que és on viu avui el règim de la directiva del 1985.
A la data de l'última verificació d'aquest article, no consta norma espanyola de transposició: la fitxa del BOE de la directiva no en registra cap, i el portal de participació pública del ministeri competent per matèria no té oberta cap consulta prèvia sobre això. Pot haver-hi feina en fases que encara no es publiquen; el que es pot afirmar és que a dia d'avui no hi ha text públic.
Que no estigui transposada no ajorna res rellevant per a tu, i aquest és l'error més car que es pot cometre aquí. La data de l'article 2.1 —que la directiva s'aplica als productes introduïts al mercat després del 9 de desembre de 2026— és una data de la directiva, no de la llei espanyola. Un producte que surti al mercat el 10 de desembre neix ja sota el règim nou, i si la llei espanyola arriba tard, això obre discussions sobre efecte directe i interpretació conforme que es resolen en un jutjat i no a la teva planificació.
Dit d'una altra manera: el retard del legislador és un problema per a tu, no una pròrroga.
Quatre coses, i cap és comprar res.
Ordenades pel que costa fer-les davant del que eviten.
Cap de les quatre requereix comprar programari. Tres són d'ordre intern i la quarta és d'advocat. Si algú et ven una eina per «complir la directiva de productes defectuosos», desconfia: no hi ha res a presentar ni cap registre on inscriure's.
El que ens pregunten sempre.
D'on surt cada dada.
Tot el que s'afirma aquí és a l'articulat de la directiva, no en un resum. A sota, les fonts primàries i el registre de canvis.
Nosaltres també posem programari al mercat. Això no ho hem llegit: ens ho estem aplicant.
Mirem què poses al mercat, què diu el teu contracte avui i què caldria canviar abans de desembre. Encara que la conclusió sigui que no et cal res nostre.