Cómo evaluar a un proveedor de IA antes de contratarlo: doce preguntas
Por Jorge Octavio Tercero, cofundador de iActiva Labs ·
Cuando una empresa contrata una herramienta de IA, casi siempre recibe un cuestionario de seguridad del proveedor y casi nunca hace el suyo. Estas son las preguntas que conviene plantear antes de firmar, agrupadas por lo que cuesta que la respuesta sea mala. Las respuestas, o la falta de ellas, van al inventario de IA de la empresa.
Sobre los datos
- ¿Dónde se procesan y se guardan los datos que enviamos?
- ¿Se usan para entrenar o mejorar sus modelos? ¿Se puede excluir por contrato?
- ¿Quiénes son los subencargados, es decir, los terceros que acceden a los datos, y cómo nos avisan de los cambios?
- ¿Cuánto tiempo se conservan los datos y cómo se borran cuando termina el contrato? Si hay datos personales, hace falta además el contrato de encargo de tratamiento.
Sobre el sistema
- ¿Qué modelo usa por debajo y qué pasa cuando lo cambian de versión? ¿Avisan antes, y podemos seguir con la anterior un tiempo?
- ¿Qué documentación de uso entregan: qué hace, para qué no está pensado y qué limitaciones tiene? Si el sistema es de alto riesgo, las instrucciones de uso son una obligación del proveedor y seguirlas es obligación vuestra, por el artículo 26.
- ¿Qué registros genera y podemos acceder a ellos? Si el sistema es de alto riesgo, el artículo 26 pide conservar los registros automáticos al menos seis meses.
- ¿Permite permisos por rol y deja una persona al mando de las decisiones importantes?
Sobre la relación
- ¿Quién responde si un resultado erróneo causa un perjuicio y hasta qué punto?
- ¿En qué plazo y por qué canal nos avisan de un incidente?
- ¿Podemos exportar nuestros datos y configuraciones al salir, y en qué formato?
- ¿Qué usos excluyen expresamente? Si vais a usar el sistema para algo que el proveedor no previó, el artículo 25.1 puede convertiros en proveedor, con las obligaciones que eso trae.
El certificado que hoy no acredita nada
Si un proveedor ofrece un «certificado de conformidad con el AI Act», preguntad quién lo emite y contra qué norma. A fecha de agosto de 2026, ninguna norma armonizada del Reglamento estaba publicada en el Diario Oficial de la Unión Europea, y son esas normas las que darían presunción de conformidad. Las primeras se esperaban para el último trimestre de 2026. La ISO 42001 certifica un sistema de gestión de la IA y es útil, pero no equivale a una evaluación de conformidad con el Reglamento.
Cómo puntuar lo que contestan
Una respuesta vale según dónde esté escrita. Si está en el contrato o en un anexo firmado, es un compromiso. Si está solo en la web pública o en una presentación comercial, es una intención que puede cambiar sin avisaros. Y si la respuesta es que no lo saben o que es confidencial, el riesgo lo asumís vosotros. Conviene que lo pregunten a la vez quien lleva sistemas, quien lleva lo jurídico y el responsable del área que va a usar la herramienta, porque cada uno detecta una cosa distinta.
Qué hacer con las respuestas
Anotadlas en el inventario, junto a cada sistema, con la fecha. Una respuesta del tipo «es confidencial» a las preguntas 1, 2 o 5 es una mala respuesta: sin saber dónde van los datos y si se entrena con ellos, no se puede decidir qué información entra en la herramienta. Una política de uso que no tiene en cuenta lo que contesta el proveedor describe una herramienta que no existe. Hablamos de cómo escribirla en la plantilla de política de uso de IA.
El procedimiento de proveedores forma parte del expediente que montamos en el servicio de cumplimiento del Reglamento de IA, junto con el inventario y la clasificación de riesgo de cada sistema.
Fuentes: Reglamento (UE) 2024/1689, artículos 25, apartado 1, y 26, en la redacción vigente tras el Reglamento (UE) 2026/1744 (Ómnibus Digital). Estado de las normas armonizadas a agosto de 2026.
Siguiente: qué obligaciones tiene el responsable del despliegue →