Residencia no es soberanía: la pregunta que debes hacerle a tu proveedor de analítica con IA

«Alojado en Europa» se ha convertido en la respuesta refleja a cualquier pregunta sobre IA y protección de datos. Y también es, por sí sola, casi irrelevante. La ubicación de un servidor te dice dónde reposan los bytes. No te dice nada sobre quién puede llamar a la puerta y exigirlos.

Esa distinción —residencia frente a soberanía— es lo más importante que hay que entender antes de dejar que una función de IA toque tus datos de analítica. Y es, además, la distinción que la mayoría de proveedores confía discretamente en que se te pase por alto.

Dos palabras que no son sinónimas

La residencia de los datos es una cuestión de geografía: ¿en qué país se almacenan o se tratan mis datos? La soberanía del dato es una cuestión de jurisdicción: ¿qué leyes pueden obligar a darles acceso? Un proveedor puede darte una respuesta impecable a la primera mientras la segunda echa por tierra el conjunto.

El mecanismo es este. El CLOUD Act estadounidense (2018) obliga a cualquier proveedor sujeto a la jurisdicción de EE. UU. a revelar los datos que estén en su «posesión, custodia o control», con independencia del lugar del mundo donde se almacenen. Para las personas no estadounidenses, la Sección 702 de la FISA añade además un régimen separado de recopilación de inteligencia extranjera. A ninguno de los dos le importa qué centro de datos elegiste. A los dos les importa de quién es la empresa.

Así que cuando un proveedor de IA con sede en Estados Unidos te ofrece una región en Fráncfort o en París, el dato vive en Europa y sigue siendo alcanzable bajo la ley estadounidense, las dos cosas a la vez. Residencia: sí. Soberanía: no.

Por qué la casilla de «región UE» no basta

Todos los grandes proveedores de IA estadounidenses ofrecen ya alguna forma de tratamiento europeo: OpenAI con su residencia de datos en la UE, el Claude de Anthropic a través de las regiones europeas de AWS Bedrock, el Gemini de Google fijado a Vertex AI en Bélgica o Países Bajos. Cada una de esas opciones es una mejora real frente a mandar los datos a Virginia. Ninguna cambia la jurisdicción corporativa de la entidad que opera el servicio.

Y la base legal de reserva para los flujos de datos UE-EE. UU. no es terreno firme. El Data Privacy Framework UE-EE. UU. superó su primer recurso judicial en septiembre de 2025, pero hay una apelación pendiente ante el Tribunal de Justicia de la UE y en 2026 se anunció una impugnación nueva, ya apodada «Schrems III». Sus dos predecesores, Safe Harbor y Privacy Shield, fueron anulados. Construir una funcionalidad crítica para la privacidad sobre una base legal con ese historial es una apuesta, no una garantía.

La arquitectura que se salta todo el debate

Hay una respuesta más limpia que discutir sobre mecanismos de transferencia: construir de forma que no llegue a producirse ninguna transferencia internacional. Si el dato nunca sale de la UE y el proveedor que ejecuta la inferencia no tiene matriz estadounidense, el Capítulo V del RGPD —todo el capítulo de transferencias internacionales, del artículo 44 en adelante— no llega a activarse. Sin cláusulas contractuales tipo. Sin evaluación de impacto de la transferencia. Sin depender de que el Data Privacy Framework sobreviva a su próximo día en los tribunales.

Esta es la decisión que hay detrás de Seal AI, la capa de IA privada dentro de SealMetrics. La inferencia se ejecuta solo en la infraestructura de Scaleway en París. Scaleway es una empresa francesa con matriz francesa (el grupo Iliad) y sin propiedad estadounidense: afirma sin rodeos que sus servicios de IA no están sujetos a leyes extraterritoriales como el CLOUD Act norteamericano. El modelo es de pesos abiertos y estático; no se entrena con tus datos y, por defecto, no se retiene nada.

Tres preguntas para auditar a cualquier proveedor de analítica con IA

No hace falta ser abogado para poner a prueba lo que afirma un proveedor. Haz estas preguntas, en este orden:

1. ¿De quién es la empresa que ejecuta la inferencia? Si hay una matriz estadounidense, una región europea no elimina la exposición al CLOUD Act. Párate aquí: el resto es secundario.
2. ¿Dónde se ejecuta el modelo, en exclusiva? «Podemos tratar los datos en la UE» no es lo mismo que «solo tratamos los datos en la UE». Un endpoint global que puede enrutar a otro sitio no es solo-UE.
3. ¿Qué se retiene y qué entrena al modelo? Retención cero de los prompts y ningún entrenamiento con tus datos deberían ser el comportamiento por defecto, por escrito, en la documentación de subencargados; no un extra que se vende con el plan enterprise.

Si un proveedor no puede responder a la primera pregunta con «una empresa europea, sin matriz estadounidense», entonces todo lo que diga sobre residencia, cifrado o certificaciones es decorar una casa construida sobre la jurisdicción de otro.

En resumen

La residencia es la mitad amable de la respuesta, la que luce en un folleto. La soberanía es la mitad que determina de verdad si un gobierno extranjero puede llegar a los datos de tus clientes. Cuando las dos entran en conflicto —un servidor en la UE propiedad de una empresa estadounidense—, gana la jurisdicción. Pregunta de quién es el proveedor antes de preguntar dónde está el servidor. En una plataforma de analítica que pone la privacidad primero, la capa de IA no puede ser justo el sitio donde esa respuesta falla.