Nota editorial, 24 de septiembre de 2026: conservamos la fecha original y retiramos la afirmación de que todo DPA de IA necesita cláusulas adicionales del AI Act o una DPIA y evaluación de conformidad unificadas. Las obligaciones dependen del papel de las partes, del tratamiento de datos personales y del sistema concreto.
Un acuerdo de tratamiento de datos o DPA concreta la relación entre responsable y encargado cuando este trata datos personales por cuenta del primero. Su base está en el artículo 28 del RGPD. El EU AI Act regula otros aspectos de sistemas, modelos y operadores de IA. Ambos pueden importar en el mismo proyecto, pero el AI Act no convierte automáticamente cada DPA en un expediente de conformidad de IA.
Primero, dibuja el flujo real de datos
Anota quién decide la finalidad del tratamiento, quién actúa por instrucciones, qué datos se envían, dónde se procesan y qué proveedores adicionales participan. Una cadena como «cliente → SaaS → API de IA» es un punto de partida, no una clasificación jurídica completa: cada servicio puede tener términos y funciones distintos.
Si no hay datos personales en un flujo, el artículo 28 del RGPD puede no ser la herramienta contractual pertinente para ese flujo. Aun así pueden existir deberes de confidencialidad, seguridad o documentación por otras normas o contratos.
Qué comprobar en el DPA
Cuando el proveedor actúa como encargado, el artículo 28 exige concretar objeto, duración, naturaleza y finalidad del tratamiento, categorías de datos y personas, obligaciones del responsable e instrucciones documentadas. Revisa también confidencialidad, medidas de seguridad, ayuda para atender derechos e incidentes, devolución o supresión al terminar y condiciones de auditoría.
La contratación de subencargados requiere la autorización prevista en el artículo 28 y obligaciones contractuales adecuadas. Pide el registro vigente, funciones y cambios, y revisa las transferencias internacionales conforme al capítulo V del RGPD. No des por hecho que una lista de nombres, por sí sola, acredita todas las garantías o acuerdos firmados.
Qué puede ir en otro documento
Un acuerdo de servicio o anexo técnico puede definir información sobre el modelo, límites de uso, pruebas, cambios, registros, continuidad y reparto de tareas entre proveedor y cliente. Esas condiciones pueden apoyar una revisión del AI Act, pero no son un conjunto universal de «cláusulas DPA obligatorias». El artículo 10 del AI Act trata la gobernanza de datos de ciertos sistemas de alto riesgo; no exige incorporar una lista de datasets de entrenamiento en todos los DPA de cualquier SaaS con IA.
Tampoco se deben confundir evaluaciones: la evaluación de impacto en protección de datos procede cuando se cumplen los criterios del artículo 35 del RGPD. La evaluación de conformidad del AI Act, cuando corresponde, recae en el proveedor del sistema de alto riesgo según su procedimiento y calendario. Puede reutilizarse evidencia, pero no son un único trámite obligatorio para cualquier proyecto.
Lista breve para una revisión contractual
- ¿Están claros los roles de responsable, encargado y subencargado en cada tratamiento?
- ¿El DPA describe datos, finalidad, instrucciones, seguridad y finalización del servicio?
- ¿Existe un registro actual de subencargados y una vía de autorización o aviso conforme al acuerdo?
- ¿Se conocen ubicaciones de tratamiento y garantías de transferencia aplicables?
- ¿Las condiciones técnicas permiten comprobar el sistema de IA y el papel de cada parte sin atribuirle a una un deber de la otra?
- ¿Se ha determinado por separado si hace falta DPIA o alguna evaluación bajo el AI Act?
Fencia puede ordenar documentos compatibles y señalar preguntas ligadas al texto que has aportado. Una persona responsable debe comprobar el contrato, las garantías vigentes y las obligaciones aplicables antes de firmar o cargar información sensible. Conoce los límites del flujo.
Fuentes oficiales: RGPD en EUR-Lex; Reglamento de IA en EUR-Lex.