Recibes un correo de tu proveedor de IA con un asunto que nadie quiere leer un lunes por la mañana: han detectado un acceso no autorizado a sus sistemas y no pueden descartar que haya afectado a los datos de tus clientes que procesan por ti. El problema no está en tus sistemas, está en los suyos. Pero eso no te libera de nada: como empresa que decidió usar ese proveedor, tienes tus propias obligaciones que se activan en cuanto recibes ese aviso, y el reloj ya está corriendo aunque el fallo no sea tuyo. Este artículo describe, paso a paso, qué suele ocurrir en un escenario así y qué debe tener preparado tu empresa antes de que llegue ese correo, no después.
Este contenido tiene fines divulgativos y no sustituye asesoría legal. Ante una brecha real con datos personales afectados, la decisión de cómo notificar y a quién debe tomarse con un abogado o un delegado de protección de datos, no solo con este artículo.
Por qué esto no es lo mismo que "definir qué es un incidente de seguridad"
Ya explicamos en qué es un incidente de seguridad en IA qué tipos de eventos cuentan como tal y qué plazos legales generales activa el RGPD. Este artículo parte de ahí, pero se centra en un escenario más concreto y más frecuente de lo que parece: el fallo no ocurre en tus propios sistemas, sino en los de un tercero al que le confiaste el procesamiento de datos con IA. Esa diferencia cambia por completo la secuencia de lo que ocurre, porque tú dependes de que ese tercero te informe a tiempo para poder cumplir tus propias obligaciones.
El primer aviso: qué deberías recibir y cuándo
En el momento en que el proveedor detecta el incidente, debería avisarte con la información mínima imprescindible: qué ha ocurrido, qué datos podrían estar afectados, desde cuándo y qué medidas ya ha tomado para contenerlo. Si tu contrato con el proveedor incluye un acuerdo de tratamiento de datos (DPA) bien redactado, ese plazo de aviso debería estar fijado por escrito, normalmente en horas, no en días. Si tu contrato no específica ese plazo, ahora mismo estás a merced de la buena voluntad del proveedor, algo que conviene corregir en cuanto se resuelva este incidente, no solo lamentarlo mientras ocurre.
Aquí aparece el primer problema práctico habitual: muchos proveedores tardan en confirmar el alcance real del incidente porque ellos mismos todavía lo están investigando. Recibir un primer aviso incompleto ("estamos investigando, os ampliaremos información") no es una anomalía, es lo esperable en las primeras horas. Lo importante es que ese primer aviso llegue rápido, aunque sea parcial, para que tu empresa empiece a contar su propio plazo cuanto antes.
Las horas siguientes: qué tiene que hacer tu empresa
En cuanto recibes ese aviso, tu empresa —como responsable del tratamiento— tiene su propio reloj corriendo, con independencia de que el fallo de origen esté fuera de tu control directo. Los pasos habituales en esas primeras horas son: confirmar internamente quién decide (normalmente dirección junto con quien lleve la protección de datos, interno o externo), pedir al proveedor toda la información disponible aunque sea parcial, y valorar si el incidente afecta a datos personales de forma que active la obligación de notificación a la autoridad de control en el plazo que marca el RGPD. Sobre a quién corresponde exactamente esa obligación según el papel de cada parte en el tratamiento, puede ser útil repasar quién es el responsable del tratamiento de datos con agentes de IA.
Un error habitual en esta fase es esperar a tener el cuadro completo antes de mover nada. Si el plazo legal exige notificar y todavía no tienes toda la información del proveedor, se notifica igualmente con lo que se sabe hasta ese momento, y se amplía la notificación después. Esperar a tenerlo todo perfecto es, en la práctica, la forma más habitual de incumplir un plazo que no admite esa espera.
Qué comunicar a tus propios clientes, y cuándo
Si el incidente afecta a datos de tus propios clientes, en determinados casos la normativa exige informarles directamente a ellos, no solo a la autoridad de control. Esa decisión depende de la gravedad del riesgo para las personas afectadas y conviene tomarla con asesoría legal, no de forma automática ni tampoco evitándola por prudencia excesiva. Lo que sí es una buena práctica general, con independencia de la obligación legal exacta, es no dejar que tus clientes se enteren del incidente por otra vía antes que por ti: la forma en que comunicas —con transparencia y rapidez, frente a intentar minimizarlo— determina en buena medida si mantienen la confianza en tu empresa después de esto.
Qué revisar del contrato una vez pasado el susto
Cuando el incidente ya está gestionado, conviene volver al contrato con el proveedor y revisar tres cosas con calma: si el plazo de aviso que recibiste en la práctica coincidió con lo pactado, si el proveedor ofreció el apoyo necesario para que tú pudieras cumplir tus propias obligaciones de notificación, y si existen cláusulas de responsabilidad que determinen qué parte del coste del incidente asume cada uno. Repasamos con más detalle qué cláusulas conviene mirar en qué cláusulas revisar en un contrato de servicios de IA, y es habitual que una empresa solo se dé cuenta de que su contrato es insuficiente precisamente después de vivir un incidente real, cuando ya es tarde para ese caso concreto.
Lo que puedes preparar antes de que ocurra
No hace falta esperar a que pase para estar preparado. Antes de contratar o renovar con un proveedor de IA, vale la pena tener claro por escrito en qué plazo se compromete a avisarte, qué información incluirá ese aviso y si tiene un protocolo de respuesta a incidentes documentado, no improvisado. Internamente, conviene tener decidido de antemano quién en tu empresa recibe ese tipo de aviso y qué hace en las primeras horas, para no perder tiempo valioso decidiendo el protocolo en plena crisis.
Conclusión
Que un proveedor de IA sufra una brecha de seguridad con tus datos no traslada la responsabilidad completa fuera de tu empresa: activa un reloj propio que depende de que ese proveedor te informe con la rapidez y el detalle pactados. Tener el contrato bien definido antes de que ocurra, y un protocolo interno claro de quién decide qué en las primeras horas, es lo que separa una gestión ordenada de una crisis añadida sobre otra crisis.
En MG Solutions revisamos con nuestros clientes qué garantías reales ofrecen sus proveedores de IA ante un incidente de este tipo. Si quieres comprobar las tuyas, reserva una primera reunión y lo repasamos juntos.