¿Cuándo se puede decir que ha habido “engaño bastante”?
El problema del “engaño bastante”:
En derecho existe el concepto del “engaño bastante”, cuya apreciación en los casos de fraudes informáticos es esencial. La jurisprudencia entiende el engaño bastante como uno suficiente para provocar error en la víctima y conseguir que esta realice el acto de disposición patrimonial.
En los fraudes informáticos esta valoración adquiere una especial complejidad porque las técnicas empleadas pueden alcanzar un grado de sofisticación muy elevado.
La Audiencia Provincial de Cáceres, en su sentencia nº436/2025 dictada el 22 de mayo de 2025 habla de la “complejidad y grado de perfección que presenta en la actualidad el método de phishing” y que esa complejidad hace que sea difícil detectar el engaño para una persona media. Por tanto, la actual sofisticación deja a un lado la posibilidad de pensar que el consumidor haya incurrido en una falta de diligencia en este sentido.
La evolución tecnológica plantea así una cuestión especialmente interesante. Si antes podía resultar razonable exigir al usuario que detectara determinados indicios de fraude, ¿se le puede exigir el mismo nivel de diligencia cuando el delincuente dispone de herramientas capaces de reproducir una voz, una imagen, una identidad corporativa o incluso una conversación aparentemente normal?
La respuesta no debería consistir en afirmar que cualquier engaño informático es automáticamente bastante. El carácter bastante del engaño continúa dependiendo de las circunstancias concretas.
Lo que sí parece razonable es que la sofisticación tecnológica puede tener una importancia creciente a la hora de valorar la idoneidad del engaño bastante y a su vez mantener la negligencia de la víctima.
Imagen generada con IA
Diferencia entre engaño bastante y negligencia grave:
Aquí se encuentra probablemente una de las claves jurídicas del problema. Que un engaño sea bastante y que la víctima haya actuado con negligencia grave son cuestiones distintas.
Un engaño puede ser suficientemente sofisticado como para provocar error en una persona razonable y, al mismo tiempo, habrá que analizar si la conducta posterior o anterior del usuario fue suficientemente negligente como para atribuirle las consecuencias económicas del fraude.
Por eso, la apreciación de la inteligencia artificial no necesariamente cambia el concepto jurídico de engaño bastante. Lo que puede cambiar son las circunstancias en las que debe valorarse tanto la idoneidad del engaño como el comportamiento que razonablemente podría exigirse a la víctima.
Pensemos, por ejemplo, en una llamada aparentemente del banco en la que se utiliza una voz clonada, se conocen datos personales del cliente y se reproducen elementos habituales de las comunicaciones de la entidad.
En un supuesto así, la pregunta no debería ser únicamente si el cliente debería haberse dado cuenta. También habría que preguntarse qué nivel de diligencia puede razonablemente exigirse a una persona cuando el desarrollo tecnológico permite crear elementos de autenticidad que antes eran mucho más difíciles de imitar.
¿Hacia dónde nos lleva la inteligencia artificial?
Los deepfakes y el resto de herramientas de IA no hacen desaparecer los conceptos jurídicos tradicionales, pero sí pueden obligar, y lo hacen, a reinterpretar su aplicación a situaciones nuevas.
La tecnología puede hacer que un engaño sea más convincente. Y cuanto más convincente sea el engaño, más difícil puede resultar sostener que la víctima actuó de forma gravemente negligente.
Claramente, esto no significa que toda víctima de un fraude informático deba quedar automáticamente protegida frente a cualquier consecuencia económica. Tampoco significa que las entidades bancarias o las empresas deban responder siempre que un tercero consiga engañar a uno de sus clientes.
La cuestión es más compleja: habrá que determinar en cada caso si existió una operación realmente no autorizada, qué medidas de seguridad correspondían a la entidad, cómo se produjo el fraude, qué conducta tuvo el usuario y si esa conducta puede calificarse jurídicamente como negligente en el grado exigido por la normativa aplicable.
En definitiva, la verdadera pregunta que plantea la inteligencia artificial no es tanto si el engaño bastante va a desaparecer, sino qué nivel de diligencia y perspicacia es exigible a una persona cuando la tecnología permite crear engaños cada vez más difíciles de distinguir de la realidad.
Y esta cuestión va a ser cada vez más importante: a medida que la suplantación de identidad se vuelva más sofisticada, la distribución del riesgo entre delincuentes, usuarios, bancos y empresas tendrá que seguir adaptándose a una realidad tecnológica que cambia mucho más rápido que los conceptos jurídicos tradicionales.
