La semana pasada un cliente se puso en contacto conmigo con una duda sobre el contrato IA que acababa de firmar con un proveedor para automatizar parte de su atención al cliente.
Ya habían firmado cuando alguien del equipo preguntó: «¿esto cumple con el AI Act?». Nadie lo sabía, porque nadie lo había comprobado antes de firmar.
Esto pasa constantemente. Usar IA en tu empresa no consiste solo en aceptar unos términos y condiciones antes de empezar a trabajar. Si en tu empresa usáis ChatGPT, Copilot u otra herramienta de IA, según el AI Act probablemente seáis un deployer.
El problema no es únicamente si el proveedor cumple el AI Act. El problema es si tu empresa podrá demostrar ese cumplimiento cuando un cliente, un auditor o una autoridad lo soliciten. Por eso, estas son las cláusulas que deberías revisar en el contrato IA antes de firmar.
Por qué el contrato con tu proveedor de Inteligencia Artificial es clave para cumplir el AI Act
Muchas empresas piensan que, si utilizan herramientas como ChatGPT, Microsoft Copilot o Gemini, toda la responsabilidad de cumplir el AI Act recae sobre OpenAI, Microsoft o Google. Pero no es exactamente así.
Cuando tu empresa utiliza una herramienta de IA para agilizar procesos internos o para trabajar con empleados o clientes, también asume determinadas responsabilidades.
Los proveedores de la IA deben cumplir con una serie de requisitos legales y técnicos, tales como documentar el sistema o evaluar el riesgo. Sin embargo, la empresa que utiliza esa herramienta también tiene obligaciones propias. En el AI Act, esa empresa recibe el nombre de deployer.
¿Qué significa esto? Que no basta con contratar una herramienta de IA de pago y empezar a utilizarla. También debes asegurarte de que puedes usarla de forma segura, transparente y conforme a la normativa, y aquí es donde es importante tener claro el contrato IA que firmas con el proveedor.
Muchas de las obligaciones que debes cumplir en la UE dependen directamente de lo que ese proveedor te permita hacer.
Por ejemplo, si no puedes acceder a los logs, no puedes demostrar supervisión humana. Si el proveedor no te da un addendum claro sobre tratamiento de datos, no puedes acreditar tu propio cumplimiento del RGPD combinado con el AI Act.
Y si todas estas cuestiones no están bien reguladas en el contrato, puede resultar mucho más difícil demostrar que tu empresa ha actuado con la diligencia que exige la normativa.
Por eso, revisar el contrato antes de implantar una solución de IA no es una simple formalidad. Es una de las mejores formas de reducir riesgos legales y empezar a utilizar la IA con mayor seguridad.
Antes de firmar: las cuatro preguntas que deberías hacer a cualquier proveedor de IA
Si no tienes tiempo de leer el contrato entero, empieza por estas cuatro preguntas. Sus respuestas te dirán mucho sobre el nivel de transparencia y compromiso del proveedor.
¿Cómo protegen los datos que introducimos en la herramienta?
Pregunta si tienen un Acuerdo de Tratamiento de Datos (DPA) y si incluye condiciones específicas para el uso de IA, no solo las cláusulas habituales de protección de datos.
¿Podemos acceder a la información sobre cómo se ha utilizado la herramienta?
Es importante saber si la empresa puede consultar o exportar los registros de uso (logs). Esto puede ser fundamental para investigar incidencias o demostrar que existe un control adecuado sobre el uso de la IA.
¿Qué mecanismos de supervisión humana ofrece la herramienta?
La IA no debería tomar decisiones importantes sin intervención humana. Pregunta cómo permite el proveedor revisar, validar o corregir las respuestas generadas por el sistema.
¿Qué ocurre con nuestros datos cuando el sistema se actualiza o mejora?
Asegúrate de entender si la información que introduces puede utilizarse para entrenar o mejorar los modelos de IA y qué opciones ofrece el proveedor para limitar ese uso.
Si las respuestas no son claras, o si el proveedor evita responder, ofrece explicaciones ambiguas o simplemente remite a unas condiciones generales difíciles de entender, es una señal para detenerse y revisar el contrato con más detalle.
En muchos casos, los mayores riesgos no están en la herramienta de IA, sino en las condiciones que aceptamos sin leer.
Las cláusulas que deberías revisar antes de contratar una herramienta de IA
Cuando una empresa contrata una herramienta de IA, suele fijarse en el precio, las funcionalidades o la facilidad de uso. Sin embargo, el contrato también puede marcar la diferencia entre trabajar con tranquilidad o asumir riesgos innecesarios.
Estas son algunas de las cláusulas que desde Legal Stones recomendamos revisar antes de firmar.
¿Cómo tratará el proveedor tus datos, y puede usarlos para entrenar la IA?
No es suficiente con que el proveedor te diga que cumple con el RGPD. También deberías formular estas preguntas:
- ¿Usará la información que introduces para entrenar o mejorar su IA?
- ¿Dónde se almacenan esos datos?
- ¿Quién puede acceder a ellos?
- ¿Puedes pedir que no se utilicen para entrenar el modelo?
Cada proveedor tiene una política diferente: algunos usan la información de los usuarios para entrenar o mejorar sus modelos por defecto; otros permiten desactivar esa opción.
Estas opciones deberían aparecer claramente en el contrato o en un acuerdo específico sobre el uso de la IA.
¿Podrás revisar o corregir las decisiones de la IA?
La IA puede ayudarte a trabajar más rápido, pero las decisiones importantes no deben quedar completamente en manos del algoritmo.
Es aconsejable asegurarse de que la herramienta permite la supervisión humana y que siempre existe la posibilidad de revisar, corregir o detener una respuesta o decisión generada por la IA.
Esto es especialmente relevante para cumplir el AI Act si la herramienta interviene en procesos como la selección de personal, la atención al cliente o la evaluación de solicitudes.
¿Tendrás acceso al historial de uso?
Imagina que un cliente presenta una reclamación o que necesitas averiguar por qué la aplicación dio una determinada respuesta. ¿Podrás consultar esa información?
El contrato debería indicar si tendrás acceso a los registros de actividad (logs) y durante cuánto tiempo estarán disponibles. Sin esa información puede resultar muy difícil demostrar cómo se utilizó la herramienta.
¿Quién responde si la IA comete un error?
Ningún sistema de IA es perfecto. Por eso conviene revisar qué ocurre si una respuesta incorrecta, un fallo del sistema o un funcionamiento inesperado provoca un problema en tu empresa.
Muchos proveedores limitan al máximo su responsabilidad. Antes de firmar, asegúrate de entender qué riesgos asumes tú y cuáles asume el proveedor.
¿Qué pasa si el proveedor deja de cumplir la normativa?
La regulación sobre IA seguirá evolucionando. Si el proveedor deja de cumplir con sus obligaciones legales, tu empresa debería tener la posibilidad de finalizar el contrato sin penalizaciones.
Es una cláusula sencilla, pero muy útil para protegerte en el futuro.
¿Te informa el proveedor con claridad de que estás usando un sistema de IA?
El AI Act exige transparencia frente al usuario final cuando interactúa con un sistema de IA, por ejemplo un chatbot de atención al cliente. Comprueba que el proveedor te facilita esa información y las limitaciones conocidas del sistema, para poder trasladarlas a tus propios clientes o empleados si lo necesitas.
Si ya firmaste el contrato
No te preocupes.
La mayoría de las empresas ya utilizan herramientas de IA sin haber revisado estas cuestiones. Eso no significa que sea demasiado tarde.
En muchos casos no es necesario cambiar todo el contrato. Basta con revisar las condiciones actuales, identificar los puntos que generan más riesgo y negociar un documento adicional (addendum) o una modificación del contrato que aclare estas cuestiones.
Con frecuencia es un proceso mucho más sencillo de lo que parece y puede evitar problemas importantes en el futuro.
¿No sabes si el contrato de tu proveedor de IA te protege lo suficiente? En Legal Stones revisamos contratos de herramientas de IA para identificar riesgos antes de que se conviertan en un problema.
Checklist: ¿qué deberías revisar antes de firmar un contrato de IA?
Antes de contratar o renovar una herramienta de inteligencia artificial, asegúrate de que el contrato responde claramente a estas cuestiones:
- Existe un acuerdo específico sobre el tratamiento de datos y el uso de IA.
- Puedes supervisar y, cuando sea necesario, intervenir en las decisiones del sistema.
- Tienes acceso a la información necesaria para revisar el funcionamiento de la herramienta (logs o registros de actividad).
- El contrato establece quién asume la responsabilidad si la IA provoca un error o un perjuicio.
- Puedes finalizar el contrato si el proveedor deja de cumplir con la normativa aplicable.
- Sabes exactamente qué ocurre con los datos que introduces en la herramienta y si pueden utilizarse para entrenar o mejorar los modelos de IA.
Preguntas frecuentes sobre el contrato IA y SaaS
¿Qué es un contrato SaaS?
Un contrato SaaS (Software as a Service) es el acuerdo que firmas con el proveedor de una herramienta en la nube: ChatGPT Enterprise, Microsoft Copilot, Gemini u otra plataforma de IA. No compras el software; contratas un servicio con condiciones de uso, datos, disponibilidad y responsabilidad. En un contrato IA, esas cláusulas determinan qué puedes demostrar ante un cliente, un auditor o una autoridad. Antes de firmar, conviene revisar DPA, logs, entrenamiento de modelos y límites de responsabilidad. En Legal Stones revisamos ese contrato en lenguaje claro para que sepas qué negociar.
¿Qué es un deployer según el AI Act?
En el AI Act (Reglamento UE 2024/1689), el deployer es quien utiliza un sistema de IA bajo su propia autoridad: tu empresa, si usáis ChatGPT, Copilot o un chatbot con clientes o empleados. No basta con que el proveedor diga que cumple; tú también tienes obligaciones (transparencia, supervisión humana, trazabilidad). El contrato con el proveedor condiciona si puedes cumplirlas en la práctica. Si no tienes claro tu rol de deployer, un AI Act Quick Check o una revisión del contrato te orientan sin tecnicismos.
¿Es obligatorio revisar el contrato de ChatGPT Enterprise?
No hay una norma que diga «debes revisar ChatGPT Enterprise antes de firmar», pero sí hay obligaciones de diligencia: RGPD, AI Act y, en muchos sectores, lo que te exijan clientes o auditorías. Firmar sin leer es el riesgo habitual. Revisar el contrato IA no es burocracia: es comprobar si puedes acceder a logs, limitar el uso de datos para entrenamiento y saber quién responde si la IA falla. En Legal Stones hacemos esa revisión preventiva para pymes y equipos que quieren usar IA con tranquilidad — y conseguir claridad antes de que llegue la primera reclamación.
¿Qué son los logs?
Los logs son el historial de uso de la herramienta: quién preguntó qué, cuándo y qué respondió el sistema. Sin acceso a esos registros es muy difícil investigar una incidencia, demostrar supervisión humana o acreditar cumplimiento ante un auditor. El contrato debería decir si puedes consultar o exportar logs y durante cuánto tiempo se conservan. Si el proveedor no lo deja claro, es una bandera roja. Podemos ayudarte a localizar esa cláusula y a negociar un addendum si ya firmaste.
¿Puede el proveedor usar mis datos para entrenar la IA?
Depende del contrato y de la configuración del plan. Algunos proveedores usan por defecto los datos de uso para mejorar modelos; otros (sobre todo en planes enterprise) permiten desactivarlo. Debes comprobarlo por escrito: qué datos se usan, dónde se almacenan, quién accede y si puedes oponerte. Mezclar datos de clientes o empleados en un modelo sin control puede chocar con el RGPD y con lo que prometes a tus propios clientes. En Legal Stones revisamos esas cláusulas de entrenamiento y te indicamos qué pedir antes de firmar o renovar.
¿Qué es un DPA?
Un DPA (Data Processing Agreement o Acuerdo de Tratamiento de Datos) es el documento que regula cómo el proveedor trata datos personales por cuenta de tu empresa. Con IA no basta un DPA genérico: conviene que cubra prompts, salidas del modelo, subencargados, transferencias internacionales y uso para entrenamiento. Sin un DPA adecuado es difícil demostrar cumplimiento del RGPD cuando usas ChatGPT, Copilot o Gemini con datos reales. Si quieres que revisemos el DPA y el resto del contrato IA de tu proveedor, escríbenos a hello@legalstones.com — sin compromiso.
Un último consejo
No hace falta esperar a que surja un problema para revisar un contrato.
De hecho, el mejor momento para hacerlo es antes de firmar, cuando todavía es posible negociar condiciones y reducir riesgos sin complicaciones.
Si ya utilizas herramientas como ChatGPT, Microsoft Copilot, Gemini o cualquier otra solución de IA en tu empresa, merece la pena dedicar unos minutos a comprobar si el contrato realmente protege tus intereses.
A menudo, una pequeña revisión a tiempo evita problemas mucho más costosos en el futuro.
¿Necesitas revisar el contrato IA de un proveedor? En Legal Stones ayudamos a empresas a analizar contratos de herramientas de IA, identificar riesgos y comprobar si las condiciones son compatibles con el AI Act y con la normativa de protección de datos.
Porque incorporar IA a una empresa no consiste solo en elegir la herramienta adecuada. También consiste en asegurarse de que el contrato te protege desde el primer día.