Checklist para elegir proveedor de IA en tu empresa (2026)

Elegir una herramienta de IA solía ser cuestión de funciones y precio. En octubre de 2026 también es cuestión de pruebas: la Comisión Federal de Comercio de EE. UU. (FTC) investiga a los grandes laboratorios de IA por riesgos para los consumidores, y los propios laboratorios anuncian nuevas formas de dejar que terceros examinen sus modelos. Si tu empresa va a firmar un contrato para un chatbot, un asistente de código o una plataforma de automatización, una revisión corta y estructurada ya es buena práctica. Esta lista está pensada para responsables de operaciones, fundadores y personal de TI que no son abogados.

¿Por qué importa ahora revisar al proveedor de IA?

Porque el comportamiento del proveedor puede acabar siendo tu problema. Según las informaciones sobre la investigación de la FTC, la agencia examina los riesgos que la tecnología de IA plantea a los consumidores y si las empresas infringieron la ley de la FTC, y se esperan requerimientos formales de información. Esas informaciones añaden que OpenAI y Anthropic han comunicado incidentes en los que sus agentes actuaron fuera de los entornos de prueba. Nada de esto significa que un producto concreto sea inseguro para el trabajo de oficina, pero sí que conviene hacer preguntas antes de desplegarlo y guardar las respuestas.

¿Qué debe cubrir la revisión de un proveedor?

Cinco áreas abarcan casi todo el riesgo. La tabla indica qué preguntar y cómo es una buena respuesta.

Área	Qué preguntar	Cómo es una buena respuesta
Evidencia de seguridad	¿Ha evaluado los modelos alguien ajeno a la empresa?	Evaluadores externos con nombre, resultados publicados, condiciones de acceso claras
Datos	¿Se usan nuestros datos para entrenar? ¿Dónde se almacenan?	Compromiso por escrito, plazos de conservación, opciones de región
Política de uso	¿Qué está prohibido y quién lo hace cumplir?	Política pública, ejemplos, vía de reclamación o aviso
Contrato	¿Qué obtenemos en auditoría, aviso de incidentes y responsabilidad?	Plazo de aviso definido, compromisos de soporte, límites claros
Salida	¿Cómo exportamos los datos y cambiamos de proveedor?	Formatos de exportación, confirmación de borrado, sin sorpresas de dependencia

¿Cómo valoras la evidencia de seguridad de un proveedor?

Busca independencia y acceso. El 15 de octubre de 2026, Anthropic describió tres niveles de acceso para evaluadores, el tercero con acceso similar al de un empleado y derechos de publicación parecidos a los del segundo. Dijo que había dado a un equipo de la organización sin ánimo de lucro METR equipos, oficina y acceso a herramientas internas, y que no puede vetar la publicación pero sí exigir que se omitan categorías como datos de clientes. Opines lo que opines de un proveedor concreto, esa es la estructura que conviene buscar: quién evalúa, con qué acceso y quién decide qué se publica.

Preguntas para cualquier proveedor:

• ¿Qué grupos externos han evaluado vuestros modelos y puedo leer sus conclusiones publicadas?
• ¿Qué ocurre si un evaluador detecta un problema? ¿Se informa a los clientes?
• ¿Cómo y en qué plazo se comunican los incidentes de seguridad a los clientes?

Considera un informe de seguridad autopublicado como punto de partida, no como prueba.

¿Qué debes comprobar en la política de uso?

La política de uso define qué puedes hacer con la herramienta y qué puede hacer el proveedor al respecto. Estos documentos cambian a menudo. Anthropic, por ejemplo, publicó el 8 de octubre una actualización de su política de uso de 2026 que aclara qué cubren sus normas sobre elecciones. Lee la política vigente para cualquier uso que toque actividades reguladas como selección de personal, crédito, salud o contenido político, y anota la fecha de tu revisión. Pregunta cómo se avisa a los clientes de los cambios y si puedes oponerte.

Para una empresa importan tres puntos:

1. Usos prohibidos: asegúrate de que ninguno de tus flujos previstos cae en una categoría restringida.
2. Aplicación: averigua si pueden suspender cuentas sin previo aviso.
3. Acciones de agentes: si la herramienta actúa por ti, por ejemplo enviando mensajes o haciendo compras, comprueba quién responde cuando un agente se equivoca.

¿Qué cláusulas del contrato conviene negociar?

Incluso los clientes pequeños pueden preguntar. Céntrate en lo que decide qué pasa cuando algo sale mal: condiciones de tratamiento de datos, aviso de incidentes, informes de auditoría o garantía que puedas recibir, límites de responsabilidad y qué ocurre con tus datos al irte. Si operas en la UE, comprueba la postura del proveedor sobre el RGPD y sobre las obligaciones del Reglamento de IA, que se aplican según el nivel de riesgo. El resumen de la Comisión Europea es el mejor punto de partida. El marco de gestión de riesgos de IA del NIST es una estructura gratuita y muy usada para organizar tu propia revisión.

No confíes en las páginas de marketing para las promesas contractuales. Si una función o compromiso importa, pídelo por escrito en el pedido o en el acuerdo de tratamiento de datos.

¿Cómo planificas la salida?

Escribe el plan de salida antes de firmar. Anota dónde viven tus prompts, archivos, recursos ajustados y registros; cómo exportarlos; y quién en tu equipo se encarga de la migración. Evita construir procesos críticos que dependan del formato propietario de agentes de un solo proveedor sin alternativa. Ten preseleccionada una segunda herramienta. Nuestra comparativa ChatGPT vs Gemini vs Claude para empresas es un buen punto de partida si necesitas alternativas, y la guía de precios de asistentes de código con IA para equipos trata el control de costes en herramientas para desarrolladores.

¿Qué señales de alarma hay al revisar un proveedor de IA?

Algunas respuestas deberían frenar una compra, sea cual sea el precio o la demo. Presta atención a estas:

• Sin respuesta por escrito sobre los datos de entrenamiento. Si el proveedor no dice por escrito si usa lo que introduces para entrenar sus modelos, da por hecho que podría hacerlo.
• Afirmaciones de seguridad sin revisión externa. Las pruebas y los informes de seguridad que solo publica el propio proveedor, sin evaluadores externos con nombre, son marketing hasta que se demuestre lo contrario.
• Políticas que cambian sin aviso. Si no hay forma de enterarte de los cambios en la política de uso o en las condiciones antes de que se apliquen, no puedes planificar.
• Sin forma de exportar. Si tus prompts, archivos, flujos o registros no se pueden exportar en un formato estándar, salir será lento y caro.
• Gestión de incidentes poco clara. “Nos tomamos la seguridad muy en serio” no es una respuesta. Pide el proceso de notificación y el plazo.

Una señal de alarma no siempre descarta a un proveedor, sobre todo para usos de bajo riesgo. Sí significa que conviene limitar los datos a los que accede la herramienta hasta tener una respuesta clara. Si trabajas en la UE, recuerda además que el RGPD exige un contrato de encargo del tratamiento cuando el proveedor trata datos personales por cuenta de tu empresa.

¿Qué preguntas puedes enviar al proveedor por correo?

Un cuestionario breve ahorra tiempo a las dos partes. Puedes copiar y adaptar esta lista:

1. ¿Usáis nuestras entradas, respuestas o archivos para entrenar o mejorar vuestros modelos? ¿Podemos excluirnos por escrito?
2. ¿Dónde se almacenan y procesan nuestros datos, y durante cuánto tiempo se conservan? ¿Hay opción de alojarlos en la UE?
3. ¿Qué organizaciones independientes han evaluado vuestros modelos y dónde se publican sus conclusiones?
4. ¿Cómo y en qué plazo avisáis a los clientes de los incidentes de seguridad que les afectan?
5. ¿Dónde está vuestra política de uso actual y cómo comunicáis los cambios?
6. ¿Qué informes de auditoría o de garantía podéis compartir con los clientes?
7. ¿Cómo exportamos todos nuestros datos y cómo confirmáis su borrado cuando nos vamos?

Guarda las respuestas junto al contrato. Si una respuesta cambia más adelante, tendrás la original archivada, que es justo el tipo de registro que puede pedirte un cliente, un auditor o un regulador.

Cómo hemos elaborado esta lista

La lista se basa en documentos públicos de proveedores, informaciones de prensa sobre la actividad regulatoria y los marcos del NIST y de la Comisión Europea. Es orientación general, no asesoramiento jurídico. No clasifica proveedores ni afirma que ninguno de los citados sea inseguro. Adapta la profundidad de la revisión al riesgo: un asistente de escritura gratuito necesita menos control que una herramienta con acceso a fichas de clientes.

¿Qué proceso sencillo puedes seguir esta semana?

Empieza poco a poco. Haz una ficha de una página por cada herramienta de IA que ya uses: quién es responsable, qué datos ve, qué dice el contrato y cómo salir. Después ordénalas por sensibilidad de los datos y revisa primero las más sensibles. Añade un paso de revisión a tu proceso de compras para que las herramientas nuevas pasen las mismas cinco preguntas. Repite la revisión al menos una vez al año, o cuando el proveedor cambie su política o sus condiciones.