Paso 4
Al acabar tendrás un expediente por proveedor con lo que pediste, lo que recibiste, en qué fecha y lo que sigue pendiente.
Cada sistema de tu inventario tiene detrás a alguien que lo desarrolla o lo comercializa. Este paso consiste en pedir a cada uno, por escrito, la información que necesitas para usar su sistema con criterio, y en guardar lo que conteste de forma que puedas encontrarlo dentro de un año.
Qué preguntar está resuelto en otro sitio: las diez preguntas de una due diligence seria tienen su propio artículo, enlazado al final. Este capítulo no las repite. Se queda con el procedimiento: a quién se envía el cuestionario, en qué momento, qué se archiva, cómo encaja con el contrato de encargo del tratamiento y qué haces cuando el proveedor no responde.
Se trabaja por proveedor, no por sistema. Si tres herramientas vienen del mismo fabricante, es un solo cuestionario y un solo expediente, con los tres sistemas vinculados. Y se empieza por la lista que dejó el paso 1: la columna de proveedor del inventario es tu lista de envíos.
Las obligaciones que el Reglamento (UE) 2024/1689 atribuye al proveedor siguen siendo del proveedor. En los sistemas de alto riesgo, el sistema de gestión de la calidad (Art. 17), la conservación de la documentación (Art. 18), la vigilancia poscomercialización (Art. 72) y la documentación técnica del Anexo IV son suyos; y los de los modelos de uso general tienen sus propias obligaciones (Arts. 53 a 55). Pedirle documentación no las traslada a tu organización ni te convierte en su supervisor.
Registrar a cada proveedor y lo que te ha facilitado es un control interno metodológico, no una obligación legal: una diligencia tuya. Si el proveedor ofrece un modelo de uso general, archivar la documentación que publica es para ti diligencia documental interna. Su valor es práctico: la documentación del proveedor es la materia prima de la clasificación del paso 3, de la política del paso 5 y de la supervisión de cada sistema.
Hay una parte que sí es obligación legal con mandato explícito: cuando el proveedor trata datos personales por cuenta de tu organización, el Art. 28 del RGPD te pide elegir solo encargados que ofrezcan garantías suficientes y regir ese tratamiento por un contrato u otro acto jurídico con el contenido que fija su apartado 3. El cuestionario y el contrato de encargo son dos piezas distintas del mismo expediente: el primero informa tu criterio, el segundo te vincula con el proveedor.
Los controles del catálogo de Alethexis que corresponden a este paso, cada uno con su naturaleza: obligación legal, buena práctica o control interno.
Recopilar y archivar la documentación que el proveedor del modelo GPAI publica como soporte de Arts.53-55 (model card, política de copyright, resumen de datos de entrenamiento, DPA). Para el deployer es diligencia documental interna; no es obligación sustantiva derivada de Arts.53-55.
Base legal
Sin base legal directa.
Para cada sistema, identificar si utiliza o integra un modelo de propósito general (ChatGPT, Claude, Gemini, Llama, Mistral, etc.) y registrar el proveedor y la versión del modelo. Habilita la diligencia documental GPAI para el deployer y la evaluación de obligaciones downstream.
Base legal
Sin base legal directa.
Datos del catálogo de controles. Las etiquetas indican la naturaleza normativa de cada control; no son una declaración de cumplimiento.
Ordena la lista por lo que trata cada proveedor: primero los que manejan datos personales o de clientes, después el resto. Envía a cada uno el mismo cuestionario, a una persona de contacto con nombre, y anota la fecha de envío y el plazo que le das; dos semanas es razonable. Muchos proveedores grandes publican su contrato de encargo y su documentación en sus portales de confianza: descárgalos y regístralos en lugar de esperar a que te los manden.
Por cada proveedor guarda la respuesta al cuestionario, las instrucciones de uso, la ficha técnica o model card si la hay, el contrato de encargo del tratamiento con su fecha y, si el sistema se apoya en un modelo de uso general, la documentación que publica su proveedor. Cada pieza con la fecha en que la recibiste y el sistema al que corresponde. Un enlace a un portal cambia sin avisar; una copia fechada, no.
Compara lo recibido con lo pedido. Lo que falta se reclama una vez, por escrito, con nueva fecha. Si el proveedor sigue sin contestar, anótalo en el expediente: qué pediste, cuándo, qué respondió y qué decides, entre seguir usando el sistema con límites, buscar una alternativa o elevarlo a quien decide en tu organización. Dejar constancia de lo solicitado y pendiente también es evidencia de diligencia.
Dar el paso por hecho cuando llega la primera respuesta.
Una respuesta comercial no es documentación. «Tenemos un whitepaper» o «de eso no os preocupéis» no sirven para clasificar un sistema ni para decidir cómo supervisarlo. El cuestionario se cierra cuando cada respuesta tiene detrás un documento o un compromiso por escrito, y lo que no lo tiene queda marcado como pendiente, con fecha. El error contrario también es frecuente: no registrar a los proveedores grandes porque se da por supuesto que lo tienen todo. Se registran igual, al menos los de los sistemas de tu inventario; su documentación suele estar publicada y basta con archivarla.
Un cuestionario al proveedor de IA cumplimentado de ejemplo, con datos ficticios: el que una clínica dental envía al proveedor de su sistema de diagnóstico por imagen, con sus respuestas y lo que queda pendiente. Sirve para ver cómo queda un expediente cerrado antes de abrir el tuyo.
Cuestionario al proveedor de IA, respondidoUna semana de calendario, casi toda de espera, entre los días 13 y 22. El trabajo propio son dos o tres horas para enviar los cuestionarios y otras tantas para archivar lo recibido y reclamar lo que falta.
Un expediente fechado por proveedor: el cuestionario enviado y su respuesta, la documentación recibida, el contrato de encargo cuando hay datos personales y la lista de lo que sigue pendiente, con la fecha de cada reclamación.
En Alethexis, cada proveedor tiene una ficha en tres bloques —identificación, naturaleza y documentación, con el contrato de encargo del tratamiento, su fecha y lo que has recibido—, y desde el inventario vinculas cada sistema a su proveedor, así que se ve qué proveedor respalda qué sistema y qué falta por pedir.
La plataforma calcula una puntuación de diligencia de 0 a 100 con su desglose línea a línea, que no es una nota de cumplimiento legal sino una ayuda para priorizar a qué proveedor reclamar documentación primero; el cuestionario cualitativo de 12 preguntas informa, pero no modifica la puntuación.