PIPELINEGuías
Protección de datos y cumplimiento de IA: contrato, propiedad y salida
¿A quién pertenecen al final los datos, accesos y resultados? La respuesta a esta pregunta dice más sobre un proveedor que cualquier lista de referencias, y debe aclararse antes de la firma, no después.
Antes de contratar protección de datos y cumplimiento de IA debe aclararse por escrito: los datos y accesos pertenecen al cliente, en qué formato y plazo se entregan en caso de terminación, cuánto cuesta una modificación posterior, y que la documentación es una partida de la oferta y no una promesa verbal.
01 — Contrato
Qué debe aclararse por escrito
- Propiedad de datos y accesos. Pertenecen al cliente. Si un proveedor no lo confirma claramente, esa es la información más importante de la conversación.
- Entrega en caso de finalización. En qué formato, en qué plazo, a qué costes.
- Sin permanencia mínima sin contraprestación. La vinculación es defendible si se entrega algo a cambio — si no, no.
- Qué cuesta un cambio posterior. No es el precio del proyecto lo que decide sobre los costes totales, sino la tarifa horaria para el tercer año.
- Documentación como objeto de entrega. No como promesa, sino como partida en el presupuesto.
02 — Preguntas
Preguntas que deberías hacer
- ¿Qué pasa si el proyecto se vuelve más caro de lo estimado — quién lo asume?
- ¿A quién pertenecen los datos, los accesos y, si se desarrolla, el código fuente?
- ¿Qué cuesta la operación en el segundo y tercer año?
- ¿Cómo es la documentación que recibimos al final?
- ¿Con qué medirían si el proyecto fue exitoso?
- ¿Hay algún caso en el que nos desaconsejarían esto?
03 — Señales de alerta
Cuándo deberías ser escéptico
- Resultados garantizados. Quien promete el primer lugar en Google o un aumento de facturación específico está vendiendo algo que no puede entregar.
- Ningún no. Un proveedor que considera buena idea cada proyecto o no ha escuchado o solo vende.
- Presión de tiempo. Descuentos limitados en precios de proyecto son una herramienta de ventas, no una oferta.
- Relaciones de propiedad poco claras. Quien no dice claramente a quién pertenecen datos y accesos no tiene buenas intenciones.
- Ninguna persona de contacto con conocimientos técnicos. Si en la primera conversación solo hay ventas, los malentendidos surgen ahí.
04 — Preguntas
Preguntas frecuentes
¿Qué exige concretamente el EU AI Act?
Para la mayoría de las empresas se trata de dos cosas: transparencia y competencia. Transparencia significa que las personas deben reconocer cuándo hablan con un sistema de IA o ven contenidos generados por IA — esto rige desde agosto de 2026. Competencia significa que las personas que utilizan estos sistemas están suficientemente formadas para ello. Ambos aspectos son documentables y cumplibles con un esfuerzo razonable.
¿Con qué frecuencia debe actualizarse el inventario?
Siempre que se introduzca una nueva herramienta o cambie el propósito de uso de una existente. Una revisión anual como intervalo mínimo tiene sentido, incluso sin motivo concreto.
¿Necesitamos una evaluación de impacto de protección de datos?
No de forma general. Se vuelve necesaria si el tratamiento probablemente supone un alto riesgo para los afectados — por ejemplo, en caso de elaboración extensiva de perfiles. Para un chatbot de preguntas frecuentes en el sitio web normalmente no es necesaria. Lo comprobamos caso por caso y dejamos el resultado por escrito.
¿Qué pasa si utilizamos varias herramientas de IA de distintos proveedores?
Cada herramienta se evalúa por separado — proveedor, tratamiento de datos y clase de riesgo difieren. La directriz de uso resume los resultados para que nadie tenga que consultar cada herramienta individualmente.
¿Basta con un acuerdo verbal en el equipo en lugar de una directriz escrita?
No, en caso de conflicto o inspección solo cuenta lo que está documentado. Una breve directriz escrita protege además a los nuevos empleados que nunca escucharon el acuerdo verbal.
¿Deben etiquetarse los textos generados por IA?
En contenidos que se publican y han sido generados sintéticamente o modificados sustancialmente, sí. El uso puramente interno — investigación, borradores, resúmenes — por lo general no activa esta obligación.
¿Podemos introducir datos de clientes en ChatGPT?
En la variante gratuita sin respaldo contractual: no. Con una cuenta empresarial, acuerdo de encargo de tratamiento y exclusión del entrenamiento puede ser lícito — dependiendo de qué datos se trate. Precisamente esta distinción debe estar en la directriz de uso, porque es constantemente relevante en el día a día.
05 — Continuar
Páginas relacionadas
- Protección de datos y cumplimiento normativo de IA — Visión general
- Protección de datos y cumplimiento de IA — Integración
- Protección de datos y cumplimiento de IA — Identificación de IA
- Protección de datos y cumplimiento de IA — Medir el éxito
- Protección de datos y cumplimiento de IA — Errores típicos
- Protección de datos y cumplimiento normativo de IA — Introducción
- Protección de datos y cumplimiento normativo de IA — Subvención
- Protección de datos y cumplimiento normativo de IA — Comparación de proveedores
- Consultoría en IA
- Formación en IA
- Chatbot con IA
- Todas las guías
Protección de datos y cumplimiento normativo de IA por región
Siguiente paso
Analizamos vuestra situación de partida.
Contadnos qué consume tiempo hoy. De ahí surge una evaluación con esfuerzo y beneficio, y solo después una oferta.