DERECHO DIGITAL · INTELIGENCIA ARTIFICIAL Y AI ACT
Antes de contratar una herramienta de inteligencia artificial, la empresa debe entender qué hace, con qué datos, quién decide, qué proveedor interviene y qué controles quedarán documentados. La compra tecnológica también es una decisión de cumplimiento, seguridad y gobierno.
¿Vas a contratar una herramienta de IA?
Revisamos finalidad, datos, proveedor, contrato, seguridad y supervisión antes de ponerla en producción.
Respuesta breve
Antes de contratar IA, la empresa debe definir la finalidad y el nivel de impacto, clasificar el uso según el marco aplicable, revisar los datos y la intervención humana, evaluar al proveedor y negociar contrato, seguridad, auditoría y salida. Si el sistema puede afectar a personas, derechos, empleo, crédito, acceso a servicios o decisiones relevantes, la revisión debe elevarse antes de la compra y no después del despliegue.
Por Álvaro Ruipérez Candón · arc@scandoup.com · Actualizado: 19 de octubre de 2026.
ANTES DE FIRMAR
Las preguntas que deben estar respondidas
Para qué se usará
Describe el caso de uso concreto, el resultado esperado, las personas afectadas y qué decisión apoyará o automatizará. “Usar IA para mejorar la eficiencia” no permite valorar riesgos ni responsabilidades.
Qué datos entran
Identifica datos personales, información confidencial, secretos empresariales, prompts, documentos y registros de uso. Comprueba si el proveedor reutiliza entradas para entrenar modelos y qué controles ofrece para limitarlo.
Quién responde
La empresa debe saber qué decisiones conserva el equipo interno, qué parte depende del proveedor y cómo se corrigen errores. La automatización no elimina la responsabilidad de la organización que utiliza el sistema.
REVISIÓN JURÍDICA Y TÉCNICA
Un proceso de compra con cinco capas
1. Finalidad, usuarios y consecuencias
El primer documento debe explicar quién usará la herramienta, qué salida produce y qué sucede si la salida es errónea. No es igual resumir documentos internos que puntuar candidatos, decidir límites de crédito, seleccionar clientes o recomendar una actuación frente a una persona. Cuanto más intensa sea la consecuencia, mayor debe ser la exigencia de evaluación, supervisión y trazabilidad.
2. RGPD, transparencia y minimización
La empresa debe definir la base jurídica, la información a las personas, la conservación, los accesos y los derechos aplicables. También debe valorar si procede una EIPD. La AEPD recuerda que una EIPD debe describir el tratamiento, valorar necesidad y proporcionalidad, analizar riesgos y establecer medidas para afrontarlos.
3. Clasificación y obligaciones del AI Act
El Reglamento de IA distingue obligaciones según el sistema, su finalidad, el papel de la organización y los riesgos asociados. Antes de contratar, hay que aclarar si la empresa actuará como deployer, si el proveedor es proveedor del sistema, si existe un modelo de propósito general y qué documentación e instrucciones deben entregarse. No debe afirmarse que una herramienta es “de bajo riesgo” solo por ser SaaS.
4. Contrato, datos y subproveedores
Revisa quién trata los datos, dónde, con qué subencargados, qué transferencias existen, cómo se notifican incidentes y quién responde por una salida defectuosa. El contrato debe prever uso permitido, confidencialidad, seguridad, auditoría, asistencia, conservación, devolución o borrado, cambios del modelo y terminación. Una demo comercial no sustituye esas garantías.
5. Puesta en producción y supervisión
Define pruebas previas, métricas, umbrales, registro de versiones, controles de acceso, revisión humana y procedimiento de reclamación. El sistema debe poder retirarse o limitarse si produce resultados inseguros. El asesoramiento AI Act para empresas ayuda a conectar la contratación con la gobernanza y la evidencia que se necesitará después.
DECISIÓN EJECUTABLE
No contrates solo una funcionalidad
Una herramienta puede parecer adecuada en una prueba y resultar inasumible cuando se integra con CRM, correo, RR. HH., soporte, expedientes o decisiones comerciales. Por eso la compra debe incluir un mapa de integraciones, usuarios, permisos, datos compartidos, proveedores críticos y escenarios de fallo.
El comité o responsable que aprueba la contratación debe recibir una ficha breve con finalidad, riesgos, controles, coste de salida, proveedor y decisión recomendada. Esa ficha permite que dirección entienda qué se está aprobando y qué condiciones deben cumplirse antes de activar el sistema.
Si el uso afecta a trabajadores, clientes o ciudadanos, documenta también quién puede revisar una decisión, cómo se corrige un dato y cómo se atiende una oposición o reclamación. La supervisión humana debe ser real, con capacidad y autoridad para intervenir.
Checklist de actuación
- Definir el caso de uso, usuarios, finalidad y consecuencias para personas.
- Inventariar datos, prompts, documentos, retención y reutilización por el proveedor.
- Determinar roles, obligaciones y posible necesidad de EIPD o evaluación adicional.
- Revisar contrato, subproveedores, transferencias, seguridad, auditoría y salida.
- Probar precisión, sesgos, límites, supervisión humana y gestión de errores.
- Aprobar el uso con una ficha de riesgos, responsables, evidencias y fecha de revisión.
Preguntas frecuentes
¿Basta con que el proveedor diga que cumple el AI Act?
No. La empresa debe entender su propio caso de uso y qué papel ocupa. Las obligaciones pueden depender de la finalidad, del sistema, de los datos y de la forma de utilización.
¿Puedo introducir datos personales en cualquier herramienta de IA?
No. Debes revisar finalidad, base jurídica, información, seguridad, conservación, proveedor y posibles transferencias. También debes comprobar si la herramienta reutiliza los datos para entrenamiento.
¿Cuándo conviene hacer una EIPD?
Cuando el tratamiento pueda implicar un alto riesgo para los derechos y libertades. La decisión debe justificarse con un análisis del tratamiento, sus riesgos y las medidas previstas, no solo con una etiqueta comercial del proveedor.
Fuentes oficiales y criterio aplicado
Reglamento de IA · texto oficial en EUR-Lex
AEPD · Qué debe incluir una EIPD
Reglamento General de Protección de Datos · texto oficial en EUR-Lex
Contenido informativo y general. No sustituye el análisis del expediente, contrato, sistema o circunstancias concretas de cada empresa. Consulta: 19 de octubre de 2026.
Implanta IA con una base jurídica y operativa clara
Si la empresa está valorando una herramienta, revisamos el caso de uso, el proveedor y las condiciones antes de contratar.