BLOG · 2026-06-25
Cumplimiento de proveedores: el riesgo que entra por la puerta de Compras
Cada proveedor que das de alta activa tres relojes regulatorios: RGPD, AI Act y NIS2. Te explicamos el riesgo y cómo controlarlo.
Resumen rápido
- Cada vez que una empresa da de alta un proveedor que trata datos, incorpora IA o accede a sus sistemas, activa tres marcos regulatorios distintos a la vez: el RGPD (art. 28), el Reglamento Europeo de IA y la Directiva NIS2.
- Las grandes plataformas de compras resuelven el flujo de "qué compro y a quién pago", pero no generan el artefacto de cumplimiento que nace en ese mismo momento (contrato de encargo, clasificación de IA, evaluación de seguridad).
- El error más común es creer que basta con la declaración firmada del proveedor. Las tres normas exigen lo mismo de fondo: poder demostrar que se verificó.
- La solución no es otra suite de compras, sino una capa de cumplimiento del proveedor anclada al momento del alta.
¿Por qué el mayor riesgo de cumplimiento está en Compras?
Porque el proveedor es la puerta por la que entra el riesgo regulatorio a la organización, y casi nadie la vigila desde esa óptica.
Cuando contratas un SaaS de gestión, un soporte informático con acceso remoto, una herramienta de marketing o una gestoría que procesa nóminas, no estás cerrando solo una compra. Estás abriendo tres frentes legales en el mismo acto:
- Datos personales. Si el proveedor trata datos por tu cuenta, eres responsable de lo que haga con ellos. Lo regula el artículo 28 del RGPD.
- Inteligencia artificial. Si la herramienta incorpora IA, asumes obligaciones como responsable de su despliegue. Lo regula el Reglamento (UE) 2024/1689 (AI Act).
- Ciberseguridad de la cadena de suministro. Amplías tu superficie de exposición y respondes de ella. Lo regula la Directiva (UE) 2022/2555 (NIS2).
Tres relojes. Y los tres se activan en el mismo instante: cuando alguien pulsa "alta de proveedor".
¿No lo resuelven ya las plataformas de compras?
No del todo. Las suites de source-to-pay y los ERP de compras gestionan muy bien el ciclo transaccional: solicitud, aprobación, pedido, pago. Pero el documento regulatorio que se genera en paralelo —el contrato de encargo, la ficha de riesgo de la IA, la evaluación de seguridad— suele acabar en un Excel, en un correo o en ningún sitio.
No es un fallo del software de compras. Es un agujero entre tres departamentos —Compras, Legal y Seguridad— que rara vez comparten el mismo flujo. El proveedor entra por uno de ellos y los otros dos se enteran tarde, o no se enteran.
¿Cuál es el patrón común de las tres normas?
Las tres convergen en una idea: no basta con tener el documento; hay que poder demostrar que hiciste la comprobación.
- El RGPD te obliga a verificar las garantías del proveedor antes de darle acceso a datos.
- El AI Act te obliga a clasificar y documentar el sistema de IA que despliegas.
- NIS2 exige verificación real de tus proveedores, no una declaración firmada que archivas sin mirar.
La diligencia debida deja de ser una buena práctica y se convierte en la prueba que te defiende —o te condena— en una inspección.
¿Cómo se controla en la práctica?
Con un expediente único de proveedor que, en el alta, dispare los tres carriles en paralelo, genere los documentos, verifique de verdad (no solo con un formulario autocumplimentado) y deje una prueba auditable con un semáforo de riesgo. La puerta de entrada del proveedor convertida en control.
En los artículos siguientes desarrollamos cada reloj: el AI Act (el que casi nadie ve venir), el artículo 28 del RGPD (el que ya está cobrando) y NIS2 (el de la cadena de suministro).
Sigue leyendo
¿Te ha sido útil este artículo? Hablemos.