Cuestionario de ciberriesgos en España: cómo declarar la IA

Te llega un cuestionario de ciberriesgos y no sabes qué poner sobre ChatGPT. Lo primero es mirar quién lo manda, porque el papel de la aseguradora y el de tu cliente piden cosas muy distintas. Si aún estás eligiendo póliza, empieza por qué cubre un seguro de ciberriesgos.

El 16 de septiembre de 2026 abrimos tres cuestionarios de ciberriesgos que se ofrecen en España, y ninguna casilla habla de inteligencia artificial. Ese mismo día abrimos uno de seguridad para proveedores, en español, y traía siete preguntas seguidas sobre IA. Aquí te dejo las respuestas modelo.

El banco de preguntas sobre IA, con la respuesta modelo y la prueba

Sirve sobre todo a gestorías, asesorías laborales y despachos de menos de diez personas. Da por hecho que ya tienes la política de uso de IA de una página, porque de ella cuelgan la mitad de las respuestas.

Cambia lo que va entre corchetes, borra lo que no proceda y no dejes puesta una respuesta que no puedas sostener con el documento que la acompaña. A mí me pesa mucho esto: el cuestionario de Markel, por ejemplo, avisa de que formará parte del contrato que se firme después.

BANCO DE PREGUNTAS SOBRE IA
Qué se contesta, y qué se adjunta
[Nombre del despacho] · versión [1] · [fecha]

1. ¿UTILIZAN HERRAMIENTAS DE INTELIGENCIA ARTIFICIAL?
Sí. Se usan para [redactar borradores / resumir
documentación / traducir], siempre con revisión humana
antes de enviar o firmar nada.
Prueba: política de uso de IA firmada, punto [2].

2. ¿CUÁLES, Y CON QUÉ CUENTAS?
Solo [herramienta], con la cuenta corporativa del
despacho. No se usan cuentas personales para trabajo
del despacho. La lista está cerrada y la aprueba
[nombre].
Prueba: lista de herramientas aprobadas, con fecha.

3. ¿ENTRAN DATOS DE NUESTROS EXPEDIENTES?
No. La política prohíbe introducir nombres, DNI o NIE,
números de afiliación a la Seguridad Social, cuentas
bancarias, datos de salud y documentos de cliente,
enteros o a trozos. Las consultas se plantean como
supuesto, con etiquetas.
Prueba: política de uso de IA firmada, punto [1].

4. ¿SE USAN NUESTROS DATOS PARA ENTRENAR MODELOS?
No se introducen datos suyos en ninguna herramienta
de IA, de modo que no hay datos suyos que entrenen
ningún modelo. En [herramienta] está además
desactivado el uso de las conversaciones para
entrenamiento.
Prueba: captura de la configuración de la cuenta,
fechada.

5. ¿TIENEN UNA POLÍTICA DE USO DE IA APROBADA?
Sí, de [fecha], versión [1], firmada por todas las
personas del despacho, incluidas las incorporaciones
posteriores.
Prueba: política firmada y hoja de firmas.

6. ¿TIENEN UN SISTEMA DE GESTIÓN DE LA IA
   CERTIFICADO (ISO/IEC 42001)?
No. El despacho no está certificado en ISO/IEC 42001.
Lo que existe es la política del punto 5 y la lista
cerrada de herramientas del punto 2.
Prueba: no procede.

7. ¿QUÉ CLASIFICACIÓN DE RIESGO TIENEN ESOS SISTEMAS
   CONFORME AL REGLAMENTO (UE) 2024/1689?
El despacho no desarrolla ni comercializa sistemas de
IA: los utiliza como asistente de redacción. No se
emplean para decisiones sobre personas [confirmar si
se usan en selección de personal o en evaluación de
trabajadores, que es otro supuesto].
Prueba: descripción de usos, punto [2] de la política.

8. ¿QUÉ SUPERVISIÓN HUMANA HAY SOBRE LO QUE PRODUCE?
Todo lo que escribe una IA lo lee entero y lo comprueba
la persona que lo firma o lo envía. Ningún texto sale
del despacho sin esa revisión.
Prueba: política de uso de IA firmada, punto [2].

9. ¿FORMAN A SU PERSONAL EN EL USO DE LA IA?
Sí. Se explicó la política el [fecha], con [duración],
y se repite al incorporarse una persona nueva y cuando
entra una herramienta nueva.
Prueba: registro de formación con fecha y asistentes.

10. ¿APLICAN CONTROLES DE PREVENCIÓN DE FUGA DE
    INFORMACIÓN Y DE BLOQUEO DE SUBIDAS?
[Elegir la que sea verdad]
a) No. El control es organizativo: la política del
   punto 5 y la lista cerrada de herramientas.
b) Sí, parcialmente: [descripción exacta de lo que
   está desplegado, en qué equipos y desde cuándo].
Prueba: la que corresponda a la opción elegida.

11. ¿CONSIDERAN AL PROVEEDOR DE IA UN SUBENCARGADO?
    ¿NOS AVISARÁN ANTES DE INCORPORARLO?
Al no introducirse datos personales de sus expedientes
en herramientas de IA, hoy no hay tratamiento por
cuenta de ustedes en ninguna de ellas. Si eso cambiara,
se solicitaría autorización previa por escrito antes de
hacerlo, con [15] días de preaviso.
Prueba: contrato de encargo vigente, cláusula de
subcontratación.

12. ¿EN QUÉ PLAZO NOS NOTIFICARÍAN UNA BRECHA?
En un plazo máximo de [24] horas desde que se conozca,
por escrito y a [contacto], sin borrar nada antes, para
que puedan cumplir con su propio plazo.
Prueba: contrato de encargo vigente, cláusula de
notificación.

Fecha de esta versión: [fecha]
Responsable de mantenerla: [nombre y teléfono]

Las doce salen de formularios reales. Responden a preguntas que están, con estas palabras o parecidas, en un cuestionario de proveedores en español que se publica abierto: las de inteligencia artificial, la de fugas, las de subcontratación y la de brechas.

Lo que de verdad pregunta un cuestionario de ciberriesgos español

Estos son los tres que abrimos, los que salían en la primera página de resultados al buscar el formulario en español. Ninguno pregunta con qué herramientas escribes.

Markel es el más exigente. Pide cifrado en tránsito y en reposo, multifactor en el acceso remoto, cuentas separadas de administrador, plazo de los parches críticos, objetivo de recuperación y formación contra el phishing. Yo prepararía todo eso antes de pensar en la IA.

Cuidado con su pregunta 8: te hace confirmar que cumples toda la regulación de protección de datos. No nombra la IA, pero no la contestaría sin pensar en lo que tu gente pega en el chat.

Dos de estos impresos los reparten corredurías, y lo que no preguntan también les toca a ellas: una correduría que usa IA para redactar partes maneja el DNI y el IBAN de cada asegurado.

¿Hay que declarar el uso de IA a la aseguradora? Lo que dice la ley

El artículo 10 de la Ley de Contrato de Seguro no te pide contarlo todo. Te pide declarar, «de acuerdo con el cuestionario», lo que conozcas y pueda influir en el riesgo. Y te exonera de las circunstancias que «no estén comprendidas en él».

Hay un matiz: la nota de Markel, citando ese artículo, añade «dar a conocer cualquier hecho relevante», que es bastante más ancho. Y Quality Brokers pregunta si conoces algún hecho que pueda acabar en reclamación. Las pólizas tampoco ayudan: los ocho documentos que repasamos no nombran la IA.

Esto no lo resolvería solo. Si tu uso de IA cambia realmente tu riesgo, se lo comentaría al mediador y dejaría constancia por escrito.

Contestar mal el cuestionario del seguro: lo que te puede costar

Aquí el artículo 10 es duro, y abajo lo tienes resumido tal como está en el BOE. Cómo se aplica a tu póliza y a tu siniestro no te lo va a decir ninguna guía: eso se ve con tu mediador o con tu abogado.

Yo no marcaría multifactor en todo el correo si lo tienes en la mitad de los buzones. Tampoco prometería en un papel lo que la política del despacho no dice. Ni me fiaría del plazo de un año del artículo 89, porque está en la sección del seguro sobre la vida.

Usar ChatGPT con la póliza ya firmada: la agravación del riesgo

Con la póliza en vigor manda el artículo 11.1. Obliga a comunicar, tan pronto como sea posible, «la alteración de los factores y las circunstancias declaradas en el cuestionario» que agraven el riesgo, hasta el punto de que el asegurador no habría firmado o habría puesto peores condiciones.

Si lo callas y hay siniestro, el artículo 12 reduce la prestación, y con mala fe el asegurador queda liberado.

Si la IA nunca estuvo en ese papel, no hay dato declarado que alterar. Aun así, relee lo que firmaste antes de dar nada por hecho, igual que se revisa la política interna cuando entra una herramienta nueva.

Cuestionario de proveedores: las preguntas sobre IA que te hace tu cliente

Este papel lo manda la empresa a la que le llevas la nómina o la contabilidad. Las preguntas de esta guía salen del Basic VRM Form de ACBSEC, una herramienta española que publica sus 76 preguntas, revisada el 14 de agosto de 2026. Clasifica a la gestoría como proveedor de nivel 2.

Si te lo manda un ayuntamiento, además entran las exigencias que recoge la IA en los ayuntamientos.

Y si viene de una empresa grande, puede llegar con el formato del AI-CAIQ de la Cloud Security Alliance, que pide justificar cada respuesta con su evidencia.

Diría que cuatro de las siete están pensadas para quien mete IA dentro del servicio que vende. Si tú solo le pides un borrador a un chat, yo contestaría «no procede», con una línea de explicación.

El motivo de fondo está en las directrices de la AEPD sobre contratos de encargo: el responsable debe elegir un encargado que ofrezca «garantías suficientes», y habla de un «deber de diligencia». Tu cliente necesita enseñar que eligió bien, así que no me lo tomaría como desconfianza.

¿Entrenan la IA con tus datos? Cómo contestar la pregunta IIA-03

La IIA-03 pregunta si se usan los datos del cliente para entrenar modelos, y pide la base jurídica y cómo excluirse. ACBSEC la marca como «la pregunta que más veces se responde mal en un cuestionario», y aconseja a quien la manda dejar la respuesta en el contrato.

Se falla por dos lados: contestar «no» sin mirar la configuración de la cuenta, o «sí, pero lo hemos desactivado», que describe otra cosa.

Yo separaría dos preguntas: si entran datos del cliente en la herramienta y si la herramienta entrena con lo que entra. La segunda depende del producto contratado: en Anthropic está desglosado en qué hace Claude con tus datos.

Prevención de fuga de información (DLP): qué poner si no tienes

La pregunta INF-07 no está en el bloque de IA, aunque es la que más le toca a un despacho que usa un chat. Pregunta por controles de fuga, y su nota explica el fondo: «DLP, bloqueo de USB, control de la información que sale por correo o por herramientas de IA generativa».

ACBSEC la propone a partir del nivel 3, pero tu cliente puede meterla igual. Nunca marcaría que sí sin tenerlo desplegado: se desmiente con una captura de pantalla, y si un día se escapa un expediente, esa casilla es lo primero que te van a enseñar.

Un despacho de ocho personas normalmente no tiene DLP, y no pasa nada por decirlo. El cuestionario pregunta qué controles hay, no cuántos. El modelo de un folio está en la guía de la política de uso de IA.

Formación en IA de la plantilla: qué contestar tras el cambio del artículo 4

La pregunta aparece en la IIA-07 y, con otra letra, en los seguros, aunque Markel solo habla de ciberriesgos y phishing. El Reglamento (UE) 2026/1744 cambió el artículo 4 con efecto desde el 27 de julio de 2026: ahora proveedores y responsables del despliegue «adoptarán medidas» de apoyo, sin garantizar un nivel concreto en nadie.

Por eso no prometería más de lo que la norma pide. El calendario completo de qué se aplica y desde cuándo lo tienes en la guía del Reglamento de IA para empresas.

¿ChatGPT es un subencargado? La lista de subcontratistas

Las dos preguntas de subcontratación, con el artículo 28 del RGPD detrás, son obligatorias en ese formulario, sea cual sea tu nivel. La SUB-01 pide qué subcontratistas intervienen y en qué países están, y la SUB-02, el plazo de preaviso.

La nota de la primera avisa a tu cliente: «Si dicen que ninguno, pregunta por su proveedor de nube y su proveedor de correo».

Si trabajas como encargado y metes datos personales del expediente en un servicio de terceros, ese servicio trata datos por cuenta del cliente. Según la AEPD, el RGPD «exige la autorización previa por escrito». Puede ser general, y entonces avisas de cada incorporación y el cliente puede oponerse.

Con Microsoft eso empieza por saber qué Copilot usas, porque bajo ese nombre hay varios productos distintos.

Si entran datos, tendrás que nombrar a la empresa responsable y los países; los de OpenAI están en qué hace ChatGPT con tus datos.

Yo prefiero la salida que no depende de negociar nada: si los datos del cliente no entran, la pregunta se contesta en dos líneas. Qué quitar y en qué orden lo tienes en cómo anonimizar un documento paso a paso.

Qué documentos adjuntar al cuestionario sobre IA

Si ya tienes la política escrita, no te hace falta producir ningún documento nuevo: basta con ordenar los que existen. Yo no fabricaría nada solo para este trámite, porque lo que se fabrica deprisa es justo lo que luego no se sostiene.

Cómo contestar el cuestionario de ciberriesgos, paso a paso

Este es mi orden, y vale para el del seguro y para el de tu cliente. Lo que descubras rellenándolo es lo más aprovechable: el plazo de los parches o las cuentas separadas de administrador, dos casillas de Markel, son cosas que a menudo nadie ha pensado en voz alta.

Con qué devolvería yo el cuestionario de ciberriesgos

Empezaría por la política escrita y firmada, que contesta la mitad del bloque de IA, y seguiría con el hábito de plantear las consultas como supuesto. Con esas dos cosas ya contestas casi todo sin mentir.

Cuando no es una persona con cuidado sino cinco con prisa en cierre de mes, una herramienta ayuda a que la política se cumpla: una app que tapa los identificadores antes de que el expediente salga del ordenador.

Para organizaciones hay una extensión que la informática instala por política en cada puesto.

Eso sí, contesta describiendo exactamente lo desplegado, con qué piezas y en qué puestos, porque el papel forma parte del contrato. Si eres una consultora de protección de datos que contesta por sus clientes, lo tuyo es el programa de canal.

Qué declarar a tu aseguradora lo decides con tu mediador y tu abogado, con la póliza delante: estas respuestas solo te preparan esa conversación.

Fuentes

• Ley 50/1980, de Contrato de Seguro, texto consolidado en el BOE. Artículos 10, 11.1, 12 y 89.
• Cuestionario Ciberriesgo, Segurworld Life, S. L. (PDF). Quince casillas y la referencia a la L.O.P.D. y la Directiva 95/46/CE.
• DigitRisk, formulario de datos, Quality Brokers, S. L. (PDF). Preguntas 3.1 a 3.8 y la fecha impresa.
• Cuestionario de Riesgos Cibernéticos, Markel Insurance SE, Sucursal en España (PDF). Las 31 preguntas, la nota de cabecera, la pregunta 8 y la sección F.
• Basic VRM Form, ACBSEC (herramienta), revisión normativa de 14 de agosto de 2026. Las 76 preguntas, los niveles, IIA-01 a IIA-07, INF-07, SUB-01, SUB-02 y LOP-06.
• AEPD, Directrices para la elaboración de contratos entre responsables y encargados del tratamiento. Deber de diligencia y subcontratación, específica o general, con derecho de oposición.
• Reglamento (UE) 2026/1744, de 8 de julio de 2026, DOUE de 24 de julio (EUR-Lex). Nuevo artículo 4 del Reglamento (UE) 2024/1689 y entrada en vigor a los tres días de publicarse.
• AI-CAIQ v1.1.0, Cloud Security Alliance (ficha), 16 de octubre de 2025. Autoevaluación con justificación y evidencia de cada respuesta.
• OpenAI, ayuda sobre cómo se usan tus datos. El ajuste «Mejorar el modelo para todos».
• OpenAI, privacidad empresarial, 8 de enero de 2026. Que no entrena por defecto con los planes de empresa ni la API.
• INCIBE, Autodiagnóstico ligero. La evaluación inicial del riesgo, en cinco minutos.

Consultadas el 7 de noviembre de 2026.