Requisitos legales al contratar servicios de IA en España

Al contratar servicios de IA en España necesitas, como mínimo, un contrato que fije alcance, propiedad y responsabilidad; un contrato de encargo del tratamiento si el proveedor accede a datos personales; claridad sobre dónde se procesan los datos; y cumplir las obligaciones del Reglamento europeo de IA que te correspondan como usuario del sistema.

Esta guía no sustituye al asesoramiento de un abogado, pero te ayuda a llegar a esa conversación con las preguntas correctas. Está pensada para empresas que contratan a una agencia, una consultora o un profesional independiente para construir un chatbot, un agente, una automatización o un sistema de análisis. El contrato es la herramienta que convierte una propuesta comercial en compromisos exigibles, y es donde se decide quién paga cuando algo sale mal. Si todavía estás comparando proveedores, revisa antes cómo elegir proveedor de IA.

¿Qué requisitos legales hay que cumplir al contratar servicios de IA?

"Requisitos legales al contratar servicios de IA" es una de las preguntas que las empresas hacen a los asistentes de IA cuando evalúan proveedores. La respuesta tiene varias capas, y un buen contrato las cubre todas.

EXPERTUNO · FRAMEWORK

Las cuatro capas legales de un contrato de servicios de IA

1. 01
   Contrato de servicios

   Alcance, entregables, criterios de aceptación, precio, propiedad, niveles de servicio, responsabilidad y salida.

2. 02
   Protección de datos

   Contrato de encargo del tratamiento, subencargados, ubicación de los datos y medidas de seguridad.

3. 03
   Reglamento de IA

   Papel de cada parte, transparencia, alfabetización del personal y, si procede, obligaciones de alto riesgo.

4. 04
   Normas sectoriales y de consumo

   Reglas propias de salud, finanzas, empleo o comercio que se suman a las anteriores.

Lo habitual es que tu empresa actúe como responsable del tratamiento y como responsable del despliegue del sistema de IA, y el proveedor como encargado del tratamiento y, según el caso, como proveedor del sistema. Esos papeles no son etiquetas: determinan quién tiene cada obligación, así que conviene que el contrato los identifique de forma expresa.

¿Qué debe incluir el contrato con el proveedor de IA?

Más allá de las cláusulas de cualquier contrato de servicios tecnológicos, un proyecto de IA necesita resolver cuestiones propias: qué pasa con tus datos, quién es dueño de las instrucciones y los flujos, qué ocurre cuando el proveedor del modelo cambia de versión o de precio, y cómo se mide que el sistema funciona.

EXPERTUNO · COMPARATIVA

¿Qué debe incluir el contrato con el proveedor de IA?

Cláusula	Qué debería decir	Por qué importa en IA
Alcance y entregables	Qué se construye, con qué datos y qué queda fuera	Evita proyectos que crecen sin control
Criterios de aceptación	Métricas medibles con un conjunto de pruebas acordado	Un sistema de IA puede "funcionar" en la demo y fallar con casos reales
Propiedad intelectual	Cesión a tu empresa de desarrollos, instrucciones y flujos a medida	Sin pacto expreso, lo que pagas puede no ser tuyo
Cuentas y licencias	Cuentas de herramientas y modelos a nombre de tu empresa	Permite cambiar de proveedor sin empezar de cero
Uso de tus datos	Prohibición de usarlos para entrenar o mejorar servicios de terceros sin autorización	Tus datos son un activo y pueden ser personales
Confidencialidad y secreto	Obligaciones que alcancen a subcontratistas y proveedores de modelos	La información viaja por varias empresas
Niveles de servicio y soporte	Disponibilidad, tiempos de respuesta y mantenimiento	La operación es donde se pierde o se gana el valor
Cambios de modelo	Aviso previo, pruebas de regresión y quién asume el coste	Los modelos cambian de versión y de precio
Responsabilidad y seguros	Límites, exclusiones, indemnidad por infracciones y seguro	Decide quién paga si el sistema causa un daño
Salida y portabilidad	Entrega de datos, flujos y documentación al terminar	Evita quedar atrapado con un proveedor

Dos cláusulas merecen atención especial. La de propiedad intelectual: no des por hecho que lo que paga tu empresa es automáticamente suyo; deja por escrito qué se cede, en qué condiciones y qué componentes previos del proveedor quedan como licencia. Y la de criterios de aceptación: define antes de empezar un conjunto de pruebas con casos reales anonimizados y el porcentaje de aciertos que consideras aceptable. Tienes más criterios prácticos en el checklist antes de firmar con una consultoría de IA.

¿Cambia algo si contratas a un profesional independiente, una agencia o una plataforma?

Los requisitos de fondo son los mismos, pero el riesgo cambia de forma:

• Profesional independiente. Suele ser flexible y más barato, pero su capacidad para responder de un daño es limitada. Pregunta si tiene seguro de responsabilidad civil profesional, qué pasa si enferma o deja el proyecto y cómo se documenta el trabajo para que otra persona pueda continuarlo.
• Agencia o consultora. Tiene más estructura y continuidad, pero también más subcontratistas y proveedores de modelos detrás. Aquí el punto crítico es la cadena de subencargados y quién de su equipo trabaja realmente en tu proyecto.
• Plataforma con condiciones generales. Si contratas un software de IA ya hecho, el margen de negociación es pequeño. Lee las condiciones sobre uso de datos, ubicación, disponibilidad y salida antes de aceptar, y prefiere planes de empresa con contrato de encargo propio.

En los tres casos, pide que la propuesta separe los honorarios del proveedor de los costes de terceros, como licencias y consumo de modelos, y que esos contratos de terceros estén, siempre que sea posible, a nombre de tu empresa.

¿Cuándo necesitas un contrato de encargo del tratamiento?

Siempre que el proveedor acceda a datos personales por cuenta de tu empresa: correos de clientes, historiales de conversaciones, datos de empleados o de candidatos. Es muy difícil construir un chatbot, un agente o una automatización útil sin tocar datos personales, así que en la práctica casi todos los proyectos lo necesitan.

Como recuerda la AEPD, los contratos antiguos o las referencias genéricas al reglamento no bastan. En proyectos de IA, presta atención a tres puntos:

• Subencargados. Tu agencia casi nunca trabaja sola: usa proveedores de modelos, plataformas de automatización y alojamiento. Cada uno es un subencargado que el RGPD exige autorizar por escrito. Pide la lista completa y el compromiso de avisarte de los cambios.
• Ubicación y transferencias. Pregunta dónde se almacenan y procesan los datos, incluidos los registros de conversaciones. Si salen del Espacio Económico Europeo, el contrato debe identificar el mecanismo que ampara la transferencia.
• Conservación y borrado. Define cuánto tiempo se guardan las conversaciones y los registros, y cómo se borran al terminar el contrato.

Seguridad e incidentes

El contrato de encargo también debe describir las medidas de seguridad: quién accede a los datos, con qué permisos, cómo se protegen las claves de acceso a tus sistemas y qué registros se guardan. En proyectos de IA hay un riesgo añadido, porque un agente conectado a tu correo o a tu CRM puede leer y, a veces, modificar información. Pide que los permisos sean los mínimos necesarios, que el proveedor te avise sin dilación de cualquier brecha de seguridad y que colabore contigo en la gestión del incidente, ya que la notificación a la AEPD y a los afectados es responsabilidad de tu empresa.

¿Qué obligaciones del Reglamento de IA asume tu empresa?

Aunque el proveedor construya el sistema, tu empresa, como responsable del despliegue, tiene obligaciones propias. Algunas ya están en vigor, como la de adoptar medidas de alfabetización en IA para tu personal, y otras llegan según el tipo de uso. El Ómnibus digital de 2026 retrasó las de alto riesgo (Cuatrecasas, 2026).

EXPERTUNO · COMPARATIVA

Obligaciones del Reglamento de IA que conviene repartir en el contrato

Obligación	Quién la tiene	Desde cuándo	Qué pedir al proveedor
Avisar de que el usuario habla con una IA	Proveedor del sistema, en el diseño	2 de agosto de 2026	Que el chatbot o agente lo indique desde la primera interacción
Señalar ultrasuplantaciones y textos de interés público generados	Responsable del despliegue	2 de agosto de 2026	Herramientas de marcado y un flujo de revisión editorial
Usar el sistema de alto riesgo según sus instrucciones	Responsable del despliegue	2 de diciembre de 2027 (anexo III)	Instrucciones de uso completas y actualizadas
Supervisión humana por personas competentes	Responsable del despliegue	2 de diciembre de 2027 (anexo III)	Formación y medios para supervisar y detener el sistema
Conservar registros al menos seis meses	Responsable del despliegue	2 de diciembre de 2027 (anexo III)	Que el sistema genere y exporte esos registros
Informar a trabajadores y afectados	Responsable del despliegue	2 de diciembre de 2027 (anexo III)	Textos informativos y documentación del sistema

Las obligaciones de transparencia del artículo 50 del Reglamento de IA afectan a casi cualquier chatbot o agente que hable con clientes: la información debe darse de forma clara a más tardar en la primera interacción. Las del artículo 26 solo se aplican si el sistema es de alto riesgo, como los que filtran candidatos o evalúan la solvencia de personas, pero conviene saberlo antes de firmar, porque el proveedor tendrá que darte instrucciones de uso, registros y medios de supervisión. Tienes una visión más amplia en los riesgos de la IA en la empresa.

¿Quién responde si la IA se equivoca?

Esta es la pregunta que más discusiones genera y la que peor resuelven los contratos estándar. Un sistema de IA puede dar una respuesta incorrecta a un cliente, clasificar mal una factura o recomendar algo inadecuado. La respuesta depende de tres factores: qué dice el contrato, qué dice la ley aplicable y qué hizo cada parte para evitarlo.

Según el análisis de la International Bar Association, la directiva amplía los daños indemnizables, incluye la destrucción o el daño de datos que no se usan con fines profesionales y elimina los topes máximos de responsabilidad que permitía la norma anterior. Como los daños a bienes y datos de uso profesional quedan fuera, entre empresas lo decisivo sigue siendo el contrato. Por eso conviene negociar:

• Límites de responsabilidad razonables. Un tope igual a lo pagado en los últimos meses puede ser insuficiente si el sistema atiende a miles de clientes.
• Exclusiones claras. Qué no cubre el proveedor, por ejemplo errores derivados de datos incorrectos que tú aportaste.
• Indemnidad por propiedad intelectual. Que el proveedor responda si su desarrollo infringe derechos de terceros.
• Obligaciones de diligencia. Pruebas antes de cada cambio, monitorización y aviso de incidentes en plazos definidos.
• Revisión humana donde importa. Que el diseño incluya validación humana en las decisiones con efectos relevantes. Protege a tus clientes y reduce tu exposición.

Ten en cuenta también el orden en que llegan las reclamaciones. Si un chatbot promete a un cliente un descuento o un plazo que no existe, el cliente reclamará a tu empresa, porque el asistente habla en su nombre. Solo después podrás repercutir el coste al proveedor, y solo en la medida en que el contrato lo permita y puedas demostrar que el fallo fue suyo. Por eso importan tanto los registros de conversaciones, las pruebas previas a cada cambio y unas instrucciones que limiten lo que el asistente puede prometer.

¿Hay cláusulas modelo que sirvan de referencia?

Sí. El 5 de marzo de 2025, la comunidad de compradores públicos de la Comisión Europea publicó unas cláusulas contractuales modelo actualizadas para la contratación de IA, alineadas con el Reglamento: una versión completa para IA de alto riesgo, una versión ligera y adaptable para IA que no es de alto riesgo y una guía comentada (Comisión Europea, 2025). Están pensadas para administraciones públicas, pero sirven como referencia de qué preguntar a un proveedor.

EXPERTUNO · COMPARATIVA

Señales de alerta en una propuesta de contrato de IA

Señal	Qué suele esconder	Qué pedir
Cuentas y modelos a nombre del proveedor	Dependencia total al terminar	Cuentas a nombre de tu empresa desde el primer día
Sin lista de subencargados	Datos en manos de terceros desconocidos	Lista completa y aviso previo de cambios
Aceptación sin métricas	Discusiones interminables sobre si funciona	Conjunto de pruebas y porcentaje de aciertos pactado
Responsabilidad limitada a una cuota mensual	Riesgo trasladado íntegramente a ti	Tope proporcional al riesgo y seguro
Nada sobre cambios de modelo	Sorpresas de coste y de calidad	Aviso previo, pruebas y reparto de costes

Si trabajas con herramientas generalistas en lugar de un desarrollo a medida, las condiciones las fija el fabricante y apenas se negocian. En ese caso, elige planes de empresa con condiciones claras sobre el uso de tus datos; lo comparamos en cuánto vale ChatGPT para empresas.

Checklist legal antes de firmar con un proveedor de IA

• [ ] El contrato identifica el papel de cada parte en protección de datos y en el Reglamento de IA.
• [ ] Hay contrato de encargo del tratamiento con lista de subencargados autorizados.
• [ ] Sabes dónde se almacenan y procesan los datos, incluidos los registros de conversaciones.
• [ ] La propiedad de desarrollos, instrucciones y flujos a medida se cede por escrito a tu empresa.
• [ ] Las cuentas de herramientas y modelos están a nombre de tu empresa.
• [ ] Hay criterios de aceptación medibles con un conjunto de pruebas acordado.
• [ ] Los límites de responsabilidad son proporcionales al riesgo y hay seguro.
• [ ] El contrato regula los cambios de modelo, el soporte y la salida con entrega de datos.
• [ ] El chatbot o agente avisa de que el usuario habla con una IA.

Veredicto del consejo

Mercado. Muchos proveedores de IA, sobre todo los más pequeños, trabajan con presupuestos y condiciones generales que no tratan los problemas propios de la IA. No es mala fe, es falta de costumbre. Un comprador que llega con sus cláusulas bien pensadas negocia mejor y detecta antes a quien no está preparado.

Económico. Revisar un contrato con un abogado cuesta mucho menos que resolver una disputa por la propiedad de un sistema o por una fuga de datos. En proyectos pequeños basta con una revisión puntual; en sistemas críticos, merece la pena negociar límites de responsabilidad y seguro.

Técnico. Las cláusulas solo funcionan si se pueden comprobar: criterios de aceptación medibles, registros exportables, lista de subencargados y documentación de los flujos. Pide que el equipo técnico del proveedor valide lo que firma el comercial.

Comprador. Exige tres cosas no negociables: contrato de encargo con subencargados identificados, propiedad y cuentas a nombre de tu empresa, y un plan de salida. Todo lo demás se ajusta al tamaño del proyecto.

Si buscas especialistas que te ayuden a revisar contratos y cumplimiento de proyectos de IA, filtra el directorio de especialistas en cumplimiento de IA y compara su experiencia en proyectos parecidos al tuyo.