Cláusulas para contratos con proveedores de IA: lista de comprobación antes de firmar

Para quién

Para empresas y administraciones que contratan o van a contratar sistemas de IA de terceros, sobre todo si pueden ser de alto riesgo.

Requisitos previos

• Saber para qué usarás el sistema y si su uso entra en el anexo III. Ver el clasificador.

Qué dice la norma

Los cinco bloques del contrato

1. Finalidad y clasificación

• Finalidad prevista del sistema y usos excluidos.
• Si el proveedor lo considera de alto riesgo y con qué justificación.
• Qué ocurre si cambia la finalidad: cambiarla puede convertirte en proveedor (art. 25).

2. Instrucciones y supervisión humana

• Entrega de las instrucciones de uso y de sus actualizaciones.
• Información sobre las medidas de supervisión humana que el sistema permite.

3. Registros y datos

• Acceso a los registros durante el período que necesites (al menos seis meses si están bajo tu control).
• Qué datos se tratan, dónde se alojan y si se usan para entrenar modelos.
• Reparto de funciones en protección de datos (RGPD).

4. Incidentes y cambios

• Plazo para que el proveedor te avise de incidentes, fallos y riesgos.
• Aviso previo de cambios sustanciales del sistema.
• Compromiso de medidas correctoras si el sistema deja de ser conforme.

5. Cooperación y responsabilidad

• Cooperación con autoridades y auditorías.
• Reparto de responsabilidades y garantías.
• Terminación del contrato y portabilidad de datos.

Qué significa en la práctica

• Sin información del proveedor no puedes cumplir. Casi todas tus obligaciones se apoyan en sus instrucciones y registros.
• El contrato no sustituye a la ley. Reparte responsabilidades entre las partes, pero las obligaciones del Reglamento siguen siendo exigibles.
• Conserva la documentación del proveedor. Te servirá como prueba de diligencia. Hay un cuestionario para proveedores en el kit.

Checklist

• Finalidad prevista y clasificación de riesgo recogidas.
• Instrucciones de uso y supervisión humana entregadas por escrito.
• Acceso a registros y reparto de funciones en protección de datos.
• Plazo de aviso de incidentes y cambios.
• Cooperación con autoridades y responsabilidades repartidas.

Qué hacer ahora

Haz una lista de los sistemas de IA contratados, clasifica los que puedan ser de alto riesgo y envía a sus proveedores el cuestionario del kit gratuito. Si necesitas apoyo, mira el servicio de checklist de proveedores de IA.

Errores frecuentes

• Firmar con un proveedor que no entrega instrucciones de uso ni acceso a los registros.
• No prever el aviso de cambios sustanciales.
• Olvidar la información que necesitas para tu evaluación de impacto del RGPD.
• Usar la herramienta para algo distinto de su finalidad prevista sin revisar el contrato.

Preguntas frecuentes

¿Tengo que renegociar los contratos que ya tengo?

Si el sistema es de alto riesgo, conviene revisarlos antes de que se apliquen las obligaciones del anexo III, el 2 de diciembre de 2027, para asegurar instrucciones, registros e información de incidentes.

¿Existe un contrato tipo?

Esta guía es una lista de comprobación, no un contrato tipo. La redacción de las cláusulas debe adaptarse a tu caso y revisarla un profesional jurídico.

¿Qué pasa si el proveedor no coopera?

Tus obligaciones siguen vigentes. Si el sistema puede presentar un riesgo, debes informar al proveedor y a la autoridad y suspender su uso (art. 26, apartado 5).