Sí, conviene tenerla. Ninguna norma obliga literalmente a firmar una «cláusula de IA», pero varias obligaciones que ya te aplican solo puedes cumplirlas si tus proveedores te cuentan qué inteligencia artificial usan en el servicio: el contrato de encargado del art. 28 del RGPD, los avisos del art. 50 del Reglamento de IA (desde el 2 de agosto de 2026), la información a trabajadores del RD 723/2026 (desde el 5 de octubre de 2026) y el inventario de sistemas que necesitas para todo ello. Esta guía explica qué debe incluir y te da un modelo en texto como punto de partida.
Por qué tu pyme necesita saber qué IA usan sus proveedores
Piensa en los proveedores habituales de una pyme: la agencia de marketing, la gestoría, el software de RRHH con cuadrantes automáticos, el desarrollador que te ha montado un chatbot y el call center que atiende a tus clientes. Es muy probable que varios usen inteligencia artificial en lo que te entregan y que no te lo hayan dicho porque nadie se lo ha preguntado.
El problema es que la ley te mira a ti. Si tu agencia publica en tu web un texto generado por IA sobre un asunto de interés público sin revisión editorial, el art. 50.4 del Reglamento señala al responsable del despliegue, es decir, a tu empresa. Si tu gestoría pega datos de tus empleados en una herramienta de IA generativa, el responsable del tratamiento sigues siendo tú (art. 28 RGPD). Si el software de turnos decide horarios con un algoritmo, el art. 3.2.k del RD 723/2026 te obliga a explicar sus criterios por escrito a cada trabajador, y solo podrás hacerlo si el proveedor te los facilita. Y para llevar el inventario de sistemas de IA necesitas conocer los que entran por la puerta de los proveedores. La cláusula no traslada tu responsabilidad: obliga al proveedor a darte la información sin la que no puedes cumplir.
Qué debe incluir la cláusula
Una cláusula útil cubre diez puntos. No todos pesan igual con todos los proveedores, pero conviene repasarlos antes de recortar.
Declaración de sistemas: qué sistemas de IA usa el proveedor en tu servicio, con nombre, fabricante y finalidad; es la pieza que alimenta tu inventario. Clasificación de riesgo: si alguno encaja en el Anexo III del Reglamento (alto riesgo, por ejemplo selección o evaluación de personal) o en el art. 50 (chatbots, contenido sintético). Roles: quién es proveedor y quién responsable del despliegue de cada sistema; lo vemos en el apartado siguiente. Cambios: avisarte antes de incorporar un sistema nuevo, cambiar de modelo o ampliar el uso.
Documentación e instrucciones de uso: para sistemas de alto riesgo, el art. 13 del Reglamento exige al proveedor entregar instrucciones con finalidad, limitaciones y supervisión humana; pídelas aunque el art. 26 no se aplique hasta el 2 de diciembre de 2027, porque las necesitas ya para el RD 723/2026 y el art. 64.4.d del Estatuto de los Trabajadores. Tratamiento de datos: remisión al contrato de encargado del art. 28 RGPD y lista de subencargados de IA. No entrenamiento: prohibición de usar tus datos, los de tus clientes o los de tus empleados para entrenar modelos. Contenido sintético: decirte qué se ha generado con IA y aplicar el marcado técnico del art. 50.2 cuando le corresponda. Incidentes y autoridades: colaboración ante incidentes, reclamaciones y requerimientos de la AEPD, la Inspección de Trabajo y, cuando la Ley Orgánica esté en vigor, la AESIA. Auditoría: derecho a pedir evidencias de lo declarado.
Quién es proveedor y quién responsable del despliegue
El Reglamento reparte las obligaciones entre el proveedor (quien desarrolla el sistema y lo comercializa con su nombre) y el responsable del despliegue o deployer (quien lo usa bajo su autoridad). Cuando contratas una licencia de software de RRHH o un call center que usa un asistente de voz de terceros, tú eres deployer.
La situación cambia con el art. 25. Si el desarrollador te entrega un chatbot personalizado con tu marca y lo pones en el mercado como si fuera tuyo, el Reglamento puede considerarte proveedor, con las obligaciones del art. 50.1 (y, si genera contenido sintético, del 50.2) y no solo las de deployer. Lo mismo ocurre si se modifica sustancialmente un sistema de alto riesgo o se cambia su finalidad. La cláusula debe dejar por escrito quién asume ese rol en cada sistema, porque si no se dice nada, el riesgo de quedarte con el papel de proveedor sin saberlo es real. En la guía sobre los avisos del art. 50 tienes los textos que el chatbot debe mostrar en cualquiera de los dos casos.
Modelo de cláusula
Este texto es un punto de partida para un contrato de servicios o un anexo firmado por ambas partes. Está redactado con prudencia y en términos generales; antes de usarlo, revísalo con tu abogado y ajusta plazos, responsabilidades y remisiones al contrato principal.
Cláusula sobre uso de sistemas de inteligencia artificial
1. Declaración. El Proveedor declara en el Anexo [X] los sistemas de inteligencia artificial y los sistemas algorítmicos o automatizados de toma de decisiones que utiliza para prestar los servicios objeto de este contrato, indicando para cada uno su denominación, el fabricante o proveedor del sistema, la finalidad, los datos que trata y la clasificación que, a su juicio, le corresponde conforme al Reglamento (UE) 2024/1689. El Proveedor manifiesta que la declaración es completa a la fecha de firma.
2. Roles. Las partes identifican en el Anexo [X], para cada sistema, quién actúa como proveedor y quién como responsable del despliegue en el sentido del Reglamento (UE) 2024/1689. Cuando el Proveedor entregue al Cliente un sistema adaptado o comercializado con la marca del Cliente, las partes acordarán expresamente quién asume las obligaciones de proveedor previstas en el artículo 25 de dicho Reglamento y cómo se reparten.
3. Cambios. El Proveedor comunicará al Cliente por escrito, con antelación razonable y en todo caso antes de su puesta en uso, la incorporación de nuevos sistemas de inteligencia artificial, el cambio de modelo o fabricante, la ampliación de la finalidad o cualquier modificación que pueda alterar la clasificación de riesgo o los datos tratados, actualizando el Anexo [X].
4. Documentación. El Proveedor entregará al Cliente, a su solicitud y sin coste adicional, la documentación e instrucciones de uso de los sistemas declarados, incluida una descripción en lenguaje comprensible de las pautas, criterios y reglas de funcionamiento cuando el sistema influya en decisiones sobre personas, de modo que el Cliente pueda cumplir sus obligaciones de información frente a trabajadores, representantes legales, clientes y autoridades.
5. Datos personales. El tratamiento de datos personales mediante los sistemas declarados se rige por el contrato de encargado del tratamiento suscrito conforme al artículo 28 del Reglamento (UE) 2016/679. El Proveedor no utilizará los datos del Cliente, de sus clientes ni de sus empleados para entrenar, ajustar o mejorar modelos de inteligencia artificial, propios o de terceros, y garantizará que sus subencargados tampoco lo hagan.
6. Contenido generado. El Proveedor identificará en cada entrega el contenido de texto, imagen, audio o vídeo generado o manipulado con inteligencia artificial y aplicará, cuando le corresponda como proveedor, el marcado técnico previsto en el artículo 50.2 del Reglamento (UE) 2024/1689. El Cliente decidirá sobre la revisión editorial y el etiquetado del contenido que publique.
7. Incidentes y autoridades. El Proveedor informará al Cliente sin dilación indebida de cualquier incidente, mal funcionamiento o reclamación relacionada con los sistemas declarados y colaborará con el Cliente en la respuesta a requerimientos de las autoridades de supervisión competentes.
8. Verificación. El Cliente podrá solicitar al Proveedor, con periodicidad razonable, evidencias documentales del cumplimiento de esta cláusula, incluidas políticas internas, registros y certificaciones, respetando la confidencialidad y los secretos empresariales del Proveedor.
Qué pedir a cada tipo de proveedor
No hace falta el mismo nivel de exigencia para todos. Esta tabla resume lo mínimo que tiene sentido pedir a cada uno.
| Proveedor | Lo mínimo a pedir | Por qué |
|---|---|---|
| Agencia de marketing y contenidos | Aviso de qué entregas se han generado con IA; compromiso de no subir datos de clientes a herramientas sin encargo; marcado de imágenes y vídeos sintéticos | Art. 50.2 y 50.4 RIA (etiquetado de deepfakes y textos de interés público); art. 28 RGPD |
| Gestoría y asesoría | Declaración de herramientas de IA usadas con datos de nóminas, contratos o clientes; contrato de encargado con subencargados; prohibición de entrenamiento | Art. 28 RGPD; la guía sobre ChatGPT y RGPD explica el riesgo |
| Software de RRHH, turnos o evaluación | Descripción de criterios y reglas del algoritmo en lenguaje claro; clasificación de riesgo; aviso de cambios de modelo | RD 723/2026 art. 3.2.k desde 5-10-2026; art. 64.4.d ET; art. 26 RIA desde 2-12-2027 |
| Desarrollador de chatbot o asistente | Quién es proveedor si va con tu marca (art. 25); aviso de IA integrado; modelo y subencargados; no entrenamiento con conversaciones | Art. 50.1 RIA desde 2-8-2026; art. 28 RGPD |
| Call center o atención externalizada | Si usa voz sintética, asistentes o análisis de conversaciones; prohibición de reconocimiento de emociones de empleados; guion de aviso al cliente | Art. 5 RIA (prohibido desde 2-2-2025); art. 50.1 y 50.3 RIA |
Cómo usarla sin bloquear la contratación
Con los proveedores nuevos, incluye la cláusula y el anexo de declaración en la propuesta de contrato desde el principio. Con los que ya tienes, envía la declaración como cuestionario, pide que lo devuelvan firmado y añade la cláusula en la siguiente renovación. Si un proveedor grande te contesta que sus condiciones no se negocian, guarda su documentación pública de IA y de datos, anótalo en tu inventario y deja constancia de que lo pediste: lo que cuenta es haber actuado con diligencia.
En España el régimen sancionador del Reglamento de IA depende todavía del Proyecto de Ley Orgánica de buen uso y gobernanza de la IA, que a 15 de septiembre de 2026 sigue en el Congreso. Hoy quien inspecciona y sanciona es la AEPD en datos y la Inspección de Trabajo en lo laboral, y ambas pueden preguntarte por tus contratos con proveedores. Si quieres saber cuáles revisar primero, el diagnóstico gratuito de Gobernaia te lo señala.
Fuentes
- Reglamento (UE) 2024/1689 de Inteligencia Artificial, arts. 13, 25, 26 y 50
- Reglamento (UE) 2026/1744 (Digital Omnibus de IA)
- Reglamento (UE) 2016/679 (RGPD), art. 28
- AEPD: Adecuación al RGPD de tratamientos que incorporan IA
- Real Decreto 723/2026, de 9 de septiembre (BOE 15-09-2026)
- Comisión Europea: FAQ sobre las obligaciones de transparencia del art. 50
- Proyecto de Ley Orgánica para el buen uso y la gobernanza de la IA (BOCG 12-06-2026)
Última revisión: 15 de septiembre de 2026. Esta guía es informativa y no sustituye el asesoramiento jurídico.