Respuesta corta: antes de firmar con un proveedor de IA hay que tener respuesta escrita a nueve preguntas: dónde se procesan los datos, si se usan para entrenar, quién es responsable y quién encargado, qué pasa si el sistema se equivoca, cómo se exportan los datos al salir, qué versión del modelo se usa, qué ocurre cuando cambia, qué registro queda de cada decisión y a quién se llama cuando algo falla un viernes.
Ninguna de las nueve es técnica. Todas se contestan por correo antes de firmar, y la calidad de las respuestas dice más del proveedor de IA que cualquier demostración.
Las tres preguntas de datos
1. ¿Dónde se procesan y dónde se guardan?
No vale «en la nube». Hace falta el país o la región. Si hay transferencia fuera del Espacio Económico Europeo, hace falta saber con qué garantía: decisión de adecuación, cláusulas contractuales tipo o normas corporativas vinculantes. El marco vigente para Estados Unidos está descrito por la Comisión Europea en su página sobre el Marco de Privacidad de Datos, y conviene comprobar que el proveedor de IA concreto está adherido, no solo que el marco existe.
2. ¿Se usan mis datos para entrenar?
La respuesta correcta es no por defecto, y por escrito. Si es sí, hay que saber cómo se desactiva y si esa desactivación aplica también a los subencargados. Muchos productos tienen dos condiciones distintas, una para el plan gratuito y otra para el de empresa, y la diferencia está justo aquí.
3. ¿Quién es responsable y quién encargado?
En casi todos los casos la empresa cliente es responsable del tratamiento y el proveedor de IA es encargado, lo que obliga a firmar el contrato del artículo 28 del RGPD con su lista de subencargados. Si el proveedor no tiene ese documento preparado, no es un detalle burocrático: es una señal sobre cuántos clientes con obligaciones reales tiene.
Las tres preguntas de funcionamiento
4. ¿Qué versión del modelo estoy usando?
Un sistema que funcionaba en marzo puede comportarse distinto en junio si el modelo por debajo cambió sin aviso. Hay que preguntar si la versión está fijada, con cuánta antelación se comunican los cambios y si se puede quedar en la anterior durante un tiempo.
5. ¿Qué pasa cuando se equivoca?
Toda respuesta seria a esta pregunta incluye tres cosas: un umbral de confianza, un destino para los casos dudosos y una persona que los revisa. Un proveedor de IA que responde que su sistema no se equivoca acaba de contestar la pregunta, aunque no de la forma que pretendía.
6. ¿Qué registro queda?
Entrada, salida, versión, fecha y quién revisó. Hace falta para depurar, para justificar una decisión ante un cliente y, en los sistemas que el Reglamento (UE) 2024/1689 clasifica como de alto riesgo, para cumplir. Conviene preguntar también cuánto tiempo se conserva ese registro y quién puede consultarlo.
Las tres preguntas de salida
7. ¿Cómo me llevo mis datos?
En qué formato, en cuánto tiempo y con qué coste. Esta pregunta se hace el primer día precisamente porque el último día ya no tiene respuesta útil.
8. ¿Qué pasa con lo que he configurado?
Las instrucciones, los ejemplos y las reglas que has escrito son tuyos y valen dinero. Debe quedar claro por contrato que puedes exportarlos y que el proveedor de IA no los reutiliza para otros clientes.
9. ¿A quién llamo un viernes a las siete?
Canal, horario y tiempo de respuesta comprometido. Sin número concreto, el compromiso no existe.
Tabla para llevar a la reunión
| Bloque | Pregunta | Respuesta aceptable |
|---|---|---|
| Datos | Ubicación del tratamiento | País y garantía de transferencia por escrito |
| Datos | Uso para entrenamiento | No por defecto, documentado |
| Datos | Contrato de encargado | Firmado, con lista de subencargados |
| Uso | Versión del modelo | Fijada, con preaviso de cambios |
| Uso | Gestión del error | Umbral, cola de revisión y responsable |
| Uso | Trazabilidad | Registro consultable con plazo de conservación |
| Salida | Exportación de datos | Formato abierto, plazo y coste cerrados |
| Salida | Configuración propia | Exportable y no reutilizable |
| Salida | Soporte | Canal, horario y tiempo de respuesta |
¿Qué revela la conversación con un proveedor de IA?
He mandado esta lista a varios proveedores. Los que responden en dos días con documentos adjuntos suelen ser los que después funcionan. Los que responden «eso lo vemos cuando estemos dentro» son los que acaban costando el doble. No es una regla infalible, pero como filtro previo es barato y bastante fiable.
Y una última cosa: si el proveedor de IA no entiende por qué preguntas estas nueve cosas, no es el proveedor de IA de una empresa que tiene clientes con datos. Es el de una que todavía está haciendo demos.
La lista de obligaciones que te corresponden a ti, y no al proveedor, está en qué obliga el Reglamento de IA a mi empresa y resumida en la checklist para pymes. Si quieres repasarlo antes de firmar, aquí explico cómo funciona trabajar conmigo.
Preguntas frecuentes
¿Vale con un proveedor de IA fuera de la Unión Europea?
Puede valer, siempre que exista una garantía válida para la transferencia y esté documentada. Lo que no vale es no saber dónde se procesan los datos.
¿Hace falta contrato de encargado del tratamiento siempre?
Siempre que el proveedor trate datos personales por cuenta de la empresa, que es prácticamente cualquier caso con datos de clientes o de empleados.
¿Y si el proveedor es muy pequeño?
El tamaño no cambia las obligaciones. Un proveedor pequeño puede responder perfectamente a las nueve preguntas; lo preocupante es que no las haya pensado.
¿Puedo cambiar de proveedor a mitad?
Depende de lo que respondan las preguntas 7 y 8. Por eso se hacen antes de firmar y no después.
¿Cuánto tiempo lleva esta comprobación?
Un correo y entre dos y cinco días de espera. Comparado con un contrato de doce meses, es el trámite más rentable del proceso.
