Por Rafael Luque Ocaña

Tu proveedor de IA es casi siempre un encargado del tratamiento: qué tiene que decir el contrato del Art. 28

Si un proveedor de IA trata datos personales por cuenta de tu empresa, es encargado del tratamiento, y el Art. 28 RGPD fija qué debe recoger el contrato.

Este artículo es para quien contrata un servicio de IA —un asistente, una herramienta de transcripción, un agente— que va a tratar datos personales de clientes, empleados o candidatos de su empresa, y tiene delante unas condiciones y un anexo de protección de datos que firmar. Antes de leerlos conviene saber qué papel tiene el proveedor, porque de ese papel depende qué tiene que decir el contrato.

En la mayoría de los casos la respuesta es la misma. Tu empresa decide para qué se usan los datos y el proveedor los trata para prestarte el servicio: tu empresa es responsable del tratamiento y el proveedor, encargado. El RGPD define al encargado como la persona u organismo «que trate datos personales por cuenta del responsable del tratamiento», y al responsable como quien, «solo o junto con otros, determine los fines y medios del tratamiento».

Primero, el papel

Cuándo tu proveedor de IA es encargado del tratamientoArts. 4(7), 4(8), 26(1) y 28 del Reglamento (UE) 2016/679EL PAPEL LO DECIDE QUIÉN FIJA LOS FINES Y LOS MEDIOS DE CADA TRATAMIENTONONOsi fija por su cuenta los finesy los medios · Art. 28(10)Un servicio de IA trata datos personales¿Los trata por cuentade tu empresa?¿Fijáis juntos los finesy los medios?Encargado del tratamientoArt. 4(8)El contrato del Art. 28(3) estipulará, en particular:a) solo con tus instrucciones documentadasb) confidencialidad de su personalc) las medidas de seguridad del Art. 32d) condiciones para recurrir a otro encargadoe) asistencia con los derechos de los interesadosf) ayuda con los arts. 32 a 36g) supresión o devolución, a tu elecciónh) información y auditoríasCorresponsables del tratamientoArt. 26(1)Responsable de ese tratamientofija él los fines y los mediosArt. 4(7)Arts. 4, 26 y 28 del Reglamento (UE) 2016/679 (RGPD)
El papel del proveedor depende de quién fija los fines y los medios de cada tratamiento. Si trata los datos por cuenta de tu empresa, es encargado y el contrato del Art. 28(3) recoge las ocho letras; si los fija con tu empresa, sois corresponsables; si los fija él, es responsable de ese tratamiento.

La figura recorre la pregunta en dos pasos. Si el proveedor trata los datos por cuenta de tu empresa, es encargado del tratamiento (Art. 4(8)), y el contrato del Art. 28(3) estipulará, en particular, las ocho letras de la a) a la h), que la figura resume. Si no los trata por tu cuenta y fijáis juntos los fines y los medios, sois corresponsables (Art. 26(1)); si los fija él solo, es responsable de ese tratamiento (Art. 4(7)). Una línea discontinua une al encargado con el responsable: el encargado que fija por su cuenta los fines y los medios pasa a ser responsable de ese tratamiento (Art. 28(10)).

El papel se decide tratamiento a tratamiento: el mismo servicio puede ser encargado para lo que hace al prestarte el servicio y responsable de otro tratamiento que decide él, como entrenar sus propios modelos con esos datos. Por eso la primera pregunta al proveedor es qué hace con los datos de tu empresa y quién lo decide.

Tampoco es el papel del AI Act, que reparte otros —proveedor y responsable del despliegue— con otros criterios: ajustar un modelo abierto puede convertir a tu empresa en proveedor a efectos del AI Act, y esa pregunta no la contesta el Art. 28 del RGPD.

Antes del contrato: a quién eliges

El Art. 28 empieza antes de firmar. Su apartado 1 dice que el responsable «elegirá únicamente un encargado que ofrezca garantías suficientes para aplicar medidas técnicas y organizativas apropiadas». La carga es de quien elige: si el proveedor no sabe explicar dónde trata los datos, quién accede a ellos o qué hace con ellos cuando termina el contrato, no ha dado garantías que se puedan valorar. Las diez preguntas de una due diligence sirven para eso, y sus respuestas acaban en el contrato.

Los subencargados

Un servicio de IA se apoya casi siempre en otros —la nube, el modelo de un tercero, el correo—, y cada uno que trate tus datos es otro encargado. El apartado 2 fija la regla: «El encargado del tratamiento no recurrirá a otro encargado sin la autorización previa por escrito, específica o general, del responsable.» Si la autorización es general, «el encargado informará al responsable de cualquier cambio previsto en la incorporación o sustitución de otros encargados, dando así al responsable la oportunidad de oponerse a dichos cambios».

Y el apartado 4 impone al subencargado «las mismas obligaciones de protección de datos que las estipuladas en el contrato u otro acto jurídico entre el responsable y el encargado», y si falla, «el encargado inicial seguirá siendo plenamente responsable ante el responsable del tratamiento por lo que respecta al cumplimiento de las obligaciones del otro encargado».

En la práctica: una lista de subencargados que puedes consultar, un aviso antes de cada cambio y un plazo para oponerte. Alethexis, por ejemplo, publica la suya en la página de subencargados y avisa con 30 días de antelación.

El contrato, letra a letra

El apartado 3 exige que el tratamiento se rija por «un contrato u otro acto jurídico con arreglo al Derecho de la Unión o de los Estados miembros, que vincule al encargado respecto del responsable y establezca el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos personales y categorías de interesados, y las obligaciones y derechos del responsable». Después enumera ocho letras que el contrato estipulará, en particular. La tabla las recorre con un ejemplo cumplimentado: cómo las recoge el contrato de encargo de Alethexis, que es el que conocemos por dentro.

LetraQué debe estipular el contratoEjemplo: el contrato de encargo de Alethexis
a) InstruccionesTratar los datos solo con instrucciones documentadas, también para las transferencias a terceros paísesCláusula 6.1: el contrato y sus anexos, los términos aceptados, la configuración del cliente en el servicio y lo que envíe por escrito a [email protected]
b) ConfidencialidadCompromiso de confidencialidad, u obligación legal, de las personas autorizadasCláusula 6.2: compromiso de confidencialidad, formación y acceso solo cuando sea necesario
c) SeguridadLas medidas del Art. 32Cláusula 6.3: remite al anexo III del contrato, que puede actualizarse sin reducir el nivel de protección
d) SubencargadosLas condiciones de los apartados 2 y 4Cláusula 6.4: autorización general, lista pública, aviso con 30 días de antelación y derecho a oponerse
e) DerechosAsistir al responsable ante quien ejerce sus derechosCláusula 6.5: acceso, exportación y supresión desde el propio servicio, y asistencia técnica cuando no basten
f) Arts. 32 a 36Ayudar con la seguridad, las violaciones de seguridad, la evaluación de impacto y la consulta previaCláusula 6.6: el anexo III, el aviso de violaciones de seguridad según la cláusula 8 y la información para la evaluación de impacto
g) Fin del servicioSuprimir o devolver los datos al terminar, a elección del responsableCláusula 6.7: según la cláusula 10, con un borrado escalonado en cinco niveles
h) AuditoríasInformación para demostrar el cumplimiento, y auditorías, incluidas inspeccionesCláusula 6.8: información y auditorías según la cláusula 9

El apartado termina con una obligación que no tiene letra: «el encargado informará inmediatamente al responsable si, en su opinión, una instrucción infringe el presente Reglamento u otras disposiciones en materia de protección de datos de la Unión o de los Estados miembros». El contrato de Alethexis la recoge en las cláusulas 6.1 y 6.8.

Si en el contrato de un proveedor falta una letra, o aparece solo como una promesa genérica de respetar la normativa, esa es la conversación pendiente antes de firmar.

Cuándo el proveedor no es encargado

Hay tres salidas, y la figura las dibuja.

Corresponsables. «Cuando dos o más responsables determinen conjuntamente los objetivos y los medios del tratamiento serán considerados corresponsables del tratamiento.» Ocurre cuando el proveedor decide contigo para qué y cómo se tratan los datos: la relación es entonces entre dos responsables, y el instrumento no es el contrato del Art. 28.

Responsable de su propio tratamiento. Si el proveedor usa los datos para fines que decide él —entrenar sus modelos, mejorar otros productos—, de ese tratamiento es responsable, porque es quien fija los fines y los medios. Qué datos alcanza ese uso, y si el contrato lo permite o lo excluye, es lo primero que conviene comprobar.

El encargado que se sale del papel. El Art. 28(10) prevé el caso: «Sin perjuicio de lo dispuesto en los artículos 82, 83 y 84, si un encargado del tratamiento infringe el presente Reglamento al determinar los fines y medios del tratamiento, será considerado responsable del tratamiento con respecto a dicho tratamiento.» No es una salida que el contrato ofrezca, sino la consecuencia de salirse de él.

Si el servicio es un agente conectado a otras herramientas, la pregunta se repite con cada servicio al que da acceso; lo tratamos en el artículo sobre la guía de la AEPD.

Las transferencias fuera del Espacio Económico Europeo

La letra a) del apartado 3 incluye las transferencias entre lo que el encargado solo hace siguiendo instrucciones documentadas: el contrato estipulará que trata los datos así, «inclusive con respecto a las transferencias de datos personales a un tercer país o una organización internacional». Y el Art. 44 solo permite la transferencia si «el responsable y el encargado del tratamiento cumplen las condiciones establecidas en el presente capítulo, incluidas las relativas a las transferencias ulteriores»: las que se hacen desde ese tercer país u organización internacional a otro u otra.

La pregunta práctica es dónde tratan los datos el proveedor y cada subencargado; una buena lista de subencargados lo dice, con el mecanismo de cada uno.

Qué conviene tener escrito

Para cada proveedor de IA que trate datos personales de tu empresa, cinco respuestas:

  1. Qué papel tiene en cada tratamiento, no solo en el servicio que te presta.
  2. Qué contrato lo rige, y si recoge lo que exige el apartado 3, con sus ocho letras.
  3. Qué subencargados usa, dónde está la lista y cómo te avisa de los cambios.
  4. Qué hace con los datos fuera del servicio, empezando por si entrena modelos con ellos.
  5. Dónde se tratan los datos, y con qué mecanismo si salen del Espacio Económico Europeo.

El Art. 28 es uno de los cinco artículos del RGPD que ya operan sobre tu IA, y no espera a ninguna fecha del AI Act.

Contenido con arreglo a los artículos 4, 26, 28 y 44 del Reglamento (UE) 2016/679, citado según el texto publicado en el DOUE L 119 de 4.5.2016; el art. 28, apartados 1 a 3, se cita según la versión consolidada, que incorpora la corrección de errores del DO L 74 de 4.3.2021.

Este artículo tiene carácter informativo y no constituye asesoramiento jurídico.

Preguntas frecuentes

¿Un SaaS de IA generativa es encargado o responsable?

Depende del tratamiento, no del producto. Para lo que hace con los datos de tu empresa al prestarte el servicio, por cuenta tuya y con tus instrucciones, es encargado. Si además los usa para fines que decide él, como entrenar sus modelos, en ese tratamiento fija él los fines y los medios y es responsable. Por eso conviene que el contrato diga qué hace con tus datos y qué no.

¿Y si el proveedor no firma un DPA?

El Art. 28(3) no exige un documento con ese nombre: exige que el tratamiento se rija por un contrato u otro acto jurídico que vincule al encargado y recoja lo que dice el artículo, y puede ir dentro de las condiciones del servicio. Si el proveedor no ofrece nada equivalente, no hay contrato que revisar, y el Art. 28(1) solo permite elegir encargados que ofrezcan garantías suficientes.

¿Y si los datos salen del Espacio Económico Europeo?

La letra a) del Art. 28(3) incluye las transferencias a terceros países entre lo que el encargado solo hace siguiendo tus instrucciones documentadas, y el Art. 44 exige que responsable y encargado cumplan las condiciones del capítulo V del RGPD, también en las transferencias ulteriores. Pide al proveedor la lista de subencargados, en qué país trata los datos cada uno y con qué mecanismo.

Recibe análisis como este en tu correo

Novedades regulatorias y de producto de Alethexis. Sin ruido.

Acepto recibir comunicaciones de Alethexis: contenido sobre IA y regulación, y novedades de producto. Puedo darme de baja en cualquier momento.

Responsable: ALETHEXIS, S.L. (NIF B88758057). Finalidad: enviarte el boletín de Alethexis (contenido sobre IA y regulación, y novedades de producto). Base jurídica: tu consentimiento (Art. 6.1.a RGPD), que puedes retirar en cualquier momento. Conservación: hasta que te des de baja o 24 meses de inactividad. Derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad: [email protected]. Puedes reclamar ante la Agencia Española de Protección de Datos (AEPD, www.aepd.es) o ante la autoridad de control de tu Estado miembro (Art. 77 RGPD). Más información en la política de privacidad.