Lista de verificación de diligencia debida para proveedores de IA

Cómo usar este documento

• Para qué sirve. Es un cuestionario base para evaluar a un proveedor de software o servicios con IA antes de contratarlo o renovarlo: uso de los datos y entrenamiento, seguridad, privacidad, transparencia del modelo, sesgo, cumplimiento, propiedad intelectual, subencargados, soporte y salida. Incluye un método de puntuación y un formato de recomendación.
• Quién debe ser su dueño. El responsable de IA, con compras o gestión de proveedores como coordinador operativo. Seguridad de la información, el delegado de protección de datos y Legal evalúan sus secciones. Indique el área en [ÁREA RESPONSABLE] y la persona que coordina la evaluación en [RESPONSABLE].
• Decisiones previas. Fije antes de usarla los pesos de cada sección y los umbrales de resultado (sección 3) y qué preguntas considera críticas. La profundidad de la evaluación (sección 2) y quién aprueba (sección 7.3) siguen el nivel de riesgo del uso, tal como figura en el «Inventario de sistemas de IA».
• Modelos sin proveedor. Si va a usar un modelo de pesos abiertos descargado de un repositorio público, no hay un proveedor que responda el cuestionario: aplique la autoevaluación de la sección 4.10 y documente el resultado en la «Ficha de procedencia de modelos de terceros y de pesos abiertos».
• Campos a completar. Complete los datos de la evaluación, envíe al proveedor las preguntas de la sección 4 que correspondan a su profundidad (puede usar el mensaje de la ayuda B), puntúe cada respuesta y complete las secciones 5 a 7. Conserve las preguntas [OPCIONAL] solo si aplican.
• Variantes por país. Este documento no tiene variantes por país. Si el proveedor tratará datos personales o prestará un servicio crítico en un sector regulado, revise en «Referencias normativas relacionadas» qué contrato de encargo, mecanismo de transferencia internacional o registro de terceros exige su jurisdicción y añádalo a las secciones D e I.
• Revisión. Pida a Legal que revise las conclusiones de las secciones D, H e I antes de negociar, y traslade los hallazgos al contrato y al acuerdo de nivel de servicio (ayuda D).
• Aprobación y archivo. El resultado lo aprueba quien indique la sección 7.3 según el nivel de riesgo. Archive el cuestionario, las respuestas, las evidencias y la puntuación en el expediente del proveedor.

Selección de módulos

Perfil	Secciones que conserva
P1: usa IA dentro de software que compra	Secciones 1 a 8, preguntas A a I
P2: integra modelos por API o RAG	Secciones 1 a 8, preguntas A a I, con atención especial a A3, A7 y B2
P3: aloja modelos en infraestructura propia o alquilada	Secciones 1 a 8; sección 4.10 para cada modelo de pesos abiertos; preguntas A a I para la nube o el proveedor de infraestructura, si existe
P5: usa agentes que actúan en sistemas	Secciones 1 a 8, incluida la pregunta C7

Elimine las secciones y preguntas de módulos que no apliquen a su organización.

Lista de verificación de diligencia debida para proveedores de IA

Campo	Valor
Organización	[RAZÓN SOCIAL]
Área que coordina la evaluación	[ÁREA RESPONSABLE]
Coordinador de la evaluación	[RESPONSABLE]
Proveedor evaluado	[PROVEEDOR]
Solución o servicio con IA	[SISTEMA DE IA]
Uso previsto en [NOMBRE DE LA ORGANIZACIÓN]	[COMPLETAR: proceso, área usuaria, datos que se compartirán y decisiones que apoyará]
Entrada en el «Inventario de sistemas de IA»	[COMPLETAR: identificador]
Nivel de riesgo del uso	[COMPLETAR: Bajo, Medio o Alto]
Profundidad de la evaluación	[COMPLETAR: Básica, Estándar o Reforzada]
Evaluadores	[COMPLETAR: dueño del sistema, seguridad de la información, delegado de protección de datos, Legal, responsable de IA]
Fecha de envío del cuestionario y de cierre	[FECHA] y [FECHA]
Tipo de evaluación	[COMPLETAR: contratación nueva, renovación o reevaluación por cambio]

1. Propósito y alcance

1.1 [NOMBRE DE LA ORGANIZACIÓN] aplica esta lista antes de contratar, renovar o ampliar el uso de cualquier producto o servicio que incorpore IA, incluidas las funciones de IA que un proveedor ya contratado activa en su producto.

1.2 La evaluación complementa la diligencia debida general de proveedores (financiera, legal, de seguridad y de continuidad) y se centra en los riesgos propios de la IA.

1.3 Ningún proveedor de IA puede recibir datos de la organización ni usarse en producción sin una evaluación cerrada con resultado «Apto» o «Apto con condiciones» y la aprobación indicada en la sección 7.3.

1.4 Las condiciones generales de contratación, el registro de proveedores y su seguimiento se rigen por la «Política de gestión de proveedores de IA» y el «Registro de proveedores de IA y auditorías»; esta lista no los repite.

2. Profundidad de la evaluación según el riesgo

La profundidad sigue la escala única de riesgo de la organización: Bajo → Básica, Medio → Estándar, Alto → Reforzada. Un uso de nivel Inaceptable no se evalúa: no se contrata.

Nivel de riesgo del uso	Profundidad	Secciones que se aplican	Evidencia
Bajo (uso interno, sin datos personales o solo triviales, sin decisiones sobre personas, fácil de revertir)	Básica	A, B, C, D e I	Declaraciones del proveedor y documentación pública
Medio (datos personales, interacción con clientes o público, contenido publicado, errores reversibles pero visibles)	Estándar	Todas	Documentación y certificaciones vigentes
Alto (decisiones con efectos significativos sobre personas, datos de categorías especiales o de menores, sector regulado, agentes que actúan en producción)	Reforzada	Todas, con preguntas [OPCIONAL] aplicables	Evidencia verificada, prueba piloto o demostración y, si procede, auditoría o entrevista técnica