Proveedor de IA: las diez preguntas que hay que hacer antes de firmar

Elegir proveedor de IA se parece mucho a elegir proveedor de nube hace diez años. Las demos son todas buenas, los precios se parecen y la diferencia real está en el contrato, que es justo lo que nadie lee. Aquí tienes las preguntas que conviene hacer antes de firmar.

Por qué el contrato importa más que la demo

En primer lugar, la funcionalidad converge rápido. En seis meses, lo que hoy distingue a una herramienta lo tendrán todas, así que comparar prestaciones sirve de poco a medio plazo.

Lo que no converge es qué hace cada proveedor de IA con tus datos, cuánto tiempo los guarda y qué pasa el día que quieras irte. Por tanto, ahí es donde conviene poner la atención.

Además, esas respuestas son exactamente las que te van a pedir tus propios clientes cuando te manden su cuestionario de proveedor. En consecuencia, preguntarlas ahora te ahorra responder a ciegas después.

Las diez preguntas al proveedor de IA

Estas son, en concreto, las que usamos nosotros. Pídelas siempre por escrito, ya que una respuesta verbal en una demo no vale nada.

1. ¿Dónde se procesan y se almacenan los datos? País y región concretos, no «en la nube».
2. ¿Usáis nuestros datos para entrenar o mejorar modelos? Si la respuesta es matizada, pide la cláusula exacta.
3. ¿Cuánto tiempo conserváis las conversaciones y los archivos? Y, además, quién puede acceder a ellos dentro de vuestra empresa.
4. ¿Quiénes son vuestros subencargados? Porque casi siempre hay un modelo de terceros debajo y conviene saber cuál.
5. ¿Firmáis un contrato de encargo de tratamiento conforme al RGPD?
6. ¿Qué pasa si el sistema se equivoca? Es decir, qué responsabilidad asumís y con qué límite.
7. ¿Qué documentación técnica nos dais? Esto importa mucho si el uso puede entrar en alto riesgo.
8. ¿Cómo nos avisáis de cambios en el modelo? De hecho, un cambio silencioso puede romper un proceso vuestro.
9. ¿Qué nos llevamos si nos vamos? Formato de exportación, plazo y coste.
10. ¿Tenéis certificaciones y cuál es su alcance exacto? Sobre todo porque el alcance importa más que el logo.

Ninguna de ellas es, además, una pregunta trampa. Un buen proveedor de IA las contesta en un correo y sin ponerse nervioso.

Respuestas de un proveedor de IA que deberían encender una alarma

Vamos ahora con lo incómodo, ya que aquí es donde se ve el oficio.

• «Todo está en nuestra política de privacidad.» Traducción: no quieren concretar por escrito.
• «No guardamos nada.» Sin embargo, casi nunca es literal. Siempre hay retención para abuso o depuración, y conviene saber cuánta.
• «Usamos los modelos líderes del mercado» sin decir cuáles. Si no te nombran al subencargado, no puedes evaluar nada.
• «Estamos certificados» sin alcance. Una certificación puede cubrir solo una parte del negocio.
• «Eso lo vemos después de firmar.» Luego nunca se ve.

En cambio, una respuesta del tipo «sí lo hacemos, está en la cláusula octava y se puede desactivar» es señal de proveedor serio, aunque la respuesta en sí no te guste.

La diferencia entre proveedor y usuario que te va a tocar

Hay un punto que confunde a casi todo el mundo, así que conviene aclararlo. El Reglamento Europeo de IA reparte obligaciones distintas según el papel que juegas.

Es decir, quien desarrolla el sistema y lo pone en el mercado tiene un conjunto de deberes. Quien lo utiliza en su actividad tiene otro, más ligero pero real. Sin embargo, si coges una herramienta de terceros y la pones bajo tu marca, puedes acabar asumiendo el papel del primero sin haberlo decidido.

Por eso conviene dejar negro sobre blanco quién es quién en el contrato. Es una frase, y evita una discusión muy cara.

Un atajo que casi nadie usa

La Comisión Europea publicó cláusulas contractuales modelo para la contratación de IA, con una versión completa y otra ligera para sistemas que no son de alto riesgo. Están pensadas para compra pública. No obstante, sirven igual de bien como lista de verificación en el sector privado.

Es decir, no hace falta que redactes nada desde cero. Puedes consultarlas en la comunidad de compradores públicos de la Comisión y quedarte con los apartados que te sirvan.

Qué hacer con el proveedor de IA que ya tienes

Por otro lado, lo habitual no es firmar de cero, sino descubrir que ya estáis usando cinco herramientas sin haber preguntado nada. En ese caso el orden es distinto.

Primero, saca la lista real con un inventario de sistemas de IA. Después, ordena por riesgo: empieza por las que tocan datos de clientes y deja para el final las que solo generan texto de marketing. Y finalmente, manda el mismo correo con las diez preguntas a los tres primeros.

De hecho, ese correo suele resolver la mitad del problema. Los proveedores buenos contestan rápido y los que no contestan ya te han dicho algo.

Preguntas frecuentes sobre cómo elegir proveedor de IA

¿Las versiones gratuitas sirven para la empresa?

Para probar, sí. En cambio, para trabajar con datos de clientes no, porque no ofrecen las garantías contractuales que luego hay que demostrar.

¿Es mejor un proveedor europeo?

Ayuda en la conversación sobre transferencias internacionales, aunque no es el único criterio. Un proveedor europeo que no documenta nada es peor que uno de fuera que lo documenta todo.

¿Pido auditoría al proveedor?

Para contratos pequeños basta, en principio, con las respuestas por escrito. A partir de cierto volumen, sí tiene sentido pedir derecho de auditoría o informes de terceros.

¿Y si me dicen que no a varias preguntas?

No pasa nada necesariamente. De hecho, lo grave no es un «no»: es un «depende» sin concretar. Con un «no» claro puedes decidir.

Si quieres que lo revisemos contigo

En ArtiLabs revisamos este tipo de contratos antes de que se firmen y, sobre todo, después, cuando ya están firmados y nadie los miró. Si tienes una decisión encima de la mesa, cuéntanos tu caso.