La autora advierte que el riesgo de la cadena de suministro tecnológica no se queda donde lo dejó el contrato, porque nuevos subencargados, accesos o funciones de IA cambian los sistemas sin que se active una revisión jurídica, lo que llama deriva del cumplimiento. Explica que NIS2, DORA y la Ley de IA exigen una supervisión continua y responsabilizan a los órganos de dirección, y que la unidad de riesgo pasa a ser la cadena de dependencias y de datos, más allá del proveedor directo. Concluye que la mejor defensa no es una cláusula de indemnidad más fuerte, sino una pista de auditoría viva que acredite qué era cierto en cada momento.