Preguntas para un proveedor de IA antes de contratar

Antes de comprar software de IA, pregunta a los proveedores por siete áreas: qué aporta el producto a tu caso de uso, cómo se mide su calidad, cómo se guardan tus datos y si se usan para entrenar, qué medidas de seguridad hay, cómo ve el proveedor su papel según la Ley de IA de la UE, cómo crece el precio con tu volumen y cómo puedes salir. Las respuestas fiables son concretas, constan por escrito, coinciden con el contrato y se confirman en una prueba con tus propios datos.

Esta checklist recoge las preguntas por área, cómo es una buena respuesta y qué señales de alarma deberían frenar una compra. Complementa nuestra guía sobre cómo elegir un LLM para tu empresa: allí se comparan modelos; aquí se trata de contratar un producto o servicio de IA a un proveedor.

Antes de hablar con proveedores

Las conversaciones con proveedores van mejor cuando sabes lo que necesitas. Prepara cuatro cosas:

1. El caso de uso: qué tarea debe apoyar la herramienta, quién la usará y qué se hace con el resultado.
2. Criterios de éxito: qué significa «suficientemente bueno», por ejemplo el porcentaje de borradores aprovechables o el tiempo por caso.
3. Los datos implicados: si entrarán en la herramienta datos personales, confidenciales o de clientes.
4. Una primera clasificación del riesgo: la finalidad decide qué obligaciones se aplican. El verificador de riesgo de la Ley de IA de la UE, gratuito, da una orientación rápida, y si algo parece de alto riesgo cambian las preguntas prioritarias.

Si llevas un inventario de sistemas de IA, registra el uso previsto antes de la compra, no después.

1. Producto y encaje

Pregunta	Una buena respuesta
¿Para qué tareas está pensado el producto y para cuáles no?	Límites claros, no «sirve para todo»
¿Qué modelos de IA usa y quién los proporciona?	Modelos o proveedores con nombre, y si puedes elegir
¿Cómo avisáis a los clientes cuando cambia el modelo?	Con antelación y notas de versión, idealmente con un periodo de prueba
¿Con qué clientes con un caso de uso parecido podemos hablar?	Referencias de un sector o tamaño comparable

La pregunta sobre el modelo importa porque el comportamiento puede cambiar cuando el proveedor cambia de modelo. Un prompt o un flujo que funcionaba el mes pasado puede necesitar nuevas pruebas.

2. Calidad y pruebas

Pregunta	Una buena respuesta
¿Cómo medís la calidad en un caso de uso como el nuestro?	Un método descrito con indicadores, no solo testimonios
¿Podemos hacer una prueba con nuestros propios datos?	Sí, durante un periodo definido y con apoyo
¿Qué fallos típicos conocéis?	Ejemplos sinceros, como tipos de preguntas que resuelve mal
¿Cómo gestiona el producto la información dudosa o que falta?	Puede decir «no lo sé», citar fuentes o pasar el caso a una persona
¿Qué funciones apoyan la revisión humana?	Colas de revisión, registro de ediciones, referencias a fuentes, registros

Una prueba con tus propios casos es la única evidencia fiable. Prepara de 20 a 50 ejemplos realistas, también difíciles, y puntúa los resultados según tus criterios de éxito. Nuestro artículo sobre cómo reducir las alucinaciones de la IA explica qué funciones del producto hacen menos probables las respuestas erróneas.

3. Protección de datos y confidencialidad

Pregunta	Una buena respuesta
¿Se usan nuestros datos para entrenar o mejorar modelos, vuestros o de terceros?	Un sí o un no claro para tu plan, coherente con el contrato
¿Cuánto tiempo se guardan entradas, salidas y registros?	Plazos de conservación definidos y borrado configurable
¿Dónde se tratan y almacenan los datos?	Regiones concretas, y si los datos salen de la UE
¿Qué subencargados intervienen?	Una lista actualizada, con aviso de cambios
¿Ofrecéis un contrato de encargo del tratamiento?	Sí: el artículo 28 del RGPD lo exige cuando el proveedor trata datos personales por cuenta tuya
¿Quién de vuestro equipo puede acceder a nuestros datos y cuándo?	Acceso restringido y registrado, por ejemplo solo en soporte y con tu permiso

Comprueba que las respuestas coinciden con los documentos. Páginas comerciales, condiciones de uso, contrato de encargo del tratamiento y configuración real del producto deben decir lo mismo. Implica a tu delegado de protección de datos antes de que entre ningún dato personal.

4. Seguridad

Pregunta	Una buena respuesta
¿Qué certificaciones o informes de auditoría de seguridad podéis compartir?	Marcos reconocidos como ISO/IEC 27001 o informes SOC 2, con alcance y fecha
¿Admitís inicio de sesión único (SSO), roles y permisos?	Sí, para que el acceso siga tu gestión de usuarios
¿Qué actividad queda registrada y tenemos acceso a esos registros?	Registros de administración y uso a tu disposición
¿Cómo os protegéis frente a la inyección de prompts y las fugas de datos entre clientes?	Medidas concretas, pruebas y separación de los datos de cada cliente
¿Cómo y en qué plazo se informa a los clientes de un incidente de seguridad?	Un procedimiento y un plazo fijados en el contrato

La IA añade riesgos propios a las comprobaciones habituales de software, como contenidos manipulados en documentos o correos que intentan saltarse las instrucciones del sistema. Un proveedor debe poder explicar cómo lo prueba.

5. Ley de IA de la UE y cumplimiento

Pregunta	Una buena respuesta
¿Cómo clasificáis la finalidad prevista del producto según la Ley de IA?	Una clasificación razonada, no un «cumplimos con todo» genérico
Para usos de alto riesgo: ¿qué documentación e instrucciones de uso facilitáis?	Instrucciones que cubren finalidad, límites, supervisión humana y registros
¿Qué funciones nos ayudan con los deberes de transparencia?	Por ejemplo, el aviso en un chatbot o el marcado de contenido generado
¿Qué cambia si personalizamos el producto o lo ofrecemos con nuestra marca?	Conciencia de que cambios sustanciales o una nueva finalidad pueden trasladarte obligaciones de proveedor
¿Ofrecéis material de formación para los usuarios?	Material que apoya tus medidas de alfabetización en IA

Según la Ley de IA, la mayoría de compradores son responsables del despliegue y el fabricante es el proveedor. En los usos de alto riesgo dependes mucho de él; la guía de obligaciones del responsable del despliegue explica qué sigue siendo responsabilidad tuya. Según la Comisión Europea, las normas para sistemas de alto riesgo en los ámbitos enumerados, como el empleo, se aplican a partir del 2 de diciembre de 2027, así que pregunta cómo se está preparando el proveedor. Es información general, no asesoramiento jurídico; consulta a un abogado ante cualquier uso que pueda ser de alto riesgo.

6. Costes y condiciones comerciales

Pregunta	Una buena respuesta
¿Qué se factura exactamente: usuarios, uso, conversaciones, tokens?	Un modelo de precios que puedas calcular para tu volumen
¿Qué cuenta como una unidad de uso y qué pasa si se supera el límite?	Definiciones claras, precios por exceso, topes de gasto
¿Con cuánta antelación avisáis de los cambios de precio?	Un plazo fijado en el contrato
¿Qué costes se suman: implantación, integración, soporte prémium?	Una lista completa, no solo la licencia
¿Hay permanencia o compromiso mínimo?	Condiciones compatibles con un piloto, como un primer periodo corto

Calcula el coste total para tu volumen previsto durante al menos un año, con el tiempo interno incluido. Si el precio depende del uso, la calculadora de coste de API de LLM te ayuda a estimar los cargos por tokens, y la calculadora de ROI de la automatización con IA muestra si el ahorro de tiempo esperado cubre los costes.

7. Integración, soporte y salida

Pregunta	Una buena respuesta
¿Con qué sistemas nuestros se puede conectar y cómo?	Integraciones o API documentadas, no «todo es posible»
¿Qué soporte se incluye y con qué tiempos de respuesta?	Canales y niveles de servicio definidos
¿Podemos exportar datos, configuración y prompts?	Sí, en formatos utilizables y en cualquier momento
¿Qué pasa con nuestros datos al terminar el contrato?	Borrado en un plazo definido, con confirmación
¿Qué hay en la hoja de ruta de los próximos doce meses?	Una hoja de ruta creíble, sin que tu decisión dependa de funciones prometidas

Las preguntas sobre la salida se olvidan fácilmente cuando un producto entusiasma. Pero deciden lo caro que será cambiar si el proveedor sube precios, cambia de rumbo o desaparece.

Señales de alarma

• Promesas de precisión perfecta o casi perfecta.
• Ninguna prueba con tus datos, solo una demo preparada.
• Respuestas vagas o cambiantes sobre entrenamiento y almacenamiento de datos.
• Ningún contrato de encargo del tratamiento, o subencargados que no se pueden nombrar.
• Precios imposibles de calcular para tu volumen.
• Ninguna forma de exportar tus datos.
• Preguntas de cumplimiento despachadas como irrelevantes para tu caso sin explicar por qué.

Cómo comparar proveedores

Convierte las respuestas en una tabla de puntuación sencilla. Pondera cada área según su importancia para tu caso de uso, puntúa a cada proveedor de 1 a 5 y multiplica. Un ejemplo hipotético:

Área	Peso	Proveedor A	Proveedor B
Calidad en nuestra prueba	30 %	4	3
Protección de datos	20 %	3	5
Seguridad	15 %	4	4
Costes a 12 meses	15 %	3	4
Integración y soporte	10 %	4	3
Salida y portabilidad	10 %	2	4
Puntuación ponderada		3,45	3,8

La tabla no decide por ti, pero hace visibles los compromisos: aquí el proveedor A rindió mejor en la prueba y el B puntúa más alto en protección de datos y salida. Si un proveedor no cumple un requisito imprescindible, como ofrecer un contrato de encargo del tratamiento, queda fuera sea cual sea su puntuación.

Lista breve de preguntas para copiar

1. ¿Para qué está pensado el producto y para qué no?
2. ¿Qué modelos usa y cómo nos enteraremos de los cambios?
3. ¿Podemos hacer una prueba con nuestros propios datos?
4. ¿Se usan nuestros datos para entrenar y cuánto tiempo se guardan?
5. ¿Dónde se tratan los datos y qué subencargados intervienen?
6. ¿Ofrecéis un contrato de encargo del tratamiento?
7. ¿Qué auditorías o certificaciones de seguridad podéis compartir?
8. ¿Cómo os protegéis frente a la inyección de prompts?
9. ¿Cómo clasificáis el producto según la Ley de IA y qué ofrecéis a los responsables del despliegue?
10. ¿Cómo se factura exactamente el uso y qué pasa si se supera el límite?
11. ¿Con cuánta antelación avisáis de los cambios de precio?
12. ¿Podemos exportarlo todo y qué pasa con nuestros datos al final?

Resumen

Una buena compra de IA empieza por tu caso de uso, tus datos y tu clasificación del riesgo, no por una demo. Haz preguntas concretas en siete áreas, consigue por escrito las respuestas importantes, contrástalas con el contrato y prueba el producto con tus propios datos. Antes de firmar, comprueba que el uso encaja con tu política de uso de IA y que el equipo puede usar la herramienta con seguridad.