Política de gestión de proveedores de IA

Cómo usar este documento

• Para qué sirve. Es una política base que fija cómo se seleccionan, evalúan, contratan, supervisan y dan de baja los proveedores que suministran IA o que usan IA para prestar servicios a la organización. Añade los requisitos propios de la IA (uso de datos para entrenar modelos, cambios de modelo, sesgo, cadena de proveedores, salida) a su proceso general de compras y gestión de terceros, sin sustituirlo.
• Quién debe ser su dueño. El responsable de IA, con compras o gestión de terceros como coordinador operativo y con seguridad de la información, Legal y el delegado de protección de datos. Indique el área en [ÁREA RESPONSABLE] y la persona en [RESPONSABLE].
• Decisiones previas. Antes de adoptarla, decida: qué procesos considera de función crítica (sección 5); qué cláusulas contractuales son innegociables y cuáles admiten alternativas (sección 8 y ayuda E); con qué frecuencia se revisa cada nivel de proveedor (sección 10), y quién aprueba las excepciones (sección 16).
• Campos a completar. Sustituya los textos entre corchetes y complete los plazos marcados con [COMPLETAR]. Conserve las cláusulas [OPCIONAL] solo si aplican.
• Relación con otros documentos. La «Política de adopción de herramientas de IA» decide si una herramienta se puede usar; esta política decide en qué condiciones se contrata y se supervisa a quien la suministra. El nivel de cada proveedor usa la escala única de riesgo (Bajo, Medio, Alto) del «Inventario de sistemas de IA». Use junto con ella la «Lista de verificación de diligencia debida para proveedores de IA», el «Acuerdo de tratamiento de datos (DPA) para servicios de IA» y el «Registro de proveedores de IA y auditorías», que es el registro único de proveedores.
• Variantes por país. No tiene variantes por país. Algunos sectores y países añaden requisitos (por ejemplo, registros de proveedores TIC en el sector financiero o requisitos sobre proveedores de herramientas de selección); la ayuda H los recoge como cláusulas opcionales y «Referencias normativas relacionadas» indica las normas aplicables.
• Revisión. Pida a Legal y al delegado de protección de datos que validen las cláusulas mínimas, y a seguridad de la información, los requisitos técnicos.
• Aprobación y publicación. Haga que la apruebe la dirección o el comité de IA, registre la aprobación en «Control de versiones» y comuníquela a compras, a los administradores de contratos y a los dueños de herramientas de IA.

Política de gestión de proveedores de IA

Campo	Valor
Organización	[RAZÓN SOCIAL]
Área propietaria	[ÁREA RESPONSABLE]
Responsable de la política	[RESPONSABLE]
Aprobada por	[APROBADO POR]
Fecha de entrada en vigor	[FECHA]
Frecuencia de revisión	[FRECUENCIA DE REVISIÓN]
Contacto	[EMAIL DE GOBERNANZA DE IA]

1. Propósito

1.1 [NOMBRE DE LA ORGANIZACIÓN] depende de terceros para buena parte de sus capacidades de IA: modelos, plataformas, software con IA integrada y servicios que usan IA. Esa dependencia trae riesgos que los procesos generales de compras no siempre detectan: que el proveedor use nuestros datos para entrenar sus modelos, que cambie el modelo sin avisar, que su sistema produzca resultados sesgados en nuestro nombre, que dependa a su vez de otros proveedores que no conocemos o que no podamos salir del contrato sin perder datos o servicio.

1.2 Esta política establece los requisitos mínimos para gestionar esos riesgos durante toda la relación con el proveedor: selección, diligencia debida, contratación, operación, cambios, incidentes y salida. Usar un proveedor no traslada nuestra responsabilidad frente a clientes, personas afectadas o autoridades.

2. Alcance

2.1 Esta política aplica a cualquier proveedor que pertenezca a una o más de estas categorías:

a) Proveedores de modelos y API: suministran modelos de IA, de propósito general o específicos, accesibles por API o para despliegue propio.
b) Proveedores de software con IA: suministran aplicaciones o plataformas cuyo funcionamiento depende de IA, incluidas las funciones de IA añadidas a software ya contratado.
c) Proveedores de infraestructura y plataformas de IA: nube, plataformas de desarrollo y operación de modelos, bases de datos vectoriales y servicios de orquestación.
d) Proveedores de servicios que usan IA: consultoras, centros de atención, agencias de marketing, de selección o de análisis que usan IA para prestar el servicio con nuestros datos o en nuestro nombre.
e) Proveedores de datos: suministran datos para entrenar, ajustar, validar o alimentar sistemas de IA, incluido el etiquetado.

2.2 Aplica a todas las fases de la relación y a todo el personal que selecciona, contrata o administra estos proveedores.

2.3 Esta política complementa la política general de compras, la de gestión de terceros, la de seguridad de la información y la de privacidad. En caso de conflicto se aplica el requisito más exigente.