Cómo elegir una empresa para implementar IA: checklist de 20 preguntas y cláusulas del contrato (AI Act, RGPD, PI, criterios de aceptación)

La diferencia entre una implantación de IA que aporta resultados medibles y un proyecto que se queda en una presentación rara vez está en la tecnología. Está en cómo el partner trata los datos, cómo mide el resultado y qué queda recogido en el contrato. Este texto es una lista de preguntas para las primeras reuniones con el proveedor y de cláusulas que deberían figurar en el contrato antes de iniciar el proyecto.

No es asesoramiento jurídico; conviene consultar las cláusulas contractuales con un abogado, especialmente en sistemas de alto riesgo según el AI Act.

Conclusiones clave

• Empieza por el problema, no por el modelo. Un buen partner primero pregunta por el proceso, los datos y el resultado esperado, y solo después por el stack tecnológico.
• Los datos determinan el resultado. Pregunte por la auditoría de datos, el acceso, los permisos y dónde se procesarán los datos.
• Un contrato de IA no es igual que un contrato de software. Debe cubrir los roles según el AI Act, el encargo de tratamiento según el RGPD, la propiedad del código, los prompts, las configuraciones y los pesos del modelo, los criterios de aceptación basados en métricas y los costes de uso de modelos.
• La aceptación es estadística, no un botón. Los criterios de aceptación se definen sobre un conjunto de prueba, con umbrales de calidad, tiempo de respuesta y coste por consulta.
• Planifica la salida. Documentación, traspaso e intercambiabilidad del modelo son cláusulas que protegen a la empresa al terminar la colaboración.

Qué es una implantación de IA en la empresa

Implantar IA es construir y poner en marcha un sistema que utiliza modelos de aprendizaje automático o modelos de lenguaje (LLM) en un proceso de la empresa: asistente para empleados o clientes, agente que ejecuta tareas en sistemas, base de conocimiento RAG, modelo predictivo. En la mayoría de proyectos de negocio no se construyen modelos propios desde cero; se usan modelos listos vía API o modelos open-weight y se conectan con los datos y sistemas de la empresa. Por eso las competencias del partner importan sobre todo en integración, datos, seguridad y medición del impacto.

Tres pilares para evaluar a un partner

Tecnología y datos

Antes de preguntar por el precio, compruebe cómo trabaja la empresa con los datos: si hace auditoría de fuentes, cómo ordena los datos, cómo traslada los permisos de los sistemas origen a la IA, cómo elige el modelo (coste, calidad, ubicación del procesamiento) y si puede sustituirlo sin rehacer todo. Un partner que de entrada propone entrenar un modelo propio debe poder justificar por qué un modelo listo con RAG no basta.

Negocio y medición

Una implantación sin fase de discovery (qué medimos, cuál es el estado actual, qué consideraremos éxito) acaba en funciones que nadie usa. Un buen partner propone un piloto en un único proceso y con datos reales, midiendo antes y después.

Legal y seguridad

El AI Act entra en vigor por fases desde 2024 (prohibiciones y competencias en IA desde febrero de 2025, transparencia desde agosto de 2026, sistemas de alto riesgo desde diciembre de 2027). El RGPD aplica íntegramente. El partner debe saber qué rol asume (proveedor o implementador según el AI Act, encargado del tratamiento según el RGPD) y qué implica para el contrato.

Señales de alerta y buenas prácticas

Checklist: 20 preguntas para la empresa que implanta IA

Experiencia

1. ¿Pueden mostrar un sistema de IA en producción en un cliente, con cifras? Busque casos de estudio con métricas (tiempo, coste, ingresos), no descripciones.
2. ¿Qué problemas surgieron en implantaciones anteriores y cómo los resolvieron? La respuesta muestra si el partner habla de riesgos antes de que aparezcan.
3. ¿Tienen experiencia en nuestro sector? Los datos en fintech, salud o manufactura tienen exigencias distintas de seguridad y cumplimiento.
4. ¿Han asumido sistemas de otros proveedores e integrado IA con sistemas legacy? La mayoría de empresas no construyen desde cero.

Datos y arquitectura

1. ¿Cómo es su auditoría de datos previa a la implantación? Fuentes, calidad, brechas, permisos.
2. ¿Cómo seleccionan el modelo y su arquitectura permite sustituirlo? Pregunta sobre la dependencia de un único proveedor.
3. ¿Cómo reducen las alucinaciones? RAG sobre fuentes verificadas, citación de fuentes, pruebas de calidad de respuestas, rechazo a responder cuando no haya datos.
4. ¿Cómo trasladan los permisos de los sistemas origen a la IA? El usuario solo debe ver lo que tiene autorizado.
5. ¿Cómo prueban un sistema con respuestas no deterministas? Conjunto de prueba, métricas, pruebas de regresión tras cada cambio de modelo o prompt.
6. ¿Quién y cómo monitoriza la calidad tras la implantación? Logs, métricas, alertas, plan de reentrenamiento o sustitución del modelo.

Seguridad y legal

1. ¿Dónde se procesarán físicamente nuestros datos y por qué entidades? Nube del proveedor del modelo, nube del cliente, infraestructura del cliente; lista de subencargados.
2. ¿Pueden los datos de la empresa usarse para entrenar los modelos del proveedor? Respuesta esperada: no, en base a un acuerdo comercial con el proveedor del modelo.
3. ¿Cómo garantizan el cumplimiento del RGPD? Contrato de encargo de tratamiento, minimización de datos, evaluación de impacto (DPIA) si aplica, derecho de supresión.
4. ¿Qué rol tendrán según el AI Act y cuál tendremos nosotros? Proveedor del sistema o implementador; qué categoría de riesgo; qué implica para documentación y supervisión.
5. ¿Qué medidas aplican a los datos en prompts y respuestas? Filtros de datos sensibles, logging, control de acceso, pruebas de seguridad (incluida prompt injection).

Colaboración y costes

1. ¿Cómo definen el piloto y cuál será su resultado? Alcance, datos, métricas, decisión de escalar.
2. ¿Cómo desglosan el presupuesto? Construcción, uso de modelos (con el número estimado de consultas), mantenimiento y evolución. Una cifra sin desglose es señal de alerta.
3. ¿Qué métricas de negocio vamos a seguir? Ahorro de tiempo, coste de atención, conversión, ingresos; medidos antes y después.
4. ¿Quién trabajará concretamente en el proyecto y con qué modelo? Equipo dedicado, extensión de nuestro equipo, proyecto de alcance fijo; acceso al arquitecto.
5. ¿Qué recibiremos al final y cómo es la entrega? Código, documentación, prompts, configuraciones, conjuntos de prueba; posibilidad de mantenimiento por otro equipo.

Elementos del contrato para la implantación de IA

1. Roles y responsabilidades según el AI Act

• Definir quién es el proveedor del sistema (lo desarrolla y lo comercializa) y quién es el implementador (lo utiliza en su actividad). Si el sistema se crea por encargo bajo la marca del cliente, el cliente puede ser el proveedor; el contrato debe indicarlo expresamente.
• Clasificación del riesgo del sistema en el contrato o anexo; si es de alto riesgo: quién responde de la documentación técnica, el registro de logs, la supervisión humana y la evaluación de conformidad.
• Transparencia: el sistema informa al usuario de que interactúa con una IA; los contenidos generados se etiquetan, conforme al art. 50.
• Competencias en IA (art. 4): formación del equipo del cliente como parte de la entrega, no un extra.
• Notificación de incidentes: procedimiento y plazos para informar al cliente de errores del sistema e incidentes de seguridad.

2. RGPD y datos

• Contrato de encargo de tratamiento (art. 28 RGPD) con el partner y lista de subencargados (incluidos proveedores de modelos), con derecho de oposición a cambios.
• Ubicación del procesamiento y regiones (UE/EEE), reglas para transferencias fuera del EEE.
• Prohibición de entrenar modelos del proveedor con datos del cliente, respaldada por acuerdo comercial con el proveedor del modelo.
• Minimización y anonimización de datos antes de enviarlos al modelo; filtros de datos sensibles.
• Supresión de datos: la arquitectura (RAG en lugar de entrenar con datos personales) debe permitir borrar los datos de una persona sin reconstruir el modelo; retención de logs (para sistemas de alto riesgo, mínimo 6 meses según el AI Act).
• Evaluación de impacto (DPIA) y, en alto riesgo para determinados implementadores, evaluación de impacto sobre los derechos fundamentales (art. 27 del AI Act): quién la prepara.

3. Propiedad intelectual

• Cesión de los derechos de explotación (no licencia) sobre el código, scripts de datos, documentación, prompts, configuraciones y conjuntos de prueba y evaluación, en todas las modalidades de explotación, efectiva con el pago de cada hito.
• Pesos del modelo: si el partner ajusta un modelo (fine-tuning), los derechos sobre los pesos y los datos de entrenamiento pasan al cliente en la medida permitida por la licencia del modelo base. Los modelos de proveedores externos (OpenAI, Anthropic, Google) no se pueden “comprar”; el contrato debe distinguirlo claramente.
• Componentes open source y modelos open-weight: listado con licencias y confirmación de compatibilidad con uso comercial.
• Contenidos generados por IA: el derecho de autor protege obras humanas; el contrato debe regular los derechos sobre los resultados y la responsabilidad por su uso, sin prometer protecciones que la ley no concede.
• Know‑how del partner: si el partner aporta componentes o productos propios (p. ej., una base de conocimiento lista), licencia sobre ellos con derecho de uso continuado tras la finalización del contrato.

4. Criterios de aceptación

• Conjunto de prueba acordado antes del arranque (consultas representativas y respuestas esperadas), sobre el que se mide la aceptación.
• Umbrales de calidad adaptados a la tarea: para un asistente sobre base de conocimiento, p. ej., porcentaje de respuestas correctas y fundamentadas en fuentes, porcentaje de negativas cuando no haya datos; para clasificación: precisión y exhaustividad; para extracción: exactitud de campos.
• Tiempo de respuesta (p. ej., percentil 95) y coste por consulta con el volumen asumido.
• Seguridad: pruebas de prompt injection y fuga de datos, control de permisos.
• Supervisión humana: dónde una persona valida el resultado antes de llegar al cliente o al sistema.
• Realismo: la IA tiene margen de error; la aceptación define el nivel aceptable, no el 100%.

5. Costes, mantenimiento y salida

• Presupuesto desglosado en construcción, uso de modelos (con mecanismo de ajuste por cambios de precio de los proveedores) y mantenimiento.
• SLA sobre disponibilidad y tiempos de respuesta; monitorización de calidad como servicio, no promesa.
• Intercambiabilidad del modelo como requisito arquitectónico reflejado en el contrato.
• Cláusula de salida: entrega de código, documentación, datos y configuraciones en el formato acordado, periodo de transición, soporte al siguiente equipo.
• Confidencialidad y auditoría: derecho del cliente a auditar seguridad y cumplimiento en el partner y subencargados.

Qué tipo de partner necesitas

La elección depende del punto de partida: encaja un partner distinto para añadir IA a sistemas existentes (software house especializado en IA), para un programa de transformación en una corporación (gran integrador) o para poner en orden los datos (empresa de analítica). Un listado de empresas que implementan IA en Polonia agrupadas por tipo de partner está en nuestro ranking TOP 10 de empresas que implementan IA en Polonia.

Startup House construye asistentes de IA, agentes y bases de conocimiento RAG para medianas y grandes empresas, incluidas industrias reguladas (fintech, salud, ciberseguridad). Las soluciones funcionan sobre datos verificados del cliente, en la nube del cliente, integradas con sus políticas de acceso; los datos del cliente no entrenan modelos públicos. Cumple con ISO 27001. Ejemplo: un portal de clientes con IA integrada para una plataforma de ciberseguridad que atiende a compañías de la lista Fortune 500 acortó el onboarding en un 95%, y asumir y modernizar un sistema logístico para Omnipack redujo los costes de desarrollo en un 40%.

Ver también: AI Act: qué debe hacer una empresa que implanta IA · Casos de estudio de Startup House

FAQ

¿Equipo interno de IA o software house?

La contratación de un equipo de IA lleva meses y la primera implantación requiere experiencia en integraciones y seguridad. Para la mayoría de empresas funciona el modelo: empezar con un partner, construir competencias internas en paralelo (formación, responsable de producto del lado de la empresa) y asumir gradualmente el mantenimiento.

¿Cuánto cuesta implantar IA?

Depende del alcance. Un piloto de asistente en un solo proceso y con modelos listos es un proyecto de pocas semanas; una implantación en varios departamentos con integraciones lleva meses. El presupuesto debe desglosar coste de construcción, uso de modelos y mantenimiento.

¿El AI Act dificulta las implantaciones?

Para la mayoría de implantaciones de negocio (riesgo mínimo), las obligaciones se reducen a competencias de los empleados y transparencia frente a los usuarios. Los sistemas de alto riesgo (reclutamiento, scoring crediticio, biometría) requieren documentación, logging y supervisión humana, con plazo desde diciembre de 2027. Un partner que lo entiende diseña el sistema para cumplir desde el principio.

¿Cuáles son los mayores riesgos de implantar IA?

Datos de baja calidad, no medir el estado actual, falta de adopción del equipo, dependencia de un único proveedor de modelo y un contrato que no regula la propiedad del código, los prompts y los datos.

¿Cuánto tiempo tarda una implantación?

Un piloto en un único proceso y con datos reales puede construirse en pocas semanas. La implantación en producción con integraciones y seguridad lleva más y depende del número de sistemas y de la calidad de los datos.

¿Puedo cambiar de proveedor de modelo durante o después del proyecto?

Sí, si la arquitectura lo prevé y el contrato lo exige. Los modelos cambian cada pocos meses; un sistema donde el modelo es un componente intercambiable no requiere reconstrucción al cambiar de proveedor.

¿Por dónde empezar a preparar la empresa para implantar inteligencia artificial?

Para preparar la empresa, conviene comenzar analizando procesos de negocio, datos disponibles y necesidades de los empleados. Después, elija áreas donde las herramientas de IA puedan aportar beneficios tangibles y designe a una persona responsable del proyecto. Las siguientes fases deben incluir evaluación de riesgos, piloto en entorno controlado y extensión gradual del uso de las nuevas tecnologías en el trabajo diario.

¿Qué es una política de IA y debería prepararla toda empresa?

La política de IA es un documento interno que define las normas de uso de sistemas de inteligencia artificial en la organización. Debe indicar las herramientas de IA permitidas, las limitaciones sobre los datos que se introducen, las reglas de verificación de resultados y la responsabilidad de empleados y administradores. También puede regular la selección de proveedores, la actualización de modelos de IA y la notificación de incidentes. Una política de IA bien diseñada apoya el cumplimiento legal y la adopción segura de soluciones de IA.

¿Es obligatorio el registro de sistemas de IA en toda organización?

No toda organización está obligada a llevar un registro formal de todos los sistemas de IA. No obstante, un registro interno de sistemas de IA es una buena práctica de gestión del riesgo. Debe incluir el nombre del sistema, su propósito, el proveedor, los datos utilizados, la categoría de riesgo y la persona responsable. Para determinados sistemas de alto riesgo, el AI Act de la UE también prevé obligaciones de registro. Su alcance depende, entre otros, del rol de la organización y del uso del sistema.

¿Cómo realizar la evaluación de riesgos antes de implantar un sistema de IA?

La evaluación debe comenzar por definir el propósito del sistema, el tipo de datos tratados y el posible impacto en las personas y en la organización. El análisis debe considerar la seguridad de la información, la calidad de los resultados de la IA, decisiones erróneas, supervisión humana y posibles prácticas prohibidas. También hay que determinar si el uso podría calificarse como riesgo inadmisible o sistema de alto riesgo conforme al AI Act. La evaluación de riesgos no es un documento único: debe actualizarse a medida que el sistema cambia.

¿Implantar IA exige realizar una evaluación de impacto para la protección de datos personales?

La evaluación de impacto para la protección de datos (DPIA) es exigida por el RGPD cuando un tipo de tratamiento puede entrañar alto riesgo para los derechos y libertades de las personas físicas. Afecta en particular a ciertos usos de perfilado y a la automatización de decisiones. El mero uso de IA no implica automáticamente hacer una DPIA. La evaluación de impacto no sustituye al análisis de riesgos exigido por el AI Act, porque ambos mecanismos cubren riesgos parcialmente distintos.

¿Qué significa AI literacy y qué formación deben recibir los empleados?

AI literacy significa tener competencias para usar sistemas de inteligencia artificial de forma consciente, segura y responsable. La formación debe cubrir capacidades y limitaciones de los modelos de IA, protección de datos personales, verificación de respuestas y detección de errores. Los materiales deben adaptarse a los roles de los empleados y a cómo usan herramientas de IA en su trabajo diario. El art. 4 del AI Act prevé actuaciones para garantizar un nivel adecuado de competencias en IA por parte de proveedores y usuarios de sistemas.

¿Quién es proveedor y quién usuario del sistema de IA según el AI Act?

Proveedor es quien desarrolla un sistema de IA o encarga su desarrollo y lo comercializa o pone en servicio con su propio nombre o marca. Usuario es quien utiliza un sistema de IA en el curso de sus actividades, fuera de un uso personal y no profesional. La división de roles importa para documentación, supervisión, seguridad y obligaciones derivadas de la normativa de la Unión Europea. En determinadas situaciones, la organización que implanta la solución puede asumir obligaciones de proveedor.

¿Cómo funciona la supervisión humana de la IA, es decir, human in the loop?

Human in the loop es un modelo en el que una persona participa en la evaluación o aprobación de los resultados de la IA. Puede revisar recomendaciones, corregir errores y tomar decisiones finales en situaciones que requieren control adicional. Es especialmente relevante al automatizar procesos que afectan a clientes, empleados o personas físicas. La supervisión debe ser real: el empleado debe entender las limitaciones del sistema, poder impugnar el resultado y tener permisos adecuados para intervenir.

El texto es informativo y no constituye asesoramiento jurídico. Situación jurídica: octubre de 2026 (AI Act tras el Digital Omnibus, Reglamento 2026/1744).