Comprar IA: qué exigir al proveedor

La mayoría de las empresas no desarrollan IA: la compran o la reciben dentro de su software. El momento de la compra es cuando más fácil resulta exigir al proveedor lo que después hará falta.

Comprar no traslada la responsabilidad

Comprar la IA no es comprar el cumplimiento. El proveedor responde de su sistema; la empresa que lo usa, de cómo lo usa. El contrato puede repartir tareas con el proveedor, pero no trasladarle las obligaciones que la ley pone en quien usa la IA.

Qué preguntar antes de comprar

Antes de firmar, conviene saber:

Para qué está pensado el sistema, su finalidad prevista, y qué rol tendrá la empresa con él.
Si puede ser de alto riesgo y, en ese caso, su declaración UE de conformidad, su marcado CE y su registro (arts. 47 a 49). Estas obligaciones se aplicarán desde el 2 de diciembre de 2027 o el 2 de agosto de 2028, pero conviene pedir hoy que el proveedor las prevea.
Qué instrucciones de uso lo acompañan y qué información da para interpretar y usar bien sus resultados (art. 13).
Cómo cumple la transparencia: si avisa de que se habla con una IA y si marca el contenido que genera (art. 50).
Si se apoya en un modelo de uso general, qué información recibe el proveedor de quien le da ese modelo (art. 53).
Qué hace con los datos: dónde se tratan, quién accede a ellos y si se usan para entrenar.

Cómo comparar propuestas

Cuando hay varias opciones, algunas señales ayudan a ver qué proveedor está preparado:

tiene la documentación y las instrucciones de uso disponibles, y las entrega antes de firmar;
responde con claridad dónde se tratan los datos, quién accede a ellos y si se usan para entrenar;
sabe decir para qué está pensado su sistema y para qué no;
explica cómo avisa de los cambios y de los incidentes;
y acepta recoger todo eso por escrito.

Un proveedor que no puede contestar a estas preguntas antes de vender difícilmente podrá ayudar a cumplir después.

Si el proveedor no da la información

Si falta información, conviene pedirla por escrito y dejar constancia. Si el sistema es de alto riesgo, las instrucciones de uso no son una cortesía: el reglamento obliga a que el sistema vaya acompañado de ellas, con la información necesaria para usarlo e interpretar sus resultados (art. 13).

Si aun así no llega, se puede condicionar la compra a recibirla o buscar otra solución. Comprar sin ella deja a la empresa sin lo que necesita para cumplir con lo suyo.

Qué poner en el contrato

Sin pretender una lista cerrada, conviene que el contrato recoja:

la entrega y la actualización de la documentación y de las instrucciones de uso;
el aviso de cambios relevantes en el sistema y de incidentes;
el apoyo necesario para la supervisión humana y para conservar los registros que genere el sistema;
los datos y la confidencialidad, con lo que exige el RGPD cuando el proveedor trata datos personales por cuenta de la empresa (art. 28 RGPD);
la posibilidad de pedir evidencias o de auditar;
y qué pasa si el sistema se usa fuera de su finalidad.

El reglamento prevé que la Oficina de IA pueda recomendar cláusulas contractuales tipo, voluntarias, entre los proveedores de sistemas de alto riesgo y quienes les suministran herramientas, componentes o modelos (art. 25.4). Esto afecta sobre todo a quien construye su propio sistema con piezas de terceros. Para las compras públicas hay además cláusulas modelo de contratación de IA elaboradas con el apoyo de la Comisión Europea, que trasladan al proveedor requisitos del AI Act; son orientativas y no vinculantes.

Lo que el contrato no puede trasladar

Las obligaciones propias de quien usa el sistema siguen siendo de la empresa, diga lo que diga el contrato. Si el sistema es de alto riesgo, por ejemplo, las del art. 26: usarlo según sus instrucciones, encargar la supervisión humana a personas competentes, conservar los registros e informar a las personas afectadas y, si se usa en el trabajo, a la plantilla.

Cuándo adaptar lo comprado convierte a la empresa en proveedora

Si la empresa pone su marca a un sistema de alto riesgo, lo modifica de forma sustancial o le cambia la finalidad, incluido uno de uso general, para que pase a ser de alto riesgo, pasa a ser proveedora, con todas sus obligaciones (art. 25).

Más sobre los roles: ¿Proveedor o responsable del despliegue?

La IA que llega con el software que ya se paga

Muchas herramientas incorporan funciones de IA en una actualización, sin que nadie las haya comprado como tales. Conviene revisar las novedades del software ya contratado y, cuando aparece una función de IA, mirarla como si fuera una compra nueva: para qué sirve, qué datos usa y qué dice el contrato.

Por dónde empezar a encontrarla: La IA en la sombra

Después de comprar

La compra no termina con la firma. Antes de ponerlo en marcha conviene:

asignar quién supervisa el sistema y con qué autoridad;
formar a quien lo va a usar: qué hace, qué datos no introducir y cuándo avisar;
seguir las actualizaciones del proveedor, porque un cambio puede alterar lo que hace el sistema o su clasificación.

Cómo se plantea: la formación y el mantenimiento.

Qué hace el equipo para quien usa la IA de otro: Si usáis IA de otra empresa

Fuentes: Reglamento (UE) 2024/1689, arts. 4, 13, 25, 26, 47 a 49, 50 y 53; Reglamento (UE) 2026/1744 (Ómnibus), punto 12 de su art. 1 (art. 25); Reglamento (UE) 2016/679 (RGPD), art. 28; Comisión Europea: cláusulas tipo para la compra pública de IA. Orientación general, no una determinación jurídica.