ContrataciónSeguridadGestión de riesgos
Lista de evaluación de proveedores de IA
Una lista de comprobación para compras que permite evaluar a los proveedores de IA en privacidad, seguridad, accesibilidad y estrategias de salida antes de firmar un contrato.
Se aplica a: Contratación, TI/seguridad, Información legal, Responsables de programasResponsable de la política: Responsable de contratación y TI/seguridadÚltima actualización: 2025-02-12
Requisitos básicos
- El proveedor debe admitir aislamiento de datos por entidad y confirmar que no se usan para entrenar modelos públicos.
- El contrato debe incluir acuerdos de nivel de servicio sobre disponibilidad, respuesta a incidentes y plazos de notificación.
- Se exige conformidad de accesibilidad (WCAG 2.1 AA) para las interfaces dirigidas a los usuarios de la biblioteca.
Tratamiento y conservación de datos
- ¿Dónde se guardan y procesan los datos? ¿Podemos elegir alojamiento regional?
- ¿Cuál es el periodo de conservación predeterminado de prompts, resultados y análisis? ¿Podemos eliminarlos a demanda?
- ¿Cómo se detectan y ocultan los datos personales identificables y cómo se impide que salgan de los límites de la entidad?
- ¿Se cifran los datos en tránsito y en reposo? ¿Qué claves controlamos?
Comportamiento y seguridad del modelo
- ¿Qué modelos base o proveedores se utilizan y cómo se parchean o actualizan?
- ¿Podemos exigir respuestas con citas y bloquear temas de alto riesgo (jurídicos, médicos, migratorios)?
- ¿Qué salvaguardas hay frente a sesgos, alucinaciones e inyección de prompts?
- ¿Cómo se detectan los intentos de eludir las restricciones y se notifican a los administradores?
Acceso, auditoría e informes
- ¿Qué opciones de autenticación se admiten (SAML, SCIM, MFA)?
- ¿Podemos segmentar el acceso por función (personal, supervisores, voluntarios) con distintas salvaguardas?
- ¿Hay registros administrativos de prompts, cambios en las salvaguardas y exportaciones de datos?
- ¿Cómo podemos exportar registros de auditoría para revisar el cumplimiento sin exponer datos personales identificables?
Soporte, incorporación y formación
- ¿Qué servicios de incorporación se incluyen (configuración de plantillas, ajuste de políticas, formación del personal)?
- ¿Cómo se priorizan los tickets de soporte y cuáles son los tiempos de respuesta habituales?
- ¿Hay un responsable de cuenta o de éxito del cliente designado para escalamientos?
Estrategia de salida y portabilidad
- ¿Cómo exportamos las bibliotecas de prompts, bases de conocimiento y configuración si nos marchamos?
- ¿Cuál es el proceso y plazo para certificar la eliminación de datos tras la finalización?
- ¿Hay tarifas asociadas a la exportación, migración o certificados de destrucción de datos?
Encaje de precios y contratación
- ¿El precio es fijo, por uso o híbrido? ¿Cómo se gestionan los excesos de uso?
- ¿Puede el proveedor adaptarse a pilotos financiados por subvenciones, compras cooperativas o pruebas de corta duración?
- ¿Cuál es la duración mínima del contrato y hay cláusulas de salida o aviso de renovación?
¿Quieres personalizarlos?
Podemos adaptar lenguaje y políticas a tus programas concretos.