Una pyme casi nunca construye su IA: la contrata. Y eso significa que la mayor parte de su riesgo —de datos, regulatorio, operativo— entra por la puerta de los proveedores. La buena noticia es que ese riesgo se filtra con una herramienta baratísima: preguntas hechas a tiempo. Estas son las diez que separan una compra informada de un acto de fe, ordenadas de la más elemental a la más fina. Imprímelas antes de la próxima demo.
1. ¿Dónde se procesan y almacenan los datos? La pregunta madre. Región concreta, no «en la nube». Si hay tratamiento fuera del Espacio Económico Europeo, ¿con qué mecanismo de transferencia? Un proveedor que no responde esto en una frase tiene un problema — y si firmas, el problema es tuyo.
2. ¿Se usan mis datos para entrenar modelos? Los tuyos y los de tus clientes. La respuesta aceptable es un «no» contractual o un opt-out claro y verificable; la inaceptable es la ambigüedad («para mejorar el servicio»). Este punto va al contrato, no a la conversación.
3. ¿Quién puede ver las conversaciones y los prompts? La pregunta que casi nadie hace: el acceso de terceros —revisores humanos, proveedores del proveedor, filiales— a lo que tu gente escribe en un asistente. Pide la respuesta por escrito: en qué supuestos hay acceso humano, con qué controles, y si puede desactivarse.
4. ¿Qué papel asume usted en la cadena del AI Act — y cuál me deja a mí? Un proveedor serio sabe qué obligaciones son suyas como proveedor y cuáles te corresponden como responsable del despliegue, empezando por el aviso de que se habla con una IA: si el sistema está destinado a interactuar directamente con personas, el Art. 50(1) le exige diseñarlo para que lo sepan, salvo que resulte evidente. El que responde «de eso no os preocupéis» está respondiendo, en realidad, que no lo sabe.
5. ¿Qué documentación del sistema me entrega? Instrucciones de uso, limitaciones conocidas, datos sobre rendimiento y precisión, finalidad prevista. Es la materia prima de tu clasificación y de tu supervisión humana. «Tenemos un whitepaper» no es documentación.
6. ¿Qué modelo hay debajo y qué pasa cuando cambia? Si el producto se apoya en un modelo de terceros, ¿cuál, y con qué compromisos? Y la parte que casi nadie pregunta: ¿me notifican los cambios de modelo o de versión que alteran el comportamiento del sistema? Un cambio silencioso de modelo puede invalidar tu evaluación sin que nadie te avise.
7. ¿Qué marco de gestión sigue, a falta de normas armonizadas? La presunción de conformidad del artículo 40, que se refiere a los sistemas de alto riesgo y a los modelos de uso general, solo opera con normas armonizadas cuya referencia se haya publicado en el Diario Oficial de la UE, así que, mientras no la haya para lo que ofrece, la respuesta honesta habla de estándares internacionales, borradores en desarrollo y prácticas propias — con concreción. Desconfía por sistema del vocabulario grandilocuente sin artículo ni norma detrás.
8. ¿Cómo gestiona incidentes y vulnerabilidades? Canal de notificación, plazos de comunicación al cliente, historial si lo hay. La pregunta no es si tendrán un incidente — es si te enterarás por ellos o por la prensa.
9. ¿Qué pasa con mis datos al terminar el contrato? Exportación en formato usable, plazos de supresión verificables, qué queda en copias de seguridad y por cuánto tiempo. La salida se negocia en la entrada; después ya no hay palanca.
10. ¿Puede firmar todo lo anterior? La pregunta que convierte las nueve anteriores en algo real. Contrato de encargo de tratamiento donde proceda, anexos de seguridad, compromisos de notificación. Lo que no está firmado, a efectos de tu expediente, no existe.
Cómo usar las respuestas
Tres reglas de explotación. Primera: registra las respuestas — la due diligence sin registro es una charla; con registro, es evidencia de diligencia que un día enseñarás. Segunda: repítela en cada renovación — los productos cambian de modelo, de arquitectura y de subencargados más rápido que los contratos. Tercera, y la más importante: la evasiva también es información. El proveedor que esquiva la pregunta 2, se ofende con la 3 o responde a la 7 con etiquetas infladas te está enseñando cómo se comportará el día que tengas un problema. Agradécele la franqueza involuntaria y sigue buscando.
Diez preguntas, una hora de reunión, una tabla de respuestas archivada. Es, probablemente, la hora con mejor retorno de riesgo de todo tu programa de gobernanza — porque filtra los problemas antes de que tengan tu logo encima.
Contenido con arreglo al artículo 28 del Reglamento (UE) 2016/679 y a los artículos 40 y 50 del Reglamento (UE) 2024/1689.
Este artículo tiene carácter informativo y no constituye asesoramiento jurídico.