Artículo 28 RGPD con proveedores de IA: guía del contrato de encargo

Un contrato de encargo del tratamiento (en inglés, DPA, Data Processing Agreement) conforme al art. 28 del RGPD es obligatorio en cuanto un proveedor de IA trata datos personales por cuenta tuya y siguiendo tus instrucciones. Con los agentes de IA esto ocurre prácticamente siempre: los prompts, los inputs y outputs de inferencia, la memoria del agente, los payloads de llamadas a herramientas, los logs y los vector stores transportan datos personales de forma continua. El DPA regula de forma vinculante qué puede hacer el proveedor con esos datos, y qué no.

Las tres respuestas más importantes, de entrada:

• La obligación de firmar un DPA nace de la sujeción a instrucciones. Si el proveedor no determina por sí mismo la finalidad ni los medios esenciales, es encargado del tratamiento según el art. 4, punto 8, del RGPD, y la ley exige un DPA.
• Los contenidos obligatorios no son negociables. El art. 28, apartado 3, exige especificar el objeto, la duración, la naturaleza y la finalidad del tratamiento, además de ocho obligaciones (letras a–h); con la IA se añaden cláusulas específicas del proveedor (no entrenamiento, mapa de subencargados, residencia de datos, retención de logs).
• La cadena no puede tener lagunas. Según el art. 28, apartado 4, cada subencargado de la típica cascada de agentes de 5 a 8 niveles necesita un compromiso propio y equivalente.

¿Responsable o encargado del tratamiento? Cómo clasificar al proveedor de IA

Según el art. 4, puntos 7 y 8, del RGPD y las Directrices 7/2020 del CEPD, el responsable determina los fines y los medios esenciales del tratamiento; el encargado actúa siguiendo instrucciones documentadas. La clasificación de un proveedor de IA depende de tres preguntas:

• ¿Quién determina los fines? Si el proveedor usa los prompts para mejorar sus propios modelos, para esa finalidad pasa a desempeñar el papel de responsable.
• ¿Quién determina los medios esenciales? El encargado puede elegir los medios técnicos; los medios esenciales siguen correspondiendo al responsable.
• Puntos de referencia prácticos: uso de datos para entrenamiento, selección de subencargados, plazos de retención por defecto, acceso para la monitorización de abusos.

La mayoría de los contratos empresariales (Microsoft Azure OpenAI, OpenAI Enterprise/API, Anthropic Claude for Work/Enterprise, Google Vertex AI, AWS Bedrock, Mistral, Aleph Alpha) están planteados como una relación entre responsable y encargado del tratamiento, con el compromiso expreso de no entrenar con los datos de los clientes. Importante: son compromisos contractuales, no estándares mínimos legales. Los proveedores suelen reservarse derechos muy acotados (monitorización de abusos, revisión de seguridad, análisis agregados), para los que pueden actuar ellos mismos como responsables en esas finalidades concretas.

Contenido obligatorio según el art. 28, apartado 3, del RGPD

El art. 28, apartado 3, del RGPD exige en primer lugar que el contrato fije el objeto y la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos personales, las categorías de interesados y las obligaciones y derechos del responsable. A continuación, la norma enumera ocho obligaciones del encargado:

• (a) Tratamiento solo siguiendo instrucciones documentadas, también en las transferencias a terceros países.
• (b) Compromiso de confidencialidad de las personas autorizadas a tratar los datos.
• (c) Todas las medidas de seguridad exigidas por el art. 32.
• (d) Cumplimiento de las condiciones del art. 28, apartados 2 y 4, para recurrir a otros encargados (autorización, notificación de cambios, obligaciones equivalentes).
• (e) Asistencia para atender los derechos de los interesados.
• (f) Asistencia con las obligaciones de los arts. 32 a 36: seguridad, notificación de violaciones de seguridad de los datos, EIPD y consulta previa.
• (g) Supresión o devolución de todos los datos personales al finalizar la prestación, incluidas las copias existentes.
• (h) Puesta a disposición de toda la información necesaria para demostrar el cumplimiento de las obligaciones y posibilidad de realizar auditorías e inspecciones.

Con los proveedores de IA hay que negociar, además, las siguientes cláusulas: ningún entrenamiento ni fine-tuning de los modelos del proveedor con datos de clientes sin autorización expresa; ninguna revisión humana de prompts u outputs, salvo por vías de seguridad o de control de abusos definidas y con acceso registrado; un mapa de subencargados con entidades identificadas, ubicación, función y subencargados de segundo nivel; compromisos de residencia de datos (EU Data Boundary, tratamiento en regiones suizas); retención de logs configurable, incluidos modos de Zero Data Retention; notificación de cambios en la política de entrenamiento con opción de exclusión (opt-out); y responsabilidad por las infracciones de los subencargados conforme al art. 28, apartado 4.

Sujeción a instrucciones, subencargados y derechos de control

La sujeción a instrucciones (letra a) es el núcleo: el proveedor solo puede tratar datos personales tal y como tú se lo indiques de forma documentada. Cualquier cambio de finalidad por iniciativa propia, como mejorar el modelo con tus prompts, queda fuera del encargo del tratamiento.

Los subencargados son los que más trabajo dan en la práctica. Un despliegue moderno de agentes abarca normalmente una cascada de cinco a ocho niveles:

1. Proveedores de modelos fundacionales (OpenAI, Anthropic, Mistral, Aleph Alpha, Google, Cohere)
2. Proveedores de hosting y nube (Azure, AWS, GCP, IONOS, STACKIT, Swisscom, Open Telekom Cloud)
3. Runtime de orquestación o del framework de agentes
4. Vector store e infraestructura RAG (Pinecone, Weaviate, Qdrant, Milvus, pgvector)
5. Proveedores de memoria (mem0, Letta, soluciones propias)
6. Servidores MCP (cada servidor externo es encargado o responsable, según el flujo de datos)
7. Observabilidad (Langfuse, LangSmith, Helicone, Datadog)
8. Servicios de evaluación y red teaming

Para cada nivel, el responsable del despliegue debe comprobar que existe un DPA, que la cadena no se rompe según el art. 28, apartado 4, y que los compromisos de residencia de datos son coherentes. Los hallazgos más frecuentes en auditorías: flujos de servidores MCP sin documentar, proveedores de observabilidad sin DPA y servicios de evaluación que recopilan trazas de prompts.

En los derechos de control (letra h), los modelos que se limitan a «informes resumidos» no bastan cuando hay datos de alto riesgo en juego. El BfDI, el BayLDA, el HmbBfDI y la LDI de NRW exigen de forma rutinaria el DPA y, además, la configuración concreta de la telemetría, la exclusión del entrenamiento (opt-out) y los ajustes de región.

Estado de los DPA de los grandes proveedores (mayo de 2026)

La siguiente tabla es un resumen de investigación a fecha de 14 de mayo de 2026 y no constituye asesoramiento jurídico; las condiciones de los proveedores cambian con frecuencia y deben validarse de nuevo al firmar el contrato.

Las alternativas soberanas con DPA sujeto al derecho alemán o suizo (Aleph Alpha Pharia, IONOS AI Model Hub, STACKIT, T-Systems Open Telekom Cloud, Swisscom Sovereign AI) ofrecen tratamiento exclusivo en Alemania/UE o en Suiza y una retención controlada por el cliente. DeepSeek no se recomienda para los sectores regulados, debido a la jurisdicción de la RPC y a la orden de la autoridad italiana de protección de datos, el Garante, del 30 de enero de 2025, que bloquea el tratamiento de los datos de usuarios italianos.

Errores frecuentes en los DPA de proyectos de IA

• Descripciones vagas del tratamiento («servicios de IA» en lugar de modelos, prompts, embeddings o fine-tuning concretos).
• Listas de subencargados desactualizadas: faltan los servidores MCP y los proveedores de observabilidad.
• Derechos de auditoría débiles con datos de alto riesgo.
• Ambigüedad sobre los datos de entrenamiento: el compromiso «No entrenamos con datos de clientes» se mezcla con «Podemos usarlos para seguridad o mejora».
• Conflictos en la retención de logs: la retención del proveedor supera tu propia política (p. ej., 30 días frente a los 7 días deseados).
• Enrutamiento transfronterizo sin fijar expresamente la residencia de los datos.
• Falta de diligencia debida upstream, en contra del Dictamen 28/2024 del CEPD (comprobación de la licitud de los datos de entrenamiento previos).

Lista de comprobación del DPA

• Roles aclarados: ¿el proveedor actúa como encargado del tratamiento (y no, de forma encubierta, como responsable o corresponsable)?
  
• ¿Están fijados el objeto, la duración, la naturaleza, la finalidad, los tipos de datos y las categorías de interesados, y se incluyen las ocho obligaciones del art. 28, apartado 3, letras a–h?
  
• ¿Descripción concreta del tratamiento (modelos, prompts, embeddings, fine-tuning) en lugar de «servicios de IA»?
  
• ¿Sujeción a instrucciones con una prohibición clara de cambiar la finalidad?
  
• ¿Cláusula precisa de no entrenamiento y no fine-tuning, sin resquicio por la vía de la seguridad?
  
• ¿Subencargados identificados y cadena completa según el art. 28, apartado 4, incluidos los servidores MCP y la observabilidad?
  
• ¿Notificación de nuevos subencargados con plazo para oponerse?
  
• ¿Residencia de datos fijada (EU Data Boundary / región suiza) y enrutamiento definido?
  
• ¿Retención de logs configurada (si procede, Zero Data Retention) y coherente con tu propia política?
  
• ¿Derechos de auditoría efectivos en lugar de simples informes resumidos?
  
• ¿Supresión o devolución al final del contrato regulada y aplicable en todas las capas del despliegue?
  
• ¿Transferencias a terceros países protegidas (DPF y/o CCT + TIA)?
  
• ¿Diligencia debida sobre el entrenamiento upstream documentada (Dictamen 28/2024 del CEPD)?
  

Ejemplo con cifras: despliegue de Copilot en una empresa mediana

Una empresa de 800 empleados implanta Microsoft 365 Copilot y un chatbot de atención al cliente en Azure OpenAI. Para ello necesita un DPA principal con Microsoft: el Microsoft Products and Services DPA cubre M365 Copilot y Azure OpenAI. En Azure OpenAI, OpenAI no es parte contratante y, según Microsoft, OpenAI no tiene acceso a los prompts ni a los resultados. A esto se suma la cadena de subencargados. Qué hay que comprobar en concreto: que el Microsoft Products and Services DPA está en vigor; que el flujo de Anthropic como subencargado está documentado (Anthropic está excluida de la EU Data Boundary desde principios de 2026, con opt-in/opt-out por parte del responsable del despliegue); que la lista de subencargados de Azure OpenAI (versión de abril de 2025) está integrada en el registro de actividades de tratamiento; que todos los flujos MCP y de conectores están mapeados; que los logs de monitorización de abusos están limitados a un máximo de 30 días; y que la conservación de datos por parte del subencargado Anthropic se ha contrastado con el DPA de Microsoft.

El riesgo de no hacerlo: las infracciones del art. 28 entran en el art. 83, apartado 4, del RGPD, es decir, multas de hasta 10 millones de euros o el 2 % del volumen de negocio anual mundial, lo que sea mayor. Con una facturación de 50 millones de euros, el límite es por tanto de 10 millones de euros, ya que el 2 % serían solo 1 millón de euros. La parte proporcional al volumen de negocio solo supera el importe fijo con una facturación anual de más de 500 millones de euros. Si además falta una base jurídica para el tratamiento, puede aplicarse el apartado 5, con hasta 20 millones de euros o el 4 %.

La multa del Garante a OpenAI que tanto se cita (15 millones de euros, resolución del 2 de noviembre de 2024) no es un caso del art. 28. Se refería a la base jurídica, la transparencia, la verificación de la edad y una brecha de datos no notificada. El Tribunale di Roma anuló la resolución el 18 de marzo de 2026 porque, según el mecanismo de ventanilla única, la competente habría sido la autoridad irlandesa de protección de datos.

Para agencias y decisores B2B

Si desarrollas agentes de IA para clientes o los despliegas en tu empresa, lleva la revisión del DPA a una fase temprana del proceso de compras en lugar de esperar a la firma del contrato. Para las agencias, un mapa limpio de subencargados (modelo, nube, vector store, MCP, observabilidad) es un factor diferenciador concreto frente a competidores que recogen los «servicios de IA» en el contrato de forma genérica. Blck Alpaca ayuda a empresas de toda Europa con la revisión de DPA, el mapeo de subencargados y su integración en el registro de actividades de tratamiento.

Nota: este artículo sirve como orientación técnica y no constituye asesoramiento jurídico. Para una valoración vinculante de tu caso concreto, consulta a un asesor jurídico cualificado. Todos los datos e indicaciones sobre proveedores, a fecha de mayo de 2026 y sujetos a cambios.