Cláusulas y SLAs para contratar proveedores de IA en la administración

Por qué las condiciones contractuales importan para IA en la administración

La contratación de soluciones de IA no es solo elegir una herramienta: implica transferir datos sensibles, delegar decisiones automatizadas y poner en marcha servicios que evolucionarán con el tiempo. Para las entidades públicas españolas, esto debe hacerse cumpliendo la Ley 9/2017 de Contratos del Sector Público, el ENS (RD 311/2022), el RGPD y las obligaciones emergentes del EU AI Act. Un contrato bien definido reduce riesgos técnicos, legales y operativos y facilita la supervisión continua.

Objetivo del post

Ofrecer una lista práctica y accionable de cláusulas y acuerdos de nivel de servicio (SLA) que las entidades públicas deben exigir a proveedores de IA, con ejemplos concretos de métricas y requisitos auditables.

Cláusulas contractuales clave (imprescindibles)

• Obligaciones de cumplimiento normativo

  • Declaración explícita de cumplimiento con ENS (RD 311/2022) para los requisitos mínimos de seguridad, con referencia a niveles y medidas concretas (gestión de accesos, cifrado, monitorización).
  • Garantía de conformidad con RGPD: rol del proveedor (encargado o responsable), cláusulas de tratamiento, posibilidad de auditorías, asistencia en DPIA y plazos para atender peticiones de derechos.
  • Cláusula de cumplimiento del EU AI Act: clasificación del sistema (nivel de riesgo), medidas concretas para sistemas de alto riesgo (documentación técnica, registros de actividades, provisión de información a usuarios).

• Protección y soberanía de datos

  • Localización de datos y restricciones de transferencia: países permitidos, uso de centros de datos certificados, exigencia de subprocesadores aprobados.
  • Términos de cifrado en reposo y en tránsito, gestión de claves (preferible control por la administración).
  • Política de retención y eliminación: plazos y procedimientos para borrado seguro al término del contrato.

• Derechos de auditoría y gobernanza

  • Derecho a auditorías técnicas y legales, con periodicidad, alcance y confidencialidad acordados.
  • Entrega de documentación: model cards, fichas de datos, pruebas de validación, logs de inferencia y entrenamiento cuando proceda.
  • Obligación de facilitar evidencias en caso de inspección por autoridades.

• Transparencia y explicabilidad

  • Entrega de mecanismos o APIs para explicar decisiones automatizadas (salidas explicadas, importancia de variables).
  • Registro de versiones del modelo y changelog: fecha de despliegue, datos de entrenamiento, métricas de desempeño.

• Responsabilidad, indemnizaciones y seguros

  • Asignación clara de responsabilidades en caso de daños (errores de modelo, fugas de datos, incumplimientos regulatorios).
  • Requisitos de seguro profesional y ciberseguridad con límites mínimos.

SLAs y métricas operativas recomendadas

• Disponibilidad y latencia

  • SLA de disponibilidad (ej. 99.5% mensual) y métricas de latencia máximas según el uso (ej. <300 ms para servicios críticos de atención ciudadana).
  • Penalizaciones claras por incumplimiento y escalado técnico.

• Calidad y desempeño del modelo

  • Métricas cuantificables por caso de uso: precisión, recall, tasa de falsos positivos/negativos, F1. Definir umbrales aceptables y métodos de evaluación (conjunto de prueba definido).
  • Procedimientos y umbrales de degradación: qué neutraliza el servicio o desencadena retraining.

• Monitorización y detección de deriva

  • Obligación de monitorizar drift de datos y rendimiento, con alertas automáticas y reportes periódicos (ej. mensual).
  • Plan de corrección: tiempos máximos para mitigación, pruebas y despliegue de modelos actualizados.

• Respuesta a incidentes

  • Tiempos de respuesta y resolución (ej. notificación en 2 horas para incidentes críticos, plan de mitigación en 48 horas).
  • Requisitos de comunicación a usuarios y autoridades en caso de brechas de seguridad o incidentes que afecten derechos (compatibles con RGPD).

Otras cláusulas prácticas (operativas y de salida)

• Gestión de subcontratistas

  • Lista de subcontratistas autorizados y proceso para aprobar nuevos.
  • Responsabilidad principal del proveedor sobre el cumplimiento de sus subcontratistas.

• Pruebas de aceptación y despliegue

  • Definir criterios de aceptación técnica y de calidad antes de producción, incluyendo tests de sesgo, carga y seguridad.

• Continuidad y plan de salida

  • Procedimiento para la recuperación de datos y migración a proveedor alternativo.
  • Formato y plazos para la entrega de datos y artefactos (modelos, log files) al terminar contrato.
  • Garantía de que no se usarán datos del cliente para entrenar modelos compartidos sin consentimiento explícito.

• Propiedad intelectual y derechos sobre modelos

  • Aclarar quién posee modelos entrenados con datos de la administración y condiciones de reuso.

Cómo negociar estas cláusulas sin ser experto técnico

• Use plantillas basadas en riesgos: agrupe requisitos en "imprescindibles" y "deseables".
• Exija pruebas técnicas en fase de concurso (prueba de concepto limitado, con datos sintéticos o anonimizados).
• Involucre a equipos legales, seguridad (ENS) y protección de datos (delegado de protección) desde la fase de redacción de pliegos.
• Reserve criterios de adjudicación para capacidades demostradas: transparencia, políticas de datos, experiencia con entidades públicas.

En OptimTech recomendamos incluir en los pliegos una rúbrica de evaluación que pondera seguridad, control de datos y auditorabilidad al menos tanto como el precio.

Acción recomendada (takeaway)

Antes de firmar, prepare un "checklist contractual" con las cláusulas y SLAs aquí descritas y aplíquela como mínimo en los contratos de soluciones de IA que procesen datos personales o tomen decisiones automatizadas. Planifique una auditoría inicial post-despliegue (60–90 días) para verificar cumplimiento y ajustar métricas. Esto reduce riesgos legales y operativos y facilita el cumplimiento de ENS, RGPD y EU AI Act.