Guía: preguntas RGPD y DPA para evaluar proveedores de IA

La parte de protección de datos es la que más impone al evaluar un proveedor de IA, y es también donde más se nota quién es serio y quién no. No necesitas ser jurista: necesitas las preguntas correctas y saber qué respuesta es aceptable. Esta guía trae las dos cosas, ordenadas como una conversación real de una hora con el proveedor.

Llévala impresa a la reunión y toma notas al lado de cada pregunta. Al final tienes un criterio de decisión claro. Y un aviso: el documento clave se llama contrato de encargado de tratamiento (en inglés DPA, Data Processing Agreement). Si el proveedor no sabe de qué le hablas, la reunión puede terminar ahí.

- ¿Tenéis un contrato de encargado de tratamiento conforme al artículo 28 del RGPD listo para firmar? Respuesta buena: sí, aquí está el modelo. Mala: "nuestros términos de servicio ya lo cubren" sin enseñarte dónde.
- ¿El contrato identifica al centro como responsable del tratamiento y a vosotros como encargados? Debe ser así casi siempre en educación.
- ¿Qué instrucciones documentadas del centro recoge el DPA sobre el uso de los datos?
- ¿El DPA incluye la obligación de ayudar al centro a responder a los derechos de los interesados (acceso, supresión) y en qué plazo?
- ¿Qué compromisos de notificación de brechas de seguridad recoge? Lo exigible: aviso al centro sin dilación indebida, con detalle suficiente para que el centro pueda notificar a la AEPD en 72 horas si procede.