APPENDIX – VERSION DUAL DE 20 CLÁUSULAS (PROVEEDOR / CLIENTE)

APPENDIX – VERSION DUAL DE 20 CLÁUSULAS (PROVEEDOR / CLIENTE)

Formato jurídico. Lenguaje neutro. Adaptable a contratos SaaS, AIaaS, API de modelos, consultoría o productos con IA integrada.

---

1. Definiciones

Proveedor

Declara y controla las definiciones técnicas (“Modelo”, “Dataset”, “Salida”, “Prompt”, “Derivados”, “Hallucinations”), asegurando precisión y limitación de alcance.

Cliente

Solicita definiciones más estrictas y acotadas para evitar expansiones de responsabilidad del Proveedor.

Diferencia esencial: quién controla la semántica técnica y el alcance del servicio.

---

2. Objeto del Acuerdo

Proveedor

Describe las capacidades del modelo “tal cual”, sin comprometer resultados.

Cliente

Exige claridad sobre funcionalidades, performance mínima y limitaciones.

---

3. Alcance del Uso Permitido

Proveedor

Establece usos restringidos (no minería de modelos, ni reverse engineering, ni uso para entrenar competidores).

Cliente

Busca ampliar uso interno e incluir derechos de benchmarking y auditoría técnica.

---

4. Propiedad Intelectual sobre Modelos y Salidas

Proveedor

Retiene derechos sobre modelos, pesos, arquitecturas y mejoras; concede licencia limitada para usar las salidas.

Cliente

Solicita titularidad o uso ilimitado sobre los outputs y Confidential Data.

---

5. Derechos Sobre Datos del Cliente

Proveedor

Derecho mínimo y condicionado para usar datos del cliente solo para prestación del servicio (no para entrenamiento).

Cliente

Prohíbe cualquier uso distinto a la prestación del servicio; exige destrucción segura.

---

6. Fine-Tuning y Entrenamiento Derivado

Proveedor

Limita derecho del cliente a entrenar o modificar el modelo.

Cliente

Busca habilitar entrenamiento personalizado sin ceder propiedad de pesos refinados.

---

7. Controles de Privacidad y Protección de Datos

Proveedor

Cumplimiento con normativa regional sin comprometer recursos o auditorías intrusivas.

Cliente

Demanda DPA estricto, auditorías, breach notifications en tiempos cortos y prohibición de transferencias no autorizadas.

---

8. Seguridad y Ciberseguridad

Proveedor

Promete medidas “industrially reasonable”.

Cliente

Requiere estándares concretos (ISO 27001, SOC2, Zero Trust, logs, SIEM), tiempos SLA y penalidades.

---

9. Evaluación de Riesgos y “Responsible AI Governance”

Proveedor

Aplica métrica interna y limita divulgación de metodologías propietarias.

Cliente

Exige transparencia en prácticas de riesgo, fairness tests y explicabilidad mínima.

---

10. Hallucinations y Fiabilidad del Modelo

Proveedor

Declara que los modelos pueden generar errores; disclaims garantías de exactitud.

Cliente

Busca indemnidad por errores materiales o salidas engañosas.

---

11. Human-in-the-Loop (HITL), Human-on-the-Loop (HOTL) y Human-out-of-the-Loop (HOOTL)

Proveedor

Aclara que la responsabilidad de supervisión humana recae sobre el Cliente.

Cliente

Solicita guía técnica, parámetros de configuración y responsabilidad compartida si los modos fueron recomendados por el Proveedor.

---

12. Uso Prohibido y Riesgos Críticos

Proveedor

Amplio listado de usos prohibidos (armamento, vigilancia ilegal, deepfakes, pornografía sintética, crédito/seguros sin revisión humana).

Cliente

Busca reducir ambigüedad y mantener margen operativo en sectores regulados.

---

13. Transparencia y Trazabilidad

Proveedor

Promete auditoría limitada y documentación base.

Cliente

Solicita logs completos de prompts y salidas, así como explicaciones de decisiones automatizadas.

---

14. SLA de Disponibilidad y Performance

Proveedor

SLA moderado (por ejemplo, 99.5%), sin garantía de calidad técnica del output.

Cliente

SLA alto, créditos monetarios y métricas de latencia / throughput.

---

15. Modificaciones del Servicio y Actualizaciones del Modelo

Proveedor

Derecho amplio a actualizar, descontinuar o reemplazar modelos.

Cliente

Exige notificaciones previas y estabilidad de versión (“model version locking”).

---

16. Conformidad Regulatoria

Proveedor

Cumple con AI Act, GDPR, CCPA, pero limita responsabilidad por cambios legislativos.

Cliente

Solicita garantías de cumplimiento continuo y soporte para auditorías regulatorias.

---

17. Responsabilidad e Indemnización

Proveedor

Limita su responsabilidad (cap: 12 meses de fees; exclusión de daños indirectos).

Cliente

Busca responsabilidad ampliada, especialmente por violaciones de seguridad, privacidad y outputs dañinos.

---

18. Gestión de Incidentes y AI Misuse

Proveedor

Notificación razonable; no asume responsabilidad por uso indebido del cliente.

Cliente

Solicita notificaciones rápidas y soporte operativo ante incidentes generados por modelos.

---

19. Revisión Humana y Explicabilidad

Proveedor

Proporciona explicabilidad limitada (“best effort”).

Cliente

Requiere documentación detallada, justificaciones de lógica interna y auditabilidad.

---

20. Terminación y Portabilidad de Datos

Proveedor

Derecho a cortar el servicio ante uso indebido; portabilidad minimalista.

Cliente

Exige full export, retención temporal y migración asistida.

---