Cómo elegir un proveedor de IA: datos, contrato y precio

Redacción IA en la Empresa · 3 de noviembre de 2026

Elegir una herramienta de IA se parece a elegir cualquier proveedor que va a manejar información de su empresa, con una diferencia: muchas veces se empieza a usar con una tarjeta y un correo, sin que nadie lea las condiciones. Esta guía recoge las preguntas que conviene hacer antes, y qué dice la norma cuando intervienen datos personales.

Qué datos va a tocar la herramienta

Todo empieza aquí, porque de la respuesta depende cuánto de lo demás le afecta. Clasifique en tres grupos:

• Datos que no son personales ni confidenciales: textos de marketing, descripciones de producto, borradores genéricos. Riesgo bajo.
• Información confidencial de la empresa: precios, contratos, planes. El riesgo es de negocio, no de protección de datos.
• Datos personales de clientes, empleados o candidatos. Aquí entra el RGPD y hay obligaciones concretas.

Un criterio útil: si no tiene claro en cuál de los tres cae lo que va a enviar, trátelo como el más sensible hasta aclararlo.

Dónde se guardan y tratan los datos

Pregunte al proveedor, y exíjalo por escrito:

1. En qué países se procesan y almacenan los datos, y si puede elegir región.
2. Qué empresas intervienen como subencargados (por ejemplo, el proveedor de nube).
3. Durante cuánto tiempo se conservan las conversaciones y los archivos.
4. Quién del lado del proveedor puede acceder a ellos.

El RGPD obliga a que, cuando contrate un encargado del tratamiento, elija «únicamente un encargado que ofrezca garantías suficientes» (artículo 28.1). Además, el encargado no puede recurrir a otro sin autorización previa por escrito, específica o general, del responsable (artículo 28.2). Texto íntegro en el Reglamento (UE) 2016/679 en el BOE.

RGPD y transferencias internacionales

Muchos proveedores de IA son de fuera de la UE. Eso no está prohibido, pero tiene reglas. El artículo 44 establece que solo se realizarán transferencias de datos personales a un tercer país si el responsable y el encargado cumplen las condiciones del capítulo V. En la práctica hay dos vías principales:

• Decisión de adecuación de la Comisión Europea. Para Estados Unidos existe una sobre el Marco de Privacidad de Datos UE-EE. UU.: permite que los datos fluyan a empresas estadounidenses que participen en él (Comisión Europea). Pregunte al proveedor si está certificado y compruébelo.
• Garantías adecuadas a falta de decisión de adecuación (artículo 46.1), por ejemplo cláusulas tipo de protección de datos adoptadas por la Comisión (artículo 46.2.c).

Pregunta directa al proveedor: «¿en qué base del capítulo V del RGPD se apoya la transferencia?». Si no sabe responder, es una mala señal.

Si entrenan con sus datos

Es la duda más repetida. La respuesta depende del proveedor y, sobre todo, del plan:

• Anthropic indica que, por defecto, no usa las entradas y salidas de sus productos comerciales (Claude for Work, API) para entrenar sus modelos, con excepciones como el feedback que el usuario envíe expresamente. Sus planes de consumo se rigen por otra política (Anthropic).
• Microsoft afirma que las indicaciones, las respuestas y los datos a los que accede Microsoft 365 Copilot a través de Microsoft Graph no se usan para entrenar los modelos de base (Microsoft).

Son dos ejemplos de lo que debe pedir, no una lista de recomendados. Las políticas cambian, y las versiones gratuitas o personales suelen tener condiciones distintas de las empresariales. Reglas prácticas:

• Contrate el plan empresarial o de API cuando vaya a usar datos de la empresa, no la cuenta personal de un empleado.
• Deje la cláusula de no entrenamiento en el contrato, no solo en la web, que puede cambiar.
• Compruebe si hay opciones que usted o el administrador deban desactivar (feedback, mejora del servicio).

Qué debe decir el contrato

Si el proveedor trata datos personales por su cuenta, el artículo 28.3 del RGPD exige un contrato u otro acto jurídico que fije el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos y las categorías de interesados. Entre otras cosas, debe estipular que el encargado:

• Trata los datos únicamente siguiendo instrucciones documentadas del responsable, también en las transferencias a terceros países (28.3.a).
• Garantiza la confidencialidad de las personas autorizadas (28.3.b).
• Adopta las medidas de seguridad del artículo 32 (28.3.c).
• Respeta las condiciones para recurrir a otros encargados (28.3.d).
• Le ayuda a atender los derechos de los interesados (28.3.e).
• A su elección, suprime o devuelve todos los datos al finalizar el servicio, y suprime las copias (28.3.g).
• Le da la información necesaria para demostrar el cumplimiento y permite auditorías (28.3.h).

La mayoría de grandes proveedores ofrece un anexo de tratamiento de datos ya redactado. Léalo con esta lista delante y marque lo que falte.

Más allá del RGPD, mire la salida del contrato: cuánto dura el compromiso, cómo se cancela, si puede exportar lo que ha construido (prompts, configuraciones, datos) y en qué formato, y qué ocurre con sus datos al terminar. Un proveedor del que no se puede salir es el riesgo que no aparece en la demo.

Precio: por usuario, por uso o por resultado

Hay tres modelos habituales, con riesgos distintos:

• Por usuario y mes. Previsible. Compensa si lo usa un equipo fijo a diario. Mal asunto si paga licencias que nadie usa: revíselas cada trimestre.
• Por uso (tokens, consultas, documentos procesados). Se ajusta al volumen, pero la factura puede variar mucho. Pida una estimación con su volumen real y un tope de gasto configurable.
• Por resultado (por conversación resuelta, por documento procesado). Alinea intereses, pero pregunte qué cuenta como «resultado»: puede no coincidir con lo que usted considera un caso cerrado.

Al comparar, sume lo que no aparece en la tarifa: implantación, tiempo de su equipo para configurar y revisar, y cargos extra por funciones o volumen. Y pruebe antes con un periodo corto o un plan mensual, no con un compromiso anual.

Lista de comprobación

1. Clasifique qué datos va a enviar: no personales, confidenciales o personales.
2. Contrate el plan empresarial o de API, no cuentas personales.
3. Pida por escrito dónde se tratan los datos y quiénes son los subencargados.
4. Si el proveedor está fuera de la UE, pregunte en qué base del capítulo V del RGPD se apoya.
5. Exija cláusula de no entrenamiento con sus datos en el contrato.
6. Compruebe que el contrato de encargado recoge los puntos del artículo 28.3.
7. Revise la salida: duración, cancelación, exportación y borrado de datos.
8. Simule el coste con su volumen real y empiece con un compromiso corto.

Redactado con ayuda de IA y revisado por la redacción, que responde de su contenido. Si encuentra un error, consulte nuestra política de correcciones.