Air France 447 convirtió la transferencia de automatización y la recuperación de pérdida en una prueba de responsabilidad en la cabina de vuelo

Resumen

• El vuelo 447 de Air France se perdió el 1 de junio de 2009 con 216 pasajeros y 12 tripulantes después de que unas indicaciones temporales de velocidad no fiable, probablemente causadas por la obstrucción de las sondas pitot por cristales de hielo, provocaran la desconexión del piloto automático y del autoempuje a gran altitud sobre el Atlántico.
• La desconexión fue el evento iniciador, no una explicación causal completa. La investigación francesa de seguridad encontró una cadena que incluía entradas manuales desestabilizadoras, fallo en la aplicación del procedimiento de velocidad no fiable, reconocimiento tardío de la desviación de la trayectoria de vuelo, fallo en identificar la aproximación y continuación de una pérdida, limitaciones de formación, características de las indicaciones y alertas en la cabina, debilidades en la retroalimentación del operador, y cuestiones de certificación y supervisión.
• Nueve eventos anteriores de velocidad no fiable habían sido reportados en aviones A330 y A340 de Air France entre mayo de 2008 y marzo de 2009. Air France había decidido reemplazar las sondas pertinentes, y el primer avión había sido modificado, pero el F-GZCP no. Ese historial establece un aviso organizativo de una familia de peligros recurrentes; no prueba por sí mismo que la secuencia fatal precisa fuera predicha o atribuible legalmente.
• La búsqueda de dos años y cinco fases finalmente recuperó las grabadoras de vuelo desde unos 3.900 metros de agua. Esa recuperación cambió la evidencia disponible de mensajes automatizados escasos y restos a una reconstrucción segundo a segundo. Es una lección central de responsabilidad: las instituciones no pueden aprender de manera fiable de eventos que no pueden localizar, preservar y reproducir.
• La investigación del BEA fue una investigación de seguridad y no asignó responsabilidad civil o penal. Un juicio de 2023 absolvió a Air France y Airbus. El 21 de mayo de 2026, el Tribunal de Apelación de París revocó ese resultado y condenó a ambas empresas por homicidio involuntario, imponiendo una multa de 225.000 euros a cada una. Airbus anunció oficialmente un recurso de casación, y reportajes contemporáneos indicaron que Air France también apelaría. Por lo tanto, las condenas fueron sentencias de apelación sujetas a revisión adicional, no resultados penales finales, en la fecha de corte de la evidencia del 17 de julio de 2026.
• Las reparaciones más sólidas no son declaraciones de que las tripulaciones fueron reentrenadas o el equipo fue cambiado. Son registros duraderos: tendencias de fiabilidad de las sondas, escenarios de simulador con sorpresa y señales degradadas, rendimiento medido de reconocimiento y recuperación, matrices de prueba de transición de modo, evidencia de cierre de informes de seguridad, aceptación del regulador, rendimiento de seguimiento de aeronaves, capacidad de recuperación de grabadoras, y revisión a nivel de junta del riesgo residual.

El límite probatorio

Este caso contiene varios tipos de afirmaciones que no deben fusionarse entre sí.

Un hecho confirmado del evento es que el Airbus A330-203 registrado F-GZCP desapareció durante el servicio de Río de Janeiro a París y que murieron las 228 personas a bordo. Un hallazgo técnico es la conclusión del Bureau d'Enquetes et d'Analyses pour la securite de l'aviation civile, o BEA, después de examinar los restos, los datos de la grabadora, los registros de mantenimiento, las operaciones, el material de certificación, la formación y los factores humanos. Una recomendación de seguridad es una propuesta preventiva, no una determinación de culpa.

Una sentencia judicial determina la responsabilidad penal según la ley y las reglas de prueba del tribunal; no es un informe de accidente sustituto. Una declaración de la empresa registra lo que la empresa dice que hizo o tiene la intención de hacer, pero no es una prueba independiente de que un control funcionó. Un juicio analítico conecta esos registros con una pregunta de responsabilidad. Una incertidumbre identifica lo que el registro público aún no puede establecer.

Esa separación importa porque el vuelo 447 a menudo se ha comprimido en una historia sobre pilotos tirando hacia arriba cuando deberían haber empujado hacia abajo, o en una historia sobre sensores defectuosos. Ambas descripciones aíslan partes reales de la secuencia y oscurecen el sistema que hizo que esas partes fueran consecuentes. El informe final del BEA no respalda una explicación de causa única. Tampoco la existencia de una condena penal permite que cada hallazgo de seguridad se reconvierta en una conclusión legal.

La evidencia utilizada aquí está congelada al 17 de julio de 2026. El material oficial público divulgado en torno a la sentencia de apelación de 2026 establece las condenas, las multas, la cronología procesal y un resumen de las faltas que el tribunal de apelación dijo que retenía. La sentencia de apelación motivada completa no se localizó en el registro oficial público citado. Por lo tanto, las afirmaciones detalladas sobre cómo el tribunal sopesó cada hecho técnico siguen limitadas al material resumido oficial o se identifican como reportajes secundarios. Los procedimientos de casación seguían sin resolverse en la fecha de corte.

Un sistema que cambió de carácter en segundos

En crucero, el A330 no era simplemente mantenido en una línea recta por un solo piloto automático. Los sensores de datos de aire suministraban velocidad y otros parámetros a las computadoras. Las leyes de control de vuelo traducían las órdenes del mando lateral del piloto en respuesta de la aeronave y, en ley normal, incluían protecciones. Los directores de vuelo mostraban guía. El autoempuje controlaba el empuje del motor dentro de su modo. Los pilotos supervisaban esa combinación mientras gestionaban el clima, la navegación, las comunicaciones y el descanso.

Las sondas pitot medían la presión utilizada para derivar la velocidad aerodinámica. En ciertas condiciones convectivas de gran altitud, los cristales de hielo podían obstruir temporalmente las sondas y hacer que los valores de velocidad discreparan o se volvieran inválidos. La respuesta del sistema automático a datos incoherentes incluía la desconexión del piloto automático y del autoempuje y la reversión de los controles de vuelo de ley normal a ley alternativa. Esas transiciones eran protectoras en un sentido: la automatización no debería seguir comandando la aeronave con datos en los que ya no confía.

Pero también transfirieron un difícil problema de control y diagnóstico a la tripulación durante la noche, en turbulencias, cerca de la parte superior del envolvente de vuelo, con señales contradictorias o desaparecidas.

El problema de responsabilidad comienza allí. Una transferencia no tiene éxito simplemente porque el sistema automatizado deje de usar datos sospechosos. Tiene éxito solo si el equipo humano receptor puede comprender rápidamente lo que ha cambiado, estabilizar el vehículo, identificar el procedimiento aplicable, coordinar la acción y distinguir las indicaciones fiables de las consecuencias de la falla inicial. El registro del BEA muestra que esas condiciones no se alinearon.

La aeronave permaneció receptiva a las entradas de control. Los motores continuaron funcionando. La inconsistencia inicial de velocidad fue temporal. Sin embargo, las entradas manuales inmediatamente después de la desconexión aumentaron el cabeceo e iniciaron un ascenso. La aeronave se alejó de su condición estable anterior, perdió velocidad, se aproximó a la pérdida y entró en una pérdida sostenida que la tripulación no diagnosticó formalmente. Esta diferencia entre el comportamiento del componente y el resultado del sistema es esencial. Las sondas iniciaron el problema de datos;

el sistema total hombre-máquina-operacional determinó si ese problema seguiría siendo una perturbación manejable.

Historial de advertencias antes del accidente

El vuelo fatal no ocurrió en un contexto sin señal previa. El BEA documentó nueve eventos de velocidad no fiable en aviones A330 y A340 de Air France entre mayo de 2008 y marzo de 2009. Los informes no eran réplicas idénticas del vuelo 447. Su duración, clima, respuesta de la aeronave, entradas de la tripulación y consecuencias operativas variaban, y ninguno proporciona un contrafactual controlado para el accidente. Sin embargo, establecieron una familia de peligros recurrentes dentro de la propia flota del operador.

Air France y Airbus discutieron los eventos. En una reunión técnica el 24 de noviembre de 2008, Air France buscó la causa y una solución y planteó una sonda alternativa. En abril de 2009, Airbus describió los cristales de hielo como un fenómeno no considerado durante el desarrollo de la sonda original e indicó que otro tipo de sonda parecía más robusto, mientras ofrecía una evaluación en servicio. Air France decidió reemplazar las sondas en toda su flota A330 y A340. Se emitió un documento interno el 27 de abril; el primer lote llegó a finales de mayo; el primer avión fue modificado el 30 de mayo.

F-GZCP aún llevaba las sondas anteriores cuando partió de Río al día siguiente.

Estos son hallazgos de la investigación sobre la secuencia y el conocimiento organizativo. Apoyan el juicio de que el operador y el fabricante sabían de anomalías temporales recurrentes de velocidad y estaban trabajando en una respuesta de hardware. No establecen que una acción de aeronavegabilidad obligatoria ya hubiera requerido el reemplazo, que la cadena precisa de pérdida de control del vuelo 447 fuera prevista, o que el reemplazo de la sonda fuera la única barrera disponible.

La directiva posterior de la Agencia Europea de Seguridad Aérea describió la modificación como preventiva y señaló que las pruebas no habían reproducido el problema dentro del envolvente de certificación entonces definido. Esa salvedad es importante: la evidencia de un patrón de campo peligroso puede superar la reproducción en laboratorio, mientras que la ausencia de reproducción no hace desaparecer los informes de campo.

Los eventos anteriores también expusieron un problema de retroalimentación. Un sistema de notificación de seguridad puede contar eventos sin convertirlos en un modelo de riesgo operativamente útil. Las preguntas relevantes no eran solo si una sonda podía congelarse, sino qué veían los pilotos en la transición, qué alertas aparecían, si se reconocía y seguía el procedimiento de velocidad no fiable, cómo se comportaban los directores de vuelo, cómo evolucionaban las entradas del mando lateral y el reparto de tareas, y si una tripulación a gran altitud había practicado recientemente el problema de vuelo manual resultante.

El BEA concluyó que los mecanismos de retroalimentación del operador no habían asegurado que la no aplicación repetida del procedimiento de velocidad no fiable fuera identificada y corregida, o que el modelo de riesgo de las tripulaciones fuera adecuado.

Cronología antes de la transferencia

El vuelo AF447 salió de Río de Janeiro el 31 de mayo de 2009 a las 22:29 UTC. El destino previsto era París Charles de Gaulle. La aeronave transportaba 216 pasajeros de 32 nacionalidades y 12 tripulantes. Tres pilotos tripulaban el vuelo de larga distancia, lo que permitía al capitán tomar un descanso programado mientras dos copilotos ocupaban la cabina de vuelo.

El último contacto de radio de rutina ocurrió alrededor de las 01:35 UTC. El vuelo se aproximó entonces a una banda de clima convectivo ecuatorial. Otras aeronaves en la región hicieron ajustes de ruta, pero la evidencia no respalda tratar la evitación del clima por sí sola como la causa raíz. La nube convectiva proporcionó las condiciones ambientales asociadas con cristales de hielo y turbulencias; no ordenó las entradas de control posteriores, diseñó las advertencias, redactó los procedimientos ni determinó el sistema de formación.

Aproximadamente a las 02:10 UTC, la aeronave estaba cerca de 35.000 pies, con una velocidad aerodinámica calibrada registrada cerca de 282 nudos y Mach 0,82. El capitán estaba fuera de la cabina. El piloto a los mandos y el piloto de monitoreo gestionaban el vuelo en la oscuridad y con turbulencias. La secuencia registrada que siguió duró aproximadamente cuatro minutos y veintitrés segundos.

A las 02:10:05, las velocidades se volvieron inconsistentes. El BEA determinó que la obstrucción de las sondas pitot por cristales de hielo era la causa probable. El piloto automático se desconectó. Los controles de vuelo cambiaron de ley normal a ley alternativa, y el autoempuje también se desconectó. La cabina generó varios cambios auditivos y visuales en rápida sucesión. No hubo un solo mensaje central que dijera explícitamente que las fuentes de velocidad discrepaban y dirigiera a la tripulación a un diagnóstico.

En cambio, la tripulación vio y escuchó consecuencias del sistema: pérdida de automatización, reversión de ley, guía cambiante e indicaciones de velocidad que se volvieron inconsistentes.

Este es el desencadenante iniciador. Es un hallazgo técnico de alta confianza, no una afirmación de que las sondas por sí solas causaron las muertes. Un análisis de responsabilidad sólido preserva la diferencia.

Cuatro minutos y veintitrés segundos

En segundos de la desconexión, el piloto a los mandos realizó entradas de mando lateral de morro arriba y laterales alternas. El cabeceo aumentó de aproximadamente dos grados a unos once grados, y la aeronave comenzó un ascenso rápido. Los directores de vuelo desaparecieron y reaparecieron más tarde. Las indicaciones de velocidad divergieron y cambiaron. Una alarma de pérdida sonó brevemente.

La lógica estabilizadora estándar para velocidad no fiable era mantener o establecer un cabeceo y empuje apropiados mientras se diagnosticaban las indicaciones. La tripulación no hizo la conexión entre los valores de velocidad perdidos o inconsistentes y el procedimiento de velocidad no fiable. El piloto de monitoreo reconoció la desviación de la trayectoria de vuelo tarde, y la respuesta correctiva fue insuficiente. La aeronave ascendió por encima de su altitud de crucero autorizada y perdió energía.

Aproximadamente a las 02:10:51, la alarma de pérdida sonó nuevamente al aumentar el ángulo de ataque. El piloto a los mandos seleccionó empuje de despegue/remisión, pero la actitud de cabeceo permaneció alta y las órdenes de morro arriba continuaron. La aeronave alcanzó una altitud máxima registrada cerca de 37.900 pies y luego comenzó a descender. Un ajuste de alto empuje por sí solo no puede recuperar una aeronave mantenida en un ángulo de ataque excesivo; reducir el ángulo de ataque es fundamental.

El capitán regresó a la cabina después de que se hubiera desarrollado la pérdida. Para entonces, la tripulación enfrentaba una aeronave descendiendo rápidamente en la oscuridad, con información de velocidad contradictoria, advertencias intermitentes, múltiples entradas de control y ningún diagnóstico compartido. La tripulación no anunció ni ejecutó claramente una recuperación de pérdida.

El comportamiento de la advertencia agregó una característica contraintuitiva. A ángulo de ataque muy alto y velocidad calculada muy baja, los valores de ángulo de ataque podían tratarse como inválidos y la alarma de pérdida podía detenerse. Una entrada de morro abajo podía hacer que los valores volvieran a ser válidos y reactivar la alarma. Por lo tanto, una entrada que movía la aeronave hacia la recuperación podía ir acompañada del regreso de la alarma, mientras que el estado de pérdida profunda podía coincidir con el silencio. El BEA no concluyó que esta lógica forzara mecánicamente las acciones de la tripulación.

Sí identificó el entorno de advertencia e indicación como parte de la dificultad para reconocer y comprender la pérdida.

El registro de datos de vuelo terminó a las 02:14:28. El cabeceo registrado permaneció a unos 16 grados de morro arriba, la tasa de descenso era de aproximadamente 10.900 pies por minuto, y la aeronave impactó el océano. No hubo una fase de accidente sobrevivible ni tiempo para una transmisión de socorro organizada una vez que comenzó la secuencia. Los mensajes de mantenimiento automatizados enviados entre las 02:10 y las 02:15 se convirtieron en los primeros rastros técnicos disponibles para los investigadores.

No se necesita citar el habla de la cabina para establecer esta secuencia. Los parámetros de datos de vuelo, la reconstrucción sincronizada del BEA y su análisis de factores humanos proporcionan la evidencia necesaria sin convertir los momentos finales de la tripulación en un espectáculo.

Desencadenante, cadena causal y condiciones raíz

El desencadenante fue una velocidad medida temporalmente inconsistente, probablemente por obstrucción de la sonda pitot por cristales de hielo, seguida de desconexión automática y un cambio de ley de control. Ese desencadenante fue grave pero potencialmente manejable.

La cadena causal inmediata fue la desestabilización de la trayectoria de vuelo mediante entradas de control inapropiadas; fallo en asociar la anomalía de velocidad con el procedimiento relevante; monitoreo tardío y corrección insuficiente; fallo en identificar la aproximación a la pérdida; ausencia de una respuesta inmediata a la pérdida; y fallo en diagnosticar y recuperar de la pérdida sostenida. Estas son paráfrasis de los hallazgos de seguridad del BEA, no hallazgos penales sobre culpabilidad individual.

Las condiciones raíz más profundas estaban distribuidas. La susceptibilidad del equipo hizo posibles los datos incorrectos. La interfaz presentó consecuencias sin un diagnóstico suficientemente directo. La desaparición y reaparición del director de vuelo complicó la gestión de señales. La ley alternativa cambió la relación entre la entrada del piloto y la protección en un momento en que la tripulación ya estaba sorprendida. La lógica de validez de la alarma de pérdida podía hacer que la presencia de la alarma y la gravedad física divergieran.

La formación no proporcionó a las tripulaciones de larga distancia una experiencia robusta y recurrente en vuelo manual a gran altitud, reconocimiento de velocidad no fiable, señales de aproximación a pérdida, o recuperación de una pérdida desarrollada. La fidelidad del simulador y la filosofía de formación limitaban lo que podía ensayarse. La coordinación de la tripulación se debilitó bajo la sorpresa, la saturación de tareas y un modelo compartido poco claro. La retroalimentación del operador no transformó eventos anteriores en una combinación suficientemente efectiva de hardware, procedimiento, formación y monitoreo antes del accidente.

Los supuestos de certificación no capturaron completamente el entorno de cristales de hielo a gran altitud ni las consecuencias operativas de la secuencia de fallo combinada.

Llamar a todo esto "causas raíz" puede hacer que la responsabilidad sea vaga. Una formulación más útil es que cada institución poseía una barrera diferente:

Esta asignación no borra la agencia de la tripulación. Los pilotos siguen siendo responsables de volar, monitorear, comunicar y aplicar procedimientos. Explica las condiciones que las instituciones deben crear si esa responsabilidad ha de ser significativa en lugar de retrospectiva. Una tripulación no puede practicar un escenario que el sistema de formación omite, no puede inspeccionar una regla de advertencia que la documentación no explica, y no puede rediseñar independientemente un estándar de calificación de sensores.

La indicación no era lo mismo que la comprensión

Las cabinas modernas pueden presentar muchas alertas y aun así no comunicar el problema principal. En el vuelo 447, la automatización se desengachó según lo diseñado cuando los datos se volvieron no fiables, pero no se le dio a la tripulación una declaración única, persistente y de alto nivel que uniera el evento. El problema central no fue una ausencia total de información. Fue la conversión de múltiples cambios en un modelo mental correcto bajo presión de tiempo.

La pérdida de automatización en sí misma aumentó la carga de trabajo. La ley alternativa eliminó las protecciones de la ley normal y alteró las características de manejo. Los directores de vuelo no permanecieron consistentemente ausentes después del problema de datos. Su retorno podía conferir autoridad aparente a una guía generada en un entorno de datos inestable. Los mandos laterales de los pilotos no estaban vinculados mecánicamente, por lo que un piloto no sentía la entrada del otro a través de una columna de control en movimiento.

La cabina proporcionaba indicaciones visuales y auditivas de entradas duales, pero esas señales tenían que competir con el resto del evento.

La alarma de pérdida era una capa adicional en lugar de un diagnóstico decisivo. Las tripulaciones habían encontrado advertencias cortas tipo molestia en algunos eventos anteriores de velocidad no fiable. Las condiciones detalladas bajo las cuales la advertencia se detenía y reanudaba no eran parte normal del conocimiento del piloto. Cuando la aeronave entraba en una región donde los datos de ángulo de ataque se trataban como inválidos, la advertencia cesaba aunque la pérdida aerodinámica continuara. Por lo tanto, el sistema no proporcionaba una relación monótona simple entre peligro y alarma.

Sería una alegación, no un hecho establecido, decir que una alerta única diferente habría salvado ciertamente la aeronave. La respuesta humana no puede reproducirse en condiciones alteradas. Sin embargo, es un juicio de seguridad defendible que la interfaz debería hacer que el estado de más alto nivel sea más fácil de reconocer: velocidad no fiable, ley de control cambiada, tendencia de la trayectoria de vuelo, ángulo de ataque excesivo y la prioridad de reducir el ángulo de ataque. La prueba adecuada son pruebas comparativas con humanos en el bucle, incluyendo tripulaciones que no saben cuándo ocurrirá el evento.

Formación, sorpresa y coordinación del equipo

En el momento del accidente, el vuelo manual a gran altitud y la recuperación de pérdida desarrollada no eran temas robustos de formación recurrente para esta operación de larga distancia. Las demostraciones de transición de tipo se realizaban generalmente a menor altitud, con énfasis en prevenir la pérdida y minimizar la pérdida de altitud. La documentación operativa no aseguraba que las tripulaciones entendieran la lógica completa de advertencia o hubieran experimentado repetidamente la combinación de velocidad no fiable, pérdida de automatización, ley alternativa, turbulencias, guía ambigua y gestión de energía a gran altitud.

Las omisiones de formación no significan que los pilotos carecieran de conocimientos relevantes. Eran profesionales licenciados y calificados, y se aplicaban principios aerodinámicos básicos. La cuestión de responsabilidad es si el sistema de formación hacía que esos principios fueran recuperables y ejecutables durante un evento raro, sorprendente y no normal. El reconocimiento bajo sorpresa es una capacidad diferente a responder una pregunta en el aula o completar una maniobra guionizada después de que un instructor la anuncie.

La ausencia temporal del capitán estaba permitida por los arreglos operativos de larga distancia. El problema no era el descanso como tal, sino la resiliencia durante el período de relevo: distribución de experiencia, reparto de tareas entre los dos copilotos, criterios y urgencia para llamar al capitán, y la capacidad del capitán que regresa para adquirir un modelo correcto desde una cabina saturada. El capitán regresó, pero la tripulación nunca formó y verbalizó un diagnóstico compartido estable de una pérdida sostenida.

La gestión de recursos de la tripulación a veces se invoca como una cura general. Eso es demasiado vago. Un control práctico requeriría llamadas explícitas sobre el estado de la aeronave, parámetros fiables frente a no fiables, estado de la ley de control, quién tiene el control, objetivos de cabeceo y empuje, tendencia de la trayectoria de vuelo y la condición para abandonar las órdenes del director de vuelo. El piloto de monitoreo necesita tanto autoridad como lenguaje practicado para desafiar las entradas desestabilizadoras.

El piloto a los mandos necesita una respuesta entrenada que comience con la estabilización, no una persecución improvisada de indicaciones sospechosas. El capitán que regresa del descanso necesita una transferencia comprimida y estructurada en lugar de fragmentos.

Más tarde, la regulación y las guías de formación avanzaron hacia la formación en prevención y recuperación de perturbaciones, incluyendo vuelo manual a gran altitud y escenarios de pérdida en simuladores calificados. Esos cambios abordan la familia de peligros, pero la publicación de una regla no es prueba de efectividad a nivel del operador. La cadena de evidencia debería continuar a través del diseño del plan de estudios, la calificación del simulador, la estandarización del instructor, los resultados de escenarios de sorpresa, el análisis de fallos recurrentes, la formación remedial y el muestreo independiente.

La responsabilidad organizativa de Air France

Air France controlaba la configuración de la flota, las instrucciones de mantenimiento, los procedimientos operativos, la formación de la tripulación, la programación, la notificación de seguridad, el análisis de precursores y la velocidad con la que se implementaban las mitigaciones voluntarias. No controlaba cada decisión de diseño o certificación anterior, pero poseía la integración de esos elementos en su operación.

La decisión de reemplazo de sonda antes del accidente muestra que el operador estaba actuando sobre el problema. También revela el valor de responsabilidad del momento de implementación. Una decisión que no ha llegado a una aeronave particular aún no es un control sobre esa aeronave. Por lo tanto, el registro debe distinguir entre aprobación, adquisición, inicio de instalación, finalización de flota y rendimiento posterior al cambio verificado. Para F-GZCP, el reemplazo no había ocurrido.

Después del accidente, Air France informó varias medidas de gobernanza de seguridad, incluyendo la revisión externa Trajectoire, cambios en la cultura de seguridad y la notificación, un comité de seguridad de vuelo del consejo y un trabajo más amplio de gestión de seguridad. Esas son afirmaciones de primera parte. Son relevantes porque identifican cambios de gobernanza previstos, pero no establecen independientemente que los controles evitaron la recurrencia.

Los volúmenes agregados de notificación muestran igualmente el uso de un canal de notificación, no necesariamente la calidad de la clasificación de riesgos, la acción correctiva o el cierre.

La responsabilidad duradera del operador es demostrar que los eventos precursores están vinculados. Nueve informes de velocidad no fiable no deberían seguir siendo nueve archivos aislados. Deberían convertirse en un peligro de flota con un propietario ejecutivo responsable, estimación de exposición, controles operativos provisionales, decisión de hardware, decisión de formación, notificación al regulador, fecha límite de finalización y prueba de efectividad. Si las tripulaciones no aplican repetidamente un procedimiento, la respuesta no puede detenerse en recordarles que cumplan.

El operador debe probar si el procedimiento es localizable, inteligible, entrenado, compatible con las señales y ejecutable al nivel de carga de trabajo real.

Responsabilidad del fabricante y de la certificación

Airbus controlaba la integración a nivel de aeronave: la interacción de sensores, computadoras, sistemas automáticos, leyes de control, advertencias, comportamiento del director de vuelo, procedimientos y supuestos de formación. Los proveedores de equipos controlaban el diseño de la sonda dentro de su alcance. La EASA y otras autoridades controlaban las decisiones de certificación y aeronavegabilidad continuada dentro de sus jurisdicciones.

La certificación se basa necesariamente en entornos y combinaciones de fallos definidos. El vuelo 447 demostró el riesgo cuando las condiciones operativas caen fuera, o exponen limitaciones en, esas definiciones. La directiva posterior al accidente de la EASA exigió la eliminación de un estándar de sonda y cambios en ciertas configuraciones, mientras describía la acción como preventiva. Este registro debe leerse con precisión. Apoya una respuesta de configuración obligatoria a una condición insegura identificada.

No prueba que las pruebas previas al accidente hubieran reproducido el evento fatal o que la sonda original fallara todos los requisitos de certificación entonces vigentes.

La aeronavegabilidad continuada debe cerrar esa brecha. Una vez que se acumulan los informes de campo, la cuestión práctica ya no es si la prueba original puede repetirse exactamente. Es si la combinación de frecuencia, potencial de gravedad, confusión operativa y alternativas disponibles justifica una acción provisional. Esa decisión necesita un umbral de riesgo escrito y un reloj. De lo contrario, los estudios del fabricante, los ensayos del operador, los cambios del proveedor y la deliberación de la autoridad pueden ser razonables de forma aislada mientras la flota permanece expuesta.

Los factores humanos a nivel de aeronave también pertenecen a la evidencia de certificación. Una prueba de reversión de modo exitosa no debería preguntar solo si las luces correctas se iluminaron o si la aeronave permaneció controlable por un piloto de pruebas experto que esperaba el evento. Debería preguntar si tripulaciones de línea representativas, sin advertencia previa, identifican correctamente los datos no fiables, suprimen la guía engañosa, estabilizan el cabeceo y el empuje, coordinan y se recuperan antes de que la trayectoria de vuelo se vuelva insegura.

La matriz de prueba debería incluir noche, turbulencias, gran altitud, diferentes parejas de tripulación, valores de sensor inválidos y en recuperación, transiciones repetidas de alerta y condiciones de entrada dual.

Las partes afectadas

Las víctimas directas fueron los 216 pasajeros y 12 tripulantes. Sus familias y comunidades soportaron la pérdida permanente, la incertidumbre prolongada durante la búsqueda, los procesos de identificación, los procedimientos legales y la repetición pública de los momentos finales. El hecho de que los pilotos fueran actores operativos no los elimina del grupo de víctimas ni justifica reducir el evento a un error personal.

El personal de búsqueda y rescate también enfrentó un trabajo difícil y peligroso a través de una vasta área oceánica y a profundidad extrema. Agencias públicas, Air France, Airbus, instituciones científicas, activos navales, contratistas y especialistas contribuyeron con recursos. El BEA informó que cinco fases de búsqueda durante dos años costaron más de 30 millones de euros. Esa es una estimación administrativa oficial del esfuerzo de búsqueda, no una estimación integral del costo económico o social del desastre.

El grupo afectado más amplio incluye a los pasajeros y tripulaciones actuales y futuros cuya seguridad depende de que las lecciones sobrevivan a la rotación de personal y los cambios de flota. Operadores y fabricantes de toda la industria absorbieron nuevas expectativas de formación, seguimiento, grabadoras y equipos. Los reguladores tuvieron que decidir qué lecciones requerían acción obligatoria y cuáles seguían siendo orientación. Esas cargas son consecuencias legítimas de la prevención, pero deben medirse para que el cumplimiento no se convierta en un sustituto de la efectividad.

El remedio tiene varias formas. Las familias pueden buscar reconocimiento, compensación y adjudicación. El derecho penal puede declarar la culpa institucional e imponer castigo. La investigación de seguridad puede identificar cambios preventivos. La regulación puede cambiar los controles mínimos. Las empresas pueden proporcionar apoyo y reformar operaciones. Ninguno es intercambiable. Una multa no restaura una vida; la compensación no prueba un control de formación; una recomendación no determina la culpa; y un programa de seguridad de la empresa no resuelve reclamaciones legales.

Búsqueda, recuperación y el derecho a una evidencia fiable

Durante casi dos años, las grabadoras decisivas estuvieron desaparecidas. La primera búsqueda comenzó el 1 de junio de 2009. Entre el 6 y el 18 de junio, los equipos recuperaron restos flotantes y los restos de 50 personas. Siguieron búsquedas acústicas de las balizas de localización subacuáticas, y campañas adicionales utilizaron un análisis cada vez más refinado de deriva, rendimiento de la aeronave y probabilidad de cobertura de búsqueda anterior.

La cuarta fase principal de búsqueda marina comenzó en marzo de 2011. El 3 de abril, se localizó el campo de restos a unas 6,5 millas náuticas al norte de la última posición conocida a unos 3.900 metros de profundidad. La grabadora de datos de vuelo fue encontrada el 1 de mayo y recuperada al día siguiente. La grabadora de voces de cabina fue recuperada el 3 de mayo. El BEA anunció que los datos podían leerse el 13 de mayo. Bajo autoridad judicial, la operación de recuperación también sacó a la superficie restos adicionales para su identificación.

Antes de las grabadoras, los investigadores tenían mensajes de mantenimiento automatizados, datos meteorológicos, restos, registros operativos y evidencia de eventos anteriores. Esas fuentes apoyaban hipótesis pero no podían establecer la secuencia de control. La recuperación de las grabadoras transformó el caso. Refutó algunas especulaciones, reveló la pérdida sostenida, sincronizó advertencias y entradas, y permitió recomendaciones basadas en la cadena real.

Esa historia hace que la recuperabilidad de la evidencia sea un control de seguridad sustantivo, no una ocurrencia administrativa tardía. Un sistema responsable debería ser capaz de localizar una aeronave en peligro rápidamente, preservar suficiente duración de grabación, mantener dispositivos de localización efectivos para el intervalo de búsqueda probable, y recuperar o transmitir datos críticos. Las normas europeas posteriores extendieron la duración de los localizadores subacuáticos y reforzaron los requisitos de grabadoras y seguimiento para poblaciones de aeronaves definidas.

El requisito de seguimiento autónomo de emergencia de la OACI, aplicable a ciertas aeronaves grandes de nueva certificación a partir de 2024, añade transmisión de posición cada minuto en emergencia. Estos son avances importantes, pero sus alcances y fechas de efectividad importan. No equipan retroactivamente todas las aeronaves ni garantizan la recuperación en todos los entornos.

La métrica duradera no es si existe una regla. Es el tiempo desde el evento anormal hasta la última posición de confianza, la probabilidad de que una baliza funcione durante la ventana de búsqueda esperada, la supervivencia de la grabadora, la disponibilidad de activos de recuperación, el éxito en la lectura de datos y la frecuencia de ejercicios de extremo a extremo. La información pública debería dejar claro qué segmentos de flota están cubiertos y cuáles permanecen fuera de los requisitos más nuevos.

Investigación de seguridad y adjudicación penal

El BEA afirma repetidamente que una investigación de seguridad tiene como objetivo prevenir accidentes futuros y no atribuye culpa ni responsabilidad. Sus informes pueden proporcionar evidencia a otros procesos, pero su lenguaje causal no debe tratarse como un veredicto penal. Esa separación institucional protege el análisis de seguridad sincero y preserva las distintas pruebas legales aplicadas por los tribunales.

El camino judicial fue largo. Los jueces instructores emitieron una decisión de no procesar en 2019. En 2021, la sala de instrucción ordenó que Air France y Airbus fueran juzgados, y el Tribunal de Casación no admitió las impugnaciones de las empresas a esa remisión. El tribunal penal de París absolvió a ambas empresas el 17 de abril de 2023. El fiscal general apeló.

Tras las audiencias de apelación del 29 de septiembre al 27 de noviembre de 2025, el Tribunal de Apelación de París dictó sentencia el 21 de mayo de 2026. Su documento oficial de puntos clave establece que Air France y Airbus fueron condenadas por homicidio involuntario y multadas con 225.000 euros cada una, el máximo legal indicado en el documento. Esta es una conclusión judicial, no una alegación. Revocó la absolución de 2023.

La firmeza es una cuestión separada. Airbus anunció que recurriría ante el Tribunal de Casación. Reportajes contemporáneos dijeron que Air France también tenía la intención de hacerlo. Un recurso de casación revisa la validez legal en lugar de realizar un nuevo juicio fáctico completo. En la fecha de corte del 17 de julio de 2026, el resultado no estaba resuelto. Por lo tanto, sería inexacto describir las condenas como más allá de una revisión adicional.

El material oficial del tribunal de apelación accesible al público es conciso. Proporciona puntos clave y una declaración resumida de las faltas retenidas, pero no es la sentencia motivada completa. Esa distinción importa porque un resumen público breve puede confirmar la existencia de condenas, multas, fechas procesales y categorías amplias de falta sin respaldar una reconstrucción página por página del razonamiento legal del tribunal.

Los relatos secundarios describen al tribunal identificando fallos de las empresas relacionados con información, formación y el manejo del riesgo relacionado con las sondas, pero esas descripciones no deben elevarse por encima del registro oficial. La declaración sólida es más estrecha: el tribunal de apelación condenó a ambas empresas demandadas e impuso las multas indicadas; tanto el alcance público del razonamiento detallado como el proceso de casación pendiente limitan la interpretación final.

El remedio civil también es solo parcialmente visible. Una decisión del Tribunal de Casación de 2015 sobre compensación provisional confirmó un fallo que trataba la responsabilidad por encima del umbral del Convenio de Montreal como seriamente controvertida en esa etapa procesal. No determinó la compensación final de cada familia ni publicó los términos de los acuerdos privados. Por lo tanto, cualquier estimación de compensación total sería especulativa.

Qué cambiaron los remedios y qué no pudieron cambiar

La acción de hardware fue directa. Air France completó los cambios de sonda, y la directiva de aeronavegabilidad de la EASA de 2009 ordenó cambios de configuración para las flotas A330 y A340 afectadas. Una configuración de sonda diferente reduce un riesgo iniciador. No aborda todas las causas en la secuencia y no puede eliminar todos los eventos de datos de aire no fiables.

La acción de formación se amplió. La EASA promovió la formación de vuelo manual a gran altitud y, más tarde, las normas europeas incorporaron la formación en prevención y recuperación de perturbaciones en las vías de piloto profesional y habilitación de tipo. Se esperaba que los simuladores de vuelo completos calificados apoyaran escenarios cerca de la altitud máxima de operación. La reparación está conceptualmente alineada con el accidente: los pilotos deben experimentar sorpresa, pérdida de energía, señales de aproximación a pérdida y prioridades de recuperación antes de enfrentarlos en operaciones de línea.

El trabajo de diseño y certificación abordó el hielo en las pitot, la política de automatización, la grabación de vuelo, la advertencia y la formación. Las lecciones de búsqueda contribuyeron a dispositivos de localización de mayor duración, mejor seguimiento y requisitos de grabadoras. Air France describió reformas internas de gobernanza de seguridad y una revisión independiente.

Cada remedio tiene un límite. El reemplazo de sonda es específico de la configuración. La formación se degrada a menos que sea recurrente, realista y evaluada. La fidelidad del simulador puede no reproducir cada señal aerodinámica. La guía puede ser no vinculante. Las nuevas reglas de seguimiento pueden aplicarse solo a aeronaves certificadas por primera vez después de una fecha. La duración y ubicación de la grabadora no evitan por sí mismas un accidente. Los comités del consejo pueden existir sin resolver los precursores de mayor riesgo.

Las multas penales pueden reconocer la falta institucional pero son pequeñas en relación con la magnitud de la pérdida y no pueden probar la reparación operativa.

También hay un límite de atribución. Muchas reglas posteriores fueron moldeadas por varios accidentes y estudios de la industria, no solo por el vuelo 447. Es apropiado decir que las recomendaciones del vuelo 447 contribuyeron al registro de políticas donde el instrumento oficial lo dice. No es apropiado afirmar que cada reforma de formación en perturbaciones o seguimiento fue causada exclusivamente por este accidente.

Comparación: la misma familia de peligros, diferentes resultados

La comparación más útil está dentro de la evidencia previa al accidente. Los nueve eventos anteriores de velocidad no fiable de Air France no se convirtieron en pérdidas sostenidas fatales. Esto no significa que fueran inofensivos, ni establece que las tripulaciones enfrentaran las mismas condiciones exactas. Demuestra que la inconsistencia temporal de velocidad no era mecánicamente equivalente a la pérdida de la aeronave.

Esa divergencia ayuda a identificar barreras. En un evento que permanece controlado, la tripulación mantiene el cabeceo y el empuje dentro de una región segura, monitorea la trayectoria de vuelo con parámetros fiables, reconoce el procedimiento de velocidad no fiable, coordina y evita perseguir datos falsos. En el vuelo 447, esas barreras no se mantuvieron a tiempo. La familia técnica iniciadora era familiar; la consecuencia fue diferente porque la combinación particular de entradas, indicaciones, lógica de advertencia, altitud, sorpresa, coordinación y formación permitió que el estado energético se deteriorara.

Esta comparación también disciplina las afirmaciones sobre el hardware. Si cada evento anterior fue sobrevivible, sería incorrecto decir que las sondas por sí solas predeterminaron el accidente. Si existían eventos repetidos y ya estaba en marcha un cambio de flota, sería igualmente incorrecto tratar el peligro iniciador como ruido imprevisible. La responsabilidad radica en el intervalo entre reconocer una señal recurrente y hacer que todas las barreras necesarias sean efectivas.

Una segunda comparación es temporal. Antes de la recuperación de la grabadora, la comprensión pública dependía en gran medida de mensajes escasos e hipótesis contrapuestas. Después de la recuperación, los investigadores pudieron identificar la pérdida sostenida y la secuencia real de entradas. La aeronave no cambió; la calidad del conocimiento institucional sí. Por eso los datos duraderos son parte de la legitimidad pública. Las familias, los tribunales, los reguladores, las tripulaciones y los ingenieros no deberían tener que confiar en la confianza institucional cuando la evidencia recuperable puede establecer lo que ocurrió.

Un estándar de control práctico

Un operador, fabricante o regulador que afirme que las lecciones del vuelo 447 están implementadas debería poder producir evidencia contra un estándar de control concreto.

Primero, el control de datos de aire debería identificar cada configuración de sonda instalada, las aeronaves afectadas, la base de certificación, los límites ambientales conocidos, las tasas de fallo y molestia, los boletines de servicio abiertos, el estado de la directiva y el tiempo para la acción correctiva. Los datos de tendencia deberían combinar fallos de mantenimiento e informes operativos en lugar de tratarlos como poblaciones separadas.

Segundo, el control de transferencia debería definir lo que la tripulación ve y oye cuando la automatización rechaza los datos. La evidencia de prueba debería mostrar que las tripulaciones de línea identifican el problema, entienden el cambio de ley de control, rechazan la guía no fiable y estabilizan la trayectoria de vuelo. Los resultados deberían estratificarse por experiencia, rol, sorpresa, altitud, turbulencia y pareja de tripulación. Los promedios por sí solos pueden ocultar una cola peligrosa de respuestas tardías o incorrectas.

Tercero, el control de formación debería medir el rendimiento. Los registros deberían capturar el tiempo para establecer un cabeceo y empuje seguros, la excursión máxima de altitud y velocidad, el tiempo para identificar la pérdida, la reducción de ángulo de ataque, la calidad del reparto de tareas, el manejo de entradas duales y si la tripulación utiliza una llamada de diagnóstico clara. Un certificado de asistencia prueba exposición, no competencia.

Cuarto, el control de gestión de precursores debería conectar los informes con las decisiones. Cada familia de eventos recurrentes debería tener una declaración de peligro, evaluación de severidad y exposición, propietario responsable, mitigaciones temporales, acción correctiva permanente, fecha límite, umbral de escalada, interfaz con el regulador y revisión de efectividad independiente. El cierre debería reabrirse si los datos de campo contradicen los supuestos.

Quinto, el control de recuperación de evidencia debería informar la latencia de la última posición conocida, la cobertura de seguimiento, la resistencia de la baliza, la duración de la grabadora, la capacidad de lectura y los ejercicios de recuperación. Las exenciones y las aeronaves más antiguas fuera de las nuevas reglas deberían ser visibles en lugar de ocultarse en promedios de flota.

Sexto, la gobernanza debería hacer legible el riesgo residual. Un comité de seguridad del consejo debería recibir las familias de precursores de mayor consecuencia, los controles vencidos, los escenarios de formación fallidos, las conclusiones no resueltas del regulador y las opiniones técnicas disidentes. Las actas no necesitan exponer datos personales o sensibles para la seguridad, pero deberían dejar un registro auditable de decisión, propietario, recursos y seguimiento.

Estos controles asignan responsabilidad sin pretender que una organización pueda garantizar cero accidentes. El estándar no es la perfección. Es si la institución puede demostrar que reconoció el peligro, seleccionó una barrera proporcionada, la implementó en toda la población expuesta, la probó en condiciones realistas, encontró fallos y los corrigió.

Verificación duradera a julio de 2026

El registro público respalda varias conclusiones de alta confianza. Las configuraciones de sonda fueron cambiadas mediante acción del operador y una directiva obligatoria de la EASA. Las recomendaciones de la investigación de seguridad abordaron formación, certificación, comportamiento de advertencia y visualización, retroalimentación del operador, supervisión, búsqueda y grabación. Los requisitos europeos de prevención y recuperación de perturbaciones se volvieron más explícitos. Las reglas de seguimiento y grabadoras se fortalecieron para categorías de aeronaves especificadas. Air France informó cambios en la gobernanza de seguridad.

El caso penal produjo una condena corporativa en apelación, sujeta a revisión adicional.

El registro público es menos completo en efectividad. No existe un archivo de cierre único, público y específico del evento que vincule las 41 recomendaciones del BEA con artefactos de implementación, aceptación independiente, cobertura de flota y resultados medidos. Los informes del operador describen programas a nivel general pero no publican el rendimiento recurrente de formación por escenario ni una medida controlada antes y después para eventos de sorpresa tipo vuelo 447. Los registros públicos de certificación y regulación muestran estándares y acciones, pero no todos los resultados de pruebas con humanos en el bucle.

Los acuerdos civiles privados y los resultados de apoyo no son completamente públicos. Los resúmenes oficiales de apelación de 2026 no reemplazan la sentencia completa y no funcionan como una auditoría de implementación de las recomendaciones técnicas de seguridad.

Esas son incertidumbres, no evidencia de que no se haya producido ninguna reparación. Definen lo que un paquete de verificación duradero necesitaría añadir.

Un paquete sólido preservaría la recomendación del BEA, el organismo responsable, la respuesta formal, el cambio técnico u operativo implementado, la población cubierta, la fecha de finalización, la prueba de aceptación, el resultado, las limitaciones residuales y la fecha de reevaluación. Retendría escenarios de simulador versionados y rendimiento agregado anonimizado. Mostraría si los patrones anteriores de velocidad no fiable recurren con diferentes equipos o software. Documentaría las exenciones de los requisitos de seguimiento y grabadoras. Vincularía la revisión del consejo con el cierre de acciones correctivas.

El paquete también debería preservar el desacuerdo. Si el operador, el fabricante, el regulador, los investigadores y los tribunales utilizan un lenguaje causal diferente, el registro no debería forzar un consenso artificial. Debería identificar qué institución hizo cada hallazgo, bajo qué mandato, utilizando qué evidencia y con qué estado de apelación o revisión. Así es como el aprendizaje técnico y la responsabilidad legal pueden coexistir sin que uno distorsione al otro.

Conclusión de responsabilidad

El vuelo 447 no fue una historia moral sobre la automatización reemplazando a los pilotos, ni una prueba de que el control humano sea inherentemente más seguro. La retirada del piloto automático de datos sospechosos fue racional. El fallo fue que la transferencia resultante ocurrió dentro de un sistema que no apoyaba de manera fiable el diagnóstico, la estabilización, la coordinación y la recuperación en las condiciones reales.

La obstrucción de la sonda pitot fue el desencadenante. La pérdida sostenida se desarrolló a través de entradas manuales y oportunidades de recuperación perdidas. Las condiciones raíz se extendían más allá de la cabina a la robustez del sensor, la semántica del modo y la advertencia, la formación a gran altitud, la capacidad del simulador, el aprendizaje de precursores del operador, los supuestos de certificación, la supervisión y la recuperabilidad de la evidencia. Por lo tanto, la responsabilidad se atribuye a barreras específicas, no a un sistema indiferenciado.

Air France era responsable de la integración segura de la aeronave, los procedimientos, la formación, el mantenimiento, la notificación y el cambio de flota. Airbus era responsable de la integración del diseño a nivel de aeronave, la información y el apoyo dentro de su alcance. Los proveedores de equipos y las autoridades tenían sus propias obligaciones definidas. Los pilotos tenían deberes operativos, pero esos deberes existían dentro de herramientas y preparación diseñadas por las instituciones. El BEA estableció la cadena técnica de seguridad.

El Tribunal de Apelación de París impuso posteriormente responsabilidad penal a las dos empresas demandadas, mientras que la revisión de casación seguía pendiente en la fecha de corte.

La lección duradera es operativa. Cuando la automatización devuelve el control, el equipo receptor necesita más que una alarma y un manual. Necesita un estado comprensible, una acción estabilizadora ensayada, autoridad coordinada, práctica realista y evidencia de que todo el control funciona bajo sorpresa. Cuando una institución dice que esas condiciones existen ahora, debería poder probarlas.

Notas de fuentes

1. Lapágina de investigación del BEAproporciona la cronología oficial del evento, búsqueda, recuperación de grabadoras, publicación y propósito de la investigación.
2. Elinforme final del BEAes el registro técnico principal de la secuencia de vuelo, eventos anteriores de velocidad no fiable, sistemas de la aeronave, formación, retroalimentación del operador, hallazgos causales y recomendaciones.
3. Elprimer informe provisionalpreserva el estado temprano de la evidencia antes de la recuperación de la grabadora y limita la retrospectiva.
4. Elsegundo informe provisionaldocumenta el trabajo técnico y operativo antes de localizar los restos.
5. Eltercer informe provisionalproporciona la cronología basada en la grabadora y el primer análisis de seguridad posterior a la recuperación del BEA.
6. Elapéndice de cronología de datos de vuelorespalda la secuencia de tiempo, altitud, cabeceo, advertencia, guía y ley de control.
7. Elapéndice del procedimiento de velocidad no fiable de Air Franceregistra el procedimiento del operador relevante para la estabilización y el diagnóstico.
8. Elapéndice del procedimiento de velocidad no fiable de Airbuspermite la comparación entre el material procedimental del fabricante y del operador.
9. Elapéndice de formación de Air Francerespalda la descripción del contenido de formación vigente en el momento del accidente.
10. Elapéndice de certificación de pitotproporciona el contexto del envolvente de certificación y sus límites.
11. Elapéndice del procedimiento de pérdida de Air Franceregistra el procedimiento adicional del operador y su ubicación.
12. Elapéndice de advertencia de pérdida de Airbusrespalda el análisis de la lógica de advertencia y documentación.
13. Lasrecomendaciones finales del BEAidentifican acciones preventivas en certificación, formación, operaciones, supervisión, búsqueda y grabación sin asignar responsabilidad.
14. Elinforme de búsqueda marina del BEAdocumenta la escala, fases, métodos y resultado de la búsqueda en aguas profundas.
15. Elinforme del Grupo de Trabajo de Recuperación de Datos de Vuelorespalda el tratamiento del seguimiento y la evidencia recuperable como controles preventivos.
16. Directiva de Aeronavegabilidad de la EASA 2009-0195proporciona la acción obligatoria posterior al accidente sobre la configuración de la sonda pitot y su contexto de certificación preventivo.
17. Respuesta de la EASA al informe finalregistra el trabajo declarado de la autoridad sobre hielo, automatización, formación y recomendaciones relacionadas.
18. Boletín de Información de Seguridad de la EASA 2015-17R1aborda la velocidad no fiable y el vuelo manual a gran altitud, pero es una guía no vinculante.
19. Reglamento (UE) 2018/1974 de la Comisiónproporciona los requisitos europeos posteriores de formación en prevención y recuperación de perturbaciones.
20. Reglamento (UE) 2015/2338 de la Comisiónregistra los requisitos posteriores de grabadoras de vuelo, localización subacuática y seguimiento, y conecta expresamente partes de la acción con recomendaciones del accidente.
21. Guía de seguimiento autónomo de emergencia de la OACIdefine el alcance y la fecha del requisito más nuevo de posición de emergencia cada minuto.
22. Ladecisión del Tribunal de Casación de 2021establece la remisión procesal de Air France y Airbus para juicio.
23. Lapágina de comunicados de prensa del Tribunal de Apelación de Paríses el contexto oficial público para los materiales de apelación de Rio-París del 21 de mayo de 2026.
24. Eldocumento de puntos clave del Tribunal de Apelación de París del 21 de mayo de 2026es la fuente oficial de las condenas en apelación, multas y cronología procesal.
25. Comunicado de Airbus del 21 de mayo de 2026es evidencia de primera parte de su decisión de solicitar revisión de casación, no un análisis independiente de la sentencia.
26. Unadecisión civil del Tribunal de Casación de 2015proporciona el punto limitado de compensación provisional y no debe leerse como un relato completo de los remedios de las familias.
27. Unreportaje contemporáneo sobre la sentencia de 2026se utiliza solo para la posición reportada de Air France sobre la casación y para contexto no disponible en el breve resumen oficial; sigue siendo secundario respecto al registro de la sentencia.