El circuito de contratación de terceros está diseñado para un proveedor que se evalúa antes de entrar, se contrata con cláusulas de auditoría y se revisa una vez al año. Los proveedores de inteligencia artificial entraron por otro camino. Una suscripción mensual que autorizó un área usuaria. Una función nueva que apareció dentro de un contrato de software vigente. Ninguno de esos caminos activa el proceso, y el expediente nunca se abre.
El resultado es una dependencia operativa sin ficha. El área de riesgos no sabe cuántos proveedores de inteligencia artificial tiene la organización, qué datos procesan, en qué jurisdicción se alojan ni qué ocurre el día que uno cambia sus condiciones de servicio o deja de prestarlo. Esa ausencia de información es lo primero que encuentra un supervisor, y no hace falta una ley de inteligencia artificial para sancionarla.
El proveedor de inteligencia artificial entró por compras y salteó el proceso de terceros
El segundo punto de fuga tiene todavía menos visibilidad. La capacidad de inteligencia artificial suele llegar como una función nueva dentro de un contrato de software que ya está firmado, activada por el proveedor sin cambio contractual ni aviso al área de riesgos. La evaluación de ese proveedor se hizo hace 3 años, sobre un producto que hacía otra cosa, con un flujo de datos distinto y una cadena de subcontratación distinta. La ficha del registro dice la verdad de 2023 y describe mal el servicio de 2026.
El tercer camino elimina el contrato por completo. Un analista pega el borrador de un informe interno en una herramienta pública para que se lo reescriba, y la organización acaba de transferir información a un tercero que no evaluó, con el que no firmó y al que no puede auditar. Ese tratamiento de datos ocurre fuera de todo registro, y su rastro queda en la herramienta del proveedor, fuera del alcance de la organización.
La obligación ya está escrita en la norma de terceros que la organización cumple hace años
El artículo 24 de ese reglamento, sobre servicios significativos de procesamiento de datos, obliga a contar con una estrategia de salida de los servicios a cargo del proveedor que permita retomar operaciones por cuenta propia o mediante otro proveedor, a mantener el inventario de la contratación en cadena del proveedor, a asegurar el acceso adecuado a la información por parte de la Superintendencia, la Auditoría Interna y la Sociedad de Auditoría Externa, y a eliminar de forma definitiva la información confidencial en custodia del proveedor al resolverse el acuerdo contractual. El mismo artículo obliga a informar a la Superintendencia dentro de los 30 días calendario de iniciada la provisión.
Ninguna de esas exigencias menciona la inteligencia artificial. Todas alcanzan a un proveedor de inteligencia artificial que procesa datos de la organización. El artículo 25 agrega la autorización previa de la Superintendencia cuando ese servicio significativo de procesamiento de datos se contrata desde el exterior, que es la forma habitual de contratación de esta tecnología.
En Chile, la Comisión para el Mercado Financiero puso en consulta el 7 de abril de 2026 una modificación del Capítulo 20-7 de la Recopilación Actualizada de Normas, sobre externalización de servicios. La propuesta incorpora definiciones para la gestión de terceros y crea un archivo nuevo en el Manual del Sistema de Información con el registro periódico de proveedores, actividades e incidentes, para bancos, cooperativas de ahorro y crédito, emisores y operadores no bancarios de tarjetas y sociedades de apoyo al giro. La consulta corrió por 6 semanas y la norma definitiva todavía no está publicada. El supervisor chileno anunció así que va a pedir la lista, con formato y periodicidad.
El Banco Central de la República Argentina incluye la gestión de la relación con terceras partes entre los requisitos mínimos para la gestión de los riesgos de tecnología y seguridad, en la sección 1.2 del texto ordenado. El requisito no describe campos ni periodicidad. Eso deja el diseño del inventario a criterio de la organización y su suficiencia a criterio del supervisor durante la inspección, que es la peor combinación posible para quien no lo armó antes.
Los proveedores de inteligencia artificial tienen la ficha incompleta donde el supervisor mira primero
La estrategia de salida es el campo que más rápido se descubre vacío. Un proveedor de inteligencia artificial se prueba, se adopta y se integra al proceso en semanas, y la operación anterior se desarma en el mismo movimiento. La organización tiene que poder responder por escrito cómo retoma el servicio por cuenta propia o con otro proveedor, con qué datos, en qué plazo y a qué costo. Sin esa respuesta escrita y probada, la aprobación del proveedor es una dependencia con acta. Sostener el servicio bajo estrés es el mandato de resiliencia operacional que hoy recae sobre el CRO.
La evidencia de control decide la inspección. El artículo 24 del reglamento peruano pide verificar anualmente los controles de seguridad del proveedor mediante informes independientes, y para servicios en nube exige evidenciar la vigencia de las certificaciones ISO/IEC 27001, ISO/IEC 27017 e ISO/IEC 27018 y del reporte SOC 2 tipo 2. Un proveedor de inteligencia artificial que no produce ninguno de esos informes tiene 2 destinos posibles en un sistema de gestión sano: excepción documentada con dueño y fecha de revisión, o hallazgo de auditoría. El estado intermedio, que es el habitual, se llama ausencia de control.
El dueño del riesgo cierra la ficha. ISO/IEC 27036-1:2021, sobre relaciones con proveedores en ciberseguridad, ordena la relación con proveedores desde la seguridad de la información, e ISO/IEC 42001:2023 aporta el sistema de gestión para la inteligencia artificial. Ambas describen prácticas. Ninguna nombra al responsable dentro de la organización, y ese nombre lo pone el directorio.
La contratación en cadena esconde dónde está la concentración real
La consecuencia aparece al sumar. 3 proveedores distintos del registro pueden depender del mismo modelo del mismo proveedor de segundo nivel. El registro muestra diversificación y la organización tiene concentración, con un punto único de falla que ninguna de las 3 fichas declara. La medición del riesgo de concentración sobre el primer nivel de la cadena produce un número tranquilizador y equivocado.
El primer informe conjunto de la Autoridad Bancaria Europea, la Autoridad Europea de Seguros y Pensiones de Jubilación y la Autoridad Europea de Valores y Mercados bajo DORA, publicado el 3 de junio de 2026, registró 3.383 incidentes graves durante 2025, con cerca de un tercio de impacto transfronterizo y solo el 10% relacionado con ciberseguridad. La interrupción de una organización financiera tiene origen operativo con mucha más frecuencia que origen cibernético, y una porción creciente de esa operación está tercerizada en proveedores que el registro describe por su primer nivel, como dejó a la vista la interrupción de Qantas por un proveedor bajo el régimen de terceros de DORA.
Conclusión
¿Querés dar el siguiente paso?
La formación y el desarrollo profesional no son un gasto, sino una inversión estratégica que impulsa el crecimiento individual y organizacional. Priorizar la capacitación es clave para mantenerse competitivo en un entorno laboral en constante evolución.
Preguntas frecuentes
¿Un proveedor de inteligencia artificial se considera un tercero crítico?
Un proveedor de inteligencia artificial se considera crítico cuando el proceso que sostiene no puede volver a la operación anterior en el plazo que el negocio tolera. El artículo 24 del Reglamento para la Gestión de la Seguridad de la Información y la Ciberseguridad de la Superintendencia de Banca, Seguros y AFP del Perú, aprobado por la Resolución SBS 504-2021, trata la contratación de un servicio significativo de procesamiento de datos, incluidos los servicios en nube, como un cambio importante en el ambiente informático. El monto del contrato no integra esa definición, y ahí falla la calibración de la mayoría de los registros.
¿Qué exige la SBS del Perú sobre los servicios significativos de procesamiento de datos?
El artículo 24 del reglamento aprobado por la Resolución SBS 504-2021 exige contar con una estrategia de salida que permita retomar operaciones por cuenta propia o mediante otro proveedor, mantener el inventario de la contratación en cadena del proveedor, asegurar el acceso a la información por parte de la Superintendencia, la Auditoría Interna y la Sociedad de Auditoría Externa, eliminar de forma definitiva la información confidencial al resolverse el contrato y verificar anualmente los controles mediante informes independientes. La provisión del servicio se informa a la Superintendencia dentro de los 30 días calendario de iniciada.
¿Qué es el inventario de contratación en cadena y para qué sirve?
El inventario de contratación en cadena registra a los proveedores que el propio proveedor contrata para prestar el servicio, y lo exige el artículo 24 del reglamento aprobado por la Resolución SBS 504-2021. En inteligencia artificial es el campo que hace visible al proveedor del modelo, la jurisdicción donde se procesa la información y las condiciones de retención. Sin ese inventario, 3 proveedores del registro pueden depender del mismo modelo del mismo proveedor de segundo nivel, y la medición de concentración sobre el primer nivel devuelve un número tranquilizador y equivocado.
¿Qué cambia el registro de proveedores que puso en consulta la CMF de Chile?
La Comisión para el Mercado Financiero de Chile puso en consulta el 7 de abril de 2026 una modificación del Capítulo 20-7 de la Recopilación Actualizada de Normas, sobre externalización de servicios. La propuesta incorpora definiciones para la gestión de terceros y crea un archivo nuevo en el Manual del Sistema de Información con el registro periódico de proveedores, actividades e incidentes, para bancos, cooperativas de ahorro y crédito, emisores y operadores no bancarios de tarjetas y sociedades de apoyo al giro. La consulta corrió por 6 semanas y la norma definitiva todavía no está publicada.
¿Alcanza con ISO/IEC 42001:2023 para gobernar a los proveedores de inteligencia artificial?
ISO/IEC 42001:2023 aporta el sistema de gestión de la inteligencia artificial y ISO/IEC 27036-1:2021 ordena la relación con proveedores desde la seguridad de la información. Ambas describen prácticas y ninguna reemplaza la obligación que el supervisor verifica, que es el registro de terceros con la ficha completa de cada proveedor. Una certificación acredita que el sistema de gestión existe. La inspección pregunta por el proveedor concreto, su criticidad, su estrategia de salida y el responsable nombrado dentro de la organización.
¿Qué campos debería tener la ficha de un proveedor de inteligencia artificial?
Es criterio propio del autor y no un requisito normativo: criticidad asignada por el plazo de reversión del proceso, datos que el proveedor procesa y jurisdicción de alojamiento, inventario de la contratación en cadena, estrategia de salida escrita y probada, evidencia de control vigente y responsable nombrado. Los 3 primeros campos salen del artículo 24 del reglamento aprobado por la Resolución SBS 504-2021 y del registro periódico que la Comisión para el Mercado Financiero de Chile puso en consulta. El responsable nombrado lo decide el directorio.
¿Te has preguntado cómo gestionar eficazmente estos riesgos?
¡No busques más!
En Iberoamericana Educación Ejecutiva, hemos creado programas pensando en tus necesidades de información y formación.
Nuestros expertos internacionales han diseñado un completo Programa al respecto para brindarte las herramientas necesarias para comprender y enfrentar estos desafíos de manera efectiva.
¡No esperes más para inscribirte!
Los programas de formación ya están disponibles y estamos aquí para ayudarte a ampliar tus conocimientos y habilidades en esta área crucial.
