Nota editorial, 24 de septiembre de 2026: conservamos la fecha original. El texto anterior citaba como vigente la Directiva de Responsabilidad por IA (AILD), cuya propuesta fue retirada en 2025, y atribuía requisitos de alto riesgo a todo contrato. Esta guía es una lista de asuntos para negociar, no un modelo contractual ni asesoría jurídica.
Un contrato puede aclarar cómo se entrega información y cómo cooperan las partes, pero no cambia por sí solo el papel que cada organización tenga bajo el Reglamento de IA. Primero describe el sistema, su finalidad, quién lo comercializa bajo su nombre, quién lo utiliza y qué modificaciones están previstas. El artículo 25 contempla supuestos en los que una parte asume obligaciones de proveedor; integrar una API no convierte automáticamente a toda empresa en proveedor ni la deja siempre como simple usuaria.
1. Papel de cada parte y finalidad permitida
Anota el producto o modelo contratado, usos previstos, restricciones y quién opera el sistema. Pide que el proveedor comunique cambios que puedan alterar la finalidad, el rendimiento o la clasificación. Si habrá adaptación, marca propia o redistribución, revisa por separado el artículo 25 y las obligaciones del sistema resultante.
2. Instrucciones e información necesaria
Para un sistema de alto riesgo, el artículo 13 exige instrucciones de uso del proveedor con capacidades, limitaciones y condiciones relevantes. Para un modelo de propósito general, el artículo 53 prevé información para proveedores de sistemas que lo integran; no es idéntica a entregar toda la documentación técnica del artículo 11 a cada comprador. Negocia acceso a la información que realmente necesitas para operar, evaluar riesgos y responder a solicitudes legítimas, con un formato y plazo razonables.
3. Datos, confidencialidad y subencargados
Aclara qué datos se envían, finalidades permitidas, conservación, seguridad y uso para entrenamiento. Si el proveedor trata datos personales por cuenta de tu empresa, analiza un acuerdo del artículo 28 del RGPD, incluidos subencargados y transferencias cuando correspondan. No basta una cláusula genérica de «cumplimos el RGPD»; tampoco todo proveedor de IA actúa necesariamente como encargado en todo tratamiento.
4. Incidentes, cambios y continuidad
Define un canal para fallos e incidentes, qué información se intercambia y cómo se coordinan las acciones. Los plazos legales de notificación dependen de la norma y del papel aplicables; el contrato debe permitir cumplirlos sin prometer un plazo universal. Acuerda cómo se avisan cambios relevantes del modelo o servicio y cómo se exportan datos y evidencias al terminar la relación.
5. Responsabilidad, garantías y pruebas
Revisa límites de responsabilidad, indemnizaciones, seguros y procedimientos de reclamación con asesoría jurídica. No cites la AILD retirada como una directiva vigente. La Directiva (UE) 2024/2853 de productos defectuosos y el derecho nacional pueden ser relevantes en ciertos casos, pero requieren un análisis separado. Un derecho de auditoría puede ser útil, aunque su alcance debe ser proporcionado y negociable; no es una cláusula obligatoria para cualquier compra de IA.
Para evaluar una propuesta, pide un ejemplo de instrucciones, la lista de datos procesados, la política de cambios, el contacto para incidentes y el plan de salida. Compara respuestas concretas entre proveedores antes de redactar exigencias contractuales.
Fencia puede ordenar documentos compatibles y posibles hallazgos para revisión humana dentro de los requisitos que cubre. No interpreta un contrato de forma vinculante ni detecta todas sus omisiones. Consulta el alcance del análisis documental.
Fuentes oficiales: Reglamento de IA en EUR-Lex, artículos 13, 25, 26 y 53; RGPD, artículo 28; expediente de la AILD retirada; Directiva de productos defectuosos.