Contratos de IA 2026: cláusulas clave y DPA imprescindible

Contratos de IA 2026: cláusulas clave y DPA imprescindible

Contratar soluciones de inteligencia artificial en 2026 ya no es “firmar un SaaS” y empezar a usarlo. La adopción real de IA implica datos, decisiones automatizadas, modelos de terceros, riesgos reputacionales y nuevas exigencias de gobierno. El contrato es el punto donde se fijan responsabilidades, evidencias y controles. Y el DPA (acuerdo de encargo de tratamiento) marca la diferencia entre una implementación defendible y una exposición innecesaria; contratos de IA 2026 cláusulas clave.

Este artículo resume las cláusulas imprescindibles para contratar IA con seguridad jurídica, minimizar fricción en auditorías y evitar bloqueos por dependencia del proveedor;

Por qué los contratos de IA en 2026 son distintos

La IA introduce tres frentes contractuales que antes eran secundarios:

• Datos y entrenamiento: qué datos entran, si pueden usarse para mejorar modelos, quién controla los derivados.

• Outputs y propiedad intelectual: quién puede explotar lo generado y con qué garantías.

• Evidencias y trazabilidad: qué documentación y registros tendrás disponibles cuando un cliente enterprise, un auditor o una autoridad te los exija.

Si esto no se pacta por escrito, el riesgo se materializa en forma de incidentes, reclamaciones o imposibilidad práctica de cumplir.

La estructura contractual mínima que debes exigir

En la mayoría de proyectos, el paquete contractual debería incluir:

• Contrato principal (MSA/condiciones): precio, alcance, responsabilidades, SLA, limitaciones.

• DPA (si hay datos personales): tratamiento, medidas de seguridad, subencargados, transferencias.

• Anexo de seguridad: controles técnicos y organizativos verificables.

• Anexo funcional: límites de uso, supervisión humana, versionado y cambio de modelo.

• Anexo de salida/portabilidad: cómo migras y qué te llevas al terminar.

Cláusulas clave en contratos de IA

Titularidad de datos, prompts y outputs

Define de forma expresa:

• Propiedad de datos de entrada y datasets del cliente.

• Propiedad y confidencialidad de prompts, instrucciones y configuraciones.

• Titularidad y licencia de uso de outputs (texto, imagen, audio, código, decisiones, scores).

• Si hay “mejoras” o “derivados”, aclara qué puede reutilizar el proveedor y qué no.

Objetivo práctico: evitar que tu información o la de tus clientes termine reusada como entrenamiento o como “mejora del servicio” sin control.

Entrenamiento con tus datos

Esta es la cláusula que más problemas evita. Regla recomendada:

• Prohibición por defecto del entrenamiento con datos/prompt/outputs del cliente.

• Opt-in solo si hay autorización escrita, con finalidad acotada, medidas de anonimización y prohibición de reidentificación.

• Obligación de documentar si se entrena, con qué y durante cuánto tiempo.

DPA y roles RGPD

Si hay datos personales, exige:

• Definición clara de roles: responsable/encargado, corresponsabilidad si aplica.

• Instrucciones documentadas del cliente.

• Asistencia en derechos de interesados y brechas.

• Retención, supresión y devolución al término.

Un DPA genérico suele fallar en IA porque no aterriza logs, subencargados, transferencias y el “uso para mejora”.

Subencargados y cadena de suministro

La IA suele apoyarse en terceros (cloud, modelos, herramientas de monitorización). Pide:

• Lista de subencargados y ubicaciones.

• Notificación previa de cambios relevantes.

• Derecho de oposición razonable.

• Flujo de obligaciones equivalentes (seguridad, confidencialidad, brechas).

Transferencias internacionales

Si hay tratamiento fuera del EEE:

• Mecanismo habilitante (marco aplicable o SCCs).

• Medidas suplementarias cuando proceda.

• Obligación de cooperación documental (TIA cuando sea necesario) y notificación de cambios.

Seguridad: controles verificables

No basta con “medidas adecuadas”. Debe estar por escrito:

• Cifrado en tránsito y reposo.

• Control de accesos por rol y MFA.

• Segregación de entornos.

• Registro de accesos y eventos críticos.

• Gestión de vulnerabilidades y pruebas periódicas.

• Notificación de brechas con plazos claros y soporte post-incidente.

Auditoría, evidencias y cambio de modelo

En 2026 necesitas contratos “auditables”. Incluye:

• Derecho a auditoría razonable (o, como mínimo, acceso a informes independientes).

• Entrega de documentación funcional: límites de uso, supervisión humana recomendada, riesgos conocidos.

• Política de versionado: aviso previo de cambios materiales, registro de cambios y ventana de pruebas.

• Métricas mínimas y reporting (especialmente en sistemas con impacto en personas o decisiones).

SLA y continuidad

La IA se integra en procesos críticos. Pide:

• Disponibilidad, latencia, soporte y tiempos de resolución.

• Créditos/remedios ante incumplimiento.

• Plan de continuidad y recuperación.

• Gestión de dependencias (si el proveedor usa un modelo tercero, que lo declare).

Responsabilidad e indemnidades

Negocia para que el contrato refleje el riesgo real:

• Indemnidad por infracción de propiedad intelectual en el servicio.

• Responsabilidad por brechas y fallos de seguridad imputables al proveedor.

• Límites de responsabilidad proporcionados al impacto, con exclusiones razonables y “carve-outs” en PI y datos.

Portabilidad y salida

Esta cláusula evita el lock-in:

• Exportación de datos, configuraciones, logs y outputs en formatos abiertos.

• Plazos concretos (por ejemplo, 30 días).

• Asistencia de transición y borrado certificable.

• Continuidad temporal para migrar sin interrupciones.

DPA imprescindible: qué debe incluir en proyectos de IA

Un DPA válido para IA debe aterrizar, como mínimo:

• Categorías de datos, finalidades, operaciones y duración.

• Medidas de seguridad detalladas en anexo.

• Subencargados y transferencias.

• Logs y trazabilidad: qué se registra y cuánto tiempo.

• Uso para mejora/entrenamiento: prohibición u opt-in controlado.

• Asistencia en derechos, DPIA cuando proceda y gestión de brechas.

• Destino de datos al terminar: devolución + supresión verificable.

Checklist rápida antes de firmar

Revisa que el contrato incluya, de forma expresa:

• Titularidad y licencia de outputs.

• Prohibición de entrenamiento por defecto.

• DPA completo y anexo de seguridad.

• Subencargados y transferencias controlados.

• Auditoría o informes verificables.

• Versionado y notificación de cambios del modelo.

• SLA, continuidad e incident response.

• Portabilidad y salida con plazos.

• Responsabilidad e indemnidades alineadas al riesgo.

Errores típicos que vemos en contratación de IA

• Firmar términos estándar sin negociar entrenamiento y portabilidad.

• DPA genérico sin subencargados ni transferencias claras.

• Ausencia de cláusulas de cambio de modelo (rompe procesos sin aviso).

• Limitaciones de responsabilidad que dejan al cliente “solo” ante incidentes.

• No definir quién responde por outputs en entornos regulados o de alto impacto.