Contratar un proveedor de IA: cláusulas que suelen faltar

Un contrato con un proveedor de IA se juega en seis cláusulas que casi nunca vienen de serie: uso de tus datos para entrenar modelos, plazos de retención y borrado, lista de subencargados, portabilidad de salidas y configuraciones, responsabilidad por resultados erróneos y derecho de auditoría verificable.

Ninguna de las seis aparece por defecto en el contrato marco que te enviarán. No porque el proveedor actúe de mala fe, sino porque su contrato está redactado para proteger su modelo de negocio, que es exactamente el trabajo de su departamento legal. El tuyo es distinto.

¿Qué cambia respecto a contratar cualquier otro software?

Un proveedor de software convencional procesa tus datos para prestarte el servicio. Un proveedor de IA puede, además, aprender de ellos. Esa diferencia rompe tres supuestos que damos por buenos en cualquier otro contrato.

El dato deja de ser solo dato. Si tus entradas alimentan el entrenamiento de un modelo, ya no viajan de vuelta en el mismo formato: se disuelven en parámetros. El borrado, tal y como lo entiende un contrato clásico, deja de ser una operación evidente.

La salida es probabilística. El software tradicional produce el mismo resultado ante la misma entrada. Un sistema de IA no lo garantiza, y ese comportamiento hace que las cláusulas de conformidad y de niveles de servicio pensadas para software determinista no encajen.

La cadena es más larga. Detrás de tu proveedor suele haber un proveedor de modelo fundacional, un proveedor de infraestructura y a veces un proveedor de evaluación o de moderación. Cada eslabón es un tratamiento adicional y una jurisdicción adicional.

Estos tres hechos son los que explican por qué la plantilla de contrato de servicios que usa tu empresa desde hace cinco años no sirve tal cual.

¿Cuáles son las cláusulas que suelen faltar?

Cláusula	Qué debe decir	Qué dice el contrato tipo
Uso para entrenamiento	Prohibición expresa sobre entradas y salidas, extensiva a subencargados y con supervivencia tras la terminación	Silencio, o permiso amplio con opción de exclusión enterrada en la configuración
Retención y borrado	Plazo máximo en días, alcance sobre copias y registros, certificado de borrado a la salida	«Durante el tiempo necesario para prestar el servicio»
Subencargados	Lista nombrada, notificación previa de cambios, derecho de objeción con salida sin penalización	Autorización general y enlace a una página web que el proveedor edita
Localización	Países concretos de tratamiento y almacenamiento, y mecanismo para transferencias internacionales	Referencia genérica a una región
Portabilidad	Exportación de datos, salidas, configuraciones, prompts de sistema y registros en formato abierto	Sin previsión, o exportación limitada al periodo de vigencia
Responsabilidad por salidas	Reparto explícito según origen del fallo, con límite proporcional al riesgo real	Exclusión total de responsabilidad sobre exactitud
Auditoría	Derecho a cuestionario, informes de terceros y auditoría presencial en supuestos definidos	Envío de un informe genérico cuando el proveedor lo tenga
Supervisión humana	Descripción de qué decisiones no se automatizan y quién las aprueba	Nada, porque se asume que es cosa del cliente
Cambios de modelo	Notificación previa de sustitución o actualización con impacto material, y ventana de validación	Derecho unilateral a modificar el servicio
Incidentes	Plazo de notificación en horas, contenido mínimo y obligación de asistencia	Notificación «sin demora indebida»
Propiedad de las salidas	Titularidad del cliente sobre las salidas y renuncia del proveedor a reclamarlas	Ambigüedad deliberada
Salida ordenada	Periodo de transición, asistencia y devolución antes del borrado	Terminación con corte inmediato

¿Cómo se redacta la cláusula de uso de datos para entrenamiento?

Es la cláusula que más dinero vale y la que peor se redacta. Cuatro elementos la hacen exigible.

Alcance completo. No basta con prohibir el uso de «los datos del cliente». Hay que nombrar las entradas, las salidas generadas, los metadatos de uso, los prompts de sistema y las correcciones o valoraciones que tu equipo introduzca. La retroalimentación humana es, precisamente, el dato más valioso para entrenar.

Extensión a la cadena. La prohibición debe alcanzar a cualquier subencargado, incluido el proveedor del modelo fundacional. Un contrato que solo obliga a tu proveedor directo deja abierta la puerta principal.

Supervivencia. La obligación no puede terminar con el contrato. Si termina, un proveedor puede conservar el corpus y usarlo después.

Verificabilidad. Una prohibición que no se puede comprobar es una declaración de intenciones. Aquí se conecta con el derecho de auditoría: el proveedor debe poder acreditar, mediante configuración documentada o informe de un tercero, que la separación existe técnicamente y no solo contractualmente.

¿Quién responde cuando la salida es errónea?

Un sistema de IA puede fallar en tres lugares distintos, y el contrato debería distinguirlos porque el reparto de responsabilidad es diferente en cada uno.

• Fallo del modelo: produce una salida incorrecta dentro de su uso previsto. Responsabilidad discutible del proveedor, casi siempre excluida en el contrato tipo.
• Fallo de integración: el sistema se usa fuera de su uso previsto, o los datos llegan mal preparados. Responsabilidad del cliente.
• Fallo de supervisión: la salida era corregible y nadie la revisó antes de que produjera efectos. Responsabilidad del cliente, y agravada si el contrato advertía de la necesidad de revisión.

Lo negociable no es una garantía de exactitud: ningún proveedor serio la firmará, y quien la firme es motivo de sospecha. Lo negociable es que las exclusiones no cubran los casos en que el fallo procede del incumplimiento de un compromiso concreto del proveedor —por ejemplo, sustituir el modelo sin avisar— y que el límite de responsabilidad guarde alguna proporción con el daño posible, no solo con la cuota anual.

La contrapartida honesta: si tu proceso no incluye supervisión humana donde la decisión afecta a personas, ninguna cláusula te va a proteger. Ese es el punto donde la gobernanza interna pesa más que el contrato, y donde marcos como ISO/IEC 42001 para sistemas de gestión de IA aportan la estructura que el contrato por sí solo no da.

¿Cómo se convierte el derecho de auditoría en algo ejecutable?

Casi todos los contratos incluyen alguna forma de derecho de auditoría, y casi ninguno es utilizable. Para que lo sea hacen falta cuatro precisiones:

1. Escalonamiento definido: cuestionario anual como base, informes de terceros cuando existan, y auditoría presencial o remota en supuestos tasados —incidente grave, cambio de subencargado crítico, requerimiento de una autoridad.
2. Plazos concretos: días para responder al cuestionario, días para entregar el informe, días de preaviso para la auditoría.
3. Coste repartido: quién paga en cada supuesto, y qué ocurre si la auditoría revela incumplimiento.
4. Consecuencia: qué pasa cuando el hallazgo no se remedia. Sin una consecuencia contractual, el derecho de auditoría es un derecho a mirar.

El artículo 28 del Reglamento (UE) 2016/679 ya obliga a que el contrato con un encargado del tratamiento prevea auditorías e inspecciones y regule la subcontratación. Muchos contratos de IA lo cumplen formalmente con una frase y lo vacían en la práctica. La diferencia está en el detalle operativo.

¿Qué añade el marco regulatorio europeo?

El Reglamento (UE) 2024/1689, conocido como Reglamento de Inteligencia Artificial, distribuye obligaciones a lo largo de la cadena de valor: proveedor, importador, distribuidor y responsable del despliegue. Para ti, como cliente, tiene una consecuencia contractual directa: parte de las obligaciones que te correspondan solo podrás cumplirlas si el proveedor te entrega información —documentación técnica, instrucciones de uso, características y limitaciones conocidas del sistema, capacidad de registro—. Si el contrato no obliga a entregarla, quedarás obligado sin los medios para cumplir.

Por eso, junto a las cláusulas clásicas de protección de datos, conviene incluir una cláusula de cooperación regulatoria: el proveedor se compromete a facilitar la documentación e información razonablemente necesaria para que cumplas tus obligaciones bajo la normativa aplicable de IA, y a mantenerla actualizada cuando el sistema cambie.

¿Por qué esta lista se redacta mejor desde los dos lados de la mesa?

Una firma legal que nunca ha desplegado un sistema de IA en producción redacta cláusulas correctas y a veces inaplicables: pide certificados de borrado que técnicamente no existen o exige trazabilidad que ningún proveedor puede dar. Un equipo de ingeniería sin criterio jurídico acepta el contrato tipo porque el producto funciona en la prueba.

Veritas Digital opera agentes de IA con supervisión humana en sus propios productos y comparte grupo con una firma legal. Esa combinación es la que permite distinguir, cláusula por cláusula, lo que es exigible de lo que solo suena bien. Cuando negociamos por el lado del cliente sabemos qué puede conceder el proveedor sin romper su servicio; cuando somos proveedor, sabemos qué se nos va a pedir.

El estado real de los marcos que aplicamos internamente, sin insignias que insinúen certificaciones inexistentes, está publicado en /trust —el mismo criterio que explicamos al hablar de por dónde empezar con SOC 2.

Qué hacer ahora

1. Inventaria los proveedores de IA que ya usas, incluidos los que entraron por una suscripción de equipo sin pasar por compras. Casi siempre son más de los que crees.
2. Localiza en cada contrato vigente las seis cláusulas críticas. Marca las que faltan; esa lista es tu orden de prioridad de renegociación.
3. Pide la lista nombrada de subencargados por escrito. Si la respuesta es un enlace a una página web, pide notificación previa de cambios.
4. Fija por escrito dónde hay supervisión humana obligatoria en tus procesos, antes de negociar responsabilidad.
5. Incorpora la cláusula de cooperación regulatoria en toda renovación a partir de ahora.
6. Revisa el contrato antes del piloto, no después. Migrar un proceso ya integrado cuesta mucho más que negociar dos semanas.

Si trabajas en Startups y fintech, donde el proveedor de IA suele tocar datos regulados desde el primer día, la revisión no admite espera. Podemos hacerla contigo desde Compliance.

Manda el contrato que tienes sobre la mesa y te decimos qué falta: hablemos.