Qué cláusulas exigir en el contrato con tu proveedor de inteligencia artificial

Un contrato con un proveedor de inteligencia artificial debe incluir, como mínimo, diez cláusulas con sus garantías contractuales. Las cuatro primeras fijan el marco legal: delimitación de roles según el artículo 25 del Reglamento (UE) 2024/1689, acceso a la documentación técnica, encargo de tratamiento conforme al RGPD y propiedad de los datos y de los ajustes del modelo. Las otras seis sostienen la operación diaria: SLA con reversibilidad, instrucciones de uso que te permitan cumplir el artículo 26, conservación y entrega de los registros, notificación de incidentes con los plazos del artículo 73, derecho de auditoría y un plan de salida. No son florituras de abogado. Desde el 2 de agosto de 2026 es exigible el grueso del reglamento, la transparencia del artículo 50 incluida; el régimen de alto riesgo ya tiene su propio calendario cerrado tras el Reglamento (UE) 2026/1744: 2 de diciembre de 2027 para los sistemas del anexo III y 2 de agosto de 2028 para los del anexo I. Casi todas tus obligaciones como cliente dependen de algo que solo el proveedor puede darte, y el contrato que firmes hoy tiene que llegar preparado a esas fechas.

Una aclaración antes de empezar: lo que sigue son puntos de negociación, no un modelo de contrato ni asesoramiento jurídico para tu caso concreto. Úsalo como lista de control para sentarte a negociar o para revisar lo que ya tienes firmado con tu asesor.

Por qué el contrato es hoy tu única defensa real

El Reglamento de Inteligencia Artificial reparte obligaciones entre quien desarrolla el sistema (proveedor) y quien lo usa bajo su autoridad (responsable del despliegue). El reparto tiene truco: a ti, como cliente, te exige cosas —supervisión humana, vigilancia del funcionamiento, conservación de registros, información a los trabajadores— que solo puedes cumplir si el proveedor te da las instrucciones, los accesos y los datos necesarios. Si el contrato no obliga al proveedor a dártelos, la sanción por no cumplirlas es tuya igualmente.

Hay un segundo motivo, más silencioso. El artículo 25 dice que dejas de ser cliente y pasas a ser proveedor, con todas las obligaciones del artículo 16, si pones tu marca en un sistema de alto riesgo, lo modificas sustancialmente o le cambias la finalidad hasta convertirlo en alto riesgo. Esa frontera se cruza sin darse cuenta: una personalización profunda, un reetiquetado comercial, un uso distinto del previsto. El contrato es el sitio donde se fija de qué lado de la línea está cada uno y qué pasa si alguien la cruza. Tienes el detalle en cuándo te conviertes en proveedor según el artículo 25 y puedes situarte en dos minutos con el árbol de decisión de rol bajo el AI Act.

Y un tercero: el Ómnibus digital sobre IA —Reglamento (UE) 2026/1744, publicado el 24 de julio de 2026— reescribió el artículo 25.2 y concretó qué debe hacer el proveedor inicial cuando otro asume su rol: entregar documentación técnica suficiente, informar de las limitaciones y los modos de fallo conocidos y dar acceso técnico para prueba y validación. Son obligaciones legales, sí, pero con una excepción enorme: no se aplican si el proveedor indicó claramente que su sistema no debe transformarse en uno de alto riesgo. Muchos contratos estándar ya incluyen esa indicación. Si el tuyo la incluye y tu uso real la contradice, estás solo. Por eso cada una de las cláusulas siguientes existe: para convertir en derecho contractual lo que la norma deja en tierra de nadie.

Las cláusulas, una a una

1. Delimitación de roles y responsabilidad (artículo 25)

Pide que el contrato declare expresamente quién es proveedor y quién responsable del despliegue para cada sistema contratado, y que enumere los tres supuestos del artículo 25.1 (marca propia, modificación sustancial, cambio de finalidad) con la consecuencia pactada si se producen. Añade una obligación de aviso: si el proveedor detecta que tu configuración o tu uso te está acercando a la frontera, debe decírtelo antes de que la cruces. Completa con un régimen de indemnidades: quién asume las sanciones y los daños si la infracción nace de un defecto del sistema y quién si nace de un mal uso.

2. Cooperación del proveedor inicial (artículo 25.2 reformado)

Si algún día asumes el rol de proveedor —o planeas personalizaciones que puedan llevarte ahí—, exige por contrato lo que el 25.2 reformado por el Ómnibus concede: documentación técnica suficiente para evaluar la conformidad, información sobre limitaciones y modos de fallo conocidos, y acceso técnico específico para prueba y validación. Y sobre todo: pide que el proveedor renuncie a ampararse en la excepción de «mi sistema no debe transformarse en alto riesgo» para los usos que tú le has comunicado por escrito. Esa renuncia es la diferencia entre tener derecho a la documentación o no tenerlo.

3. Acuerdo escrito de información y asistencia (artículo 25.4)

El propio Reglamento ordena que proveedor y terceros suministradores especifiquen «mediante acuerdo escrito» la información, las capacidades y el acceso técnico necesarios para cumplir. Úsalo a tu favor: ese acuerdo escrito eres tú quien debe exigirlo, con contenido concreto y plazos de respuesta, no como una declaración genérica de buenas intenciones. La Oficina de IA puede publicar cláusulas contractuales tipo, voluntarias y gratuitas; cuando existan para tu caso, pedir que se incorporen es la vía más barata de equilibrar un contrato que el proveedor redactó a su medida.

4. Encargo de tratamiento (artículo 28 del RGPD)

Si el sistema trata datos personales —y casi todos lo hacen—, el proveedor que los trate por tu cuenta es tu encargado de tratamiento y el RGPD exige un contrato específico: tratamiento solo bajo tus instrucciones documentadas, confidencialidad, medidas de seguridad, autorización previa para subencargados, asistencia ante derechos de los interesados y ante brechas, y devolución o supresión de los datos al terminar. Exige además dos concreciones que los contratos de IA suelen esquivar: la lista cerrada de subencargados con su ubicación (los proveedores de modelos suelen estar fuera del EEE, con lo que eso implica en transferencias internacionales) y la prohibición expresa de usar tus datos para entrenar modelos de uso general salvo autorización separada.

5. Propiedad de los datos, del ajuste fino y de las salidas

El contrato debe responder sin ambigüedad de quién son los datos que aportas (tuyos, siempre), de quién es el modelo ajustado con tus datos si contratas fine-tuning (negocia que el ajuste sea tuyo o al menos de uso exclusivo) y qué derechos tienes sobre las salidas del sistema. Añade la obligación de exportar el conjunto de datos de ajuste y sus versiones en un formato reutilizable. Sin esta cláusula, cambiar de proveedor significa empezar de cero: eso también es dependencia, aunque no aparezca en la factura.

6. SLA y reversibilidad

Disponibilidad comprometida con penalizaciones, ventanas de mantenimiento, soporte con tiempos de respuesta y —esto es lo diferencial en IA— compromiso de estabilidad del modelo: qué versiones se te sirven, con cuánta antelación se te avisa de un cambio de modelo o de una degradación de capacidades, y derecho a permanecer en la versión anterior un periodo razonable. Un cambio de modelo silencioso puede alterar el comportamiento del sistema que tú has validado, y el artículo 26 te obliga a vigilar ese funcionamiento: sin esta cláusula, vigilas un blanco móvil.

7. Instrucciones de uso y soporte a tus obligaciones (artículo 26)

Las obligaciones del responsable del despliegue del artículo 26 empiezan todas igual: usar el sistema «con arreglo a las instrucciones de uso». Exige que esas instrucciones se entreguen en un idioma que tu equipo entienda, que describan las medidas de supervisión humana que el proveedor ha previsto y que se actualicen cuando el sistema cambie. Pide también el detalle de qué competencia y formación necesita el personal que supervisa, porque encomendarle la supervisión a alguien sin ella es incumplimiento tuyo, no del proveedor.

8. Registros: acceso, conservación y entrega

El artículo 26.6 te obliga a conservar los archivos de registro que el sistema genere automáticamente, al menos seis meses, «en la medida en que estén bajo tu control». En un SaaS no están bajo tu control: están en la infraestructura del proveedor. La cláusula debe garantizar que los registros existen, que puedes descargarlos o recibirlos periódicamente en formato tratable, que se conservan como mínimo ese plazo y que se te entregan íntegros al terminar el contrato. Sin esto, tu obligación legal depende de un botón de exportación que quizá no existe.

9. Incidentes graves y plazos del artículo 73

Cuando detectes un incidente grave, el artículo 26.5 te obliga a informar inmediatamente al proveedor —y, si no logras contactarlo, el artículo 73 se te aplica a ti mutatis mutandis, con sus plazos: notificación a la autoridad de vigilancia a más tardar 15 días desde el conocimiento del incidente, 2 días si hay infracción generalizada y 10 días en caso de fallecimiento de una persona. El contrato debe fijar un canal de contacto operativo 24/7 con obligación de acuse, los plazos internos de ida y vuelta (cuánto tarda el proveedor en confirmarte el vínculo causal, qué información te da para la notificación) y la cooperación en la investigación posterior, que el 73.6 impone al proveedor. Si el canal de incidentes de tu proveedor es un formulario genérico de soporte, esos plazos legales son incumplibles.

10. Auditoría y plan de salida

Derecho a auditar —tú o un tercero independiente— el cumplimiento de lo pactado: medidas de seguridad, subencargados, conservación de registros, sesgos documentados. Y un plan de salida pactado desde el primer día: plazo de asistencia a la migración, exportación completa de datos, ajustes y registros, borrado certificado de lo tuyo en sus sistemas y, para sistemas críticos, un periodo de coexistencia en el que el servicio siga operativo mientras migras. La reversibilidad se negocia cuando aún no la necesitas; cuando la necesitas, ya no negocias.

Tabla resumen

Estas diez cláusulas cubren el contrato con el proveedor de IA. El mapa completo de obligaciones del reglamento, con su calendario y sus roles, lo tienes en el vertical de cumplimiento del AI Act; y si lo que negocias es tecnología en general, no solo IA, el marco paralelo está en las cláusulas de ciberseguridad para contratos con proveedores: NIS2, DORA, ENS y RGPD tienen su propia lista.

Plantilla de anexo: las diez cláusulas listas para negociar

Copia esta tabla como anexo al contrato o al acuerdo escrito del artículo 25.4. La tercera columna es el mínimo que pedir; la cuarta, el margen habitual de negociación: anota en ella lo que aceptes y quedará constancia de qué se pactó y qué se cedió.

Preguntas frecuentes

Fuentes

• Reglamento (UE) 2024/1689 (Reglamento de Inteligencia Artificial), artículos 16, 25, 26 y 73 — EUR-Lex.
• Reglamento (UE) 2026/1744 (Ómnibus digital sobre IA), punto 12: modificación del artículo 25 — DOUE 24-7-2026.
• Reglamento (UE) 2016/679 (RGPD), artículo 28 — BOE, texto consolidado.