Contratar un proveedor de IA jurídica: las diez cláusulas que un despacho no debería firmar sin revisar

Contratar una herramienta de IA jurídica no es comprar un programa más. El proveedor va a tratar información de clientes sometida a secreto profesional, y el despacho sigue siendo el responsable del tratamiento a ojos del RGPD. La diferencia entre una buena y una mala contratación está en las cláusulas. Estas son las diez que ningún despacho debería firmar sin leer dos veces.

1. Encargo de tratamiento conforme al artículo 28 RGPD

El contrato debe incorporar un encargo de tratamiento completo: objeto, duración, naturaleza y finalidad del tratamiento, tipo de datos y categorías de interesados, obligaciones del encargado. Sin este anexo, el despacho incumple el RGPD desde el primer día, con independencia de la calidad de la herramienta.

2. Prohibición de entrenar modelos con datos del despacho

La cláusula que más discusiones genera: los documentos y consultas del despacho no pueden usarse para entrenar o mejorar modelos, ni propios ni de terceros. Debe figurar de forma expresa; un silencio contractual suele jugar en contra del cliente. Lo conectamos con la protección del secreto en IA y secreto profesional: los datos de los clientes.

3. Residencia y transferencias de datos

Dónde se alojan los datos, dónde se procesan las consultas y si existen transferencias internacionales. La residencia en la UE simplifica el cumplimiento; si hay transferencias a terceros países, el contrato debe identificar el mecanismo que las ampara.

4. Subencargados e infraestructura de terceros

Casi ningún proveedor de IA procesa todo en servidores propios: hay que exigir la lista de subencargados (cloud, modelos fundacionales, soporte), el derecho a oponerse a cambios y la garantía de que el flujo de datos no se amplía sin aviso.

5. Medidas de seguridad concretas

Certificaciones (ISO 27001, ENS si aplica), cifrado en tránsito y en reposo, gestión de accesos, registros de actividad y compromiso de notificación de brechas en plazos cortos. "Seguridad de última generación" sin especificar no es una cláusula, es publicidad.

6. Clasificación del sistema en el Reglamento de IA

El Reglamento (UE) 2024/1689 gradúa obligaciones según el riesgo. El contrato debe reflejar qué clase de sistema se contrata, qué obligaciones del proveedor están ya operativas y cómo se reparten las responsabilidades de cumplimiento. Nuestro resumen del calendario está en El Reglamento de IA, el ómnibus digital y el calendario para despachos.

7. Propiedad y licencia de las salidas

Quién es titular de los textos generados, con qué licencia los usa el despacho y si el proveedor puede reutilizarlos. Parece obvio, pero no lo es: algunas condiciones estándar reservan derechos de explotación sobre los resultados.

8. Responsabilidad por errores y por contenido infractor

Los límites de responsabilidad suelen estar muy rebajados en las condiciones estándar. Conviene negociar, al menos, la cobertura de reclamaciones de terceros por infracción de propiedad intelectual y un tope razonable para daños por errores del sistema.

9. Auditoría y transparencia

Derecho a auditoría o a recibir informes independientes, acceso a documentación técnica del sistema y compromiso de informar de cambios sustanciales del modelo. La política interna de IA del despacho —la política de la AEPD y su aplicación en despachos— exige poder justificar estas verificaciones.

10. Salida ordenada

Reversibilidad: exportación completa de datos y de historiales en formatos estándar, supresión certificada a la terminación y plazos de conservación. Cambiar de proveedor no debe significar perder el rastro documental de los asuntos.

Antes de firmar

La guía de la CCBE sobre IA generativa —que resumimos en La guía de la CCBE sobre IA generativa para abogados— recomienda exactamente esto: due diligence del proveedor, revisión contractual y política interna. Tres pasos, ninguno opcional. Toda nuestra cobertura, en la sección de IA jurídica.