Qué puntos debe asegurar un contrato con un proveedor de IA? Como mínimo un contrato de encargo del tratamiento según el artículo 28 del Reglamento General de Protección de Datos, en cuanto el proveedor trate datos personales por cuenta tuya, y en un sistema de alto riesgo las instrucciones de uso que exige el artículo 13 de la Ley de IA. Todo lo demás se apoya en estas dos piezas obligatorias.
Stand: 2026-09-22
La mayoría de las empresas firman lo que el proveedor pone sobre la mesa. Es comprensible, porque la oferta parece cerrada y el precio encaja. Pero las condiciones estándar de un proveedor están escritas para el proveedor, no para ti, y la responsabilidad legal de usar la IA se queda en la empresa que la ha comprado. Quien lo pasa por alto compra una herramienta y hereda un riesgo.
Por qué las condiciones estándar del proveedor no bastan
En cuanto pones un software de IA a funcionar en tu empresa, ocupas dos papeles a la vez. En protección de datos eres el responsable, porque decides la finalidad y los medios del tratamiento. Según el Reglamento (UE) 2024/1689, la Ley de IA, sueles ser el responsable del despliegue, porque usas el sistema bajo tu propia autoridad. Ambos papeles traen obligaciones, y solo puedes cumplirlas si el proveedor te entrega lo que necesitas para ello.
Eso es justo lo que las condiciones estándar rara vez ofrecen. Regulan límites de responsabilidad, disponibilidad y pago, es decir, los intereses del proveedor. Si tus datos de clientes salen de la UE, si el sistema alimenta el entrenamiento de modelos y si recibirás la documentación que una autoridad de control puede exigirte, muchas veces no aparece o está redactado de una forma que no te sirve. El contrato es el único lugar donde puedes fijar estos puntos antes de firmar. Después negocias desde una posición más débil.
El contrato de encargo del tratamiento es obligatorio, no opcional
Si el proveedor trata datos personales por cuenta tuya, y casi cualquier IA que toca correos, contratos, expedientes de personal o consultas de clientes lo hace, entonces el artículo 28 del Reglamento General de Protección de Datos exige un contrato de encargo del tratamiento por escrito. Sin él, el tratamiento queda expuesto aunque todo funcione limpio en el plano técnico.
El contrato debe indicar el objeto, la duración, la naturaleza y la finalidad del tratamiento, junto con los tipos de datos y las categorías de personas afectadas. El artículo 28.3 enumera además ocho puntos que todo contrato de este tipo debe contener. El encargado trata los datos solo siguiendo tus instrucciones documentadas. Las personas que intervienen están sujetas a confidencialidad. Se aplican medidas técnicas y organizativas de seguridad del artículo 32. Los subencargados se contratan solo con tu autorización y bajo las mismas obligaciones. El proveedor te ayuda a atender las solicitudes de los interesados. Te ayuda con las notificaciones de brechas, las evaluaciones de impacto y las consultas a las autoridades. Al terminar el contrato suprime o devuelve todos los datos. Y mantiene pruebas disponibles para auditorías y te avisa cuando, a su juicio, una de tus instrucciones infringe la normativa de protección de datos.
Esta lista no es una carta a los Reyes, es derecho vigente, en vigor desde el 25 de mayo de 2018. Repasa punto por punto el contrato que te presentan. Si falta uno, el contrato está incompleto, y el hueco recae sobre ti, no sobre el proveedor, cuando llega el momento.
La pregunta más incómoda: entrena el proveedor con tus datos?
Es la pregunta que la dirección hace primero, y tiene un filo legal claro. Según el artículo 28.3.a, un encargado solo puede tratar tus datos siguiendo instrucciones documentadas. Mejorar los modelos propios del proveedor con tus entradas no es un tratamiento por cuenta tuya, es una finalidad del propio proveedor. Sin una base expresa en el contrato, eso no está cubierto, según nuestra interpretación.
No te fíes aquí de una conversación tranquilizadora, fíate del texto. Tiene sentido una cláusula que excluya por defecto el entrenamiento con tus contenidos y lo permita solo mediante un acuerdo separado y revocable. A su lado va la cuestión de dónde residen los datos, porque una transferencia a un tercer país abre su propio capítulo de obligaciones de prueba. Y va incluido cuánto tiempo se guardan las entradas y si de verdad se borran tras el tratamiento. En muchos servicios en la nube la respuesta depende del plan contratado: la modalidad empresarial con contrato de encargo trata los datos de forma distinta al servicio de acceso libre. Lo que rige es el contrato que firmas, no la página de marketing.
Qué añade la Ley de IA por encima
Hasta aquí hablábamos de protección de datos. La Ley de IA pone una segunda capa encima. Si despliegas un sistema de alto riesgo del anexo III, por ejemplo para evaluar candidaturas o valorar la solvencia, el artículo 13 obliga al proveedor a entregar unas instrucciones de uso. Deben describir con claridad y de forma completa las características, las capacidades y los límites del sistema, junto con los datos de contacto del proveedor. No es un adorno. Tus propias obligaciones como responsable del despliegue del artículo 26, usar el sistema según las instrucciones, asignar una supervisión humana competente y conservar los registros generados automáticamente durante al menos seis meses, son sencillamente imposibles de cumplir sin esa información. Pide las instrucciones de uso como parte del contrato, no como un añadido posterior.
Para los sistemas por debajo del umbral de alto riesgo suele aplicar el artículo 50, el deber de transparencia, en vigor desde el 2 de agosto de 2026. Un chatbot debe revelar que es una máquina, y el contenido generado por IA debe ir marcado de forma legible por máquina. Aclara en el contrato quién implementa esa marca técnicamente, el proveedor a través del producto o tú en tu propia presencia. Ten un papel presente: quien modifica de forma sustancial un sistema comprado o lo distribuye bajo su propio nombre puede convertirse en proveedor y heredar sus obligaciones, mucho más pesadas. Cuándo salta ese cambio lo explicamos en responsable del despliegue o proveedor. En España, la autoridad que supervisa todo esto es la AESIA.
Las cláusulas que ninguna ley exige y que aun así cuentan
Más allá de las obligaciones legales, un puñado de cláusulas decide si la compra sigue en pie dentro de tres años. Fija dónde se almacenan los datos, mejor dentro de la UE, porque eso simplifica de raíz la revisión de protección de datos. Acuerda un plazo de aviso antes de que el proveedor cambie el modelo subyacente, porque un cambio silencioso de modelo puede alterar de un día para otro flujos de trabajo ya rodados. Asegúrate una salida limpia, con una exportación de tus datos en un formato habitual y una confirmación clara de borrado. Y regula la responsabilidad por derechos de terceros, por si las salidas de la IA contienen contenido ajeno.
Ninguna de estas cláusulas está impuesta por ley, y ninguna es cara mientras se negocie antes de firmar. Después de firmar, muchas veces ya no se consiguen. Esa es la verdadera razón para tomarse el contrato en serio antes de que el producto te convenza.
El contrato más corto es el que no necesitas
Cada una de estas cláusulas aborda el mismo problema de fondo: tus datos están en manos de un tercero, y tienes que recuperar por contrato lo que cediste al entregarlos. Cuando la IA funciona en tu propio hardware, en cambio, desaparece la mayor parte de esa superficie contractual, porque no hay ningún encargado cuyo comportamiento tengas que asegurar. La IA local devuelve el control del texto del contrato a tu propia red, y la pregunta del entrenamiento con tus datos se responde sola. Más sobre esto en nuestra página de soberanía del dato.
Este texto ordena la situación legal según nuestra interpretación y no sustituye el asesoramiento jurídico para cada caso. Qué cláusulas necesita tu compra concreta se comprueba mejor sobre la oferta real en un proyecto piloto.
Preguntas frecuentes
Necesito un contrato si compro software de IA?
Sí. En cuanto el proveedor trata datos personales por cuenta tuya, el contrato de encargo del tratamiento del artículo 28 del RGPD es obligatorio. Si el sistema es de alto riesgo, el proveedor también debe entregarte las instrucciones de uso del artículo 13 de la Ley de IA.
Puede mi proveedor de IA entrenar con nuestros datos?
Solo si lo has acordado por separado. Según el artículo 28.3.a del RGPD, un encargado del tratamiento solo puede tratar los datos siguiendo tus instrucciones documentadas. Entrenar los modelos propios del proveedor con tus datos es una finalidad distinta y necesita su propia base en el contrato.
Qué debe incluir un contrato de encargo del tratamiento?
El objeto, la duración, la naturaleza y la finalidad del tratamiento, los tipos de datos y las categorías de interesados, además de los ocho puntos obligatorios del artículo 28.3: instrucciones documentadas, confidencialidad, seguridad del artículo 32, reglas para subencargados, apoyo con los derechos de los interesados, apoyo con las obligaciones de notificación, supresión o devolución al final, y derechos de auditoría e información.
Qué cambia la Ley de IA en el contrato con el proveedor?
En un sistema de alto riesgo, el artículo 13 obliga al proveedor a entregar unas instrucciones de uso completas con las características, capacidades y límites del sistema. Sin ellas no puedes cumplir tus propias obligaciones como responsable del despliegue del artículo 26.