A un colegio le ofrecen una plataforma de IA "para docentes". La demostración es convincente, el precio es razonable y, para activarla, solo hay que aceptar unos términos y condiciones en una pantalla. Alguien del equipo directivo pulsa "Acepto". Sin darse cuenta, el centro puede haber decidido qué se hace con datos de menores, dónde se guardan y si se usan para entrenar un modelo comercial.
La protección de datos es un terreno donde las reclamaciones crecen. La AEPD recibió en 2025 30.931 reclamaciones, la cifra más alta de su historia y un 64 % más que el año anterior, según su Memoria 2025. Son datos de protección de datos en general, no solo de IA, pero muestran que la atención sobre cómo se tratan los datos personales va en aumento. Esta guía repasa qué debe recoger el contrato con un proveedor de IA cuando el centro maneja datos del alumnado, y qué conviene pedir antes de firmar. No sustituye al delegado de protección de datos ni a un asesor jurídico, que deben revisar el documento concreto.
Antes de firmar: tres preguntas previas
El mejor contrato del mundo no arregla una herramienta que el centro no necesita o que no puede usar sin comprometer datos. Antes de entrar en cláusulas, responde con el equipo directivo:
- ¿Qué problema concreto resuelve y para quién? Si es solo para que el docente prepare materiales, quizá no hace falta introducir datos del alumnado. Si la herramienta necesita datos de menores, el contrato pasa a ser crítico.
- ¿Qué datos entrarán en la herramienta? Nombres, notas, informes, imágenes, voz, mensajes de las familias. Cuanto menos, mejor, y lo ideal es empezar sin datos personales de menores.
- ¿Quién es quién? El centro suele actuar como responsable del tratamiento y el proveedor como encargado del tratamiento, la figura que trata datos por cuenta del centro y siguiendo sus instrucciones. Si el centro es público o concertado, quién decide qué plataformas se usan puede variar, así que consulta con tu administración educativa y con el delegado de protección de datos si ya existe una plataforma aprobada o un acuerdo vigente.
Las cláusulas que debe recoger el contrato
El RGPD exige regular por escrito la relación con quien trata datos por cuenta del responsable. Un buen contrato de encargado de tratamiento con una plataforma de IA debería cubrir, al menos, lo siguiente. La redacción exacta la fija tu asesor; esto es una guía de qué buscar.
1. Objeto, duración y datos afectados. Qué servicio se presta, durante cuánto tiempo, qué tipos de datos se tratan (de alumnado, de familias, de docentes) y qué categorías de personas afectan.
2. Finalidad y instrucciones del centro. El proveedor solo debe tratar los datos para prestar el servicio que contrata el colegio, siguiendo sus instrucciones documentadas. Nada de usarlos para fines propios: publicidad, perfiles o estudios de mercado.
3. Uso de los datos para entrenar o mejorar modelos. Esta es la cláusula que más conviene leer despacio. Pregunta de forma explícita si los datos que introducen los docentes, las respuestas generadas y cualquier contenido del alumnado se usan para entrenar o mejorar los modelos del proveedor o de terceros, incluso en forma "agregada" o "anonimizada". Lo razonable para un centro es que no se usen, salvo base legal clara y decisión expresa del responsable. Si el contrato habla de "mejora del servicio" sin precisar, pide que lo aclaren por escrito.
4. Subencargados. Las plataformas de IA suelen apoyarse en otras empresas: el proveedor de la nube, el creador del modelo, el servicio de análisis. Pide la lista actualizada de subencargados, que te avisen con antelación de cualquier cambio con posibilidad de oponerte, y que les apliquen las mismas obligaciones que a ti.
5. Ubicación de los datos y transferencias. Dónde se almacenan y procesan los datos, y si salen del Espacio Económico Europeo. Si salen, qué garantías se aplican. Es una cuestión técnica que debe revisar el delegado de protección de datos.
6. Seguridad. Medidas técnicas y organizativas razonables: control de accesos, cifrado, registro de actividad, confidencialidad del personal del proveedor, copias de seguridad. Y un compromiso de avisar al centro sin demora, en un plazo breve y acordado, si hay una brecha de seguridad.
7. Conservación y borrado. Cuánto tiempo se guardan los datos y qué pasa al terminar: devolución o borrado, con un certificado de borrado, incluidas las copias de seguridad y el historial de conversaciones. Que el centro pueda pedir el borrado en cualquier momento. Es una cláusula que suele pasarse por alto y que pesa mucho cuando el contrato termina.
8. Derechos de las personas afectadas. Que el proveedor ayude al centro a atender solicitudes de acceso, rectificación o supresión de datos dentro de plazo, sin cargos ocultos.
9. Menores. El contrato debe tener en cuenta que se trata de datos de menores. En España, según la ley orgánica de protección de datos (LOPDGDD, art. 7), el tratamiento de datos de un menor solo puede basarse en su propio consentimiento cuando es mayor de catorce años, salvo los casos en que la ley exija la asistencia de quienes ejercen la patria potestad o tutela. La Comisión Europea indica que el umbral de edad para exigir el consentimiento de los padres varía entre 13 y 16 años según el Estado miembro. Por eso es imprescindible que el centro tenga clara su base legal antes de introducir datos de menores y que el contrato excluya expresamente la publicidad o la elaboración de perfiles comerciales con esos datos.
10. Auditoría y documentación. Derecho del centro a pedir información y a comprobar que el proveedor cumple, y obligación de facilitar la documentación que necesite el delegado de protección de datos.
11. Responsabilidad y terminación. Qué ocurre si hay un incumplimiento, quién responde, y cómo se sale del contrato sin perder los datos del centro. Conviene pactar la salida antes de entrar; en acuerdo de servicio con un proveedor de IA: qué exigir por escrito puedes ver más sobre este punto.
Lo que el contrato debe dejar fuera, y lo que debe aclarar
Más allá del tratamiento de datos, el Reglamento europeo de IA añade cuestiones específicas del ámbito educativo que el centro debería preguntar al proveedor:
- Reconocimiento de emociones. El Reglamento prohíbe, entre otras prácticas, el reconocimiento de emociones en lugares de trabajo y en centros educativos, con excepciones, por ejemplo, por razones médicas o de seguridad. Esa prohibición es efectiva desde febrero de 2025. Si una plataforma ofrece "medir la atención" o "detectar el ánimo" del alumnado por la cara o la voz, hay que preguntar mucho y, en general, rechazarlo.
- Usos de alto riesgo en educación. El anexo III del Reglamento clasifica como de alto riesgo los sistemas destinados a determinar el acceso o la admisión a centros, a evaluar resultados de aprendizaje (también cuando se usan para orientar el proceso de aprendizaje), a evaluar el nivel de educación al que accederá una persona y a vigilar y detectar comportamientos prohibidos durante las pruebas. No es una prohibición, sino una clasificación con obligaciones para proveedores y para quienes lo usan, que se aplican desde el 2 de diciembre de 2027 tras la reforma del Reglamento. Si la herramienta toca la evaluación del alumnado, pide al proveedor que explique cómo se clasifica y qué documentación aporta. Y recuerda que calificar sigue siendo decisión del docente.
- Transparencia. Desde el 2 de agosto de 2026, según la Comisión Europea, los chatbots deben avisar de que son IA, y el contenido generado o alterado con IA debe llevar marcas legibles por máquina; la Comisión indica además un período de gracia hasta diciembre de 2026 para el marcado en sistemas generativos ya comercializados. Verifica que la herramienta lo cumple y que el alumnado sabe cuándo habla con una IA.
Para un repaso más amplio de este marco, puedes leer AI Act y menores: qué precauciones exige el uso de IA en centros educativos.
Qué pedir además del contrato
- La política de privacidad y las condiciones del servicio, para comprobar que no contradicen lo firmado. Lo que pone en la letra pequeña también cuenta.
- Una descripción por escrito de cómo funciona la herramienta con los datos: qué entra, qué se guarda y qué sale.
- La lista de subencargados y su ubicación.
- Información sobre las medidas de seguridad y sobre cómo se gestionan las brechas.
- La confirmación por escrito de que los datos del centro no se usan para entrenar modelos, si es lo que se ha pactado.
- Un contacto técnico y un contacto de protección de datos en el proveedor.
La AEPD recomienda en su decálogo del 27 de enero de 2026 no incluir en las herramientas de IA información que revele datos confidenciales de la entidad ni de su personal o clientes. Para un colegio, esa misma cautela se aplica con más motivo al alumnado.
Quién firma y quién revisa
No debería firmar una sola persona. Un orden razonable:
- Dirección o titularidad del centro, que decide si hace falta la herramienta y es quien contrata.
- El delegado de protección de datos, que revisa los aspectos de datos y asesora sobre si hace falta una evaluación de impacto.
- Un asesor jurídico, que revisa responsabilidad, terminación y cláusulas generales.
- El claustro, informado de para qué se usa y con qué límites. Si todavía no habéis acordado criterios de uso, empieza por por dónde empieza un claustro que nunca ha probado la IA.
Si ya has dejado atrás la fase de elegir y necesitas comparar opciones, cómo elegir proveedor de IA sin equivocarte ofrece criterios útiles, aunque en un centro educativo todo lo anterior pesa más.
Fuentes
- AEPD (2025): La Agencia recibió más de 30.000 reclamaciones en 2025, un 64% más que el año anterior
- AEPD (2026): La AEPD publica un decálogo con recomendaciones para proteger la privacidad al usar herramientas de IA
- BOE (2025): Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales
- Comisión Europea (2026): Are there any specific safeguards for data about children?
- Comisión Europea (2026): AI Act | Shaping Europe's digital future
- Comisión Europea, AI Act Service Desk (2026): ANNEX III
- Comisión Europea, Representación en Chipre (2026): Commission starts enforcing AI Act rules and new transparency requirements on 2 August
Conclusión
Un colegio no debería aceptar los términos de una plataforma de IA como quien acepta una actualización. El contrato con el proveedor tiene que fijar para qué se usan los datos, si se emplean para entrenar modelos, quiénes son los subencargados, dónde se guardan, cuánto tiempo y cómo se borran, y debe tener en cuenta que se trata de datos de menores. Antes de firmar, que lo revisen el delegado de protección de datos y un asesor jurídico, y que el claustro sepa para qué se va a usar y con qué límites.
En MG Solutions damos masterclasses de IA a alumnos de ESO y Bachillerato: tres días en el colegio con herramientas para su día a día, para estudiar mejor y para usar la IA de forma responsable.
Puedes ver cómo trabajamos en formación en IA para colegios.
Si quieres ver cómo encajaría en tu caso, escríbenos y lo hablamos.