Checklist del contrato de encargado para infraestructura IA
25 preguntas de verificación para contratos de encargado de tratamiento en infraestructura de IA empresarial.
Una selección de más de 5.000 proyectos en 25 años de desarrollo de software
Un contrato de encargado de tratamiento para infraestructura de IA debe cubrir diez areas que los contratos SaaS estandar no regulan: políticas de registro de prompts, separación de entornos (dev/staging/producción), cadenas de proveedores de modelos, procesamiento de datos in-flight vs. at-rest, protección de datos de embeddings RAG, acceso desde terceros paises a datos de producción, cumplimiento del secreto profesional, tokenización PII, trazabilidad de auditoria del Decision Layer y verificabilidad de medidas técnicas. Esta checklist traduce las diez lagunas en 25 preguntas concretas de verificación.
El análisis detallado de las diez lagunas esta disponible en el articulo: Contrato de encargado IA: Lo que falta en su contrato estandar.
A - Categorias de datos y finalidades de tratamiento
1
¿Los contenidos de prompts y respuestas del modelo estan listados como categorías de datos independientes en el contrato?
2
¿Se establece que la responsabilidad de clasificación del contenido recae en la organización, no en el proveedor?
3
¿Los embeddings/vectores estan clasificados como datos potencialmente personales?
4
¿El contrato contempla las categorías especiales del articulo 9 del RGPD que pueden surgir por entradas de usuarios?
B - Registro y monitorización
5
¿El registro de cuerpos de solicitud/respuesta en el entorno de producción esta desactivado?
6
¿Que metadatos se registran (códigos de estado, latencias, IDs de solicitud)?
7
¿El registro de depuración en producción esta verificablemente desactivado?
8
¿Los rastros de pila y mensajes de error estan configurados para excluir datos de contenido de los logs?
9
¿La verificación de la configuración de registro es parte del proceso de lanzamiento?
C - Separacion de entornos y acceso
10
¿Existen entornos separados (dev, staging, producción) con políticas de datos distintas?
11
¿Los entornos dev/staging contienen exclusivamente datos sinteticos o anonimizados?
12
¿El acceso a producción esta restringido a roles autorizados dentro de la UE/EEE? (Vease tambien: requisitos Cert-Ready)
13
¿Existe un procedimiento de excepción documentado para casos de soporte con acceso a datos?
D - Proveedores de modelos y subencargados
14
¿La delimitación es clara: Que proveedores son subencargados del proveedor y cuales operan en el tenant de la organización?
15
¿La retención de contenido en los proveedores de modelos esta desactivada?
16
¿La exclusión del uso para entrenamiento esta documentada contractualmente?
17
¿Donde se ubican los endpoints de los modelos (region UE, US, otros)?
E - Almacenamiento y supresión de datos
18
¿Se establece donde se almacenan los datos de contenido persistentes (base de datos, region, proveedor)?
19
¿Que retención de copias de seguridad aplica y como se gestionan los datos eliminados en las copias?
20
¿El usuario individual puede eliminar sus propios datos dentro de la aplicación?
F - Sectores regulados
21
¿El contrato contiene disposiciones de cumplimiento con el secreto profesional según normativa sectorial aplicable?
22
¿Existen compromisos de confidencialidad para todas las personas con acceso?
23
¿La tokenización PII esta disponible como modulo opcional?
G - Gobernanza y verificabilidad
24
¿Una trazabilidad de auditoria para decisiones de agentes esta anclada como componente contractual?
25
¿Las medidas técnicas y organizativas pueden evidenciarse bajo solicitud (documentación de configuración, extractos de logs anonimizados)?
Esta checklist es un catalogo de requisitos desde la perspectiva de arquitectura y gobernanza. No constituye asesoramiento jurídico. La revisión legal y la evaluación formal del contrato corresponden al departamento jurídico del responsable o a asesores externos.
Preguntas frecuentes
¿Esta checklist sustituye al asesoramiento jurídico?
¿Para que tamano de organización es relevante esta checklist?
¿De donde provienen las 25 preguntas?
¿Como puntua su infraestructura IA en el check del contrato?
Evaluamos su configuración contra los 25 requisitos.
Concertar conversación