Si tu proveedor de IA tiene acceso a datos personales de tus clientes (nombres, correos, pedidos, conversaciones), es lo que la normativa de protección de datos llama encargado del tratamiento, y tú eres el responsable. Esa normativa pide que la relación entre ambos quede regulada en un contrato que fije ciertas cuestiones. Por eso conviene que el documento que firmes diga bastante más que «las partes guardarán confidencialidad».
Una gran empresa tiene un departamento legal y una lista de proveedores ya revisados. Una pyme suele firmar lo que le envían, con prisa y confiando en que será lo normal. Este artículo no sustituye a tu abogado ni a tu asesor de protección de datos; te da la lista de puntos que debes llevarle revisados para que el contrato no tenga huecos.
¿Cuándo es tu proveedor de IA encargado del tratamiento?
Lo es cuando trata datos personales por cuenta tuya y siguiendo tus instrucciones. Si el agente que te ha montado lee los correos de tus clientes, consulta su historial de pedidos o responde a sus mensajes, el proveedor está tratando esos datos para prestarte el servicio, aunque nadie de su equipo los vea a mano: basta con que estén en sus sistemas o pasen por ellos. Tú decides para qué y cómo se usan los datos; él los trata para ti.
La situación cambia si el proveedor los usa para sus propios fines, por ejemplo para mejorar sus productos. Eso hay que aclararlo por escrito y valorarlo con el asesor. La calificación exacta de cada relación la confirma tu profesional; lo importante es no darla por supuesta.
Qué puntos revisar en el contrato antes de firmar
Qué datos, para qué y durante cuánto tiempo
El contrato debe describir qué tipos de datos trata el agente (clientes, empleados, proveedores), con qué finalidad y durante cuánto tiempo. Si el listado es vago, el proveedor podrá justificar casi cualquier uso.
Solo con tus instrucciones
El proveedor debe tratar los datos únicamente siguiendo tus instrucciones documentadas. Pregunta expresamente si usa tus datos para entrenar o mejorar sus modelos y exige que la respuesta conste en el contrato.
Subencargados
Un agente suele apoyarse en otras empresas: el servicio que aloja los datos, el que proporciona el modelo de IA o el que envía los mensajes. Cada una es un subencargado. Revisa que haya una lista, que el contrato exija tu autorización o al menos un aviso previo ante cambios y que a esas empresas se les impongan obligaciones equivalentes.
Ubicación de los datos
Pide que indique dónde se almacenan y dónde se procesan. Si hay transferencias fuera del Espacio Económico Europeo, el contrato debe decir con qué garantías. Hay más detalle en IA y exportación de datos fuera de la UE: qué exige el RGPD.
Seguridad, confidencialidad y brechas
Deben constar las medidas de seguridad, quién del equipo accede a los datos y que esas personas están obligadas a guardar secreto. Añade un compromiso de avisarte de cualquier incidente que afecte a tus datos, con un plazo concreto y cuanto antes mejor, porque cuanto antes lo sepas, antes podrás valorar con tu asesor qué te toca hacer.
Ayuda con los derechos de tus clientes
Si un cliente te pide acceder a sus datos, corregirlos o borrarlos, el proveedor debe ayudarte a cumplirlo. Pregunta cómo y en cuánto tiempo.
Qué pasa al terminar
Debe decir qué ocurre con los datos cuando acaba el servicio: se devuelven, se borran o ambas cosas, en qué plazo y qué pasa con las copias de seguridad. Pide una confirmación del borrado por escrito.
Auditorías y pruebas
El contrato debe darte forma de comprobar que cumple: informes, certificaciones o la posibilidad de una revisión.
¿Qué hago si el proveedor no quiere cambiar su contrato?
Es habitual con proveedores grandes: ofrecen un contrato estándar de tratamiento de datos que no se negocia. Eso no es necesariamente un problema. Lo importante es que lo leas con la lista anterior en la mano, que compruebes si cubre los puntos esenciales y que decidas con tu asesor si aceptas sus límites.
Hay señales de alarma claras: que no haya lista de subencargados, que no digan dónde están los datos, que no prevean el borrado al terminar o que se reserven el uso de tus datos para sus fines sin explicarlo. Si faltan cosas esenciales, es razonable cambiar de proveedor o limitar qué datos le das. Para valorar a un proveedor desde otros ángulos, mira cómo saber si tu proveedor de IA solo revende una API.
Qué te puede preparar un agente y qué decide una persona
Un agente puede ayudarte a ordenar este trabajo: comparar un contrato con la lista de puntos y señalar cuáles faltan, mantener un registro de proveedores con qué datos ve cada uno y recordarte las fechas de renovación. Es un trabajo de preparación y de orden.
Lo que decide una persona es todo lo importante: tu abogado valora si las cláusulas son adecuadas, tu asesor o delegado de protección de datos confirma tus obligaciones y tú decides si firmas. Además, aplica un principio sencillo: lo que el agente no necesita, no se lo des. La AEPD, en su decálogo de enero de 2026 sobre herramientas de IA, recomienda no incluir información que revele datos confidenciales de la entidad ni de su personal o clientes. Son recomendaciones, no obligaciones legales por sí mismas, pero marcan un criterio útil para decidir qué datos entran en cada herramienta. Para ver el marco general, tienes IA y RGPD: implanta inteligencia artificial cumpliendo la ley.
Fuentes
- AEPD, «La AEPD publica un decálogo con recomendaciones para proteger la privacidad al usar herramientas de IA» (27 de enero de 2026): nota de prensa de la AEPD.
Conclusión
Cuando un proveedor de IA ve datos de tus clientes, el contrato es la herramienta que te protege. Revisa que describa los datos y su finalidad, que limite el uso a tus instrucciones, que nombre a los subencargados y la ubicación de los datos, que prevea seguridad, avisos de incidentes y ayuda con los derechos de tus clientes y que regule el borrado al terminar. La valoración final es de tu abogado y de tu asesor de protección de datos.
En MG Solutions construimos agentes de IA específicos para cada empresa, adaptados a tu forma de trabajar y a tus herramientas, no una plantilla genérica.
Si quieres ver cómo encajaría en tu empresa, escríbenos y lo hablamos.