En cuanto una empresa empieza a hablar con un proveedor de IA que va a procesar datos de clientes o empleados, aparece casi siempre una sigla que no todo el mundo tiene identificada: DPA. Entender qué es un DPA (acuerdo de tratamiento de datos) es imprescindible en cuanto contratas cualquier tecnología, IA incluida, que trate datos personales por tu cuenta. No firmarlo no es un detalle menor: es, directamente, un incumplimiento del RGPD.
Este artículo explica en qué consiste, cuándo es obligatorio y qué debería incluir como mínimo. Es información general, no un modelo de contrato: la redacción concreta de un DPA para tu empresa debería revisarla un abogado o tu delegado de protección de datos, adaptándola a cómo funciona realmente tu proveedor de IA.
Qué es exactamente un DPA
Un DPA (Data Processing Agreement, o acuerdo de tratamiento de datos en español) es el contrato, o el anexo contractual, que regula la relación entre un responsable del tratamiento y un encargado del tratamiento cuando este último procesa datos personales por cuenta del primero. En el contexto de la IA, esto se traduce casi siempre en lo mismo: tu empresa (responsable) contrata a un proveedor de IA (encargado) que procesa datos personales —de tus clientes, candidatos o empleados— para prestarte el servicio.
Si no tienes claro cuál de las dos figuras te corresponde en cada relación, conviene revisar antes quién es el responsable del tratamiento de datos con agentes de IA: el DPA solo tiene sentido una vez identificados con claridad ambos roles.
La base legal: el artículo 28 del RGPD
El DPA no es una buena práctica opcional, es una exigencia expresa del artículo 28 del RGPD. Esta norma establece que, cuando un responsable del tratamiento recurre a un encargado, esa relación debe regularse mediante un contrato u otro acto jurídico vinculante, por escrito, que fije con detalle el objeto, la duración, la naturaleza y la finalidad del tratamiento, así como las obligaciones y derechos de cada parte. Sin este documento firmado, ambas partes están incumpliendo, aunque el resto del contrato de servicios esté perfectamente en regla.
Qué debe incluir un DPA como mínimo
Aunque cada proveedor tiene su propio modelo, un DPA sólido debería cubrir, al menos:
- El objeto y la duración del tratamiento: qué datos trata el proveedor, con qué finalidad y durante cuánto tiempo.
- Las instrucciones documentadas: el proveedor solo puede tratar los datos siguiendo tus instrucciones, no puede decidir por su cuenta nuevos usos.
- Confidencialidad: compromiso de que el personal del proveedor que accede a los datos está sujeto a un deber de confidencialidad.
- Medidas de seguridad: qué garantías técnicas y organizativas aplica el proveedor para proteger los datos.
- Subencargados: si el proveedor puede subcontratar parte del tratamiento a terceros, y bajo qué condiciones debe informarte.
- Notificación de brechas de seguridad: en qué plazo debe avisarte el proveedor si sufre un incidente que afecte a tus datos.
- Colaboración en el ejercicio de derechos: cómo te ayuda el proveedor si un afectado ejerce sus derechos de acceso, rectificación o supresión.
- Devolución o eliminación de los datos al finalizar el contrato.
Puntos específicos a vigilar con un proveedor de IA
Más allá de estas cláusulas estándar de cualquier DPA, un servicio de IA añade matices que conviene revisar con especial atención:
- Uso de tus datos para entrenar modelos. Este es, probablemente, el punto más sensible: el DPA debería excluir explícitamente que tus datos se usen para entrenar o mejorar modelos generales del proveedor, salvo que tú lo autorices de forma expresa y separada.
- Transferencias internacionales. Muchos proveedores de IA operan con infraestructura fuera del Espacio Económico Europeo. El DPA debe especificar qué garantías aplican (cláusulas contractuales tipo, decisiones de adecuación) para que esa transferencia sea legal.
- Trazabilidad de las decisiones del sistema. Si el agente de IA toma decisiones automatizadas, el DPA debería permitirte auditar cómo se procesaron los datos que llevaron a esa decisión.
Estos matices están directamente relacionados con las dudas que resolvemos en ¿es seguro darle mis datos a un agente de IA?: un DPA bien redactado es, en la práctica, la respuesta contractual a esa misma pregunta.
Quién firma el DPA y cuándo
El DPA lo firman las mismas partes que el contrato de servicios: tu empresa y el proveedor de IA. Puede ser un documento independiente o un anexo del contrato principal, y debería firmarse antes de que el proveedor empiece a tratar cualquier dato real, no después. Si ya llevas tiempo usando un servicio de IA sin haber firmado este documento, lo prioritario es regularizarlo cuanto antes, no esperar a la siguiente renovación de contrato.
Un DPA aceptado por defecto no siempre es un DPA firmado de verdad
Muchos proveedores de IA, especialmente los internacionales, incluyen su DPA como un enlace en las condiciones generales que se aceptan al crear la cuenta, sin que nadie de tu empresa lo lea ni lo negocie. Formalmente puede ser válido, pero conviene comprobar dos cosas antes de darlo por bueno: que ese DPA cubre realmente tu relación contractual (algunos aplican solo a determinados planes o servicios) y que las condiciones que fija —sobre todo las relativas al uso de tus datos para entrenar modelos y a las transferencias internacionales— son aceptables para tu empresa. Si no lo son, muchos proveedores permiten negociar un DPA a medida cuando el volumen de negocio lo justifica, algo que rara vez se pregunta.
Qué pasa si no tienes DPA firmado
La falta de un DPA es una de las infracciones más fáciles de detectar en una inspección de protección de datos, precisamente porque es un documento que debe existir por escrito y que, si falta, no admite ambigüedad. Además de la sanción administrativa que puede conllevar, deja a tu empresa sin un marco claro de responsabilidades si el proveedor comete un error o sufre una brecha de seguridad, lo que complica cualquier reclamación posterior contra él.
Conclusión
Un DPA no es un anexo burocrático más: es el documento que hace legal, desde el punto de vista del RGPD, que un proveedor de IA trate datos personales por cuenta de tu empresa. Sin él firmado, cualquier otro esfuerzo de cumplimiento normativo tiene una base incompleta.
En MG Solutions revisamos con nuestros clientes que esta pieza esté en orden antes de poner en marcha cualquier proyecto de IA. Si quieres comprobar cómo está tu situación, pide tu diagnóstico gratuito y sin compromiso.