Contrato de desarrollo de software con IA: cláusulas que te protegen

El contrato estándar asume que el código lo escribió una persona

Los contratos de desarrollo a medida que circulan hoy en el Perú se redactaron con un supuesto de fondo: que cada línea entregable la escribió alguien que trabaja para el proveedor. Sobre ese supuesto se construyeron la cláusula de propiedad intelectual, la de confidencialidad y la de garantía.

Ese supuesto dejó de ser cierto y el contrato no se enteró.

Hoy una parte del código que recibes la propuso un modelo entrenado con material que ni tú ni tu proveedor pueden auditar, se ejecutó dentro de una herramienta operada por una tercera empresa, y llegó acompañada de librerías que nadie eligió deliberadamente. Ninguna de esas tres cosas está cubierta por el contrato de siempre.

No es un problema de desconfianza hacia el proveedor. Es que el contrato no describe lo que está pasando. Y cuando el contrato no lo describe, el vacío lo termina llenando quien tiene más información sobre cómo se construyó el software, o sea, el proveedor.

Las nueve cláusulas que siguen no prohíben nada. Ordenan.

Titularidad: lo que el Decreto Legislativo 822 resuelve y lo que no

Acá hay una confusión cara y frecuente. Mucha gente asume que si pagó por el desarrollo, el código es suyo. En el Perú eso no se deduce del pago.

El Decreto Legislativo 822, que es la ley de derecho de autor, protege los programas de ordenador como obra, y esa protección alcanza también a la documentación técnica y a los manuales de uso. Su artículo 16 dice que en obras creadas por encargo la titularidad se rige por lo pactado entre las partes, pero excluye expresamente a los programas de ordenador. Para software manda el artículo 71: se presume, salvo pacto en contrario, que los autores han cedido los derechos patrimoniales al productor, que la ley define como quien tiene la iniciativa, la coordinación y la responsabilidad de la producción.

Quién es el productor cuando una empresa encarga un sistema a una fábrica de software no es evidente. El cliente pone la iniciativa; la fábrica pone la coordinación y la responsabilidad. Esa ambigüedad se define o no en el contrato.

Y hay un segundo problema, específico de la IA. El 23 de junio de 2026 la Dirección de Derecho de Autor de Indecopi rechazó registrar un libro escrito con ChatGPT (Resolución 1111-2025/DDA). El criterio: para que exista obra protegida hace falta la impronta de una persona expresada en decisiones libres y creativas. Redactar instrucciones sofisticadas no basta. Usar la herramienta sí puede dar lugar a obra protegida cuando hay selección, reescritura y reorganización humanas de por medio.

Llevado a tu contrato, eso significa algo incómodo: una cláusula de cesión total puede estar transfiriéndote la titularidad de algo que no tiene titular. No es que el código no te sirva. Es que si mañana un tercero lo copia, tu posición para reclamar es más débil de lo que creías.

Cláusula 1 · Cesión expresa, escrita y detallada

El artículo 95 del Decreto Legislativo 822 exige que los contratos de cesión de derechos patrimoniales consten por escrito, y el artículo 89 limita la cesión a los derechos, el plazo y el territorio efectivamente pactados. Traducción práctica: no sirve «el cliente será titular del software». Hay que enumerar las modalidades de explotación cedidas, decir que la cesión es exclusiva, ilimitada en el tiempo y sin límite territorial, e incluir el código fuente, la documentación técnica y los manuales.

Cláusula 2 · Declaración de intervención humana

El proveedor declara que sobre el código entregado hubo revisión, selección y reescritura por parte de personas identificables de su equipo, y se obliga a poder acreditarlo. No es una formalidad: es lo que sostiene que haya obra y, por lo tanto, que la cesión de la cláusula 1 tenga objeto.

Procedencia: qué entró a tu proyecto y de dónde

Un asistente de código no solo escribe funciones. También decide, sin preguntar, qué librerías de terceros va a usar. Cada una de esas librerías llega con su propia licencia, su propio mantenedor y su propio riesgo.

Dos cosas pueden salir mal ahí, y las dos son verificables. La primera: que entre código bajo una licencia de código abierto incompatible con el uso comercial que tú le vas a dar. La segunda, más específica de la IA, es que el modelo invente el nombre de una librería que no existe. Ese fenómeno se midió: en 2026 la tasa quedó entre 4.62% y 6.10%, y se identificaron 53 nombres inventados que todavía pueden ser registrados por un atacante. Lo explicamos a mayor detalle en el costo oculto de la IA mal usada.

Cláusula 3 · Inventario de componentes y garantía de licencias

El proveedor entrega, junto con cada versión, un inventario completo de los componentes de terceros incorporados: nombre, versión, origen y licencia. Garantiza que ninguna licencia impide el uso comercial pactado, y asume la responsabilidad de sanear el software si aparece una incompatibilidad. Este inventario se genera automáticamente. Un proveedor que no puede producirlo no sabe qué te entregó.

Tus datos y tu código dentro de herramientas ajenas

Cuando un desarrollador le pide ayuda a un asistente sobre un módulo de tu sistema, ese módulo sale de tu infraestructura y entra a la de otra empresa. Si el módulo toca datos personales de tus clientes, además de un asunto de confidencialidad tienes un asunto regulatorio.

El Decreto Supremo 016-2024-JUS, reglamento de la Ley 29733 y vigente desde el 30 de marzo de 2025, es explícito. Su artículo 31 prohíbe al encargado del tratamiento transferir a terceros los datos personales objeto del servicio salvo autorización del responsable. El artículo 32 exige autorización previa para subcontratar, autorización que puede estar en el contrato original. Y el artículo 33 establece que el subcontratado asume las mismas obligaciones que el encargado. Ya hemos publicado sobre el alcance completo del reglamento en qué cambió con el DS 016-2024-JUS.

La lectura que casi nadie hace: una herramienta de inteligencia artificial operada por un tercero es, para efectos de esa norma, un tercero. Si tu proveedor mete datos tuyos ahí sin que tú lo hayas autorizado, el incumplimiento existe aunque nadie se entere. Y la responsabilidad frente a la Autoridad Nacional de Protección de Datos Personales sigue siendo tuya.

Cláusula 4 · Autorización expresa de herramientas y prohibición de entrenamiento

El contrato lista las herramientas de IA que el proveedor está autorizado a usar sobre tu proyecto y bajo qué modalidad de servicio. Incorporar una nueva requiere aviso previo. Se prohíbe que tu código o tus datos se usen para entrenar modelos, y se exige que la configuración contratada por el proveedor lo garantice. Se define qué información nunca sale de tu entorno.

Cláusula 5 · Subcontratación que alcance a las herramientas

El régimen de subcontratación del contrato se redacta de modo que cubra también a los proveedores de herramientas, no solo a personas o empresas de desarrollo. Es el mismo mecanismo del artículo 32, aplicado a un tipo de tercero que los contratos antiguos no consideraban.

Calidad que se mide, no que se promete

«Aplicamos buenas prácticas» no es una obligación contractual: es una intención. Lo que se puede exigir es un número, con línea base y con consecuencia.

Por qué importa más que antes: el programa DORA de Google Cloud encontró que la estabilidad de la entrega cae conforme sube la adopción de IA sin controles, y Faros AI midió sobre 22,000 desarrolladores que tras la adopción los incidentes por cambio integrado subieron 242.7% y los cambios integrados sin ninguna revisión subieron 31.3%. En el Perú, el estudio de PwC y la UTEC de agosto de 2026 encontró que solo el 10% de las empresas encuestadas tiene modelos de gobernanza de IA integrados.

Cláusula 6 · Indicadores de entrega con línea base y consecuencia

Se pactan tres cifras medibles: cada cuánto falla un cambio en producción, cuánto tarda el servicio en recuperarse y cuánto pasa entre que el código se escribe y llega a producción. Se fija la línea base al inicio del contrato y el umbral que no se puede cruzar. El artículo 1341 del Código Civil permite pactar una penalidad por incumplimiento; sin ella, el indicador es decorativo.

Cláusula 7 · Revisión humana trazable

Todo cambio que llega a producción pasó por revisión de al menos una persona distinta de quien lo escribió, y esa revisión queda registrada. El proveedor reporta mensualmente qué porcentaje de cambios se integró sin revisión. La meta es que sea cero. Y el valor de ese reporte no está en el número: está en que obliga a sentarse todos los meses a revisar por qué algo pasó sin revisión y qué se cambia para que no vuelva a pasar.

Cuando lo que te construyen es un sistema de inteligencia artificial

Hasta acá hablamos de usar IA para construir software. Es distinto cuando el software que te construyen es un sistema de inteligencia artificial: un modelo que decide a quién se le aprueba un crédito, un sistema que clasifica y prioriza los reclamos que entran, un asistente que atiende a tus clientes.

Ahí entra la Ley 31814 y su reglamento, el Decreto Supremo 115-2025-PCM, publicado el 9 de setiembre de 2025. El reglamento clasifica los sistemas por riesgo y para el sector privado exige transparencia hacia el usuario sobre la finalidad del sistema, supervisión humana en los sistemas de riesgo alto y registro de su funcionamiento, sus datos y su lógica. Los plazos de adecuación del sector privado van de uno a cuatro años según la actividad.

El punto que debemos tener claro: esas obligaciones caen sobre quien opera el sistema, no sobre quien lo programó. Si te entregan un modelo de evaluación crediticia sin registro de su lógica ni mecanismo de supervisión humana, el problema regulatorio es tuyo y no del proveedor o implementador.

Cláusula 8 · Traslado de las obligaciones de la Ley 31814

Cuando el entregable es un sistema de IA, el contrato lo clasifica por nivel de riesgo, y el proveedor se obliga a entregar la documentación que el reglamento exige: qué datos se usaron, cómo decide el sistema, qué mecanismo de supervisión humana tiene y cómo se informa al usuario final. Esto se tiene que entregar con el software y no después de esa entrega.

La salida se negocia al entrar

La última cláusula es la que nadie quiere discutir en la reunión de firma y es la que tiene más valor.

Cláusula 9 · Salida ordenada

Al terminar el contrato, por la razón que sea, el proveedor entrega el código fuente completo y compilable, la documentación de arquitectura y despliegue, las credenciales y accesos, y un período de transferencia de conocimiento con horas definidas. Si algún componente del sistema depende de infraestructura o de herramientas internas del proveedor, ese componente se declara desde el inicio en una lista, y para cada uno el contrato dice con qué se reemplaza, quién ejecuta el reemplazo y en cuántos días.

Un proveedor sólido firma esta cláusula sin incomodarse. La resistencia a hacerlo es, por sí sola, información.

Las nueve cláusulas de un vistazo

Lo que no funciona pedir

Dos cosas que aparecen en borradores de contrato y no resuelven nada.

Prohibir la IA por completo. Es inverificable, empuja el uso a la clandestinidad, donde ya no hay controles ni registro, y te deja fuera de la ganancia real que sí existe en cierto tipo de código. El problema no está en la herramienta.

Pedir un porcentaje de «código escrito por humanos». No hay forma acordada de medirlo, y cualquier número que te den es una declaración, no un dato. Lo que sí se puede medir es lo de las cláusulas 6 y 7: qué falla, cuánto tarda en recuperarse y qué pasó por revisión.

Conclusión

Ninguna de estas nueve cláusulas te protege de un mal proveedor. Un contrato bien redactado no arregla una relación que no debió empezar.

Lo que hacen es otra cosa: convierten en obligación verificable lo que hoy se resuelve con confianza. Y en un mercado donde la mayoría de proveedores adoptó inteligencia artificial mucho más rápido de lo que adoptó controles, la diferencia entre un proveedor que firma estas cláusulas sin tantos peros y uno que pide tiempo para consultarlas te dice, en una sola reunión, con quién estás tratando.

Nosotros usamos inteligencia artificial todos los días y tenemos un marco de trabajo propio, AI-Forge, precisamente porque lo que separa un buen resultado de uno caro es el método con que se aplica. Estas nueve cláusulas describen lo que un cliente debería poder exigirle a cualquier proveedor con el que vaya a trabajar.