Checklist de seguridad para QA con IA: TI, legal y compras

Una checklist de seguridad para QA con IA es la lista de comprobaciones que TI, legal y compras realizan antes de que una herramienta de control de calidad con IA pueda leer sus conversaciones de soporte. Cubre las auditorías y certificaciones del proveedor, el contrato de encargo del tratamiento y los subencargados, si sus datos entrenan modelos de IA, cómo se evalúa a los agentes según el RGPD y el Reglamento europeo de IA (AI Act), y las condiciones de salida.

En resumen

• Reparta la checklist por responsable: TI se queda con la seguridad, legal con la protección de datos y las normas de IA, compras con el contrato y el paquete de documentos.
• El QA con IA recibe una revisión más estricta que la mayoría de herramientas de soporte porque lee todas las conversaciones y evalúa a empleados, a menudo con proveedores de modelos de IA como subencargados.
• Las comprobaciones de TI cubren auditorías independientes, cifrado, accesos, registros, pruebas y respuesta a incidentes.
• Las comprobaciones de protección de datos siguen los artículos del RGPD que aplican: contrato de encargo, subencargados, transferencias, conservación, evaluaciones de impacto y decisiones automatizadas.
• Las comprobaciones de IA cubren el entrenamiento de modelos, los proveedores de modelos, la revisión humana y el encaje de la herramienta en el AI Act, cuyas normas para usos de alto riesgo se aplican a partir del 2 de diciembre de 2027.

Esta checklist está pensada para equipos que compran software de calidad para atención al cliente que evalúa conversaciones de soporte con IA. Las referencias legales se comprobaron con los textos oficiales el 4 de noviembre de 2026. Son un punto de partida para su propio asesoramiento jurídico, no un sustituto.

Cómo usar esta checklist de seguridad para QA con IA

Entregue cada parte de la checklist al equipo responsable, envíe todas las preguntas al proveedor de una vez y pida documentos en lugar de respuestas en un formulario. La mayoría de las revisiones de seguridad se atascan porque las preguntas llegan en tres oleadas de tres equipos.

Marque cada punto como cumplido, cumplido con condición o no cumplido. Un «no cumplido» en los puntos 1, 9, 10 o 17 debería frenar la compra hasta que se resuelva. Si además compara funciones, lea en paralelo nuestra comparativa de software de calidad para call center.

Por qué el software de QA con IA necesita una revisión más estricta

El software de QA con IA necesita una revisión más estricta porque lee todas las conversaciones con clientes, puntúa a los empleados que las atendieron y a menudo envía texto a proveedores de modelos de IA. Reúne datos de clientes, datos de empleados y evaluación automatizada en una sola herramienta.

Tres cosas lo distinguen de un complemento típico del helpdesk:

• Volumen: un programa manual lee una muestra, mientras que una herramienta de IA puede procesar todas las conversaciones, incluidos números de tarjeta, datos de salud o quejas que escribió un cliente.
• Empleados como interesados: las notas de calidad son datos personales de sus agentes y pueden alimentar decisiones sobre retribución, promoción o despido. Eso activa las normas del RGPD sobre decisiones automatizadas y, en el AI Act, la categoría de IA usada para evaluar a trabajadores.
• Proveedores de modelos: la IA que escribe notas y comentarios suele estar alojada por un tercero, que pasa a ser subencargado de sus datos.

Comprobaciones de seguridad de TI

Las comprobaciones de TI confirman que un auditor independiente ha probado los controles del proveedor y que lo básico de cifrado, accesos, registros y respuesta a incidentes está en su sitio. Pida los informes, bajo NDA, no un distintivo en una web.

1. Informe de auditoría independiente. Pida el último informe SOC 2 Type II y revise su periodo y alcance. Los informes SOC 2, definidos por la AICPA, cubren controles de seguridad, disponibilidad, integridad del procesamiento, confidencialidad y privacidad. Un informe Type II comprueba si los controles funcionaron durante un periodo, no solo si estaban diseñados.
2. Certificado ISO 27001. Compruebe que el alcance cubre el producto que compra, la fecha de caducidad y la entidad certificadora.
3. Tests de intrusión. Pregunte con qué frecuencia un tercero prueba la aplicación en producción y cómo se siguen los hallazgos críticos hasta su resolución.
4. Cifrado. Confirme que los datos se cifran en tránsito y en reposo, y quién gestiona las claves.
5. Control de accesos. Pregunte cómo accede el personal del proveedor a los datos de producción, si el acceso es por necesidad y queda registrado, y cómo se autentican sus propios usuarios.
6. Registros de auditoría. Compruebe si puede ver quién de su empresa consultó o cambió notas y ajustes, y en qué plan.
7. Respuesta a incidentes. Pida el plan de respuesta a incidentes y pregunte en cuánto tiempo le avisa el proveedor de un incidente que afecte a sus datos.
8. Continuidad. Pida el plan de continuidad de negocio y recuperación ante desastres, y pregunte si los datos de producción quedan fuera de los entornos de desarrollo y pruebas.

Comprobaciones de protección de datos y RGPD

Las comprobaciones del RGPD confirman que el proveedor actúa como su encargado del tratamiento con un contrato conforme al artículo 28, que conoce a cada subencargado y cada transferencia, y que usted ha hecho sus propios deberes respecto a los empleados. Lea las cláusulas frente al reglamento, no frente al resumen del proveedor.

9. Un contrato de encargo conforme al artículo 28, apartado 3. El artículo 28, apartado 3, del RGPD enumera lo que debe decir el contrato: tratamiento solo según sus instrucciones documentadas, confidencialidad del personal, las medidas de seguridad del artículo 32, normas para subencargados, ayuda con los derechos de los interesados y con los artículos 32 a 36, supresión o devolución al final y auditorías. Compruebe que el contrato cubre las funciones de IA, no solo el producto principal.
10. Subencargados. Según el artículo 28, apartado 2, un encargado necesita su autorización previa por escrito para recurrir a otro encargado y, con una autorización general, debe informarle de los cambios para que pueda oponerse. Pida la lista con el papel y la ubicación de los datos de cada subencargado, incluidos los proveedores de modelos de IA.
11. Transferencias fuera de la UE. Si un subencargado está fuera del EEE, pregunte por la base de la transferencia según el capítulo V del RGPD: una decisión de adecuación (artículo 45) o garantías como las cláusulas contractuales tipo (artículo 46).
12. Conservación y supresión. Pregunte cuánto tiempo se guardan conversaciones, transcripciones y notas, si puede fijar el plazo y cómo se devuelven o borran los datos tras el contrato, como exige el artículo 28, apartado 3, letra g.
13. Minimización de datos. Pregunte si puede excluir colas, campos o canales de la evaluación, para que la herramienta solo trate lo que necesita la calidad (artículo 5, apartado 1, letra c).
14. Notificación de brechas. Según el artículo 33, apartado 2, un encargado debe notificarle «sin dilación indebida» tras tener conocimiento de una violación. Compruebe que el contrato da un compromiso concreto, porque su propio plazo de 72 horas para notificar a la autoridad de control según el artículo 33, apartado 1, empieza cuando usted tiene conocimiento.
15. Su evaluación de impacto. El artículo 35 exige una evaluación de impacto relativa a la protección de datos (EIPD) cuando un tratamiento probablemente entrañe un alto riesgo, entre otros casos en la evaluación sistemática y exhaustiva de personas basada en un tratamiento automatizado que dé lugar a decisiones con efectos jurídicos o similares. Las directrices del Grupo del Artículo 29 sobre la EIPD (2017, respaldadas por el CEPD) tratan la evaluación o puntuación, la observación sistemática y los empleados como factores, y señalan que un tratamiento que cumpla dos de sus criterios requerirá en la mayoría de los casos una EIPD. Pida al proveedor la información que necesita para redactarla; el artículo 28, apartado 3, letra f, obliga al encargado a ayudar.
16. Decisiones automatizadas sobre agentes. El artículo 22 da a las personas el derecho a no ser objeto de una decisión basada únicamente en el tratamiento automatizado con efectos jurídicos o similares. Si las notas de calidad alimentan decisiones sobre agentes, asegúrese de que una persona las revisa y de que los agentes pueden impugnar una nota. Revise también las normas laborales nacionales: el artículo 88 permite a los Estados miembros fijar normas más específicas para los datos de los empleados, y puede ser necesario consultar a la representación de los trabajadores.

Comprobaciones específicas de IA

Las comprobaciones de IA averiguan qué pasa con sus datos dentro de las funciones de IA, quién puede corregir a la IA y dónde encaja la herramienta en el AI Act. Pida respuestas por escrito que pueda adjuntar al contrato.

17. Entrenamiento de modelos. Pregunte por escrito si sus conversaciones se usan para entrenar o ajustar algún modelo, del proveedor o de sus proveedores de modelos.
18. Proveedores de modelos. Pregunte qué proveedores de IA tratan sus datos, dónde, y si las funciones de IA se pueden desactivar o requieren activación expresa.
19. Revisión y corrección humanas. Compruebe que un evaluador puede cambiar cualquier nota o comentario de la IA, que el cambio queda registrado y que los agentes pueden impugnar una nota, como en nuestra guía para diseñar un proceso de impugnación de notas de IA (en inglés). Es también su garantía según el artículo 22.
20. Explicabilidad y pruebas. Pregunte si cada nota muestra la prueba que la respalda, como describe nuestro artículo sobre la trazabilidad de las notas de calidad (en inglés), y si puede probar las notas de la IA frente a las de sus evaluadores antes del arranque. Nuestro protocolo para validar la evaluación con IA (en inglés) explica cómo hacer esa prueba.
21. Posición ante el AI Act. Pregunte cómo clasifica el proveedor el producto y qué le entrega a usted como responsable del despliegue. La tabla resume las fechas.

La prohibición y el punto de alto riesgo proceden del Reglamento de IA, Reglamento (UE) 2024/1689, comprobado con la versión consolidada. La fecha de alto riesgo pasó del 2 de agosto de 2026 al 2 de diciembre de 2027 con el Reglamento (UE) 2026/1744 que lo modifica, en vigor desde el 27 de julio de 2026.

Según el artículo 3, punto 39, el reconocimiento de emociones se basa en datos biométricos, así que la prohibición afecta sobre todo a las funciones de voz. Que una herramienta de calidad entre en el punto 4, letra b, depende de cómo use usted las notas. Deje que sus abogados lo decidan para su caso.

Comprobaciones de compras y contrato

Las comprobaciones de compras convierten las respuestas en cláusulas del contrato y aseguran una salida limpia. Una respuesta de seguridad que no está en el contrato es una afirmación comercial.

22. Cláusulas del contrato. Lleve al contrato o al contrato de encargo las respuestas a los puntos 7, 10, 12, 14 y 17.
23. Salida. Acuerde cuánto tiempo tiene para exportar datos tras la terminación, en qué formatos y cuándo los borra el proveedor.
24. El paquete de documentos. Reúna en un solo lugar: informe de auditoría, certificados, contrato de encargo, lista de subencargados, resumen del test de intrusión, planes de incidentes y de continuidad, y cualquier cuestionario estándar que haya rellenado el proveedor, como un SIG Lite.

Cómo responde Kaizo a esta checklist

Kaizo publica la mayoría de sus respuestas en su Trust Center, con los informes disponibles bajo petición. La tabla relaciona cada punto con lo que dicen hoy las páginas de Kaizo; si una página no responde a un punto, pregúntenos en la revisión de seguridad.

Kaizo evalúa las conversaciones una vez terminadas. No escucha llamadas en directo, lo que deja la supervisión en tiempo real fuera del alcance de esta revisión.

Cómo hacer la revisión de seguridad sin frenar la compra

Empiece la revisión de seguridad la misma semana que las demos, no cuando el negocio ya haya elegido. Envíe la checklist completa de una vez, pida el paquete de documentos y empiece en paralelo su evaluación de impacto.

Paso 1: Envíe la checklist con el RFP

Las preguntas de seguridad, legales y de compras enviadas con la primera solicitud al proveedor se responden junto con las preguntas de producto. Enviadas después de una decisión, se convierten en un segundo proyecto.

Paso 2: Pida documentos y pregunte solo lo que dejen abierto

Lea primero el informe de auditoría, el contrato de encargo y la lista de subencargados. La mayoría de las líneas de un cuestionario están respondidas ahí, y el resto se convierte en una lista corta para una llamada.

Paso 3: Redacte la EIPD mientras se negocia el contrato

Su evaluación de impacto necesita las respuestas del proveedor sobre flujos de datos, subencargados y conservación, que ya tiene. Implique pronto a la representación de los trabajadores si las notas de los agentes se van a usar en decisiones de rendimiento. Nuestra guía para dirigir un programa de calidad en el que confíen los agentes (en inglés) explica cómo presentarles la evaluación.

Pida nuestro paquete de seguridad en una demo en directo. Le mostramos Kaizo con datos de ejemplo realistas y le enviamos los documentos del Trust Center que necesita su equipo. Reserve una reunión.

Preguntas frecuentes

¿Qué es un cuestionario de seguridad de proveedores?

Un cuestionario de seguridad de proveedores es una lista estándar de preguntas que un comprador envía a un proveedor para comprobar sus controles de seguridad y privacidad antes de firmar. Los formatos habituales son el SIG y el SIG Lite de Shared Assessments y el CAIQ de la Cloud Security Alliance. Muchos proveedores tienen uno ya rellenado, lo que ahorra semanas a ambas partes.

¿Conectar una herramienta de calidad a Zendesk afecta al cumplimiento del RGPD?

Sí. Cuando una herramienta de calidad extrae conversaciones de Zendesk o de cualquier helpdesk, el proveedor de calidad trata esos datos personales por cuenta de usted, así que necesita un contrato de encargo con ese proveedor. El cumplimiento del helpdesk no cubre una herramienta aparte. Añada al proveedor de calidad a su registro de actividades de tratamiento.

¿Cuáles son los 7 principios del RGPD?

El artículo 5 del RGPD fija siete principios: licitud, lealtad y transparencia; limitación de la finalidad; minimización de datos; exactitud; limitación del plazo de conservación; integridad y confidencialidad; y responsabilidad proactiva. Para el QA con IA, los que más pesan son la minimización y la limitación de la conservación: evalúe solo las colas que necesite y no guarde conversaciones más tiempo del que exige su fin de calidad.

¿El software de QA con IA es de alto riesgo según el AI Act?

Puede serlo. El anexo III, punto 4, letra b, considera de alto riesgo la IA destinada a supervisar y evaluar el rendimiento y el comportamiento de personas en el trabajo, con obligaciones aplicables desde el 2 de diciembre de 2027. Una herramienta de calidad que evalúa a agentes puede entrar ahí, según su finalidad prevista y el uso que usted le dé. Pida una opinión jurídica para su caso.

¿Hay que informar a los agentes de que la IA evalúa sus conversaciones?

Sí: según las obligaciones de transparencia de los artículos 13 y 14 del RGPD, los agentes deben saber cómo se tratan sus datos personales, incluida la evaluación automatizada. Muchos países añaden normas laborales, y la representación de los trabajadores puede tener voz. Informar pronto, incluido cómo impugnar una nota, también facilita el despliegue.