Política de compra de IA para la Ley de IA de la UE: deja el riesgo fuera antes de firmar el contrato

Guía10 de julio de 2026· 18 min de lectura

Construye una política de compra de IA para la Ley de IA: preguntas de admisión, puertas de aprobación por riesgo, cláusulas contractuales y un

Un comprador de una empresa de pagos de 280 personas firma un contrato de un año por una herramienta de soporte con IA. De la noche a la mañana la empresa se convierte en su responsable del despliegue según el Reglamento (UE) 2024/1689, asumiendo obligaciones que nadie evaluó, porque la única revisión que tuvo la herramienta fue una negociación de precio. Esa es la brecha que cierra una política de compra de IA. Es el reglamento permanente y repetible que decide cómo entra cada nueva herramienta o proveedor de IA en tu organización: las preguntas de admisión que cada compra debe responder, la puerta de aprobación que se dispara por nivel de riesgo, las cláusulas contractuales que exiges antes de firmar y el único responsable nombrado rendidor de cuentas. Esta guía es la capa de política —el marco de gobernanza—, no la revisión por compra ni el cuestionario de proveedor que esa revisión usa.

Qué es una política de compra de IA, y por qué se sitúa por encima del cuestionario y la lista de comprobación

La política de compra de IA no es un artefacto que produces una vez y archivas. Es el proceso que gobierna cada compra de IA, en repetición, mientras tu organización compre software. Trátala como la puerta de entrada: nada con forma de IA pasa sin ser triado frente a ella. Tres cosas se confunden fácilmente, y la política depende de mantenerlas separadas.

La política de compra (esta página) es el marco de gobernanza: las reglas que deciden qué compras se escrutan, con cuánta dureza y quién firma.
La lista de comprobación de diligencia debida de IA es la revisión puntual que la política dispara para una compra concreta.
El cuestionario de proveedor de IA es el artefacto de evaluación que esa revisión usa para recoger respuestas del proveedor.

La política es lo que hace que la diligencia ocurra de forma consistente en cada compra, no solo en las que alguien se acuerda de escrutar.

Por qué la admisión pertenece a la compra, no al posterior a la puesta en marcha

El objetivo es llano: detener la exposición no gestionada a la Ley de IA de la UE antes de que entre por un contrato firmado, antes de que endurezca en la obligación permanente del responsable del despliegue. Una vez que el contrato está vivo, heredas los deberes haya clasificado o no alguien el sistema. La admisión es el único punto donde un «no» no te cuesta más que un trato que aún no habías cerrado. Y la mayoría de las compras no son de alto riesgo: una política que enruta cada compra por todo el conjunto de alto riesgo se rodea en un trimestre, y las herramientas reaparecen como IA en la sombra, así que escalona la puerta y nombra a un responsable desde la primera línea.

Las preguntas de admisión que toda nueva herramienta o proveedor de IA debe responder

La admisión es un conjunto fijo de preguntas. Cada respuesta mapea a un deber posterior, y la política la registra para que la obligación se asuma en la compra, no se descubra tras un incidente.

Finalidad prevista: la afirmación del proveedor frente al uso real del comprador

Captura dos cosas, no una: la finalidad prevista declarada del proveedor y tu uso previsto real. La divergencia entre ambas es la raíz de la mayoría de las clasificaciones erróneas: una herramienta vendida como «asistencia de redacción» que planeas apuntar a decisiones de contratación es un sistema distinto a ojos de la Ley. Criba primero las prohibiciones del artículo 5, como un alto en seco, antes de clasificar más.

Rol y el disparador del giro a proveedor del artículo 25

Confirma que tu organización es el responsable del despliegue, y si el proveedor es proveedor, importador o distribuidor. Luego señala el giro. Según el artículo 25, un responsable del despliegue se convierte en proveedor —heredando las obligaciones de proveedor mucho más pesadas— si pone su nombre o marca en un sistema de alto riesgo, hace una modificación sustancial, o cambia la finalidad prevista de modo que un sistema se vuelva de alto riesgo. La admisión debe preguntar si el uso planeado hace alguna de estas, porque el giro suele ocurrir tras la compra, cuando un equipo reorienta en silencio una herramienta.

Dependencias de GPAI y documentación de traspaso

Pregunta si la herramienta se construye sobre un modelo de IA de uso general. Si lo está, captura la documentación posterior que el proveedor puede traspasar bajo las obligaciones de GPAI (artículos 53 y 55, con los elementos de documentación técnica en el anexo XII). Estas se aplican desde el 2 de agosto de 2025, así que es una pregunta viva, no de futuro.

Gobernanza de datos y postura de transparencia del artículo 50

Dos preguntas de postura cierran la admisión. La evidencia de gobernanza de datos del artículo 10 es necesaria para los sistemas comprados de alto riesgo: registra si el proveedor puede suministrarla. Y las obligaciones de transparencia del artículo 50 aplican dondequiera que la salida de IA comprada llegue a empleados, clientes u otros terceros: los chatbots deben divulgar que son IA, y el contenido sintético debe divulgarse como generado artificialmente. Registra dónde aterriza la salida, porque eso determina si el deber muerde.

Puertas de aprobación por nivel de riesgo

Escalona la puerta a la respuesta, no al gasto: una herramienta de cribado de contratación de 2.000 € carga mucho más peso de la Ley de IA que una compra de automatización administrativa de 200.000 €. Cada nivel nombra quién firma y qué evidencia se requiere antes del contrato, para que la puerta sea auditable en lugar de discrecional.

La puerta de cuatro niveles: prohibido, alto riesgo, limitado, mínimo

Prohibido (artículo 5): «no» automático. Ninguna firma puede rescatarlo.
Alto riesgo (artículo 6, anexo III): diligencia completa más el visto bueno del responsable de gobernanza.
Riesgo limitado (transparencia del artículo 50): una puerta ligera que confirma que el deber de divulgación se cumple.
Riesgo mínimo: registra y procede.

La mayoría de las compras aterrizan en los dos niveles más ligeros, así que el trabajo de la puerta es despacharlas rápido mientras atrapa las pocas que pertenecen a los dos de arriba.

Tabla de la puerta por nivel de riesgo: disparador, evidencia, responsable, resultado

Nivel de riesgo (anclaje en la Ley de IA)	Disparador de admisión	Evidencia requerida	Responsable de la aprobación	Conjunto de cláusulas contractuales	Resultado
Prohibido (artículo 5)	El caso de uso es una práctica vedada	Ninguna; la criba es un alto en seco	Responsable de gobernanza de IA	Ninguna	No-go
Alto riesgo (artículo 6, anexo III)	Área de uso del anexo III, p. ej. empleo (punto 4) o infraestructuras críticas (punto 2)	Documentación técnica, evidencia de conformidad, gobernanza de datos del artículo 10	Responsable de gobernanza de IA + jurídico	Conjunto completo de cláusulas	Condicional / no-go
Riesgo limitado (artículo 50)	La salida de IA llega a terceros	Plan de divulgación de transparencia	Compras + responsable de producto	Conjunto reducido (cláusula de transparencia)	Go condicional
Riesgo mínimo	Sin salida a terceros, sin área del anexo III	Solo entrada en el registro	Compras	Términos estándar	Go

Las cuatro filas coinciden con los cuatro niveles de arriba: no existe una quinta vía, y eso es deliberado.

Anclar cada puerta a la exposición a sanciones

La puerta tiene dientes porque las multas son reales. Una infracción de práctica prohibida atrae multas administrativas de hasta 35 millones de euros o el 7 % del volumen de negocios anual mundial total, lo que sea mayor (artículo 99(3)). Las infracciones de alto riesgo y de la mayoría de las demás obligaciones de operador llegan a hasta 15 millones de euros o el 3 % del volumen de negocios anual mundial total, lo que sea mayor (artículo 99(4)). Facilitar información incorrecta, incompleta o engañosa a las autoridades atrae hasta 7,5 millones de euros o el 1 % del volumen de negocios anual mundial total, lo que sea mayor (artículo 99(5)). Para pymes y empresas emergentes, el artículo 99(6) limita cada multa al menor de la cifra porcentual o la fija.

Las cláusulas contractuales que exigir antes de firmar

Las cláusulas son exigencias que pones al proveedor —distintas de tus propias obligaciones permanentes como responsable del despliegue, pero el medio por el que aseguras los insumos para cumplirlas—. Haz el conjunto de cláusulas proporcionado al nivel: las compras de alto riesgo cargan con el conjunto completo, las de menor riesgo con uno reducido, para que la política siga siendo usable.

Acceso a documentación, conformidad e instrucciones de uso

Exige el derecho a obtener y conservar la documentación técnica, las instrucciones de uso y la evidencia de conformidad que necesitas para cumplir tus obligaciones de responsable del despliegue. No puedes seguir instrucciones que nunca te dieron, ni demostrar conformidad sobre evidencia que el proveedor retiene.

Cooperación ante incidentes según el artículo 73

Exige que el proveedor coopere con, y suministre información para, el reporte de incidentes graves según el artículo 73. Los plazos de reporte son tuyos, pero no puedes reportar lo que no puedes ver.

Notificación de cambios y la trampa de la reclasificación

Exige aviso previo de modificaciones sustanciales, cambios de modelo o cambios de finalidad prevista. Un cambio de modelo silencioso del proveedor o tu propia reorientación pueden empujar un sistema al alto riesgo o disparar un giro a proveedor del artículo 25 de tu lado, y sin notificación lo descubres durante una auditoría, no antes.

Derechos de auditoría, registro e información posterior a la comercialización

Asegura el derecho a verificar el cumplimiento continuo y a recibir la información que necesitas para la conservación de registros y el registro (artículos 12 y 19) y la vigilancia poscomercialización (artículo 72). Estos derechos son lo que hace operables las obligaciones de alto riesgo tras la puesta en marcha en lugar de teóricas.

Nombrar al responsable y conectar la política al flujo de compra

Una política que nadie asume es un documento que nadie hace cumplir. Nombra al responsable, nombra al órgano y conecta la puerta al flujo que ya existe.

El responsable nombrado y el órgano de revisión permanente

Nombra un único responsable rendidor de cuentas —normalmente un responsable de gobernanza de IA o de cumplimiento— y monta un órgano de revisión formado por compras, jurídico y seguridad que despeje cada puerta. El responsable lleva el registro, fija la cadencia, y es la persona por la que pregunta un auditor cuando una compra sale mal.

Incrustar la puerta en la orden de compra y el flujo de acceso

Conecta la admisión al flujo de compra existente para que no se pueda saltar: ninguna herramienta de IA obtiene una orden de compra, una firma de contrato, ni SSO y acceso a datos sin pasar primero la puerta. El control funciona porque se sitúa sobre los raíles por los que ya circulan el dinero y el acceso.

Registro, cadencia de renovación y control de la IA en la sombra

Mantén un registro de cada compra de IA triada —incluidas las de riesgo mínimo— para que la política doble como tu fuente de inventario. Fija una cadencia de revisión: vuelve a ejecutar la puerta en la renovación, en una modificación sustancial del proveedor, y cuando las obligaciones de la Ley de IA empiecen a morder. Una vía de riesgo mínimo ligera y rápida es lo que evita que los equipos se rodeen por la puerta de entrada.

Ejemplo práctico: una fintech de 280 personas compra una herramienta de automatización de soporte con IA

Lumera Pay, una empresa de pagos de la UE de 280 empleados, está evaluando un copiloto de soporte con IA que redacta y envía respuestas a los titulares de tarjetas.

Admisión. La finalidad prevista es la automatización del soporte al cliente —no decisiones de crédito—, así que la primera criba del artículo 5 está despejada. La herramienta no es de alto riesgo del anexo III, porque no toma decisiones de solvencia sobre personas físicas. Los deberes realistas son la transparencia del artículo 50 (hay que decir a los titulares de tarjetas que interactúan con IA) y la alfabetización en IA del artículo 4 para el personal de soporte.

Vigilancia del artículo 25. La política señala un riesgo en la admisión: si Lumera Pay reorienta más tarde el copiloto para puntuar solicitantes o ajustar límites de crédito, ese cambio de finalidad prevista podría empujar el sistema al alto riesgo y convertir a Lumera en proveedor según el artículo 25. La cláusula de notificación de cambios y el registro de admisión son lo que hace aflorar ese giro antes que una auditoría.

Resultado de la puerta. Vía de riesgo limitado, go condicional, supeditado a tres cláusulas: una cláusula de divulgación de transparencia para la salida de cara al titular de tarjeta, una cláusula de cooperación ante incidentes del artículo 73, y notificación de cambios que cubra los cambios de modelo.

Nivel de contraste. Ejecuta la misma política frente a una herramienta de cribado de contratación y el resultado se invierte. El cribado de candidatos se sitúa en el anexo III, punto 4(a) (contratación), así que enruta a la puerta de alto riesgo con documentación completa y evidencia de conformidad requeridas antes de firmar. Para la revisión previa a la compra más profunda que exige esa vía de alto riesgo, la política traspasa a la lista de comprobación de diligencia debida de IA.

Cuándo muerden las obligaciones de la Ley de IA: el calendario que la política tiene que prever

La política tiene que poner fecha a cada decisión de puerta frente al plazo vigente.

Ya en vigor. Las prohibiciones del artículo 5 y la alfabetización en IA del artículo 4 desde el 2 de febrero de 2025; las obligaciones de GPAI (artículos 51 a 55) desde el 2 de agosto de 2025. Estas constriñen las compras hoy.
Aterriza el 2 de diciembre de 2026. Una nueva prohibición de material de abuso sexual infantil / «desnudadores», y los deberes de marcado de contenido y marca de agua del artículo 50 para la salida sintética, relevantes para cualquier compra de IA generativa cuya salida llegue a terceros.
Clasificación de alto riesgo. Los sistemas autónomos del anexo III (artículo 6(2)) fijan el 2 de agosto de 2026 en el texto vigente; los sistemas integrados en productos del anexo I (artículo 6(1)) fijan el 2 de agosto de 2027.

La política debe cargar un matiz con honestidad. El Ómnibus Digital ya está adoptado —votación en el pleno del Parlamento Europeo el 16 de junio de 2026, adopción formal del Consejo el 29 de junio de 2026— y entra en vigor con su publicación en el Diario Oficial, prevista antes del 2 de agosto de 2026. El aplazamiento son fechas de calendario fijas (la variante «parar el reloj» fue rechazada), no un retraso general; no todo se mueve. El alto riesgo autónomo del anexo III se aplica ahora desde el 2 de diciembre de 2027. Redacta la política de compra contra esa fecha, confirmando la cita del Diario Oficial cuando se publique.

Cómo ayuda Confir

Confir convierte esta política en una puerta operativa. Cada respuesta de admisión mapea a la obligación de la Ley de IA que dispara, el nivel de riesgo se asigna frente al plazo vigente, y la evidencia y las cláusulas contractuales requeridas afloran antes de que una orden de compra pueda despejarse. El motor de síntesis es determinista y basado en reglas —sin inferencia de modelos, sin alucinaciones—, así que una decisión de nivel es trazable hasta el artículo que la produjo, que es lo que pide un auditor. El registro dobla como tu fuente de inventario de IA, y los disparadores de renovación vuelven a ejecutar la puerta.

Preguntas frecuentes

¿Qué es una política de compra de IA según la Ley de IA de la UE?

Es un reglamento permanente y repetible que gobierna cómo entra cada nueva herramienta o proveedor de IA en tu organización. Define las preguntas de admisión que cada compra debe responder —finalidad prevista, exposición al anexo III, rol de proveedor frente a responsable del despliegue, riesgo de giro del artículo 25, dependencias de GPAI, y postura de datos y transparencia—, la puerta de aprobación que aplica por nivel de riesgo, las cláusulas contractuales que exigir y el responsable nombrado rendidor de cuentas. Su trabajo es mantener la exposición no gestionada a la Ley de IA fuera antes de que se firme un contrato, no descubrirla tras la puesta en marcha.

¿En qué se diferencia una política de compra de un cuestionario de proveedor o una lista de comprobación de diligencia debida?

Operan en tres niveles. La política de compra es el marco de gobernanza: el proceso permanente que decide qué compras se escrutan y cómo. La lista de comprobación de diligencia debida de IA es la revisión puntual que la política dispara para una compra concreta. El cuestionario de proveedor es el artefacto de evaluación que esa revisión usa para recoger respuestas del proveedor. Necesitas la política para que la diligencia ocurra de forma consistente en cada compra, no solo en las que alguien se acuerda de comprobar.

¿Qué cláusulas contractuales debería exigir una política de compra de IA?

Para las compras de alto riesgo: acceso a documentación y evidencia de conformidad para que el responsable del despliegue pueda cumplir sus propios deberes; una cláusula de cooperación ante incidentes que sustente los plazos de reporte del artículo 73; notificación de cambios que cubra modificaciones sustanciales, cambios de modelo y cambios de finalidad prevista; y derechos de auditoría e información que sustenten el registro (artículos 12 y 19) y la vigilancia poscomercialización (artículo 72). Las compras de menor riesgo cargan con un conjunto reducido —como mínimo una cláusula de transparencia cuando la salida llega a terceros según el artículo 50—. Haz el conjunto de cláusulas proporcionado al nivel de riesgo para que la política siga siendo usable.

¿Toda compra de IA necesita pasar por la puerta completa de alto riesgo?

No. La mayor parte de la IA empresarial general —bots de soporte, herramientas de productividad, generación de contenido, automatización administrativa— no es de alto riesgo según la Ley de IA de la UE. Los deberes realistas ahí son la alfabetización en IA del artículo 4, la transparencia del artículo 50 cuando la salida de IA llega a terceros, y la gobernanza de datos. Una buena política escalona la puerta: las prácticas prohibidas (artículo 5) son un «no» automático, las compras de alto riesgo (artículo 6, anexo III) reciben diligencia completa, y las de riesgo limitado y mínimo pasan una puerta ligera y rápida para que los equipos no se rodeen del proceso hacia la IA en la sombra.

¿Qué es el giro a proveedor del artículo 25 y por qué pertenece a la compra?

Según el artículo 25, un responsable del despliegue, distribuidor o importador se convierte en proveedor —heredando las obligaciones de proveedor mucho más pesadas— si pone su nombre o marca en un sistema de alto riesgo, hace una modificación sustancial, o cambia la finalidad prevista de modo que un sistema se vuelva de alto riesgo. Esto ocurre a menudo tras la compra, cuando un equipo reorienta una herramienta. La política de compra señala el riesgo de giro en la admisión y exige notificación de cambios en el contrato, para que una reorientación futura no reclasifique en silencio a tu empresa en proveedor.

¿Cuándo muerden de verdad los plazos de la Ley de IA que dan forma a la compra?

Las prohibiciones del artículo 5 y la alfabetización en IA del artículo 4 se aplican desde el 2 de febrero de 2025; las obligaciones de GPAI (artículos 51 a 55) desde el 2 de agosto de 2025. Una nueva prohibición de material de abuso sexual infantil / «desnudadores» y los deberes de marcado de contenido del artículo 50 aterrizan el 2 de diciembre de 2026. Para los sistemas autónomos de alto riesgo del anexo III, el Ómnibus Digital aplaza la fecha al 2 de diciembre de 2027; el Ómnibus Digital ya está adoptado —votación del Parlamento el 16 de junio de 2026, adopción del Consejo el 29 de junio de 2026— y entra en vigor con la publicación en el Diario Oficial, prevista antes del 2 de agosto de 2026. Redacta la política de compra contra el 2 de diciembre de 2027.

¿Quién debería asumir la política de compra de IA?

Un único responsable rendidor de cuentas —normalmente un responsable de gobernanza de IA o de cumplimiento— apoyado por un órgano de revisión permanente formado por compras, jurídico y seguridad que despeje cada puerta. El responsable mantiene el registro de compras triadas, fija la cadencia de renovación y re-revisión, y garantiza que ninguna herramienta de IA obtiene una orden de compra, firma o acceso a datos sin pasar la puerta. Una política de compra sin un responsable nombrado se convierte en decoración que nadie hace cumplir.

Guías relacionadas

Gestiona el cumplimiento de la Ley de IA de la UE en un solo lugar

Confir automatiza la clasificación de riesgo, la documentación técnica y los registros de auditoría para cualquier empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 14 días.

Empieza la prueba gratuita →