Sala 2 · Quién más toca los datos

Un contrato cubre al proveedor y a los subencargados que declara. Lo que el tráfico muestra y el papel no cuenta es tratamiento sin contrato: nadie le exigió un plazo de retención, un aviso de incidente ni un borrado al terminar.

La política de terceros fija mínimos que todo contrato con un proveedor de IA tiene que cumplir. Un contrato que se firmó antes de la política, o con prisa, se mide igual: criterio por criterio, sin promedios.

Un informe de aseguramiento independiente vale por lo que examina y por cuándo lo examina: el que perdió vigencia describe controles que pudieron cambiar. Se mide contra el día en que se hace la revisión, no contra el día en que se firmó el contrato.

Cuando el proveedor cambia el modelo que responde detrás de un nombre general, lo que se evaluó deja de ser lo que contesta. El plazo de aviso existe para volver a evaluar antes del cambio y no enterarse después por las quejas.