La due diligence de proveedores de IA es la evaluación que se hace antes de contratar una herramienta o un servicio que usa inteligencia artificial. Verifica cómo trata el proveedor los datos enviados, si los usa para entrenar modelos, cómo prueba la seguridad, qué documentación entrega sobre el modelo, cómo avisa los incidentes y qué rol declara en la ley de IA de la UE. El resultado orienta la decisión de compra y el contrato.
Cómo usar
- Indica el proveedor, el producto, la criticidad del uso y los datos que se van a compartir.
- Responde las quince preguntas con sí, parcial, no o no lo sé, según las respuestas y los documentos del proveedor.
- Lee el puntaje, el riesgo residual, la recomendación y las alertas graves.
- Envía al proveedor las preguntas abiertas y lleva las cláusulas sugeridas a la negociación del contrato.
- Exporta en DOCX, CSV, PDF o Markdown para guardarlo como evidencia.
Qué pide cada campo
| Campo | Qué completar |
|---|---|
| Proveedor | Nombre de la empresa evaluada. |
| Producto o servicio | Ej.: asistente de revisión de contratos |
| Criticidad del uso | Cuánto afectaría a personas o a la operación un error o una falla del proveedor. |
| Para qué se usará la herramienta | Quién la usa, con qué datos y para qué decisión. |
| Datos compartidos con el proveedor | Marca todo lo que sale de la organización. |
| ¿El proveedor publica una política o principios de IA responsable? | |
| ¿Tiene un sistema de gestión de IA (ISO/IEC 42001 o equivalente)? | Certificado o en implementación cuenta como parcial. |
| ¿Hay un contrato de encargo del tratamiento firmado o disponible? | Define al proveedor como encargado y las instrucciones que sigue. |
| ¿Publica la lista de subencargados y avisa los cambios? | |
| ¿Las transferencias internacionales tienen garantías? | Ej.: cláusulas contractuales tipo o decisión de adecuación. |
| ¿Los datos del cliente quedan fuera del entrenamiento de los modelos (o hay opción de exclusión)? | |
| ¿Tiene certificación o informe independiente de seguridad? | Ej.: ISO/IEC 27001 o informe de auditoría independiente. |
| ¿Prueba inyección de prompts, abuso y uso indebido (red teaming)? | |
| ¿Ofrece documentación del modelo (ficha de modelo o equivalente)? | |
| ¿Publica resultados de evaluación de precisión y sesgo y las limitaciones conocidas? | |
| ¿Se compromete por contrato a avisar incidentes en un plazo definido? | |
| ¿Pone los registros de uso a disposición del cliente? | |
| ¿Declara su propio rol y la clasificación del sistema en la ley de IA de la UE? | Ej.: proveedor de un sistema de IA de riesgo limitado. |
| ¿Apoya las obligaciones de transparencia (avisar que es IA, marcar el contenido generado)? | |
| ¿Devuelve y elimina los datos al final del contrato, con confirmación? |
Ejemplo
El área legal de una empresa ficticia evalúa a Lexora, un asistente de revisión de contratos en la nube que va a recibir contratos con nombres y datos de contacto de representantes e información confidencial. Con contrato de encargo del tratamiento, seguridad certificada y aviso de incidentes, pero respuestas parciales sobre entrenamiento y transferencias y sin resultados de evaluación de sesgo, el puntaje queda en 67 de 100, el riesgo residual es medio y la recomendación es aprobar con condiciones, con ocho preguntas de seguimiento.
Cuándo usar
- Antes de contratar una herramienta de IA generativa o un servicio que usa IA.
- En la renovación de contratos con proveedores que empezaron a usar IA.
- Cuando el inventario de IA muestra una herramienta que los equipos usan sin evaluación.
- Para estandarizar la evaluación entre compras, seguridad, privacidad y legal.
Preguntas frecuentes
¿Qué preguntarle a un proveedor de IA?
Lo esencial: cómo trata los datos enviados, si los usa para entrenar modelos, dónde quedan los datos, cómo prueba la seguridad y el uso indebido, qué documentación entrega sobre el modelo, cómo avisa los incidentes, qué rol declara en la ley de IA de la UE y cómo elimina los datos al final del contrato. El cuestionario cubre estos puntos en quince preguntas.
¿Cómo se calcula el puntaje?
Sí vale 2 puntos, parcial vale 1 y no o no lo sé valen 0. Las preguntas de protección de datos pesan más cuando hay datos personales o sensibles, y las de seguridad pesan más con información confidencial o código fuente. La criticidad del uso y las alertas graves ajustan el riesgo residual.
¿Qué es una alerta grave?
Es una respuesta que, por sí sola, ya pide atención: datos personales sin contrato de encargo del tratamiento, ninguna garantía de que los datos queden fuera del entrenamiento, ningún plazo para avisar incidentes, transferencias internacionales sin garantías o ninguna eliminación de datos al final del contrato.
¿"No lo sé" cuenta como "no"?
Sí, en el puntaje. La falta de información es un riesgo hasta que el proveedor responda; por eso toda respuesta distinta de sí se convierte en una pregunta de seguimiento para enviarle.
¿El resultado reemplaza la revisión legal y de seguridad?
No. Es una herramienta educativa que ordena las respuestas del proveedor; no es asesoría legal ni auditoría. La decisión final corresponde a las áreas de seguridad, privacidad y legal de tu organización.
¿Qué certificación DPCert cubre este tema?
La gestión de IA de terceros y proveedores es un dominio de la RAIP Responsible AI Practitioner. El aseguramiento de la cadena de suministro es tema de la AUDAI Responsible AI Auditor, que tiene como requisito previo la RAIP o la DPAI.