El problema que ya no empieza en la oficina
La incorporación de sistemas de inteligencia artificial en procesos de negocio ha desplazado parte del riesgo fuera de la organización: muchas empresas compran modelos, integraciones o funcionalidades que proporcionan terceros. Así lo recuerda María Luisa García Torres, doctora en Derecho Procesal y jefe de estudios del área de Derecho de la Facultad Business & Tech, en un análisis publicado en Lawandtrends.
García Torres advierte de que externalizar el desarrollo o la prestación tecnológica no equivale a externalizar los riesgos. Por eso, sostiene, la gobernanza de proveedores de IA no debería comenzar al firmar el contrato, sino antes: con preguntas sobre qué se compra y qué consecuencias tendrá su uso.
El Reglamento (UE) 2024/1689 y el papel del contrato
El Reglamento (UE) 2024/1689 —abreviado en el análisis como RIA— organiza la cadena de valor de la IA y distribuye obligaciones entre los distintos operadores. Su artículo 25 regula responsabilidades a lo largo de esa cadena y, en su apartado 4, exige, en determinados supuestos relativos a sistemas de alto riesgo, acuerdos escritos entre el proveedor y terceros que suministran elementos necesarios para cumplir las obligaciones reglamentarias.
"El contrato debe hacer operativa la distribución de responsabilidades necesaria para utilizar la tecnología de forma controlada", escribe María Luisa García Torres en Lawandtrends.
El análisis subraya que no todas las relaciones están sometidas al artículo 25 en los mismos términos: la relevancia contractual depende del tipo de sistema y del papel de cada parte en la cadena de suministro. Pero, añade, las exigencias del RIA —aunque de aplicación gradual en algunos puntos— obligan ya a revisar los procesos de contratación.
Qué debería incluir una gobernanza contractual eficaz
García Torres propone mirar el contrato como una herramienta operativa para gestionar riesgos. Entre las medidas que recomienda implantar antes y durante la contratación figuran:
- Inventario y análisis previo de la tecnología y sus componentes: saber qué se compra y de quién depende.
- Matriz de responsabilidades que distribuya obligaciones de cumplimiento, mantenimiento y gestión de incidentes.
- Cláusulas de verificación y auditoría que permitan comprobar el correcto funcionamiento y la conformidad con requisitos regulatorios.
- Planes de contingencia y protocolos para la gestión de fallos, sesgos o fugas de datos.
- Obligaciones de transparencia del proveedor sobre la procedencia de datos, modelos y subcontratistas.
Elementos contractuales que conviene formalizar
Para facilitar la toma de decisiones y cumplir el RIA, el contrato puede convertir en operativas las responsabilidades entre las partes. A modo orientativo, el artículo señala la necesidad de acuerdos escritos cuando la intervención de terceros es imprescindible para que el proveedor cumpla sus obligaciones legales.
| Aspecto | Qué debe contener |
|---|---|
| Distribución de responsabilidades | Quién hace qué en materia de seguridad, privacidad y cumplimiento normativo |
| Derechos de auditoría | Acceso a registros, pruebas y capacidad de auditorías independientes |
| Gestión de incidentes | Plazos, notificación, medidas correctoras y comunicación a reguladores |
| Transparencia sobre subcontratas | Lista de terceros críticos y obligaciones equivalentes para subcontratistas |
Consecuencias prácticas
El artículo de García Torres recuerda que, aunque algunas obligaciones del RIA se aplican de manera escalonada, su existencia obliga a empresas y compradores a revisar ahora mismos sus procesos de contratación. Actuar tarde puede dejar vacíos operativos: un contrato que ignore la cadena de suministro de la IA puede dificultar la atribución de responsabilidades y la respuesta ante riesgos reales.
En definitiva, la autora plantea que la gobernanza de IA debe ampliarse fuera del perímetro de la organización: incluir proveedores y subcontratistas en políticas, inventarios y matrices de responsabilidad, y plasmar esa distribución en acuerdos escritos cuando la ley lo exige.
El mensaje es claro para responsables legales, de compras y de tecnología: el contrato es una herramienta de cumplimiento y de gestión de riesgo, no solo un documento económico. Revisarlo ahora es, según el análisis, una medida preventiva que evitará costes y conflictos a futuro.
