Serie AI Act para empresas (nº 8) · No se exigen por prudencia: se exigen porque el Reglamento te impone obligaciones que no puedes cumplir sin que el proveedor te entregue algo.
Hay una asimetría en el centro de esta cuestión. El Reglamento (UE) 2024/1689 reparte obligaciones entre el proveedor del sistema de inteligencia artificial y quien lo despliega. El contrato, en cambio, lo redacta el proveedor.
Y sus condiciones estándar están escritas para no darte nada de lo que necesitas. No por mala fe: porque están redactadas desde el lado que no soporta tus obligaciones. De modo que el contrato con un proveedor de IA no es un contrato de software con un anexo de protección de datos. Es el documento donde tu empresa compra —o pierde— su propia capacidad de cumplir.
Siete cláusulas, en el orden en que importan. Pero antes, una advertencia que cambia cuáles te afectan.
Antes de nada: ¿es un sistema de alto riesgo?
Tres de las siete cláusulas —la primera, la segunda y la cuarta— derivan de los artículos 25 y 26 del Reglamento, que están en el capítulo dedicado a los sistemas de alto riesgo y solo se aplican a ellos. Si tu empresa usa una herramienta generativa para redactar textos comerciales, no tiene obligaciones del artículo 26 y no las tendrá por mucho que el proveedor diga lo contrario.
Y hay una segunda cuestión, de calendario. Las obligaciones de alto riesgo están diferidas: según el tipo de sistema, al 2 de diciembre de 2027 o al 2 de agosto de 2028. Las del artículo 50 se aplican desde el 2 de agosto de 2026, y la alfabetización en IA del artículo 4 desde el 2 de febrero de 2025.
Eso no es un motivo para dejar estas cláusulas para más adelante: es el motivo para introducirlas ahora. Un contrato de servicio que se firma hoy con prórrogas automáticas estará vigente cuando esas obligaciones se apliquen, y entonces ya no habrá margen de negociación. Lo que no tiene sentido es exigir las cláusulas de alto riesgo para un sistema que no lo es.
1. Quién es proveedor y quién es desplegador
Es la primera y la que puede cambiar tu vida entera. El artículo 25.1 del Reglamento establece tres supuestos en los que un distribuidor, un importador, un desplegador o un tercero pasa a ser considerado proveedor de un sistema de alto riesgo: cuando pone su nombre o su marca en un sistema de alto riesgo ya introducido en el mercado; cuando realiza una modificación sustancial de un sistema de alto riesgo que sigue siéndolo; y cuando modifica la finalidad prevista de un sistema —incluido uno de propósito general— que no era de alto riesgo, de modo que pase a serlo.
Eso significa que marcar con tu logotipo una herramienta ajena, o usarla para algo distinto de aquello para lo que se vendió, puede trasladarte el régimen completo del proveedor: evaluación de conformidad, documentación técnica, marcado y todo lo demás.
El artículo 25.2 prevé la salida: el proveedor inicial deja de ser considerado proveedor de ese sistema, pero debe cooperar estrechamente con el nuevo, facilitando la documentación necesaria para verificar el cumplimiento del artículo 16, revelando las limitaciones y los fallos conocidos y dando acceso para pruebas y validación. Pero ese deber no se aplica si el proveedor inicial ha indicado claramente que su sistema no debe convertirse en un sistema de alto riesgo.
Ahí está la trampa, y es la razón de la cláusula. Una línea en las condiciones generales diciendo que el servicio no debe emplearse en usos de alto riesgo deja al proveedor sin deber de cooperación y a ti con el régimen de proveedor y sin documentación. La cláusula debe hacer tres cosas: declarar expresamente quién es proveedor y quién desplegador; obligar al proveedor a notificarte cualquier cambio del sistema que pueda alterar ese reparto; y recoger contractualmente el deber de cooperación del artículo 25.2, con independencia de lo que digan sus condiciones generales.
2. Las instrucciones de uso
Si el sistema es de alto riesgo, el artículo 26.1 te obliga a utilizarlo conforme a las instrucciones de uso que lo acompañan, adoptando medidas técnicas y organizativas adecuadas para ello. Y el 26.2 te obliga a encomendar la supervisión humana a personas físicas con la competencia, la formación y la autoridad necesarias.
Ninguna de las dos obligaciones se puede cumplir sin un documento que el proveedor tiene y tú no. Exige su entrega, en una lengua que tu organización comprenda, con las actualizaciones cuando el sistema cambie, y —esto es lo que se olvida— que las instrucciones cubran los usos que tú vas a hacer efectivamente, y no solo los que el proveedor imaginó.
3. La transparencia del artículo 50, repartida con precisión
Esta sí se aplica a cualquier sistema, sea o no de alto riesgo, y desde el 2 de agosto de 2026. Pero conviene saber exactamente de quién es cada deber, porque es fácil asumir obligaciones ajenas.
Los apartados 1 y 2 obligan al proveedor. El 50.1, a diseñar los sistemas que interactúan directamente con personas de modo que estas sepan que están ante una inteligencia artificial, salvo que resulte evidente para una persona razonablemente informada. El 50.2, a que las salidas de los sistemas que generan contenido sintético —audio, imagen, vídeo o texto, incluidos los de propósito general— estén marcadas en formato legible por máquina y sean detectables como generadas o manipuladas artificialmente, con excepciones cuando el sistema cumple una función meramente asistencial de edición estándar o no altera sustancialmente los datos de entrada.
Los apartados 3 y 4 obligan al desplegador, pero solo en supuestos concretos. El 50.3, a informar a las personas expuestas a sistemas de reconocimiento de emociones o de categorización biométrica. El 50.4, a revelar que el contenido es generado o manipulado artificialmente cuando se trate de ultrafalsificaciones de imagen, audio o vídeo, y cuando se publique texto para informar al público sobre asuntos de interés público; con dos salvedades relevantes: en obras evidentemente artísticas, creativas, satíricas o de ficción el deber se limita a revelar la existencia de ese contenido sin estorbar la obra, y el deber sobre el texto no se aplica cuando ha habido revisión humana o control editorial y una persona asume la responsabilidad editorial de la publicación.
De aquí salen dos consecuencias prácticas que conviene no confundir. La primera: si despliegas el asistente conversacional de un tercero, el deber de informar del 50.1 y el de marcar del 50.2 son suyos, no tuyos, y lo que necesitas del contrato es una garantía de que los cumple, con responsabilidad si falla. La segunda, y es la que enlaza con la primera cláusula: si pones tu marca en ese sistema o cambias su finalidad, el artículo 25 puede convertirte en proveedor, y entonces esos deberes pasan a ser tuyos. El reparto del artículo 50 depende del papel que ocupes, y el papel lo decide la cláusula primera.
4. Los registros, que solo tienes si te los dejan exportar
Para los sistemas de alto riesgo, el artículo 26.6 te obliga a conservar los registros generados automáticamente durante un periodo adecuado a la finalidad del sistema y de al menos seis meses, cuando esos registros estén bajo tu control.
«Bajo tu control» es la clave. En un servicio en la nube, los registros están en el servidor del proveedor. Si no puedes exportarlos, no puedes conservarlos, y tu obligación sigue existiendo. Exige acceso, un formato exportable y utilizable, el periodo de retención que necesitas y —la cláusula que nadie incluye— acceso a los registros después de terminar el contrato, porque la obligación de conservación te sobrevive a la relación comercial.
5. Qué puede hacer el proveedor con lo que tú le metes
Es la cláusula de mayor valor económico y la que viene peor por defecto. Las condiciones estándar suelen reservar al proveedor el derecho a utilizar las entradas de los clientes para entrenar o mejorar sus modelos. Hay que suprimirla o acotarla con precisión.
Y van con ella tres cosas más: el contrato de encargado del tratamiento si hay datos personales, con su régimen de transferencias internacionales; la confidencialidad de los secretos empresariales que tu plantilla va a escribir en los prompts sin pensarlo; y una prohibición expresa de usar tus datos para entrenar modelos que después se ofrezcan a terceros, que es distinto —y más grave— que mejorar el servicio que tú compras.
6. Cambios de modelo, versiones y salida
Un proveedor que cambia el modelo subyacente sin avisar cambia tus salidas, tu evaluación de riesgos y tu posición de cumplimiento, todo a la vez y sin que te enteres.
Exige preaviso de los cambios materiales, la posibilidad de fijar una versión durante un periodo razonable, preaviso suficiente de retirada de un modelo y derecho de resolución sin penalización si el cambio te afecta de forma relevante. Y, con el bloque anterior, la exportación de datos y registros al terminar.
7. Responsabilidad: por qué el límite habitual es irrisorio
El artículo 99 del Reglamento prevé sanciones que pueden alcanzar los 15 millones de euros o el 3 % del volumen de negocio mundial del infractor, según el tipo de infracción. Frente a eso, el límite de responsabilidad habitual en los contratos tecnológicos —el importe facturado en los últimos doce meses— es una cifra sin relación con el riesgo.
Pero aquí hay que ser preciso, porque la formulación habitual de esta cláusula es jurídicamente defectuosa. Una sanción administrativa no se traslada por contrato. La sanción es personal del infractor y responde a una finalidad pública; pactar que otro la asuma no la desplaza, y según el ordenamiento aplicable una indemnidad redactada en esos términos puede ser ineficaz.
Lo que sí cabe, y es lo que hay que pedir, es otra cosa: configurar como incumplimiento contractual expreso del proveedor la falta de entrega de la documentación, la ausencia de marcado o la declaración de una conformidad inexistente; y excluir del límite de responsabilidad los daños y perjuicios derivados de esos incumplimientos. Si entre esos daños puede computarse el importe de una multa que tú has pagado es una cuestión de la ley aplicable y del nexo causal, no algo que la cláusula pueda decidir por sí sola. Pero sin esa configuración previa no hay ni discusión posible: el límite de doce meses se aplica y ahí termina el asunto.
Que el límite cubra los fallos del servicio es razonable. Que cubra también las consecuencias de lo que el proveedor no hizo y tú tenías que acreditar, no lo es.
Lo que esto cambia en la práctica
Ninguna de estas siete cláusulas es exótica, y ninguna requiere renegociar un contrato marco entero: son adendas. Lo que exigen es hacer una cosa antes de firmar, que es preguntarse qué obligaciones del Reglamento van a recaer sobre tu empresa y qué necesitas del proveedor para poder cumplirlas.
Hecha esa lista, el contrato se redacta solo. Sin ella, se firma el del proveedor, que es exactamente el que no contempla tus obligaciones.
Este artículo tiene carácter divulgativo y no constituye asesoramiento jurídico. La calificación de un sistema como de alto riesgo y el reparto de papeles entre proveedor y desplegador dependen del caso concreto.