Proveedores de IA: qué preguntar y qué pedir en el contrato antes de contratar

Primero: ¿qué papel tienes?

Es como contratar a una empresa de transporte: aunque conduzcan ellos, tú respondes de qué mandas, a quién y en qué condiciones. En el AI Act, quien usa un sistema de IA bajo su autoridad es «responsable del despliegue» y tiene obligaciones propias (por ejemplo, uso conforme a las instrucciones y supervisión humana en sistemas de alto riesgo). Si el sistema trata datos personales, aplican además los roles del RGPD.

Doce preguntas antes de contratar

1. ¿Para qué está diseñado el sistema y para qué no?
2. ¿Lo clasifican como alto riesgo o de otra categoría del AI Act? ¿Con qué base?
3. ¿Qué documentación e instrucciones de uso entregan?
4. ¿Dónde se tratan y almacenan los datos?
5. ¿Usan mis datos para entrenar sus modelos? ¿Se puede desactivar?
6. ¿Qué subencargados participan?
7. ¿Qué certificaciones de seguridad tienen y qué alcance?
8. ¿Cómo y en qué plazo notifican incidentes?
9. ¿Puedo auditar o recibir informes de auditoría?
10. ¿Qué registros de uso me proporcionan?
11. ¿Cómo avisan de cambios importantes en el modelo?
12. ¿Qué pasa con mis datos al terminar: devolución y borrado?

Qué dejar por escrito

• Finalidad permitida y uso de los datos (incluida la prohibición o no de entrenamiento).
• Acuerdo de tratamiento de datos si hay datos personales.
• Notificación de incidentes y cooperación ante inspecciones.
• Salida: portabilidad y borrado verificable.

Después de firmar

• Inclúyelo en tu inventario de sistemas de IA con su responsable interno.
• Revisa anualmente certificaciones, subencargados y cambios del modelo.

Preguntas frecuentes

¿Soy responsable si uso la IA de un proveedor?

Sí, en parte: el AI Act y el RGPD reparten obligaciones entre ambos.

¿Pueden usar mis datos para entrenar sus modelos?

Debe quedar escrito si lo hacen, cómo se desactiva y qué pasa al terminar.

Contenido informativo, no asesoramiento jurídico. Revisa las cláusulas con un profesional.