Compras de IA en sectores regulados, por qué ahora es un asunto de nivel de consejo de administración

En los sectores regulados, servicios financieros, sanidad, energía, infraestructuras críticas, sector público, la compra de IA ya no es una simple contratación de TI. Es un asunto de gobernanza de nivel de consejo de administración con consecuencias regulatorias y de responsabilidad directas. Este cambio proviene de tres presiones convergentes: las obligaciones contractuales de transmisión (flow-through) del Reglamento de IA de la UE, aplicables desde el 2 de agosto de 2026; los requisitos de resiliencia operativa específicos de cada sector (DORA, APRA (Autoridad de Regulación Prudencial de Australia) CPS 230, la Guía de Supervisión del BCE sobre Modelos Internos); y los requisitos de diligencia debida en la cadena de suministro (CSDDD, disposiciones de NIS2 sobre la cadena de suministro de ciberseguridad).

Para las organizaciones reguladas, el cambio clave es que las decisiones de selección de proveedores ahora generan una responsabilidad directa y continua. Un fallo de cumplimiento, un incidente de seguridad o un problema con los datos de entrenamiento de un proveedor de IA material se convierte en un fallo de cumplimiento de la entidad regulada. Los procesos de compra estándar diseñados para proveedores de software tradicionales no captan el riesgo específico de la IA ni satisfacen las expectativas de los reguladores.

Los cinco marcos regulatorios que están reconfigurando la compra de IA en 2026

El Reglamento de IA de la UE impone obligaciones tanto a los proveedores (vendors) como a los responsables del despliegue (deployers, es decir, los clientes). Para los sistemas de IA de alto riesgo (categorías del anexo III como empleo, crédito, datos biométricos, educación e infraestructuras críticas), las obligaciones del responsable del despliegue a partir del 2 de diciembre de 2027 incluyen: garantizar la supervisión humana; supervisar el funcionamiento del sistema; llevar un registro (logging); informar a las personas afectadas; y realizar evaluaciones de impacto sobre los derechos fundamentales. El responsable del despliegue no puede cumplir estas obligaciones sin disposiciones contractuales específicas en el contrato de compra. La UE ha publicado cláusulas contractuales modelo para la compra de IA (MCC-AI, Model Contractual Clauses for AI) en versiones de riesgo limitado y de alto riesgo, para ayudar a las organizaciones a implementar estos requisitos contractuales.

El Reglamento DORA de la UE (Digital Operational Resilience Act, Ley de Resiliencia Operativa Digital), aplicable desde el 17 de enero de 2025, impone requisitos específicos de riesgo de terceros TIC a las entidades de servicios financieros de la UE. Los proveedores de IA se consideran proveedores TIC. Los contratos deben incluir descripciones definidas de los servicios, ubicaciones, obligaciones de seguridad, derechos de auditoría, normas de subcontratación y disposiciones de salida. Los proveedores terceros críticos (CTP, Critical Third-Party Providers) designados conforme a DORA están sujetos a la supervisión directa de las Autoridades Europeas de Supervisión.

APRA CPS 230 (Australia, en vigor desde el 1 de julio de 2025, con modificaciones a partir del 1 de julio de 2026) exige que las entidades de servicios financieros australianas identifiquen y gestionen a los proveedores de servicios materiales, incluidos los proveedores de IA. La guía de Norton Rose Fulbright de febrero de 2026 confirma que los contratos con proveedores de IA deben cumplir con CPS 230 en la próxima renovación y, a más tardar, el 1 de julio de 2026. Los proveedores de IA no están incluidos en las limitadas categorías exentas de NTSP de CPS 230.

La Directiva NIS2 de la UE, aplicable desde el 17 de octubre de 2024, impone requisitos de ciberseguridad en la cadena de suministro a entidades esenciales e importantes de múltiples sectores. Los servicios de IA que califican como elementos de la cadena de suministro TIC entran dentro del ámbito de NIS2, con obligaciones de notificación (notificación de incidentes significativos en un plazo de 24 horas) y requisitos sustantivos de ciberseguridad.

La Directiva CSDDD de la UE (Corporate Sustainability Due Diligence Directive, Directiva de Diligencia Debida en materia de Sostenibilidad Empresarial), con aplicación escalonada entre 2027 y 2029, exige a las empresas incluidas en su ámbito de aplicación evaluar los impactos sobre los derechos humanos y el medio ambiente en sus cadenas de suministro, incluidos los componentes de IA y las herramientas de IA utilizadas para llevar a cabo la diligencia debida.

Clasificación de proveedores de IA basada en el riesgo

El punto de partida es clasificar a los proveedores de IA en función de la relevancia regulatoria de lo que suministran:

Proveedores de IA materiales, aquellos cuya IA es material para las operaciones conforme a CPS 230 (o equivalente), cuya IA se utiliza en aplicaciones de alto riesgo conforme al anexo III del Reglamento de IA de la UE, o cuyo fallo del servicio causaría una perturbación significativa para el negocio o desde el punto de vista regulatorio. Estos requieren todo el rigor del proceso de compra: diligencia debida detallada, contratos exhaustivos, seguimiento continuo, planificación de salida.

Proveedores de IA significativos, aquellos que proporcionan IA que afecta a los resultados para el cliente, a las obligaciones regulatorias o a las operaciones críticas, pero que no son "materiales" en el sentido regulatorio. Estos requieren una diligencia debida sustancial y disposiciones contractuales adaptadas.

Proveedores de IA no materiales, aquellos que prestan servicios de IA periféricos o no críticos. Los procesos de compra estándar son suficientes, aunque conviene incluir igualmente disposiciones básicas específicas de IA (restricciones sobre los datos de entrenamiento, transparencia).

Las disposiciones contractuales que debe abordar la compra de IA

Un contrato defendible con un proveedor de IA en un sector regulado debería incluir:

Clasificación de riesgo y conformidad (Reglamento de IA de la UE). Garantía del proveedor respecto a la clasificación del sistema de IA conforme al marco de riesgo del Reglamento de IA de la UE, documentación técnica, evidencia de la evaluación de conformidad y marcado CE cuando proceda.

Garantías sobre los datos de entrenamiento. El proveedor garantiza que los datos de entrenamiento se obtuvieron lícitamente, con el debido cumplimiento en materia de propiedad intelectual y protección de datos. El proveedor indemniza por las reclamaciones de infracción de propiedad intelectual derivadas de los datos de entrenamiento.

Restricciones sobre el uso de datos. Prohibición explícita del uso de los datos del cliente para el entrenamiento, la evaluación o la mejora de los modelos del proveedor. Esta es la disposición de mayor trascendencia, sin ella, los datos propios mejoran un modelo que sus competidores podrían utilizar. Las ofertas de nivel empresarial de los principales proveedores incluyen la exclusión del entrenamiento (opt-out) por defecto; verifíquelo por escrito.

Divulgación y control de subencargados. Lista de subencargados en el momento de la firma del contrato, notificación de cambios, derechos de aprobación para los cambios materiales de subencargados en aplicaciones de alto riesgo.

Derechos de auditoría. Informes de certificación independientes (SOC 2 Tipo II, ISO 27001, ISO/IEC 42001 cuando estén disponibles) junto con derechos de auditoría de la organización y de la autoridad competente para los proveedores de IA materiales. El artículo 30 de DORA impone derechos de auditoría específicos para las entidades financieras de la UE.

Notificación de incidentes. Plazos de notificación definidos para incidentes específicos de IA, anomalías en el comportamiento del modelo, incidentes de seguridad, problemas con los datos de entrenamiento y consultas regulatorias. Las disposiciones estándar de notificación de violaciones deben ampliarse para cubrir los escenarios de fallo de la IA.

Gestión de cambios. Notificación previa a las actualizaciones materiales del modelo, control de versiones cuando sea posible, derechos de reversión (rollback) cuando los casos de uso del cliente se vean materialmente afectados.

Niveles de servicio. Métricas de rendimiento adecuadas para sistemas de IA, umbrales de precisión y rendimiento definidos cuando sean medibles, objetivos de disponibilidad, tiempos de respuesta.

Responsabilidad e indemnización. Asignación del riesgo por errores de la IA, sanciones regulatorias derivadas del uso de la IA, reclamaciones de terceros relacionadas con los resultados de la IA. Los límites de responsabilidad estándar suelen ser inadecuados para los riesgos específicos de la IA.

Salida y transición. Procedimientos de devolución y eliminación de datos, transición de los resultados del modelo, plazo de preaviso suficiente para una sustitución ordenada. Para las dependencias materiales de IA, disposiciones definidas para proveedores alternativos o un plan de contingencia interno (in-house fallback).

Diligencia debida, qué verificar antes de contratar

La diligencia debida sobre proveedores de IA materiales en sectores regulados debería verificar: la situación regulatoria del proveedor y su clasificación como proveedor conforme al Reglamento de IA; la política de IA publicada, la documentación del modelo y los informes de transparencia; las certificaciones de seguridad (como mínimo SOC 2 Tipo II, ISO 27001, y cada vez más se espera ISO 42001); la documentación de los datos de entrenamiento, incluidos los litigios relacionados (NYT contra OpenAI y casos similares generan incertidumbre en cascada); la evidencia de las pruebas de sesgo del modelo con desgloses demográficos; las métricas de rendimiento con pruebas adversariales realistas; la estabilidad financiera y la propiedad; los clientes de referencia en sectores regulados comparables; el riesgo de concentración, es decir, si el proveedor es una fuente única y crítica de capacidad.

Seguimiento continuo tras la contratación

El riesgo de los proveedores de IA no es algo puntual. Una vez formalizado el contrato, las entidades reguladas deben supervisar: el comportamiento del modelo en busca de deriva (drift) o cambios inesperados; los informes de incidentes de seguridad y sus remediaciones; los avances regulatorios que afecten a cualquiera de las partes; los cambios de propiedad y los indicadores de estabilidad financiera; los cambios de subencargados; el rendimiento del servicio frente a los SLA contractuales. La carta de APRA del 30 de abril de 2026 señaló la "validación continua" como una expectativa regulatoria, lo que significa un seguimiento continuo de la IA del proveedor en producción, no revisiones anuales.

Primeros pasos prácticos

Actualice su inventario de proveedores de IA con la clasificación de riesgo. Para cada proveedor de IA material, audite el contrato existente frente a las disposiciones específicas de IA e identifique las carencias. Colabore con los proveedores en las modificaciones contractuales, aquellos con ofertas de IA maduras suelen disponer de plantillas de anexos alineadas con el Reglamento de IA. Actualice su cuestionario estándar de diligencia debida de proveedores y su plantilla de contratación con cláusulas específicas de IA (el MCC-AI de la UE proporciona un punto de partida). Forme a los equipos de compras y jurídico en las disposiciones específicas de IA y en los factores regulatorios que las impulsan. Para las organizaciones que operan bajo múltiples marcos (APRA + Reglamento de IA de la UE + DORA), desarrolle un estándar de compra unificado que satisfaga todos ellos en lugar de procesos separados para cada uno.

Lecturas relacionadas

Lectura adicional: la IA de la OCDE en el sector público