Cinco grupos de preguntas: qué hace el proveedor con tus datos, qué controles de seguridad puede demostrar, qué modelo y qué subcontratistas hay detrás, qué dice el contrato y cómo se sale si la relación termina. Se evalúa como cualquier proveedor tecnológico, con dos diferencias: casi siempre hay otra empresa detrás que hace funcionar el modelo, y sus condiciones cambian más rápido que las de cualquier otro.
Y una advertencia antes de empezar: el proveedor de IA más difícil de evaluar es el que ya tienes, cuando activa una función de IA con una actualización.
¿Por qué un proveedor de IA es distinto?
Por tres razones:
- Hay un modelo detrás. Muchas herramientas de IA no tienen su propio modelo: usan el de otra empresa. Tus datos pueden pasar por un subcontratista que no aparece en tu contrato.
- Los datos pueden quedarse. Entrenamiento, retención, retroalimentación y registros de seguridad tienen reglas distintas, y no siempre están en el mismo documento.
- Cambia muy rápido. Planes, funciones y términos cambian en meses. Lo que evaluaste al firmar puede no ser lo que usas un año después.
¿Qué preguntas hacerle a un proveedor de IA?
Veinte preguntas, en cinco grupos:
Datos
- ¿Usan nuestros datos, entradas o salidas para entrenar modelos? ¿Hay excepciones, como la retroalimentación?
- ¿Cuánto tiempo guardan las conversaciones, los archivos y los registros? ¿Podemos definir la retención?
- ¿Dónde se guardan y dónde se procesan los datos? ¿Podemos limitar la región?
- ¿Quién de su equipo puede ver nuestros datos y en qué casos?
Seguridad
- ¿Qué certificaciones e informes tienen (SOC 2 Tipo II, ISO 27001, ISO/IEC 42001)? ¿Podemos ver los informes completos?
- ¿Tienen inicio de sesión único, aprovisionamiento automático, roles y registros de auditoría?
- ¿Cómo y en cuánto tiempo nos notifican un incidente de seguridad?
- ¿Cómo protegen la herramienta contra instrucciones maliciosas escondidas en documentos o páginas (inyección de prompts)?
Modelo y subcontratistas
- ¿Qué modelo usa la herramienta y de qué empresa es?
- ¿Qué subcontratistas procesan nuestros datos, y nos avisan si cambian?
- ¿Qué pasa si cambian de modelo o de proveedor de modelo?
- ¿Las conexiones con otros sistemas (conectores) tienen las mismas condiciones que el producto principal?
Contrato
- ¿El contrato nos permite auditarlos, y permite que nos audite nuestro supervisor?
- ¿Tienen un anexo de procesamiento de datos que podamos revisar?
- ¿Qué niveles de servicio garantizan, y qué pasa si no los cumplen?
- ¿Cuánto aviso nos dan antes de cambiar sus términos o su política de uso?
Salida
- ¿Cómo recuperamos nuestros datos y documentos si la relación termina o si ustedes tienen un problema?
- ¿En qué formato y en cuánto tiempo los entregan?
- ¿Cómo confirman que borraron nuestros datos después de la salida?
- ¿Qué pasa con lo que construimos sobre su plataforma: prompts, flujos, configuraciones?
¿Qué publican los proveedores grandes?
Los proveedores serios publican buena parte de estas respuestas antes de que las pidas. Dos ejemplos, a octubre de 2026:
- Anthropic (Claude): sus términos comerciales le prohíben entrenar modelos con el contenido del cliente, y declara las certificaciones ISO 27001:2022, ISO/IEC 42001:2023 y SOC 2 Tipo I y Tipo II, con los informes disponibles en su portal de confianza. Para salud, ofrece una configuración compatible con HIPAA con acuerdo de socio comercial, que no es una certificación.
- Google (Gemini en Workspace): indica que no usa los datos del cliente para entrenar modelos sin su permiso, que las conversaciones no las revisan personas y que las interacciones se quedan dentro de la organización.
Que un proveedor lo publique no reemplaza tu revisión: confirma que esas condiciones están en tu contrato y en el plan que vas a usar. Comparamos lo que publica cada proveedor para cada plan en qué datos se pueden poner en un asistente de IA.
¿Qué pide la CNBS en Honduras?
La Resolución GRD No.793/16-12-2022 de la Comisión Nacional de Bancos y Seguros (CNBS) ya cubre la contratación de un proveedor de IA como cualquier servicio tecnológico:
| Artículo | Qué pide | Pregunta que lo cubre |
|---|---|---|
| Arts. 10 y 12 | Gestionar al proveedor según su criticidad y analizar su viabilidad técnica, financiera y legal | 5, 9, 10 |
| Art. 11 | Que la información tercerizada esté aislada lógicamente del resto de las operaciones del proveedor | 4, 6 |
| Arts. 13 y 14 | Si es tercerización significativa, notificar a la CNBS 30 días antes de firmar; si es procesamiento de datos significativo, auditoría independiente y acceso de lectura para la CNBS | 5, 13 |
| Art. 15 | Servicios en la nube con contrato que permita gestionar los riesgos, según los sitios de procesamiento | 3 |
| Art. 16 | Contrato con derecho de auditoría para la institución y la CNBS, recuperación de datos y documentación, niveles de servicio, seguridad y continuidad | 13 a 18 |
Si el servicio de IA califica como tercerización significativa, lo define la institución con su área de cumplimiento. Lo explicamos en lo que dice la norma de TI de la CNBS sobre la IA generativa.
¿Qué señales deberían preocuparte?
- No pueden decirte qué modelo usan ni quién lo procesa.
- Ofrecen la certificación como logotipo, pero no comparten el informe.
- El contrato no menciona auditoría ni recuperación de datos.
- Solo ofrecen cuentas individuales, sin administración central.
- Pueden cambiar sus términos sin avisarte.
Una advertencia honesta: los términos estándar de los grandes proveedores de IA no siempre se escribieron pensando en un supervisor centroamericano, y no siempre se pueden negociar. Si una cláusula no aparece, documenta cómo la cubres: con un acuerdo empresarial, con la vía de contratación o con controles propios.
¿Cómo lo hacemos en Andes?
Nuestro paquete de gobierno de IA incluye plantillas de debida diligencia de proveedores, junto con la política de IA, el inventario de casos de uso y la evaluación de riesgos. Para saber qué datos guarda Anthropic y por cuánto tiempo, revisa si Claude entrena con los datos de tu empresa.
¿Tu último proveedor de IA respondió estas veinte preguntas?
Si nadie se las hizo, todavía estás a tiempo. Conoce nuestro servicio de IA para instituciones reguladas y armemos juntos el expediente del proveedor.
Fuentes
- CNBS, Circular No.025/2022, Resolución GRD No.793/16-12-2022 (arts. 10 a 16): https://circulares.cnbs.gob.hn/Archivo/Viewer/2520/1
- Claude Privacy Center, What Certifications has Anthropic obtained?: https://privacy.claude.com/en/articles/10015870
- Anthropic, Commercial Terms of Service: https://www.anthropic.com/legal/commercial-terms
- Google Workspace, Generative AI in Google Workspace Privacy Hub: https://knowledge.workspace.google.com/admin/gemini/generative-ai-in-google-workspace-privacy-hub