Por qué los contratos de IA son diferentes a los contratos de TI tradicionales
Imagine esto: su jefe de proyecto crea, usando ChatGPT, un pliego de requisitos que incluye datos confidenciales de clientes. Tres meses después, frases similares aparecen en la oferta de un competidor.
¿Casualidad? Poco probable.
Los contratos de IA se diferencian fundamentalmente de las licencias clásicas de software. Mientras que en un software CRM sabe exactamente lo que el sistema puede hacer y lo que no, los modelos de IA se mueven en una zona gris de probabilidades y procesos de aprendizaje.
La Ley de IA de la UE (EU AI Act), en vigor desde 2024 de forma progresiva, endurece aún más los requisitos legales. Ahora, las empresas deben evaluar categorías de riesgo e implementar medidas de protección adecuadas.
De ahí surgen tres campos problemáticos clave:
Transparencia del flujo de datos: ¿A dónde van sus entradas? ¿Se usan para entrenamiento? Estas preguntas suelen quedar sin respuesta en las condiciones estándar.
Imprevisibilidad de los resultados: La IA puede alucinar, discriminar o simplemente producir resultados erróneos. ¿Quién responde por los daños consecuentes?
Vendor lock-in: Los modelos entrenados específicamente no se pueden migrar fácilmente. Sus datos y adaptaciones permanecen con el proveedor.
La buena noticia: con las cláusulas contractuales adecuadas, estos riesgos se pueden reducir considerablemente.
Las siete cláusulas críticas de un vistazo
No toda implementación de IA necesita un contrato de 50 páginas. Pero hay siete áreas clave que siempre debe abordar:
- Uso y protección de datos: Reglas claras para datos de entrada, entrenamiento y almacenamiento
- Distribución de la responsabilidad: ¿Quién asume los riesgos si la IA comete errores?
- Propiedad intelectual: Situación legal de los contenidos generados por IA
- Acuerdos de nivel de servicio: Estándares medibles de calidad y disponibilidad
- Compliance y auditoría: Pruebas documentadas del cumplimiento normativo
- Condiciones de terminación: Devolución y borrado de datos al finalizar el contrato
- Gestión de cambios: Cómo se gestionan actualizaciones del modelo y cambios de funcionalidad
Pueden parecer aspectos técnicos, pero tienen impacto directo en el negocio. La ausencia de un proceso para la devolución de datos puede dejarle meses sin su herramienta de IA más importante.
Especialmente en grandes implementaciones —por ejemplo, un chatbot empresarial o un sistema RAG— todos estos aspectos deben estar blindados contractualmente.
El motivo es simple: los proyectos de IA fracasan menos por cuestiones técnicas que por responsabilidades poco claras.
Protección de datos y compliance: El núcleo de todo acuerdo de IA
Aquí entramos en lo concreto: sus empleados introducen cada día información sensible en herramientas de IA. Datos de clientes, documentos estratégicos, cálculos.
El RGPD requiere una base legal para cualquier tratamiento de datos. Esto se complica en aplicaciones de IA, porque a menudo no está claro qué sucede exactamente con los datos.
Definir el propósito del tratamiento: Exija confirmación escrita sobre los usos de sus datos. «Para prestación de servicio» no basta. Exija detalles: ¿Se usan para entrenamiento? ¿Se realiza profiling?
Regular el tratamiento por encargo: Si el proveedor de IA trata datos personales, necesitará un contrato de encargado de tratamiento conforme al Art. 28 RGPD. Muchos proveedores estadounidenses ofrecen modelos estándar.
Atención a la localización de datos: ¿Dónde se tratan y almacenan sus datos? Con proveedores europeos, esto suele ser sencillo. Con servicios de EE. UU., deben aplicarse cláusulas contractuales estándar o el Data Privacy Framework.
Acuerde plazos de borrado: Defina claramente cuándo y cómo se eliminarán sus datos. «Al acabar el contrato» es demasiado vago. Mejor: «30 días tras notificación por escrito y confirmación del borrado».
Un ejemplo práctico: una empresa de ingeniería usa IA para elaborar ofertas. Datos de clientes, precios y especificaciones técnicas entran en el sistema.
Sin reglas claras sobre uso de datos, la empresa arriesga multas RGPD de hasta el 4% del volumen de negocio anual. Una pyme con 50 millones de euros de facturación se expone a 2 millones de euros.
La solución: un plan detallado de flujo de datos en el contrato. Cada tipo de dato recibe reglas propias para almacenamiento, tratamiento y borrado.
Garantice derechos de auditoría: Asegure el derecho a realizar auditorías de compliance. Los grandes proveedores suelen aportar informes SOC-2.
Responsabilidad y distribución de riesgos: ¿Quién asume qué?
La IA se equivoca. Es una realidad, no un fallo.
Los large language models alucinan en cierto porcentaje de casos, según la tarea. Computer vision puede clasificar mal objetos. Analytics predictivo a veces arroja pronósticos totalmente absurdos.
La cuestión es: ¿quién responde por los daños derivados de errores de la IA?
Comprender las exclusiones estándar: La mayoría de los proveedores de IA excluyen cualquier responsabilidad por daños indirectos. Es decir, si una propuesta generada por IA le hace perder un contrato, el proveedor no cubre nada.
Negocie límites de responsabilidad realistas: Exija límites acordes al daño potencial, especialmente en aplicaciones críticas, no solo basados en el coste de la licencia.
Establezca obligaciones de documentación: El AI Act de la UE exige documentación amplia para sistemas de alto riesgo. Aclare quién proporcionará estas pruebas.
Un caso real: una empresa de selección usa IA para preselección de candidatos. El sistema discrimina sistemáticamente a personas mayores de 50 años.
Consecuencias: demanda por discriminación, daño reputacional, paralización del reclutamiento.
Con cláusulas ambiguas, la empresa asume todos los costes. Mejor: una cláusula que obligue explícitamente al proveedor a garantizar la equidad algorítmica.
Revise la cobertura de seguros: Su seguro de responsabilidad civil empresarial normalmente no cubre daños por IA. Los módulos cyber o específicos de IA son cada vez más necesarios.
Defina respuesta ante incidentes: ¿Qué ocurre si hay un error de la IA? Establezca canales de notificación, tiempos de reacción y medidas correctivas.
El realismo es más importante que la protección perfecta. Ningún proveedor asume responsabilidad ilimitada por resultados de IA. Pero sí puede asegurar estándares mínimos y una repartición justa de los riesgos.
Propiedad intelectual: ¿A quién pertenecen los contenidos generados por IA?
Esta cuestión divide a los juristas de todo el mundo: ¿puede la IA crear obras protegidas por derechos de autor? En Alemania, la respuesta es clara: no.
El copyright solo protege creaciones de personas. Los outputs de IA, en principio, son de dominio público — teóricamente.
En la práctica, es más complicado:
Respetar los derechos sobre inputs: Si utiliza textos protegidos por copyright como entrada para la IA, puede haber infracciones. Algunos modelos de IA se han entrenado con material sujeto a derechos.
Aclarar el uso del output: Aunque los textos generados por IA no tengan copyright, el proveedor puede limitar su uso a través del contrato. Revise la letra pequeña.
Asegure derechos de modificación: ¿Puede modificar y revender libremente los outputs de la IA? Esto debe quedar claramente regulado.
Ejemplo práctico: Una agencia de marketing usa DALL-E para imágenes publicitarias. Una imagen se parece casualmente a una obra existente.
Resultado: advertencia legal, reclamación de daños, campaña detenida.
La solución: cláusulas que obliguen al proveedor de IA a revisar y que establezcan indemnización ante infringimientos.
Proteger secretos empresariales: Los contenidos generados por IA suelen partir de datos confidenciales propios. Asegúrese de que estos no acaban entre los datos de entrenamiento de otros clientes.
Tenga en cuenta los derechos de marca: La IA puede usar por error marcas registradas ajenas. Acuerde quién responde en caso de infracción.
En temas de IP, no hay soluciones universales. Cada caso necesita normas específicas.
SLA y garantías de rendimiento en sistemas de IA
El software tradicional funciona o no. La IA es más matizada.
Un chatbot puede estar técnicamente disponible, pero dar respuestas inútiles. Una herramienta de traducción puede traducir, pero con calidad inaceptable.
Haga medible la disponibilidad: 99,9% de tiempo operativo es el estándar. Pero también defina qué significa «disponible». Tiempos de respuesta de más de 30 segundos hacen la herramienta inservible en muchos casos.
Consensúe métricas de calidad: Aquí está el reto. ¿Cómo medir la calidad de una traducción automática o un texto generado?
Posibles enfoques:
- Puntuaciones de evaluación humana sobre una muestra
- Benchmarks frente a sistemas consolidados
- Umbrales mínimos de satisfacción de clientes
- Corrección técnica comprobada ante casos de prueba estandarizados
Aborde la degradación del rendimiento: Los modelos de IA pueden empeorar tras actualizaciones. Pacte la posibilidad de volver a versiones anteriores.
Un problema real: una empresa usa IA para extraer información de documentos. Tras un update, la tasa de acierto cae del 94% al 78%.
Sin cláusulas SLA, no hay recurso. Con acuerdos bien diseñados, puede imponer rollbacks o compensaciones.
Exija garantías de escalabilidad: ¿Qué pasa si su demanda de IA crece un 500%? En proyectos de éxito, debe conocer los límites de capacidad.
Importante: sea realista en sus exigencias. La calidad de IA varía por naturaleza. Pero los estándares mínimos sí son exigibles.
Cláusulas de salida y portabilidad de datos
El peor escenario: su proveedor de IA es adquirido, sube precios un 300% o cierra el servicio.
Sin estrategia de salida, tendrá un problema: meses o años de trabajo con datos quedan retenidos.
Fije formatos de exportación de datos: ¿En qué formato le devuelven sus datos? ¿CSV? ¿JSON? Los formatos propietarios no le servirán.
Consensúe plazos de transferencia: ¿Cuánto dura la exportación? Para grandes volúmenes, pueden ser semanas. Planifique periodos de transición.
Aclare la portabilidad del modelo: ¿Puede llevarse un modelo entrenado a medida? Suele ser técnicamente imposible, pero los datos de entrenamiento sí pueden exportarse.
Ejemplo práctico: Una empresa industrial entrena durante dos años un chatbot de IA con sus FAQs. El proveedor duplica los precios.
Con buenas cláusulas de salida: exportación de los datos de entrenamiento, 90 días de operación en paralelo, nueva implementación con otro proveedor.
Sin estrategia de salida: meses sin chatbot o pago del sobreprecio.
Exija confirmación del borrado: Tras la exportación, todos sus datos deben ser eliminados por el proveedor original. Solicite confirmación escrita.
Negocie soporte de migración: Los grandes proveedores suelen ofrecer soporte de migración a la competencia. Suena paradójico, pero es estándar en servicios B2B profesionales.
Las cláusulas de salida son como pólizas de seguro. Uno espera no necesitarlas nunca, pero si llega el caso, salvan el proyecto.
Lista de comprobación práctica para sus negociaciones
Antes de iniciar negociaciones contractuales, prepare estos puntos:
Antes de la negociación:
- Listar categorías de datos: ¿Qué datos entrarán en el sistema?
- Realizar análisis de riesgos: ¿Cuáles son los peores escenarios posibles?
- Prever presupuesto para asesoría legal: Para contratos por encima de 50.000 euros anuales, merece la pena un experto
- Comparar proveedores alternativos: Su posición negociadora mejora si tiene plan B
Cláusulas imprescindibles:
- Reglas detalladas de uso de datos
- Encargo de tratamiento conforme al RGPD
- Límites de responsabilidad realistas
- SLAs medibles
- Portabilidad total de los datos
Extras recomendables:
- Periodos de prueba gratuitos para actualizaciones
- Acuerdos de escrow para sistemas críticos
- Tiempos de soporte preferente
- Informes de compliance periódicos
No olvide: los contratos son negociables. Las condiciones estándar son solo un punto de partida.
En grandes acuerdos tiene más margen que en compras de licencias pequeñas. ¡Aprovéchelo!
Conclusión: Seguridad jurídica sin frenar la innovación
Los contratos de IA son más complejos que las licencias de software tradicionales. Pero no son irresolubles.
La lección clave: no se deje intimidar por la complejidad técnica. Concéntrese en los riesgos críticos de negocio.
Protección de datos, responsabilidad y estrategias de salida son indispensables. Todo lo demás es negociable.
Las barreras legales son superables — si se prepara a tiempo y gestiona expectativas realistas.
El siguiente paso: identifique sus casos de uso de IA más críticos y desarrolle una plantilla contractual que pueda emplear con todos sus proveedores.
Así ahorrará tiempo y garantizará coherencia en sus inversiones de IA.
