Cláusulas de contrato con proveedores de IA que debes exigir: guía de redline para el comprador

Guía24 de julio de 2026· 18 min de lectura

Cláusulas del Reglamento de IA para tu contrato con un proveedor: acceso al anexo IV, reparto de funciones (art. 25), cooperación ante incidentes (art.

Un "sí" en un cuestionario de proveedor no lleva remedio aparejado. Una cláusula sí. Cuando una compra de IA de alto riesgo sale mal, lo que pregunta un auditor o una autoridad de vigilancia del mercado no es qué prometió el proveedor en una llamada comercial, sino a qué le obliga a entregar el contrato firmado. Esta guía es la capa contractual: orientación de redacción cláusula a cláusula, en formato redline, con posiciones de repliegue y una tabla de cláusulas que convierten tus hallazgos de diligencia en obligaciones vinculantes. Se sitúa por debajo de la política de compras de IA y de la plantilla de cuestionario para proveedores de IA, y cubre los contratos sujetos al Reglamento (UE) 2024/1689.

Por qué tu exposición bajo el Reglamento de IA la lleva el contrato, no el cuestionario

Tres capas cumplen tres funciones distintas, y confundirlas es por donde se escapa la exposición. La política de compras decide qué adquisiciones se someten a escrutinio y quién las aprueba; el cuestionario recoge las respuestas del proveedor; el contrato convierte esos hallazgos en obligaciones exigibles.

Las propias obligaciones del responsable del despliegue bajo el artículo 26 —uso conforme a la finalidad prevista, supervisión humana, vigilancia y conservación de registros— no pueden cumplirse sobre insumos que controla el proveedor: la documentación técnica del anexo IV, las instrucciones de uso del artículo 13, los registros y los hechos de los incidentes nacen todos del proveedor. El contrato asegura esos elementos como un derecho jurídico.

La exposición a sanciones que protegen las cláusulas

Las multas detrás de estas cláusulas son reales. El incumplimiento de las obligaciones del proveedor o del responsable del despliegue acarrea multas de hasta 15 millones de euros o el 3 % del volumen de negocios anual mundial total, la cantidad que sea mayor (artículo 99(4)). El incumplimiento de las prácticas prohibidas llega hasta 35 millones de euros o el 7 % (artículo 99(3)). Facilitar a las autoridades información incorrecta, incompleta o engañosa acarrea hasta 7,5 millones de euros o el 1 % (artículo 99(5)). Para las pymes y las empresas emergentes, el artículo 99(6) limita cada multa a la menor de las dos cifras.

"Proveedor" no es una categoría jurídica

El Reglamento vincula obligaciones a funciones concretas, no a "proveedores" en sentido coloquial. Un proveedor asume las obligaciones del artículo 16; un responsable del despliegue asume las del artículo 26; un importador (artículo 23) y un distribuidor (artículo 24) tienen cada uno deberes separados. Las cláusulas siguientes hacen que el proveedor garantice qué función desempeña y que cumple las obligaciones de esa función. Ajusta la profundidad de las cláusulas al nivel de riesgo: las compras de alto riesgo del anexo III se llevan el conjunto completo; las de riesgo limitado y mínimo, un conjunto recortado, porque sobrecargar de papeleo una compra de bajo riesgo hace que el proceso se sortee por fuera.

Cláusula 1 — Acceso a la documentación, las instrucciones de uso y las pruebas de conformidad

Exige el derecho a obtener y conservar la documentación técnica del anexo IV (o un resumen adecuado), las instrucciones de uso del artículo 13 y la declaración UE de conformidad (artículo 47), además de la prueba del marcado CE (artículo 48) y del registro en la base de datos de la UE (artículo 49). El proveedor elabora el expediente del anexo IV conforme al artículo 11; tu cláusula asegura el acceso a él.

No puedes seguir unas instrucciones que nunca te entregaron, ni demostrar la conformidad del responsable del despliegue sobre documentación que el proveedor retiene. Vincula la entrega a un plazo fijo —dentro de un número determinado de días desde la firma y con cada actualización sustancial— y no a "previa solicitud".

Posición de repliegue cuando el proveedor solo comparte un resumen

Plantea una escala: lo mejor es el expediente completo del anexo IV; un resumen suficiente para el uso conforme al artículo 13 es aceptable; una garantía vinculante más un derecho de depósito en garantía (escrow) o de auditoría es el suelo. Rechaza la "mera garantía" en las compras de alto riesgo: una garantía a secas no tiene valor probatorio sin la documentación que la respalda.

Lenguaje de redline que hay que evitar

Tacha fórmulas vagas como "esfuerzos comercialmente razonables para facilitar la documentación" o "disponible previa solicitud". Sustitúyelas por una obligación de entrega firme y un disparador de incumplimiento presunto si la documentación no se produce dentro del plazo, eliminando la discrecionalidad del proveedor sobre si llegas a ver el expediente.

Cláusula 2 — Reparto de funciones del artículo 25 y la trampa del cambio a proveedor

Haz que el contrato declare la función del proveedor de forma expresa —normalmente proveedor bajo el artículo 16— y garantice que cumple las obligaciones de esa función para el sistema tal como se suministra, de modo que la responsabilidad por los deberes del proveedor no recaiga sobre ti.

Los disparadores del cambio de función que hay que repartir

Bajo el artículo 25, un responsable del despliegue, un distribuidor o un importador se convierte en proveedor —y hereda todo el bloque del artículo 16— si pone su nombre o marca en un sistema de alto riesgo, realiza una modificación sustancial (artículo 3(23)) o cambia la finalidad prevista de modo que el sistema pase a ser de alto riesgo. El cambio suele saltar después de firmar, cuando un equipo reaprovecha una herramienta, así que el contrato debe obligar al proveedor a señalar cualquier uso que sepa que lo desencadenaría.

Indemnización y nueva documentación ante un cambio activado

Acompaña la garantía de función con una indemnización por las pérdidas derivadas de que el proveedor declare mal su función o incumpla sus deberes del artículo 16, más una obligación de rehacer el papeleo si un cambio previsto reasigna las funciones. La mecánica más profunda vive en los artículos explicativos sobre las funciones de proveedor frente a responsable del despliegue y sobre la cadena de valor del artículo 25.

Cláusula 3 — Notificación de cambios y modificaciones sustanciales

Exige aviso por escrito y con antelación de las modificaciones sustanciales (artículo 3(23)), los cambios de modelo, los reentrenamientos y cualquier cambio de la finalidad prevista. Cada uno puede empujar un sistema a la categoría de alto riesgo, disparar una nueva evaluación de la conformidad (artículo 43(4)) o activar el cambio de función del artículo 25 por tu parte.

Plazo de aviso previo y derecho a reevaluar o a salir

Sin notificación, descubres la reclasificación durante una auditoría, no antes. Fija un plazo de aviso concreto antes de que el cambio surta efecto, y añade el derecho a volver a ejecutar tu diligencia debida y a suspender o salir si altera de forma sustancial tu nivel de riesgo. La cláusula debe obligar al proveedor a avisarte incluso cuando considere que el cambio no es sustancial: la decisión del artículo 3(23) es tuya, la del responsable del despliegue.

Cláusula 4 — Cooperación ante incidentes y la cadena de notificación del artículo 73

Exige al proveedor que te notifique cualquier incidente grave (artículo 3(49)) sin demora indebida y que aporte la información que necesitas para alimentar la cadena de notificación del artículo 73 hacia la autoridad.

Los plazos del artículo 73 que la cláusula tiene que alimentar

Ancla la cláusula a los plazos legales. Los incidentes graves se notifican a más tardar 15 días después de que el operador tenga conocimiento (artículo 73(2)); en un plazo de 2 días ante una infracción generalizada o una perturbación grave e irreversible de infraestructuras críticas (artículo 73(3)); y en un plazo de hasta 10 días cuando el incidente haya implicado el fallecimiento de una persona (artículo 73(4)). El aviso del proveedor debe llegar con margen suficiente para que aún puedas cumplir el plazo más corto que aplique, así que pon su reloj a correr desde su propio conocimiento y exige cooperación con el seguimiento de la autoridad.

Cláusula 5 — Derechos de auditoría, registro e información

Asegura un derecho de auditoría e información que refleje la postura de cooperación con las autoridades del Reglamento. El artículo 21 obliga a los proveedores, ante una solicitud motivada, a facilitar a las autoridades la información necesaria para demostrar la conformidad; tu cláusula compra un derecho privado análogo para verificar el cumplimiento.

Registros e información de la vigilancia poscomercialización

Exige acceso a los registros que el sistema genera automáticamente (artículo 12), la confirmación de que el proveedor conserva los registros bajo su control durante el período mínimo legal (artículo 19) y la información de vigilancia poscomercialización que necesitas bajo el artículo 72. Especifica la cadencia, el preaviso, el alcance y el coste: una cláusula de "auditoría en cualquier momento" sin límites se negocia hasta hacerla desaparecer, mientras que un derecho acotado anual más por causa justificada sobrevive al redline.

Cláusula 6 — Gobernanza de datos, confidencialidad y una garantía de cumplimiento

Para los sistemas de alto riesgo, exige pruebas de que los datos de entrenamiento, validación y prueba cumplen las prácticas de gobernanza de datos del artículo 10, y alinea las cláusulas de IA con la capa del RGPD: un acuerdo de tratamiento de datos y un mecanismo de transferencia cuando los datos salgan del EEE.

Confidencialidad sobre la documentación divulgada

Añade una cláusula de confidencialidad que cubra la documentación del anexo IV y los registros que el proveedor divulgue. El derecho de acceso de la cláusula 1 no debe obligar al proveedor a entregar material técnico sensible a un entorno descontrolado: un envoltorio equilibrado es lo que permite que esa cláusula sobreviva a la negociación.

Una garantía de cumplimiento permanente más un remedio

Cierra con una garantía permanente de cumplimiento del Reglamento de IA: el sistema, tal como se suministra, cumple las obligaciones aplicables, y el proveedor mantiene el cumplimiento a lo largo del ciclo de vida. Respáldala con un remedio: período de subsanación, suspensión, indemnización, salida. Una garantía sin remedio es decoración.

La tabla de cláusulas: qué exigir, el artículo al que se asigna y el repliegue

Cada fila empareja una exigencia con su anclaje en el Reglamento de IA, el deber del responsable del despliegue que asegura, el repliegue que puedes aceptar y el nivel al que aplica.

Cláusula	Qué exiges	Anclaje en el Reglamento de IA	Por qué la necesitas	Repliegue	Nivel
1 Documentación	Expediente/resumen del anexo IV, instrucciones, declaración UE de conformidad, CE, registro	Anexo IV, artículos 13, 47, 48, 49	Cumple la verificación del artículo 26	Resumen + escrow	Completo
2 Reparto de funciones	Garantía de función de proveedor, cumplimiento del artículo 16, gestión del cambio	Artículo 25, artículo 3(23)	Evita la responsabilidad silenciosa de proveedor	Garantía + indemnización	Completo
3 Aviso de cambios	Aviso previo de modificación, cambio de modelo, cambio de finalidad	Artículo 3(23), 43(4)	Preserva tu nivel y tu salida	Aviso + reevaluación	Completo + recortado
4 Cooperación ante incidentes	Notificar sin demora, alimentar la cadena de notificación	Artículo 73(2)/(3)/(4), 3(49)	Cumplir los plazos de 15/2/10 días	Reloj de aviso temprano	Completo + recortado
5 Auditoría y registro	Derecho de verificación, registros, información de vigilancia	Artículos 12, 19, 72, 21	Mantiene operables los deberes pospuesta en marcha	Anual + por causa	Completo
6 Datos y confidencialidad	Pruebas del artículo 10, DPA/transferencia del RGPD, confidencialidad	Artículo 10	Alinea los deberes de IA y de protección de datos	DPA + garantía	Completo + recortado
7 Garantía de cumplimiento	Garantía permanente + remedio	Exposición del artículo 99	Da fuerza al incumplimiento	Garantía + subsanación/salida	Completo + recortado

Las compras de riesgo limitado y mínimo solo se llevan las filas recortadas: transparencia bajo el artículo 50 cuando la salida llega a terceros, notificación de cambios y una garantía básica.

Ejemplo práctico: redline de un contrato de IA de selección de alto riesgo en una empresa de 600 personas

Northgate Talent, una empresa de selección de personal de la UE con 600 empleados, está contratando una herramienta de IA para el cribado de currículums. El cribado encaja en el anexo III, punto 4(a) (selección de personal), por lo que es de alto riesgo y aplica el conjunto completo de cláusulas.

El redline. El equipo jurídico tacha "documentación disponible con esfuerzos comercialmente razonables" por una obligación firme de entrega del resumen del anexo IV (cláusula 1), añade la garantía de función del artículo 25 más una indemnización (cláusula 2), fija un plazo de aviso previo de cambios de 30 días (cláusula 3) y obliga al proveedor a notificar los incidentes graves en un plazo de 24 horas para que Northgate pueda cumplir el plazo de 15 días del artículo 73(2) (cláusula 4).

El repliegue aceptado. El proveedor no entregará el expediente completo del anexo IV, así que las partes acuerdan un resumen suficiente para el artículo 13, un derecho de auditoría anual acotado y un envoltorio de confidencialidad.

El cambio anticipado. Una cláusula exige aviso antes de que Northgate pueda poner su marca o modificar sustancialmente la herramienta: hacerlo la convertiría en proveedor bajo el artículo 25, un riesgo que el redline saca a la luz en el contrato, no en una auditoría.

Plazos: en torno a qué fechas deben planificarse estas cláusulas

Algunas obligaciones ya restringen los contratos hoy: las prohibiciones del artículo 5 y la alfabetización en IA del artículo 4 desde el 2 de febrero de 2025, y las obligaciones de los GPAI (artículos 51–55) desde el 2 de agosto de 2025. Para el 2 de diciembre de 2026 llegan una nueva prohibición de material de abuso sexual infantil y de generación de tipo "nudificador", y los deberes de marcado de contenido del artículo 50 para la salida sintética, relevantes para cualquier contrato de IA generativa cuya salida llegue a terceros (estos se enmarcan en el Digital Omnibus, ya adoptado). Para la clasificación de alto riesgo, los sistemas autónomos del anexo III (artículo 6(2)) se aplican desde el 2 de diciembre de 2027; los sistemas integrados en productos del anexo I (artículo 6(1)) se aplican desde el 2 de agosto de 2028.

La advertencia que el contrato debe llevar: el Digital Omnibus aplaza el alto riesgo al 2 de diciembre de 2027. El Digital Omnibus ya está adoptado: votación en el pleno del Parlamento Europeo el 16 de junio de 2026, adopción formal del Consejo el 29 de junio de 2026; entra en vigor con su publicación en el Diario Oficial, prevista antes del 2 de agosto de 2026, y la variante de "parar el reloj" fue rechazada. Redacta las cláusulas de garantía y de notificación de cambios contra el 2 de diciembre de 2027, confirmando la cita del Diario Oficial en cuanto se publique.

Cómo ayuda Confir

Confir asigna cada cláusula del contrato a la obligación del Reglamento de IA que asegura —acceso a la documentación del anexo IV y del artículo 13, reparto de funciones del artículo 25, cooperación ante incidentes del artículo 73 y los derechos de registro y vigilancia de los artículos 12, 19 y 72—, de modo que un redline sea trazable hasta el artículo que lo justifica. El motor de síntesis es determinista y basado en reglas —sin inferencia de modelos, sin alucinaciones—, de modo que las mismas entradas de proveedor y de cláusula producen siempre el mismo hallazgo. El estado de las cláusulas alimenta el mismo registro de IA que alimentan la política de compras y el cuestionario, de modo que una cláusula ausente aflora como una brecha rastreada en lugar de quedar enterrada en un PDF firmado.

Preguntas frecuentes

¿Qué cláusulas debería exigir en un contrato con un proveedor de IA bajo el Reglamento de IA?

Seis, escaladas al nivel de riesgo. Para las compras de alto riesgo: acceso a la documentación y a las instrucciones de uso (anexo IV, artículo 13); una cláusula de reparto de funciones del artículo 25 que gestione el cambio a proveedor; notificación previa de cambios y modificaciones; cooperación ante incidentes que alimente la cadena de notificación del artículo 73; derechos de auditoría, registro e información (artículos 12, 19, 72); y gobernanza de datos, confidencialidad y una garantía de cumplimiento permanente con un remedio. Las compras de riesgo limitado y mínimo se llevan un conjunto recortado: transparencia bajo el artículo 50, notificación de cambios y una garantía básica.

¿En qué se diferencia esto de una política de compras de IA o de un cuestionario para proveedores?

Se sitúan en tres capas. La política de compras es el reglamento permanente que decide qué adquisiciones se someten a escrutinio y quién las aprueba. El cuestionario es el artefacto que envías para recoger las respuestas del proveedor. El contrato convierte esos hallazgos en obligaciones exigibles con remedios. Un "sí" en un cuestionario no acarrea consecuencia; una cláusula sí. Necesitas las tres: la política para la coherencia, el cuestionario para reunir los hechos y el contrato para que se sostengan.

¿Por qué el cambio a proveedor del artículo 25 pertenece al contrato?

Bajo el artículo 25, un responsable del despliegue se convierte en proveedor —y hereda todo el bloque de obligaciones del artículo 16— si pone su nombre o marca en un sistema de alto riesgo, realiza una modificación sustancial (artículo 3(23)) o cambia la finalidad prevista de modo que el sistema pase a ser de alto riesgo. Esto suele ocurrir después de firmar, cuando un equipo reaprovecha una herramienta. Una cláusula de reparto de funciones que garantice la función del proveedor, un deber de avisar antes de cualquier cambio que lo desencadene y una indemnización sacan a la luz la reclasificación antes de que lo haga una auditoría.

¿Qué debe exigir la cláusula de cooperación ante incidentes para satisfacer el artículo 73?

Debe obligar al proveedor a notificarte cualquier incidente grave (artículo 3(49)) con margen suficiente para que puedas cumplir el plazo de notificación más corto que aplique ante la autoridad de vigilancia del mercado: 15 días tras el conocimiento con carácter general (artículo 73(2)), 2 días ante una infracción generalizada o una perturbación grave e irreversible de infraestructuras críticas (artículo 73(3)) y hasta 10 días cuando se haya producido un fallecimiento (artículo 73(4)). Pon el reloj de aviso del proveedor a correr desde su propio conocimiento y exígele cooperar con el seguimiento de la autoridad.

¿Puedo basarme simplemente en la garantía del proveedor de que cumple?

Para los sistemas de alto riesgo, no. El artículo 26 te exige verificar la conformidad del proveedor, y una garantía no tiene valor probatorio sin la documentación que la respalda. Construye una cláusula de acceso a la documentación: un derecho al expediente del anexo IV o a un resumen adecuado suficiente para el uso conforme al artículo 13, entregado dentro de un plazo fijo en lugar de "previa solicitud", más la declaración UE de conformidad (artículo 47). Una garantía permanente solo ayuda cuando va respaldada por un remedio. Para las herramientas de riesgo mínimo o limitado, una postura más ligera es proporcionada.

¿Contra qué plazo debo redactar la garantía de cumplimiento: el 2 de agosto de 2026 o el 2 de diciembre de 2027?

Redáctala contra el 2 de diciembre de 2027. La clasificación de alto riesgo autónoma del anexo III (artículo 6(2)) se aplica desde el 2 de diciembre de 2027, bajo el Digital Omnibus. El Digital Omnibus ya está adoptado —votación en el pleno del Parlamento Europeo el 16 de junio de 2026, adopción formal del Consejo el 29 de junio de 2026— y entra en vigor con su publicación en el Diario Oficial, prevista antes del 2 de agosto de 2026; la variante de "parar el reloj" fue rechazada. Redacta contra el 2 de diciembre de 2027.

¿Aplican estas cláusulas a un producto SaaS que solo tiene una función de IA?

Sí, cuando la función de IA desempeña una tarea que es de alto riesgo bajo el anexo III; por ejemplo, el cribado automatizado de currículums es anexo III, punto 4(a), tanto si es autónomo como si está integrado en un sistema de RR. HH. Tus obligaciones de responsable del despliegue bajo el artículo 26 se vinculan a la función de IA con independencia del empaquetado, así que las cláusulas de acceso a la documentación, de notificación de cambios y de cooperación ante incidentes deberían cubrirla. Si el proveedor no puede decirte si su función de IA ha sido clasificada, esa brecha es por sí sola motivo para reforzar las cláusulas de garantía y de auditoría antes de firmar.

Guías relacionadas

Gestiona el cumplimiento de la Ley de IA de la UE en un solo lugar

Confir automatiza la clasificación de riesgo, la documentación técnica y los registros de auditoría para cualquier empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 14 días.

Empieza la prueba gratuita →