Cuándo revisar a los proveedores de IA y qué hacer después

La diligencia debida de proveedores de IA debe empezar antes de que el servicio reciba datos relevantes, se conecte a sistemas empresariales o influya en decisiones importantes. Repita las comprobaciones pertinentes cuando cambien su finalidad, permisos, tratamiento de datos o servicio. El siguiente paso es definir el uso previsto, asignar un responsable y reunir pruebas para una aprobación con un alcance delimitado.

Para los equipos SaaS, esta revisión conecta la compra con decisiones de producto, seguridad, privacidad y operaciones. Las recomendaciones siguientes describen un proceso práctico, no un cuestionario legal obligatorio y universal. La profundidad debe reflejar los posibles fallos y las personas afectadas. Un asistente que redacta textos de ayuda públicos requiere una evaluación distinta de un agente que modifica cuentas de clientes.

Reconozca los desencadenantes

Empiece cuando todavía sea posible cambiar de proveedor, limitar el uso o negociar condiciones. Esperar hasta la firma o el lanzamiento dificulta resolver las preguntas pendientes. Incluya pruebas gratuitas, suscripciones de empleados, API, modelos integrados y funciones de IA activadas dentro de plataformas existentes.

Estos acontecimientos deben iniciar o reabrir una revisión:

• Nueva compra: un equipo propone un servicio o integración de IA.
• Nueva capacidad: un proveedor existente añade un asistente, recuperación de información o acciones automatizadas.
• Más datos: un piloto pasa de ejemplos sintéticos a registros de clientes o documentos confidenciales.
• Más autoridad: una herramienta pasa de sugerir acciones a ejecutarlas.
• Cambio sustancial: cambian el enrutamiento de modelos, alojamiento, conservación, condiciones o subcontratistas de forma relevante para la aprobación.
• Pruebas adversas: un incidente, reclamación o evaluación fallida cuestiona una premisa que sustentaba el uso continuado.

La renovación es un punto de control útil, pero no debe ser el único desencadenante. Asigne a alguien la recepción de avisos del servicio y su vinculación con el registro del despliegue. La relación comercial puede seguir igual mientras el riesgo real cambia considerablemente.

Determine qué comprobaciones corresponden

Describa en una frase la tarea, los usuarios, los datos y los límites de actuación. Por ejemplo: «El personal de soporte usa el espacio empresarial para redactar respuestas a partir de documentación pública; los empleados envían las respuestas; se excluyen los tickets de clientes». Registre también el plan contratado y la configuración.

Identifique después las áreas de revisión. Privacidad evalúa el tratamiento de datos personales; seguridad, los accesos e integraciones; producto, la calidad de las respuestas y las consecuencias de errores; y el equipo jurídico, las obligaciones aplicables y el reparto contractual. Compras coordina las pruebas y el proceso comercial. En una empresa pequeña, una persona puede asumir varios papeles, pero cada decisión necesita un responsable identificado.

Cuando se aplica el RGPD, el artículo 28 exige garantías suficientes de los encargados del tratamiento. RGPD, artículo 28. Pida al responsable de privacidad que determine los papeles de las partes y el acuerdo de tratamiento antes de considerar suficiente el contrato estándar del proveedor.

Para delimitar el Reglamento de IA, el equipo jurídico debe identificar el papel, finalidad prevista, disposiciones y fechas aplicables. Una declaración general del proveedor no responde a esas preguntas específicas del despliegue. Registre el razonamiento y los asuntos pendientes en lugar de copiar una afirmación comercial en la aprobación.

A 10 de septiembre de 2026, los hitos de alto riesgo son el 2 de diciembre de 2027 para el anexo III y el 2 de agosto de 2028 para el anexo I. Actualización del calendario de la Comisión Europea. Compruebe por separado las disposiciones pertinentes antes de decidir qué debe hacerse ahora.

Cuándo resulta razonable una revisión más limitada

Si el producto no tiene funciones de IA, el proceso ordinario de proveedores puede bastar. Si solo maneja material público y no accede a sistemas ni ejecuta acciones, una evaluación de IA más breve puede ser proporcionada. Documente esos límites y confirme que la configuración los impone.

La ausencia de datos personales no elimina automáticamente la revisión. Pueden seguir importando la confidencialidad, propiedad intelectual, fiabilidad, continuidad y compromisos con clientes. A la inversa, la IA no justifica pedir todos los documentos a cada proveedor. Solicite pruebas para una decisión concreta y explique las comprobaciones no aplicables.

Un piloto permite reunir pruebas dentro de límites acordados. No autoriza automáticamente a cargar registros de producción. Defina datos, usuarios, integraciones, duración y condiciones de parada antes de conceder acceso. Determine quién puede autorizar la ampliación tras revisar los resultados.

Siga un proceso de decisión de seis pasos

1. Cree el registro de uso

Recoja tarea, servicio, plan, usuarios, categorías de datos, ubicaciones, integraciones y acciones permitidas. Identifique al responsable de negocio y al técnico. Enlace la arquitectura o el esquema de flujos de datos y enumere los usos excluidos. Este registro será la referencia común de los especialistas.

Separe el despliegue previsto de futuras funcionalidades. Si el equipo espera automatizar reembolsos más adelante, regístrelo como un cambio futuro sujeto a revisión. Una hoja de ruta amplia no debe extender silenciosamente la aprobación actual.

2. Trace datos y accesos

Pregunte qué ocurre con instrucciones, adjuntos, información recuperada, resultados, comentarios y registros. Determine conservación, eliminación, acceso de soporte, destinatarios posteriores y uso para entrenamiento. Vincule las respuestas al plan y a los ajustes concretos que utilizará.

Para servicios conectados, registre credenciales y permisos. Use el acceso mínimo necesario y pruebe sus límites. La descripción «solo lectura» en un formulario no basta si la integración recibe permisos de escritura. Conserve una exportación de la configuración o pruebas equivalentes.

3. Relacione afirmaciones y pruebas

Utilice una tabla breve: afirmación, documento o prueba, alcance, fecha, revisor y carencia pendiente. Un informe de seguridad puede respaldar controles dentro de su alcance; un contrato, compromisos acordados; una prueba, comportamiento observado en condiciones registradas. Mantenga visibles estas diferencias.

Pida aclaraciones si un documento excluye la función de IA o cubre otro entorno. Si no hay pruebas disponibles, registre la incertidumbre y su efecto en la decisión. El tamaño, prestigio o demostración convincente del proveedor no deben cerrar una pregunta sin responder.

4. Pruebe el flujo real

Defina criterios de aceptación antes de probar. Incluya tareas representativas, información incompleta, entradas engañosas, límites de permisos y recuperación tras fallos. Use datos sintéticos o autorizados. Registre versión disponible, ajustes, fecha, resultados y fallos sin resolver.

Pruebe también la revisión humana. ¿Puede el revisor consultar el material de apoyo, rechazar una sugerencia incorrecta y detener una acción a tiempo? Si no, cambie el proceso o reduzca la capacidad. Una puntuación media alta no debe ocultar un fallo que exponga información de otro cliente.

5. Tome una decisión explícita

Elija: aprobar dentro del alcance, aprobar con condiciones, limitar a un piloto, escalar o rechazar. Distinga las condiciones que bloquean producción de las mejoras posteriores. Asigne a cada condición responsable, plazo y prueba de cumplimiento.

Registre riesgos residuales y excepciones autorizadas con justificación y vencimiento. La firma no debe anular silenciosamente un bloqueo técnico o de privacidad. Quien active la integración debe comprender la decisión sin reconstruir conversaciones de correo y chat.

6. Supervise y prepare la salida

Fije una fecha de revisión según el uso y sus riesgos, además de los desencadenantes anteriores. Asigne responsabilidad sobre avisos, incidentes, reclamaciones y evaluaciones. Reabra solo las comprobaciones afectadas cuando esté justificado y conserve el historial.

Describa cómo revocar accesos, retirar integraciones, exportar registros necesarios, solicitar eliminación y continuar la tarea durante una interrupción o salida. Ensaye los pasos críticos antes de depender de ellos. Los registros reutilizables también reducen duplicaciones, como explica nuestra guía sobre revisiones manuales del riesgo de proveedores.

Ejemplo: un asistente empieza a leer tickets privados

Imagine un equipo de soporte que ya redacta respuestas con documentación pública mediante un asistente. Producto quiere añadir recuperación de tickets privados. Proveedor y suscripción no cambian, pero sí el límite de datos. Esto debe desencadenar una revisión antes de activar la función.

El responsable actualiza el registro. Privacidad comprueba el acuerdo de tratamiento; seguridad prueba permisos y separación entre clientes; producto verifica si las respuestas revelan información innecesaria. Compras confirma que los compromisos cubren la nueva función. Mientras tanto, se mantiene el uso original de redacción.

Si fallan los permisos, la nueva capacidad sigue bloqueada. Si las comprobaciones se superan, la aprobación registra datos permitidos, ajustes, resultados, supervisión y desencadenantes de reapertura. Este ejemplo ilustra una decisión; no concluye que un despliegue concreto cumpla toda la legislación aplicable.

Errores habituales

Aprobar el nombre de una empresa en vez de un uso definido vuelve invisibles los cambios posteriores. Acumular documentos sin registrar conclusiones crea almacenamiento, no pruebas. Llamar «de bajo riesgo» a un piloto sin limitar datos o permisos deja sin responder la pregunta importante.

Otro error es asignarlo todo a «cumplimiento». El responsable de negocio debe explicar la tarea y asumir responsabilidad operativa; ingeniería debe verificar controles; los especialistas deben decidir dentro de su competencia. Un coordinador puede impulsar el proceso sin convertirse en responsable de todos los riesgos.

Preguntas frecuentes

¿Cuál es el propósito práctico?

Decidir si un servicio concreto puede utilizarse para una tarea definida, con pruebas, condiciones y responsables. El resultado debe indicar qué puede activarse y qué sigue restringido.

¿Qué debe documentar primero un fundador?

La tarea, datos, permisos y responsable. Estos hechos concretan las siguientes preguntas. Empiece por un uso relevante en lugar de distribuir un cuestionario indiferenciado por toda la empresa.

¿Cada cambio exige reiniciar toda la evaluación?

No. Compare el cambio con las premisas registradas y reabra las comprobaciones pertinentes. Conserve la justificación cuando no haya efecto sustancial. Escale si las consecuencias no están claras.

¿Qué debe ocurrir la próxima semana?

Seleccione un servicio de IA propuesto o activo. Escriba su registro, identifique la mayor carencia de pruebas y asigne un revisor. Acuerde una decisión delimitada y registre el siguiente desencadenante antes de ampliar accesos.

Fuentes y crédito de imagen

Referencias legales comprobadas el 10 de septiembre de 2026. Las fuentes enlazadas respaldan las afirmaciones jurídicas y de calendario; el proceso y el ejemplo son recomendaciones editoriales.

Foto: Team Meeting, woodleywonderworks, CC BY 2.0. Redimensionada a 1280 × 482 píxeles. Fotografía ilustrativa.