La frase que causa casi todos los malentendidos
Cuando un proveedor escribe «EU data residency», significa que el dato se almacena o se procesa físicamente en un centro de datos de la UE. Es una afirmación real, comprobable y útil.
Lo que no significa: que todos los elementos del tratamiento se queden en la UE, que el soporte no pueda mirar desde otro sitio, que la parte contratante esté sujeta a derecho europeo, o que la autoridad de un tercer país no pueda pedir acceso. Geografía y jurisdicción son dos preguntas distintas, y los materiales de marketing las tratan con regularidad como una sola.
(Este artículo no es asesoramiento jurídico — antes de decidir, que lo revise tu propio abogado.)
Tres cosas distintas que se confunden
Si separas estas tres, media conversación de compras se resuelve sola:
- Data residency. Dónde están físicamente el dato y el cálculo. Elección de región, endpoint, centro de datos. Comprobable y lo más fácil de cumplir.
- Cumplimiento en protección de datos. Base del RGPD, contrato de encargo de tratamiento, lista de subencargados, plazo de supresión, uso para entrenamiento . Esto se resuelve en el contrato, no en el mapa.
- Soberanía. A qué derecho está sujeta la parte contratante, quién es el propietario, quién tiene acceso desde operaciones y qué autoridad puede reclamar datos. Es lo más difícil, y no lo resuelve ningún desplegable de regiones.
¿Qué opciones europeas hay hoy?
En otoño de 2026 existen estas vías, de la más fácil a la más difícil:
- Un endpoint europeo en los grandes proveedores. Varios fabricantes estadounidenses ofrecen un proyecto o endpoint de región europea donde el tratamiento corre en un centro de datos de la UE.
- Una zona de datos de nube. Los grandes proveedores de nube ofrecen zona de datos europea o perfil de inferencia europeo para sus modelos, bajo tu contrato actual.
- Un fabricante europeo. Hay una familia de modelos desarrollada en la UE con endpoint europeo propio — aquí la parte contratante también es europea.
- Un modelo de pesos abiertos en un proveedor europeo. Los modelos descargables los puede ejecutar cualquier operador europeo con el que firmes tú.
- Alojamiento propio. Servidor propio o máquina alquilada propia. Aquí la pregunta queda zanjada — a cambio, el coste y la operación son tuyos.
Siete preguntas que deciden cuán soberano es
Estas son las siete que hay que plantear al proveedor. Juntas dan la foto:
- ¿Quién es la parte contratante? ¿La filial europea o la matriz? ¿Qué derecho es el aplicable?
- ¿Quién es el propietario y dónde está? Cuenta la jurisdicción de la empresa que está al final de la cadena de propiedad, no la de la filial.
- ¿Quiénes son los subencargados? Pide la lista por escrito. Detrás de un endpoint europeo puede haber un subproveedor fuera de la UE.
- ¿Quién mira desde operaciones? El soporte, la depuración y la supervisión suelen venir de un sitio distinto de donde está el dato.
- ¿Quién tiene las claves? Cifrado con gestión de claves europea o con la clave del proveedor — no es lo mismo.
- ¿Cuál es la base legal de las transferencias? Si algo sale, necesita un mecanismo válido.
- ¿Entrenan con ello? ¿Por defecto, o solo con consentimiento? Esto difiere entre planes de consumo y de empresa.
¿Qué exige la ley y qué no?
Te aplican dos conjuntos de reglas distintos, y no se sustituyen entre sí.
El RGPD va de datos personales y lleva años en vigor. Es el que exige contrato de encargo, base legal, mecanismo de transferencia y reglas de supresión. La IA no es una excepción.
El Reglamento de IA va de sistemas de IA y entra en vigor por fases. Las obligaciones sobre los modelos de uso general son exigibles desde el 2 de agosto de 2026. Lo que de esto te toca no suele ser la obligación del fabricante del modelo sino tu propia documentación y transparencia como usuario. Una diferencia importante: el Reglamento de IA no impone ubicación de datos. Si quieres almacenamiento europeo, esa es una decisión de negocio o de RGPD, no un requisito del Reglamento de IA.
¿Cómo de estricto ser? Tres niveles
No todos los datos piden el mismo trato. Tres niveles bastan en la mayoría de las empresas:
Contenido público o neutro. Texto de marketing, una entrada de blog, una nota interna sin datos sensibles. Aquí la residencia no es cuestión — usa lo que mejor haga el trabajo.
Dato interno de negocio. Propuestas, precios, planes, nombres de clientes. Aquí hace falta contrato de encargo, entrenamiento desactivado y a ser posible endpoint europeo. En la mayoría de las empresas esta es la categoría principal.
Dato de categoría especial. Salud, biométrico, penal, o datos personales a gran escala. Aquí las siete preguntas necesitan respuesta, y el alojamiento propio suele ser la única solución limpia.
El orden práctico
Cuatro pasos, en este orden — casi todas las empresas empiezan por el tercero, y ese es el error:
- Primero clasifica el dato en los tres niveles de arriba. Sin eso aplicarás la regla más estricta a todo, y el trabajo se para.
- Después mira lo que ya tienes. Si la empresa usa un gran proveedor de nube, puede que los modelos ya estén disponibles en región europea bajo tu contrato actual.
- Solo entonces elige proveedor, con las siete preguntas.
- Por último, escribe qué corre dónde. Una tabla de una página con qué tarea corre en qué proveedor y en qué región — eso es lo que hay que sacar en una auditoría.
Qué llevarte
La data residency es geografía, la soberanía es jurisdicción — no son lo mismo, y «un servidor en Fráncfort» por sí solo resuelve solo lo primero. Las siete preguntas dan la foto real, y el RGPD y el Reglamento de IA son dos sistemas distintos, de los que solo el primero habla de ubicación del dato. Y clasifica el dato primero; elige proveedor después.