Este artículo es para quien contrata un servicio de IA —un asistente, una herramienta de transcripción, un agente— que va a tratar datos personales de clientes, empleados o candidatos de su empresa, y tiene delante unas condiciones y un anexo de protección de datos que firmar. Antes de leerlos conviene saber qué papel tiene el proveedor, porque de ese papel depende qué tiene que decir el contrato.
En la mayoría de los casos la respuesta es la misma. Tu empresa decide para qué se usan los datos y el proveedor los trata para prestarte el servicio: tu empresa es responsable del tratamiento y el proveedor, encargado. El RGPD define al encargado como la persona u organismo «que trate datos personales por cuenta del responsable del tratamiento», y al responsable como quien, «solo o junto con otros, determine los fines y medios del tratamiento».
Primero, el papel
La figura recorre la pregunta en dos pasos. Si el proveedor trata los datos por cuenta de tu empresa, es encargado del tratamiento (Art. 4(8)), y el contrato del Art. 28(3) estipulará, en particular, las ocho letras de la a) a la h), que la figura resume. Si no los trata por tu cuenta y fijáis juntos los fines y los medios, sois corresponsables (Art. 26(1)); si los fija él solo, es responsable de ese tratamiento (Art. 4(7)). Una línea discontinua une al encargado con el responsable: el encargado que fija por su cuenta los fines y los medios pasa a ser responsable de ese tratamiento (Art. 28(10)).
El papel se decide tratamiento a tratamiento: el mismo servicio puede ser encargado para lo que hace al prestarte el servicio y responsable de otro tratamiento que decide él, como entrenar sus propios modelos con esos datos. Por eso la primera pregunta al proveedor es qué hace con los datos de tu empresa y quién lo decide.
Tampoco es el papel del AI Act, que reparte otros —proveedor y responsable del despliegue— con otros criterios: ajustar un modelo abierto puede convertir a tu empresa en proveedor a efectos del AI Act, y esa pregunta no la contesta el Art. 28 del RGPD.
Antes del contrato: a quién eliges
El Art. 28 empieza antes de firmar. Su apartado 1 dice que el responsable «elegirá únicamente un encargado que ofrezca garantías suficientes para aplicar medidas técnicas y organizativas apropiadas». La carga es de quien elige: si el proveedor no sabe explicar dónde trata los datos, quién accede a ellos o qué hace con ellos cuando termina el contrato, no ha dado garantías que se puedan valorar. Las diez preguntas de una due diligence sirven para eso, y sus respuestas acaban en el contrato.
Los subencargados
Un servicio de IA se apoya casi siempre en otros —la nube, el modelo de un tercero, el correo—, y cada uno que trate tus datos es otro encargado. El apartado 2 fija la regla: «El encargado del tratamiento no recurrirá a otro encargado sin la autorización previa por escrito, específica o general, del responsable.» Si la autorización es general, «el encargado informará al responsable de cualquier cambio previsto en la incorporación o sustitución de otros encargados, dando así al responsable la oportunidad de oponerse a dichos cambios».
Y el apartado 4 impone al subencargado «las mismas obligaciones de protección de datos que las estipuladas en el contrato u otro acto jurídico entre el responsable y el encargado», y si falla, «el encargado inicial seguirá siendo plenamente responsable ante el responsable del tratamiento por lo que respecta al cumplimiento de las obligaciones del otro encargado».
En la práctica: una lista de subencargados que puedes consultar, un aviso antes de cada cambio y un plazo para oponerte. Alethexis, por ejemplo, publica la suya en la página de subencargados y avisa con 30 días de antelación.
El contrato, letra a letra
El apartado 3 exige que el tratamiento se rija por «un contrato u otro acto jurídico con arreglo al Derecho de la Unión o de los Estados miembros, que vincule al encargado respecto del responsable y establezca el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos personales y categorías de interesados, y las obligaciones y derechos del responsable». Después enumera ocho letras que el contrato estipulará, en particular. La tabla las recorre con un ejemplo cumplimentado: cómo las recoge el contrato de encargo de Alethexis, que es el que conocemos por dentro.
| Letra | Qué debe estipular el contrato | Ejemplo: el contrato de encargo de Alethexis |
|---|---|---|
| a) Instrucciones | Tratar los datos solo con instrucciones documentadas, también para las transferencias a terceros países | Cláusula 6.1: el contrato y sus anexos, los términos aceptados, la configuración del cliente en el servicio y lo que envíe por escrito a [email protected] |
| b) Confidencialidad | Compromiso de confidencialidad, u obligación legal, de las personas autorizadas | Cláusula 6.2: compromiso de confidencialidad, formación y acceso solo cuando sea necesario |
| c) Seguridad | Las medidas del Art. 32 | Cláusula 6.3: remite al anexo III del contrato, que puede actualizarse sin reducir el nivel de protección |
| d) Subencargados | Las condiciones de los apartados 2 y 4 | Cláusula 6.4: autorización general, lista pública, aviso con 30 días de antelación y derecho a oponerse |
| e) Derechos | Asistir al responsable ante quien ejerce sus derechos | Cláusula 6.5: acceso, exportación y supresión desde el propio servicio, y asistencia técnica cuando no basten |
| f) Arts. 32 a 36 | Ayudar con la seguridad, las violaciones de seguridad, la evaluación de impacto y la consulta previa | Cláusula 6.6: el anexo III, el aviso de violaciones de seguridad según la cláusula 8 y la información para la evaluación de impacto |
| g) Fin del servicio | Suprimir o devolver los datos al terminar, a elección del responsable | Cláusula 6.7: según la cláusula 10, con un borrado escalonado en cinco niveles |
| h) Auditorías | Información para demostrar el cumplimiento, y auditorías, incluidas inspecciones | Cláusula 6.8: información y auditorías según la cláusula 9 |
El apartado termina con una obligación que no tiene letra: «el encargado informará inmediatamente al responsable si, en su opinión, una instrucción infringe el presente Reglamento u otras disposiciones en materia de protección de datos de la Unión o de los Estados miembros». El contrato de Alethexis la recoge en las cláusulas 6.1 y 6.8.
Si en el contrato de un proveedor falta una letra, o aparece solo como una promesa genérica de respetar la normativa, esa es la conversación pendiente antes de firmar.
Cuándo el proveedor no es encargado
Hay tres salidas, y la figura las dibuja.
Corresponsables. «Cuando dos o más responsables determinen conjuntamente los objetivos y los medios del tratamiento serán considerados corresponsables del tratamiento.» Ocurre cuando el proveedor decide contigo para qué y cómo se tratan los datos: la relación es entonces entre dos responsables, y el instrumento no es el contrato del Art. 28.
Responsable de su propio tratamiento. Si el proveedor usa los datos para fines que decide él —entrenar sus modelos, mejorar otros productos—, de ese tratamiento es responsable, porque es quien fija los fines y los medios. Qué datos alcanza ese uso, y si el contrato lo permite o lo excluye, es lo primero que conviene comprobar.
El encargado que se sale del papel. El Art. 28(10) prevé el caso: «Sin perjuicio de lo dispuesto en los artículos 82, 83 y 84, si un encargado del tratamiento infringe el presente Reglamento al determinar los fines y medios del tratamiento, será considerado responsable del tratamiento con respecto a dicho tratamiento.» No es una salida que el contrato ofrezca, sino la consecuencia de salirse de él.
Si el servicio es un agente conectado a otras herramientas, la pregunta se repite con cada servicio al que da acceso; lo tratamos en el artículo sobre la guía de la AEPD.
Las transferencias fuera del Espacio Económico Europeo
La letra a) del apartado 3 incluye las transferencias entre lo que el encargado solo hace siguiendo instrucciones documentadas: el contrato estipulará que trata los datos así, «inclusive con respecto a las transferencias de datos personales a un tercer país o una organización internacional». Y el Art. 44 solo permite la transferencia si «el responsable y el encargado del tratamiento cumplen las condiciones establecidas en el presente capítulo, incluidas las relativas a las transferencias ulteriores»: las que se hacen desde ese tercer país u organización internacional a otro u otra.
La pregunta práctica es dónde tratan los datos el proveedor y cada subencargado; una buena lista de subencargados lo dice, con el mecanismo de cada uno.
Qué conviene tener escrito
Para cada proveedor de IA que trate datos personales de tu empresa, cinco respuestas:
- Qué papel tiene en cada tratamiento, no solo en el servicio que te presta.
- Qué contrato lo rige, y si recoge lo que exige el apartado 3, con sus ocho letras.
- Qué subencargados usa, dónde está la lista y cómo te avisa de los cambios.
- Qué hace con los datos fuera del servicio, empezando por si entrena modelos con ellos.
- Dónde se tratan los datos, y con qué mecanismo si salen del Espacio Económico Europeo.
El Art. 28 es uno de los cinco artículos del RGPD que ya operan sobre tu IA, y no espera a ninguna fecha del AI Act.
Contenido con arreglo a los artículos 4, 26, 28 y 44 del Reglamento (UE) 2016/679, citado según el texto publicado en el DOUE L 119 de 4.5.2016; el art. 28, apartados 1 a 3, se cita según la versión consolidada, que incorpora la corrección de errores del DO L 74 de 4.3.2021.
Este artículo tiene carácter informativo y no constituye asesoramiento jurídico.