La capa de cumplimiento del proveedor: cómo unificar RGPD, AI Act y NIS2 en el alta

Resumen rápido

• Al dar de alta un proveedor se activan tres relojes a la vez —RGPD, AI Act, NIS2— y normalmente los gestionan tres equipos que no se hablan.
• La solución no es otra plataforma gigante de compras, sino una capa de cumplimiento del proveedor: un único expediente que dispara los tres carriles en el alta, genera los documentos, verifica de verdad y deja una prueba auditable.
• Las tres normas convergen en lo mismo: poder demostrar la comprobación, no solo guardar el documento.
• Es un control preventivo: hecho en el alta es protección; hecho tras la multa es solo daño.

¿Cómo se ve funcionando?

Imagina la pantalla de un responsable de compras o un asesor. Llega un proveedor nuevo. En vez de tres procesos sueltos, hay un expediente único que dispara tres carriles en paralelo:

1. Alta y triaje. Cuatro datos: qué hace el proveedor, si trata datos personales, si incorpora IA, si es crítico para la operación. El sistema clasifica solo: "encargado de tratamiento + sistema de IA + proveedor crítico". A partir de ahí genera tres checklists sin que decidas nada.

2. Carril RGPD. Genera el contrato de encargo del art. 28 con las variables rellenas, lista subencargados, marca transferencias internacionales que exijan evaluación y crea alertas de vencimiento.

3. Carril AI Act. Cuestionario que clasifica el sistema de IA por nivel de riesgo, genera la ficha para el registro interno y avisa si el contrato necesita cláusulas específicas.

4. Carril ciber (NIS2). Cuestionario de seguridad más una verificación técnica externa de la exposición del proveedor, que produce un semáforo. No una declaración autocumplimentada: una comprobación real.

5. Salida. Un expediente con semáforo único (verde/ámbar/rojo), un informe auditable y monitorización continua: reevaluación periódica y alertas ante cambios de contrato, subencargados o postura de seguridad.

En una frase: la puerta de entrada del proveedor, convertida en control.

¿Por qué unificar y no usar tres herramientas?

Porque el riesgo nace en un solo momento —el alta— y se reparte entre tres equipos. Tres herramientas separadas reproducen el mismo problema: nadie ve el expediente completo. Una capa única convierte un proceso fragmentado y manual en un control coherente y demostrable.

Tres ideas para llevarse

1. El cumplimiento es preventivo o no es. En el alta es protección; tras la multa, solo daño.
2. Ya no basta con tener el documento. Hay que poder demostrar la comprobación. Las tres normas convergen ahí.
3. La ventana del AI Act está abierta ahora. Pronto será obligatorio y obvio; hoy todavía es ventaja para quien lo entiende.

Sigue leyendo

• Cumplimiento de proveedores: el riesgo que entra por la puerta de Compras
• AI Act y proveedores: la IA entra por la puerta de atrás
• Artículo 28 del RGPD: el contrato de encargo que casi nadie verifica
• NIS2 y la cadena de suministro: tu seguridad es la de tus proveedores