El problema invisible de los contratos SaaS + IA
La mayoría de las empresas que utilizan SaaS con componentes de IA han firmado contratos que no contemplan las obligaciones regulatorias que entrarán en vigor con la plena aplicación de la Ley de IA de la UE en agosto de 2026.
Hemos analizado cientos de contratos y estos son los 10 red flags más comunes.
Las 10 cláusulas más problemáticas
1. "El proveedor podrá modificar el modelo en cualquier momento"
El riesgo: Un cambio en el modelo puede alterar la clasificación de riesgo de tu sistema. Lo que hoy es riesgo mínimo, mañana podría ser alto riesgo. Lo que necesitas: Notificación previa de al menos 30 días ante cambios sustanciales, con derecho a evaluación de impacto regulatorio antes de la implementación.2. "Los datos del cliente podrán ser utilizados para mejorar el servicio"
El riesgo: Tus datos de clientes pueden estar alimentando el entrenamiento de un modelo que luego se usa para competidores. Además, bajo el AI Act, esto podría constituir un uso secundario no autorizado. Lo que necesitas: Opt-out explícito y por defecto. Prohibición absoluta de uso de datos para entrenamiento sin consentimiento escrito.3. "El proveedor no garantiza la precisión de los resultados"
El riesgo: Si tu sistema es de alto riesgo, el Art. 15 requiere niveles adecuados de precisión. Una cláusula así te deja sin recurso legal si el modelo falla. Lo que necesitas: SLAs de precisión medibles, con métricas acordadas (accuracy, precision, recall) y consecuencias por incumplimiento.4. "La responsabilidad total del proveedor no excederá las cuotas pagadas en los últimos 12 meses"
El riesgo: Las multas por incumplimiento del AI Act pueden alcanzar el 7% del volumen de negocio global. Una indemnización limitada a las cuotas pagadas no cubrirá ni una fracción. Lo que necesitas: Carve-outs en la limitación de responsabilidad para incumplimientos regulatorios. Seguros de responsabilidad específicos.5. "El cliente es responsable exclusivo del uso del sistema"
El riesgo: Bajo la Ley de IA, el proveedor tiene obligaciones propias e ineludibles. Esta cláusula intenta transferir toda la responsabilidad al implementador. Lo que necesitas: Responsabilidad compartida según los roles definidos en la Ley de IA, con obligaciones específicas para cada parte.6. Ausencia de cláusula de auditoría
El riesgo: Sin derecho de auditoría, no puedes verificar que el proveedor cumple con sus obligaciones técnicas y regulatorias. Lo que necesitas: Derecho de auditoría anual, con alcance que incluya gobernanza de datos, evaluación de sesgo y medidas de seguridad.7. "El proveedor utilizará sub-procesadores a su discreción"
El riesgo: Cada sub-procesador en la cadena de IA introduce riesgos adicionales de cumplimiento, privacidad y seguridad. Lo que necesitas: Lista actualizada de sub-procesadores, notificación previa de cambios, y derecho de objeción.8. Ausencia de obligaciones de transparencia
El riesgo: El Art. 13 exige que puedas explicar a tus usuarios cómo funciona el sistema de IA. Sin información del proveedor, no puedes cumplir. Lo que necesitas: Documentación técnica accesible, explicaciones de las decisiones del modelo, y contribución del proveedor a tus obligaciones de transparencia.9. "La ley aplicable es la del Estado de Delaware / California"
El riesgo: Incluso con ley aplicable fuera de la UE, la Ley de IA se aplica si el sistema produce resultados utilizados en la UE. Pero litigar en otra jurisdicción es costoso. Lo que necesitas: Ley aplicable y jurisdicción en un estado miembro de la UE, o al menos arbitraje con sede en la UE.10. Sin plan de contingencia o salida
El riesgo: Si el proveedor desaparece o incumple la regulación, ¿qué pasa con tu servicio? Lo que necesitas: Plan de continuidad documentado, acceso a versión final del modelo/API, y período de transición mínimo de 6 meses.Impacto financiero de no actuar
| Escenario | Costo potencial |
| --- | --- |
| Multa por sistema de alto riesgo no conforme | Hasta 15M€ o 3% del volumen global |
| Multa por prácticas prohibidas | Hasta 35M€ o 7% del volumen global |
| Reclamación de usuarios afectados | Variable, posiblemente millonaria |
| Costo de remediación urgente | 5-10x más que la prevención |
Próximos pasos
- Audita tus contratos actuales — Identifica cuáles contienen estas cláusulas
- Prioriza por riesgo — Empieza por los proveedores de IA más críticos
- Negocia renegociación — Antes de que la regulación entre en plena vigencia
- Documenta todo — El regulador valorará tu diligencia debida
GuardianAI escanea tus contratos y genera un informe de red flags en minutos. No esperes a que sea demasiado tarde.