Seguros y responsabilidad en contratos de IA para entidades públicas

Por qué importa definir seguros y responsabilidad en proyectos de IA

Los proyectos de IA introducen riesgos nuevos o agravados: fugas de datos, decisiones erróneas con impacto a terceros, interrupciones de servicio o reclamaciones por sesgo. En el sector público, esas contingencias generan exposición patrimonial, pérdida de confianza y obligaciones legales (RGPD, ENS RD 311/2022, AI Act). Un contrato que no asigna claramente responsabilidades ni exige coberturas aseguradoras deja a la entidad local desprotegida y dificulta la respuesta ante incidentes.

A continuación, una guía práctica para diseñar cláusulas y requisitos de seguro proporcionables, conformes y operativos para contratos de IA en ayuntamientos y entes públicos.

Marco regulatorio breve y cómo condiciona las cláusulas

• RGPD: la entidad pública suele ser responsable como controlador. Un proveedor puede asumir obligaciones contractuales, pero el RGPD no exonera al controlador de su responsabilidad ante la AEPD. Además, la notificación de brechas debe realizarse en 72 horas desde que el responsable tiene conocimiento.
• ENS (RD 311/2022): exige medidas de seguridad según el impacto de los sistemas; los contratos deben reflejar requisitos técnicos y organizativos y permitir auditoría.
• Ley 9/2017 (Contratos del Sector Público): establece principios de contratación (proporcionalidad y no discriminación). Los requisitos de seguro deben justificarse por el riesgo y estar redactados con proporcionalidad.
• EU AI Act: para sistemas calificados como “alto riesgo” incorpora obligaciones de vigilancia poscomercialización, documentación y registro que afectarán responsabilidades contractuales.

Tipos de seguros que valorar (y por qué)

• Seguro cibernético (cyber): cubre incidentes de seguridad, filtración de datos personales y costes de respuesta. Es la póliza básica a exigir cuando hay tratamiento de datos.
• Responsabilidad profesional / errores y omisiones (E&O): cubre daños por fallos, errores en la prestación del servicio o negligencia técnica del proveedor.
• Responsabilidad por productos / daños a terceros: relevante si el sistema puede causar perjuicios materiales o personales (p. ej., sistemas de control en infraestructuras).
• Interrupción de servicio / business interruption: para servicios críticos que generan coste social o económico cuando fallan.
• Fianzas / garantías de cumplimiento: instrumentan la reparación de incumplimientos contractuales graves cuando no es posible o suficiente una póliza.

Nota: el mercado asegurador evoluciona; algunas coberturas específicas para modelos de IA están emergiendo. Consulte correduría especializada.

Cláusulas contractuales prácticas (plantilla de obligaciones, no texto legal)

• Obligación de cobertura mínima y vigencia
  • El proveedor deberá mantener, durante toda la vigencia del contrato y por [plazo razonable posterior]*, pólizas activas de cyber y responsabilidad profesional.
  • Presentación previa: certificado de póliza y cláusula de información al asegurado antes de la adjudicación.
• Notificación y cooperación en incidentes
  • El proveedor notificará sin dilación injustificada cualquier incidente de seguridad o cualquier situación que pueda dar lugar a una notificación bajo RGPD o AI Act.
  • Obligación de cooperación para facilitar la comunicación a la ciudadanía y la AEPD.
• Subrogación y limitación de recursos
  • Acordar subrogación entre aseguradoras y excluir renuncias que perjudiquen la capacidad de indemnización.
  • Evitar cláusulas que limiten la responsabilidad por violaciones intencionadas o negligencia grave.
• Indemnizaciones y reparto de responsabilidades
  • Indemnización por terceros: el proveedor responderá por reclamaciones derivadas de errores imputables a su prestación.
  • Fijar procesos de gestión de reclamaciones y acuerdos de reparto de costes cuando la causa sea compartida.
• Auditoría y verificación
  • Derecho de la entidad a verificar certificados de seguro y, de forma proporcional, a auditar controles ENS y prácticas de seguridad del proveedor.
• Obligaciones post-contrato
  • Conservación de evidencia y pólizas activas durante X años tras cierre (ver abajo consideraciones prácticas).

*Sobre los plazos: la duración de responsabilidades post-contrato debe decidirse según riesgo (fugas tardías de datos, responsabilidad por decisiones pasadas). Una práctica habitual en servicios con datos es exigir cobertura y conservación de evidencias durante el periodo de prescripción aplicable, fijándolo con asesoría legal.

Cómo definir importes y condiciones sin exceder proporcionalidad

• Realice primero un mapa de riesgos: datos tratados, criticidad del servicio, población afectada y posibles sanciones administrativas.
• Estime escenarios costeables (respuesta a brecha, indemnizaciones, restauración) y pida a correduría una valoración técnica.
• Evite cifras arbitrarias: justifique cada requisito en el expediente técnico del contrato para cumplir Ley 9/2017.
• Permita fórmulas flexibles: aceptar garantías equivalentes cuando el mercado no ofrezca pólizas específicas para IA.

Verificación operativa en fase de contratación y ejecución

• Incluir la presentación de certificados y cláusula que permita solicitar pólizas completas en caso de reclamación.
• Introducir hitos de revisión anual del seguro en contratos plurianuales.
• Exigir notificación al órgano de contratación ante cancelación o no renovación de pólizas.
• Coordinar con seguridad municipal y área jurídica para ejecutar subrogaciones y reclamaciones.

Riesgos a vigilar y límites prácticos

• No todas las pólizas cubren sanciones administrativas por RGPD; las entidades públicas deben ser conscientes de límites y conservar su facultad de exigencia.
• Las indemnizaciones contractuales no siempre son ejecutables si contravienen normativa pública: valide con asesoría jurídica.
• Mercado asegurador puede imponer franquicias altas o exclusiones para IA; negociar transparencia en exclusiones.

Checklist de acción inmediata

1. Mapear riesgos del proyecto IA (datos, criticidad, impacto en terceros).
2. Consultar correduría especializada y asesoría jurídica antes de redactar pliegos.
3. Incluir en el expediente técnico justificación proporcional de exigencias de seguro.
4. Pedir certificados y cláusula de notificación de incidentes y no renovación.
5. Planificar verificaciones periódicas y derechos de auditoría sobre controles ENS y RGPD.

Toma de decisión: antes de firmar cualquier contrato con tecnología IA, celebre una reunión técnica-legal-seguridad con la correduría para traducir el mapa de riesgos en coberturas concretas y redactar las cláusulas que la Ley 9/2017 y ENS permitan exigir. Si necesita un marco operativo y plantillas diseñadas para entidades locales, OptimGov ofrece soporte para ajustar estas medidas a su contexto y expedientes.