Ideas clave
- Ningún LLM cumple el RGPD por sí solo. Lo que cumple es tu uso, que depende de la base jurídica, el contrato de encargado, dónde corren la inferencia y los registros y qué datos personales envías.
- Los modelos de pesos abiertos permiten ejecutar la inferencia en servidores que controlas. Sigues teniendo las obligaciones del RGPD como responsable y debes leer la licencia.
- Las obligaciones de la Ley de IA para modelos de uso general (artículos 53 y 55) recaen en el proveedor del modelo y se aplican desde el 2 de agosto de 2025. Las tuyas dependen del caso de uso.
- El Dictamen 28/2024 del CEPD indica que, si despliegas un modelo que conserva datos personales, debes evaluar si se desarrolló de forma ilícita. Pregunta al proveedor qué puede demostrar.
¿Qué hace que un LLM cumpla el RGPD?
Ningún modelo de lenguaje cumple el RGPD por sí solo. El cumplimiento describe cómo lo usas: tu base jurídica (artículo 6, y artículo 9 para datos de salud), un contrato de encargado del tratamiento según el artículo 28 si un proveedor trata tus datos, una vía lícita para cualquier transferencia fuera de la UE (artículos 44 a 46) y medidas de seguridad según el artículo 32. La etiqueta «conforme con el RGPD» de un proveedor no sustituye esas comprobaciones.
En ESADEX construimos sistemas LLM que cumplen el RGPD y la Ley de IA de la UE. Partimos de tus datos y de tus opciones de despliegue, elegimos después el modelo y dejamos el razonamiento en tu EIPD.
¿Qué despliegue encaja con tus datos?
| Despliegue | Quién trata tus datos | Qué comprobar | Suele encajar con |
|---|---|---|---|
| API desde la región de la UE de un proveedor | El proveedor, en la región de la UE | La empresa matriz del operador y su exposición jurídica, las condiciones de transferencia, la conservación de prompts y registros y si tus entradas entrenan el modelo | Texto de sensibilidad baja, con contrato de encargado firmado |
| Proveedor con sede en la UE que aloja modelos de pesos abiertos | Una empresa de la UE sujeta al derecho de la UE | Dónde corren la inferencia, los registros y las copias de seguridad, los subencargados y el acceso de soporte | La mayoría de los usos empresariales con datos personales |
| Modelo de pesos abiertos en tus servidores o en tu nube de la UE | Tú | Tu seguridad, tus registros y tus actualizaciones, y la licencia del modelo | Datos de salud, jurídicos, de RR. HH. y otros sensibles |
| Herramienta de chat de consumo | El proveedor, con condiciones de consumo | Si las condiciones incluyen un contrato de encargado y excluyen el entrenamiento con tus entradas | No para datos personales salvo que las condiciones comerciales lo cubran |
Nuestra guía sobre plataformas de IA alojadas en la UE explica cómo comprobar por escrito una promesa de alojamiento. Nuestra guía sobre RAG conforme con el RGPD cubre la capa de recuperación.
¿Modelo de pesos abiertos o modelo cerrado?
Pesos abiertos significa que puedes descargar el modelo y ejecutarlo tú. Tus prompts permanecen entonces en una infraestructura que controlas, lo que elimina a un tercero encargado del tratamiento. No hace que el sistema cumpla por sí solo. Te conviertes en el operador, así que asumes la seguridad, el control de accesos, los registros y las actualizaciones. Lee la licencia antes de decidir, porque difieren en el uso comercial y en otras condiciones.
Un modelo cerrado al que se accede por API suele ser más sencillo para empezar. A cambio, el proveedor trata tus prompts, así que necesitas el contrato de encargado, una vía de transferencia y condiciones escritas sobre conservación y entrenamiento.
¿Qué normas de la UE se aplican a un modelo de lenguaje?
| Norma | A quién obliga principalmente | Qué significa para ti |
|---|---|---|
| RGPD | A ti como responsable y a cualquier proveedor como tu encargado | Base jurídica, contrato, transferencias, seguridad y una EIPD cuando el riesgo es alto. |
| Ley de IA, normas para modelos de IA de uso general (artículos 51 a 55) | A la empresa que introduce el modelo en el mercado | Documentación técnica, una política de derechos de autor y un resumen de los datos de entrenamiento. Se aplican desde el 2 de agosto de 2025 y la Comisión puede sancionar desde el 2 de agosto de 2026. Los modelos ya comercializados antes del 2 de agosto de 2025 tienen hasta el 2 de agosto de 2027. |
| Ley de IA, transparencia del artículo 50 | A proveedores y responsables del despliegue de chatbots y contenido generado | Informa de que las personas tratan con una IA y etiqueta cierto contenido generado. Consulta nuestra guía del artículo 50. |
| Ley de IA, normas de alto riesgo | A proveedores y responsables del despliegue de sistemas de alto riesgo | Dependen de tu caso de uso, no del modelo. Las obligaciones del anexo III se aplican desde el 2 de diciembre de 2027 según el Reglamento (UE) 2026/1744. |
Usar un modelo mediante API no suele convertirte en su proveedor. Según la Comisión, el ajuste fino solo lo hace en casos excepcionales, cuando tus cambios usan más de un tercio del cómputo de entrenamiento del modelo original. Los proveedores de modelos de código abierto reciben alivio en algunas obligaciones de documentación, pero no en la política de derechos de autor ni en el resumen de datos de entrenamiento, y tampoco si el modelo tiene riesgo sistémico. Crear un producto sobre un modelo sí puede convertirte en proveedor de un sistema de IA, que es otro papel.
¿Qué dijo el CEPD sobre los datos de entrenamiento?
En el Dictamen 28/2024, adoptado el 17 de diciembre de 2024, el Comité Europeo de Protección de Datos indicó que las autoridades de control deciden caso por caso si un modelo es anónimo. Tanto la probabilidad de extraer datos personales directamente del modelo como la de obtenerlos mediante consultas deben ser insignificantes, teniendo en cuenta todos los medios que razonablemente podrían utilizarse. Si el modelo conserva datos personales y lo despliegas como responsable distinto, el Comité espera que evalúes si se desarrolló mediante un tratamiento ilícito, atendiendo al origen de los datos y a cualquier infracción declarada por una autoridad o un tribunal. Pide a tu proveedor sus respuestas y guárdalas en tu EIPD.
Seis preguntas antes de elegir
- ¿Dónde están la inferencia, los registros, las copias de seguridad y el acceso de soporte?
- ¿Qué empresa firma el contrato contigo y quién es su propietario?
- ¿El proveedor conserva tus prompts o entrena con ellos, y lo confirmará por escrito?
- ¿Qué subencargados tratan tus datos y cómo te informarán de los cambios?
- ¿Puedes borrar prompts, respuestas y registros cuando alguien ejerza el derecho de supresión del artículo 17?
- ¿La licencia permite tu uso y puede el proveedor mostrar su documentación de la Ley de IA para el modelo?
Cuéntanos tu caso de uso, el tipo de datos y dónde debe ejecutarse el modelo. Respondemos en menos de 4 horas laborables y podemos preparar un documento de alcance y arquitectura con presupuesto cerrado en unos cinco días.
Hablar de mi proyecto LLMFAQ
¿Puedo usar ChatGPT u otro modelo de EE. UU. con datos personales según el RGPD?
A veces. Necesitas un contrato comercial con acuerdo de encargado, una vía lícita de transferencia como el Marco de Privacidad de Datos UE-EE. UU. (si el proveedor está certificado y la decisión sigue vigente) o cláusulas contractuales tipo, y ajustes que impidan entrenar con tus entradas. Comprueba cada punto por escrito y valora antes la sensibilidad de los datos.
¿Un LLM de código abierto cumple el RGPD automáticamente?
No. Ejecutarlo en tus servidores mantiene los datos bajo tu control, pero sigues necesitando una base jurídica, medidas de seguridad, reglas de conservación y, si el riesgo es alto, una EIPD.
¿Importa que el LLM esté alojado en Suecia, Alemania u otro país de la UE?
Para el RGPD importa más el operador que el Estado miembro, porque el RGPD se aplica en toda la UE y el EEE. Elige país por latencia, expectativas del cliente o normas sectoriales y comprueba después el operador, sus subencargados y su acceso de soporte.
¿Qué normas de la Ley de IA se aplican a una empresa que solo usa un LLM?
Tus obligaciones dependen del caso de uso. Un chatbot necesita transparencia según el artículo 50. Un sistema para selección de personal o puntuación crediticia puede ser de alto riesgo. Las obligaciones de los artículos 53 y 55 corresponden al proveedor del modelo.
Fuentes
- Reglamento (UE) 2016/679 (RGPD), artículos 6, 9, 17, 28, 32, 35 y 44 a 46, Diario Oficial de la UE
- Reglamento (UE) 2024/1689 (Ley de IA), artículos 25, 50 y 51 a 55, Diario Oficial de la UE
- Comisión Europea, directrices para proveedores de modelos de IA de uso general, preguntas frecuentes
- Comité Europeo de Protección de Datos, Dictamen 28/2024 sobre determinados aspectos de protección de datos en el contexto de los modelos de IA, 17 de diciembre de 2024
- Reglamento (UE) 2026/1744 (Ómnibus Digital de IA), Diario Oficial de la UE
- Decisión de Ejecución (UE) 2023/1795 de la Comisión sobre el Marco de Privacidad de Datos UE-EE. UU., Diario Oficial de la UE
Sobre el autor
Artem Synytskyi · Cofundador · IA
Artem dirige la IA en ESADEX y desarrolla sistemas LLM, RAG y de voz a texto para entornos regulados.
