Vender software vulnerable tendrá consecuencias: proponen responsabilizar a los desarrolladores por los ataques informáticos a clientes.
Los compradores están acostumbrados a pagar por las consecuencias de fallos en el código ajeno, pero el Reino Unido ha decidido revisar la distribución habitual de riesgos. En el presupuesto para 2026 el gobierno prometió que en 2027 discutirá cómo abordar las tecnologías inseguras «en el origen» y quién debería asumir la responsabilidad por los ciberataques relacionados con esos productos. Para el mercado de software, esta cuestión se plantea por primera vez a nivel presupuestario.
No se trata todavía de una ley lista ni de pagos automáticos a clientes afectados. Las autoridades aún no han definido el alcance de las empresas, los fundamentos de la responsabilidad ni la forma del futuro régimen. Pueden existir reclamaciones civiles, nuevas obligaciones para los proveedores o una combinación de medidas. La sola promesa de consultas fue el primer paso formal de Londres para revisar el enfoque anterior.
El presupuesto vincula el trabajo futuro con la revisión ya en curso de la ley sobre responsabilidad por productos defectuosos. La Comisión de Derecho de Inglaterra y Gales propuso ampliar el concepto de «producto» a los programas y sistemas de IA independientemente del modo de suministro. Bajo el régimen podrían entrar aplicaciones, software descargable y programas accesibles de forma remota. La ley de 1987 se creó principalmente para bienes físicos.
La comisión también contempla compensaciones por la destrucción o el daño de datos y un mecanismo especial para disputas técnicamente complejas en las que al perjudicado le resulta difícil demostrar el defecto. La consulta se abrió el 8 de octubre de 2026 y permanecerá abierta hasta el 14 de enero de 2027. Se esperan recomendaciones finales a finales de 2027, y el presupuesto vincula directamente a esa revisión la futura discusión sobre la ciberresponsabilidad.
El impulso para la discusión fueron incidentes graves y el creciente coste de las interrupciones para las empresas. Tras un gran ciberataque a Jaguar Land Rover, el Centro de Monitorización Cibernética valoró el daño agregado a la economía británica en 1,9 mil millones de libras. El caso intensificó el debate sobre por qué los costes por paradas, recuperación y fallos en las cadenas de suministro recaen en su mayoría en el comprador de la tecnología.
La Unión Europea ya avanza en una dirección similar por otro mecanismo jurídico. La Ley de Resiliencia Cibernética (Cyber Resilience Act) establece requisitos obligatorios de seguridad para productos digitales y contempla multas de hasta 15 millones de euros o el 2,5 % de la facturación anual mundial por incumplir las normas clave. Los requisitos principales entrarán en vigor en diciembre de 2027, y la obligación de informar sobre vulnerabilidades explotadas está vigente desde septiembre de 2026.
A los desarrolladores británicos aún no se les han impuesto nuevos requisitos obligatorios. El proyecto de ley Cyber Security and Resilience regula sobre todo a los operadores de servicios críticos y a los proveedores, y no a los creadores de software corriente. Las consultas de 2027 deben definir los límites del nuevo enfoque y decidir si el coste del código inseguro puede convertirse en un riesgo jurídico directo para el fabricante.