Ideas clave
- La residencia de los datos (dónde están) y la jurisdicción (qué ley puede obligar a entregarlos) son preguntas distintas, y una región de la UE no responde a la segunda si la matriz es de fuera.
- Lee el tipo de despliegue, no el marketing: en la plataforma de Microsoft, por ejemplo, los despliegues Global pueden procesarse en cualquier región y los de zona de datos se procesan dentro de la zona de la UE.
- Las cinco opciones realistas son proveedores con sede en la UE, zonas de datos de la UE de hiperescaladores, nubes soberanas de hiperescaladores, modelos de pesos abiertos autoalojados y pasarelas que enrutan a modelos ajenos.
- Para datos de salud, jurídicos, de recursos humanos y del sector público, elimina los datos personales antes del modelo y prefiere un proveedor con sede en la UE o tus propios servidores.
Residencia, soberanía y jurisdicción no son lo mismo
El alojamiento en la UE describe una ubicación, no una evaluación completa de cumplimiento. Comprueba dónde se ejecuta el modelo y dónde están el almacenamiento, los registros, las copias y el soporte. Revisa después el operador, los subencargados y los contratos. Un punto de acceso europeo puede reenviar solicitudes, y una «zona de datos de la UE» puede incluir países ajenos a la Unión.
La residencia de datos y la jurisdicción son comprobaciones distintas. Identifica al operador contratado y su matriz y evalúa con tu equipo jurídico las normas de acceso, subencargados y garantías. La dirección del centro de datos no responde por sí sola a esas preguntas.
Cinco formas de ejecutar IA dentro de la UE
| Opción | Dónde se procesan los datos | Pregunta abierta | Suele encajar en |
|---|---|---|---|
| Proveedores con sede en la UE y sus propias API de inferencia (por ejemplo IONOS AI Model Hub o fabricantes europeos de modelos como Mistral AI) | En los centros de datos de la UE del proveedor | Revisa en los documentos de cada proveedor la región, los subencargados y el uso para entrenamiento. La oferta de modelos puede ser más estrecha | Trabajo regulado en el que importa la jurisdicción |
| Hiperescalador de EE. UU., zona de datos de la UE (por ejemplo Azure OpenAI Data Zone para la UE) | Dentro de la zona configurada, cuyos límites debes comprobar | El límite exacto de la zona, la jurisdicción de la matriz y cuál es el ajuste por defecto | Uso empresarial general con un buen contrato |
| Hiperescalador de EE. UU., nube soberana (por ejemplo la AWS European Sovereign Cloud) | En una región separada solo de la UE, con operaciones en la UE | Si la estructura elimina la exposición a leyes extranjeras es objeto de debate, no está resuelto. La oferta de modelos puede ser limitada | Organizaciones que quieren herramientas de hiperescalador con mayor separación |
| Modelos de pesos abiertos autoalojados en tu nube de la UE o en local | En infraestructura que controlas | Tú lo operas, lo actualizas y lo escalas | Los datos más sensibles, organismos públicos, hospitales |
| Pasarelas y agregadores | Depende del modelo que haya detrás | Una pasarela con punto de acceso en la UE puede reenviar tu prompt a un modelo alojado en otro sitio | Prototipos, con el enrutamiento comprobado |
¿Cómo comprobar una promesa de alojamiento en la UE?
Haz estas preguntas por escrito y guarda las respuestas junto a tu EIPD. Los detalles importan más que la etiqueta.
- ¿La inferencia, y no solo el almacenamiento, se hace dentro de la UE? La documentación de Microsoft, por ejemplo, dice que los datos en reposo se quedan en la geografía elegida mientras que los despliegues Global pueden procesar los prompts en cualquier región.
- ¿Qué países forman exactamente la zona? La zona de datos de la UE de Microsoft sigue su límite de datos de la UE, que puede incluir países de la AELC como Noruega y Suiza, y Microsoft puede añadir regiones sin aviso previo.
- ¿El ajuste de la UE es el predeterminado o hay que elegirlo? En la plataforma de Microsoft la documentación recomienda empezar con Global Standard, de modo que un despliegue en la UE es una decisión deliberada.
- ¿Se registran los prompts y las respuestas, y durante cuánto tiempo? IONOS afirma que el contenido no se escribe en registros ni en almacenamiento persistente y que solo se conservan metadatos de la petición.
- ¿Se usa tu contenido para entrenar o mejorar algún modelo, y consta en el contrato?
- ¿Quién opera el servicio, quién es el dueño del operador y qué ley de qué país puede alcanzarlo?
- ¿Qué subencargados y qué personal de soporte pueden ver tus datos, y desde dónde?
- ¿Las funciones opcionales, como conectores, herramientas o servicios en vista previa, envían datos a otro sitio?
- ¿Qué dicen el contrato de encargado, los derechos de auditoría y las condiciones de salida?
Qué cambió en 2026
En septiembre de 2026, AWS anunció modelos de pesos abiertos en Amazon Bedrock dentro de su European Sovereign Cloud. Es una opción adicional, no una garantía para tu caso. Confirma el modelo, la región, las condiciones del servicio y los flujos de datos antes de elegirla.
¿Qué opción para qué datos?
| Tipo de datos | Nuestra recomendación por defecto |
|---|---|
| Contenido público o de marketing | Cualquier proveedor con contrato de encargado y una política de entrenamiento clara |
| Datos personales corrientes de clientes o empleados | Una zona de datos de la UE o un proveedor con sede en la UE, con eliminación de datos antes del modelo y registros de auditoría |
| Datos de salud, jurídicos, de recursos humanos y del sector público | Un proveedor con sede en la UE o modelos de pesos abiertos autoalojados, con eliminación de datos, registros de auditoría y revisión humana |
| Todo aquello cuya filtración sería un incidente grave | Autoalojado en tus propios servidores o en local |
Elimina los datos personales que la tarea no necesita. Esto limita la exposición, pero no convierte automáticamente el texto restante en anónimo ni elimina las demás obligaciones del RGPD.
¿Cómo se relaciona con la Ley de IA?
La Ley de IA no exige alojamiento en la UE. Te pide conocer tu papel, clasificar el uso y mantener registros, documentación y supervisión humana donde el riesgo lo requiera. El lugar donde se ejecuta la plataforma importa sobre todo por el RGPD y por la facilidad con la que puedas obtener registros y documentación del proveedor. En la capa del modelo, el proveedor de un modelo de uso general tiene sus propias obligaciones, que se aplican desde el 2 de agosto de 2025, así que pide a tu proveedor la documentación que te debe.
Envíanos los tipos de datos, los países permitidos y la carga prevista. Compararemos opciones de despliegue alojadas en la UE y en tu propia infraestructura.
Compara opciones de alojamiento de IAFAQ
¿Cumple el RGPD una región de la UE de un proveedor de nube estadounidense?
Puede cumplirlo, con el contrato y los ajustes adecuados, porque que los datos se queden en la UE simplifica las normas de transferencia. No elimina la cuestión de la jurisdicción para una matriz estadounidense, así que para los datos más sensibles muchas organizaciones prefieren operadores europeos o sus propios servidores.
¿Podemos ejecutar un LLM por completo en nuestros propios servidores?
Sí. Los modelos de pesos abiertos pueden ejecutarse en tu propia cuenta de nube de la UE o en local. Asumes la operación y la planificación de capacidad y, a cambio, los datos nunca salen de tu control.
¿Exige la Ley de IA alojar la IA en la UE?
No. La Ley se aplica allí donde se usen los resultados de un sistema en la UE. El lugar de alojamiento importa sobre todo para el RGPD y para acceder a los registros y la documentación que necesitas.
Fuentes
- Microsoft Learn, Understanding deployment types in Microsoft Foundry Models
- Documentación de IONOS Cloud, AI Model Hub: tratamiento de datos
- AWS Security Blog, Run open weight models on Amazon Bedrock in the AWS European Sovereign Cloud, 17 de septiembre de 2026
- Comité Europeo de Protección de Datos, Dictamen 28/2024 sobre modelos de IA
- Reglamento (UE) 2016/679 (RGPD), capítulo V sobre transferencias, Diario Oficial de la UE
Sobre el autor
Artem Synytskyi · Cofundador · IA
Artem dirige la IA en ESADEX y desarrolla sistemas LLM, RAG y de voz a texto para entornos regulados.
