Residencia de datos en IA: quién guarda tus datos en la UE

Cuando una empresa española repasa sus herramientas de IA, la pregunta del precio suele llegar después de otra: dónde acaban los datos. La respuesta corta engaña, porque que un proveedor guarde tus conversaciones en Fráncfort no quiere decir que las procese allí, ni que la ley de otro país no pueda pedírselas. La residencia de datos en IA son en realidad tres preguntas, no una.

En Aivy, que nació en Melbourne y hoy trabaja con pymes españolas, es la primera revisión que hacemos antes de montar nada para un despacho, una clínica o una asesoría. Esta guía coge lo que ya usa tu equipo, de ChatGPT y Claude a Microsoft 365 Copilot, Gemini y Mistral, y lo pasa por las pruebas que cuentan en la UE.

Aquí mandan el RGPD, con sus reglas para sacar datos personales de Europa, y una ley estadounidense de 2018, la CLOUD Act, que alcanza al proveedor tenga el servidor donde lo tenga. Abajo va la tabla herramienta por herramienta, con la fecha en que lo comprobamos, y la recomendación rápida resume con qué plan o con qué nube se queda cada una en Europa.

Residencia de datos, soberanía y transferencias: tres pruebas distintas

Ponerle nombre a cada cosa no es pedantería: es donde se tuercen casi todas las compras de IA que salen mal. El equipo pide datos en Europa, el proveedor contesta que los guarda en Europa y nadie pregunta dónde corre el modelo ni quién puede exigirle el contenido. Son pruebas distintas, y una herramienta puede aprobar la primera y suspender las demás.

El hueco que más sorprende está entre la primera fila y la tercera. Un proveedor estadounidense puede darte residencia europea de verdad, con los datos en Irlanda o en Fráncfort, y seguir sometido a la ley de su país por ser quien es. La comparativa de ChatGPT, Claude y Copilot lo toca de pasada; aquí va entero.

La CLOUD Act y por qué un servidor en Fráncfort no basta

La CLOUD Act es una ley de Estados Unidos de 2018. Obliga a los proveedores bajo su jurisdicción a conservar o entregar los datos que estén en su posesión, custodia o control, se encuentren dentro o fuera del país. El alcance sigue a la empresa, no al disco, así que un centro de datos en la UE no cambia quién recibe el requerimiento.

El RGPD contesta en su artículo 48: una sentencia o una orden administrativa de un tercer país solo justifica entregar datos personales si se apoya en un acuerdo internacional, como un tratado de asistencia judicial. Lo explicaron en 2019 el Comité Europeo de Protección de Datos y el Supervisor Europeo, y el Comité lo desarrolló después en sus directrices sobre ese artículo.

Lo único que ningún requerimiento puede pedir es lo que nunca salió de tu empresa. Esa es la idea de limpiar los datos antes de que lleguen al chat, uno de los caminos que repasa la guía de formas de evitar fugas en ChatGPT. Aquí nos quedamos en otra pregunta: qué puede hacer cada proveedor con lo que sí le mandas.

Residencia de datos de cada herramienta de IA en la UE

Cada celda sale de la documentación del proveedor, con la fecha al pie y las fuentes al final. Deciden casi siempre las columnas que menos se miran juntas: si el modelo procesa tu prompt en la UE, y no solo lo guarda, y si la matriz está al alcance de la CLOUD Act. Lo que cuesta cada plan va en la guía de planes de ChatGPT en España.

Comprobado el 27 de octubre de 2026 en la documentación de OpenAI, Anthropic, Amazon Web Services, Google, Microsoft y Mistral. Las opciones de almacenamiento y de proceso cambian a menudo: la fecha forma parte del dato.

Leída de arriba abajo, la tabla dice algo distinto de lo que se suele oír. En Europa casi todas las herramientas grandes pueden guardar y procesar aquí, siempre que pagues el plan correcto o pases por la nube correcta. Lo que casi ninguna puede es salir de la ley estadounidense: siete de las ocho opciones dependen de una matriz de Estados Unidos.

Almacenar datos en la UE no es procesarlos en la UE

Tus datos tienen dos momentos de riesgo: cuando descansan en un disco y cuando el modelo los lee para contestar. Un proveedor puede fijar tus archivos en Irlanda y mandar el prompt a otra región en cuanto pulsas intro, porque la inferencia corre donde está el modelo. OpenAI ya lo separa en dos ajustes con nombre propio: residencia de datos y residencia de inferencia.

Y aun con las dos residencias activadas, la promesa tiene bordes. OpenAI avisa de que su residencia de inferencia cubre la ejecución en GPU sobre tu contenido, pero que la autenticación, el enrutado o sacar el texto de un PDF pueden ocurrir fuera. Google tampoco cubre los registros ni la caché en las regiones de datos de Workspace.

La regla que damos es preguntar las dos cosas por separado en cualquier revisión de proveedor: dónde se guarda y dónde se procesa. Si solo te contestan a la primera, da por hecho que la segunda ocurre fuera hasta que te demuestren lo contrario. Es lo primero que fijamos en una consultoría de inteligencia artificial, porque decide qué herramientas entran en juego.

ChatGPT y Claude: dónde guardan los datos en Europa

ChatGPT puede guardar en Europa, que para OpenAI es el Espacio Económico Europeo más Suiza, pero solo en Enterprise y Edu y en espacios de trabajo nuevos. Los clientes elegibles pueden sumar que el modelo procese aquí, y la residencia no cuesta más en esos planes. Business no entra. Cómo se comparan como asistentes lo cuenta la guía de Claude frente a ChatGPT.

En la API, OpenAI guarda y procesa en Europa por su punto de acceso europeo, pero pide pasar por ventas, tener aprobados sus controles de retención y firmar una adenda. Los modelos publicados desde el 5 de marzo de 2026 cobran un 10% más en esa región. Los datos de sistema, como la facturación o los metadatos, quedan fuera de la residencia.

Con Claude todo depende de a quién se lo contrates. Anthropic dice que los datos de sus productos de empresa y de su API se guardan en Estados Unidos, y su API solo deja elegir inferencia global o en Estados Unidos. Para tenerlo en Europa hay que ir por Amazon Bedrock o Google Cloud, y no todos los modelos tienen esa salida.

Copilot, Gemini y Mistral: sus datos en la UE

Microsoft 365 Copilot, que Microsoft está rebautizando como Microsoft Copilot, trae la residencia europea más redonda de serie. Para clientes de la UE es un servicio del EU Data Boundary y el tráfico europeo se queda dentro. La excepción son los modelos de Anthropic: llegan apagados y, si los enciendes, salen del perímetro. Su duelo directo está en Copilot frente a ChatGPT para empresas.

Gemini es la trampa silenciosa de las empresas en Google Workspace. Con la región de datos en Europa, los prompts y respuestas de su app se guardan aquí desde Business Standard, pero procesarlos aquí exige Enterprise Plus, Enterprise Essentials Plus, Frontline Plus o un complemento de regiones. Y NotebookLM no lo cubre ninguna edición.

Con los complementos Enterprise Data Regions o Assured Controls, otras ediciones también procesan en la región. Fuente: ayuda de administración de Google Workspace, consultada el 27 de octubre de 2026.

Mistral es la única de la lista con matriz europea, en París. Su ayuda dice que aloja los datos en la UE por defecto, salvo que uses su punto de acceso de Estados Unidos, y avisa de que algunas funciones pueden pasar por subencargados de fuera, con cláusulas tipo. En sus planes de empresa se puede apagar parte de esas funciones.

La letra pequeña de la residencia de datos en IA

El estado general de cada herramienta esconde excepciones que tumban suposiciones razonables, y cualquiera de ellas cambia lo que puedes hacer con datos personales. Con las actas automáticas pasa igual: cada asistente de reuniones tiene sus proveedores y sus regiones, y la guía de IA para reuniones los repasa antes de que el bot entre en la llamada.

Ninguna de estas excepciones sale en la portada comercial. Viven en la página de ayuda o en la ficha técnica, cambian sin aviso y a veces dependen del modelo concreto que elijas ese mes. Por eso la fecha de comprobación es parte del dato, y por eso merece la pena repetir la revisión cada vez que cambias de plan o de modelo.

RGPD y transferencias internacionales al usar IA

Para el RGPD, que datos personales salgan del Espacio Económico Europeo hacia un proveedor de IA es una transferencia internacional, y el capítulo V pide una base para hacerla. Tu empresa sigue respondiendo como responsable aunque el fallo sea del proveedor. Cómo encaja eso con el Reglamento de IA lo explica la guía para cumplir la ley de IA usando ChatGPT.

Con Estados Unidos hay dos vías habituales. Una es el Marco de Privacidad de Datos UE y EE. UU., la decisión de adecuación de julio de 2023, que vale si el proveedor está adherido. El Tribunal General la confirmó el 3 de septiembre de 2025 y el diputado francés que la impugnó recurrió en casación. La otra son las cláusulas contractuales tipo de la Comisión.

Ninguna de las dos vías te libra de la CLOUD Act: regulan cómo salen los datos, no quién puede pedirlos después. Guardar y procesar en Europa reduce los flujos que justificar, aunque el soporte desde fuera aún puede contar como transferencia. Y qué datos no deberían llegar nunca al chat lo cuenta la guía de shadow AI en las empresas.

Soberanía de datos en IA: lo que hay hoy en Europa

La soberanía completa exige que ni el modelo, ni la nube, ni la empresa que los opera estén al alcance de una ley ajena. Hoy en Europa eso se acerca por tres caminos: un proveedor con matriz europea, las nubes soberanas que montan los grandes y un modelo abierto en tu propia infraestructura. Ninguno es un asistente listo para toda la plantilla.

Las nubes soberanas son la novedad del año. Amazon abrió en enero de 2026 su European Sovereign Cloud en Brandeburgo, separada del resto de sus regiones, operada por residentes en la UE, gestionada por sociedades alemanas y con Bedrock disponible. La matriz sigue siendo estadounidense, así que gana el control operativo, pero la pregunta de la jurisdicción no desaparece.

La forma más fuerte de residencia es que el modelo no salga de tu red. Con un modelo abierto en un servidor propio no hay proveedor al que requerir ni transferencia que justificar, a cambio de menos potencia y más mantenimiento. Qué modelos caben hoy en una máquina normal lo cuenta la guía de IA local para empresas.

Cómo elegir una IA con los datos en la UE

No hace falta volverse experto en soberanía para comprar bien. Hace falta una lista corta de preguntas y la disciplina de pedir las respuestas por escrito antes de firmar. Esta es la que pasamos a los clientes; si prefieres que la revise alguien de fuera, es el trabajo de nuestra agencia de inteligencia artificial en Madrid.

Haz las siete y el panorama se aclara rápido. Un proveedor que contesta dónde guarda y se escurre en dónde procesa ya te ha dicho algo importante. Para la mayoría de las pymes españolas la respuesta no es una herramienta soberana, sino un reparto: lo sensible, en algo que procese en la UE, y el resto, en el asistente que el equipo ya usa.

Residencia de datos en IA: empieza por la tarea

La verdad incómoda es que la herramienta que más le gusta a tu equipo puede no ser la que firma tu delegado de protección de datos, y ningún logo europeo cambia dónde corre el cálculo. Residencia, inferencia y soberanía son tres pruebas, y en Europa casi todas las grandes pasan las dos primeras si pagas el plan bueno. La tercera, casi ninguna.

Mi consejo es empezar por la tarea, no por la marca. Un equipo de marketing que redacta textos no tiene la exposición de una clínica con historias clínicas, y la misma herramienta vale para uno y descalifica al otro. Ordena tus usos por sensibilidad y asigna a cada uno lo que pasa sus pruebas; para sanidad, mira la IA para clínicas.

Es trabajo, pero se hace una vez y se reutiliza: preguntas correctas, respuestas por escrito y otra revisión cada vez que el proveedor cambia sus condiciones, que pasa a menudo. Si prefieres no hacerlo solo, reserva una reunión con nuestro equipo y cruzamos tus herramientas con estas pruebas en una media hora.

Residencia de datos en IA: preguntas frecuentes

¿Qué es la residencia de datos en IA?

Es el país o la región donde una herramienta de IA guarda tus datos en reposo. No dice dónde se ejecuta el modelo que lee tu prompt ni qué ley puede exigir esos datos al proveedor. Por eso conviene preguntar también por la residencia de inferencia y por la jurisdicción de la empresa.

¿Dónde guarda ChatGPT los datos de una empresa española?

En Estados Unidos, salvo que contrates ChatGPT Enterprise o Edu y abras el espacio de trabajo con residencia en Europa, que para OpenAI es el Espacio Económico Europeo más Suiza. Los clientes elegibles pueden añadir que el modelo también procese en Europa. ChatGPT Business no tiene esa opción.

¿ChatGPT tiene servidores en Europa?

Sí, para quien lo contrata con residencia europea. En la API, OpenAI guarda y procesa en Europa a través de su punto de acceso europeo, con aprobación previa y un recargo del 10% en los modelos publicados desde el 5 de marzo de 2026. Las integraciones externas, como la búsqueda web, siguen sus propias reglas.

¿Claude guarda los datos en Europa?

Contratado con Anthropic, no: la empresa dice que los datos se guardan en Estados Unidos y su API solo ofrece inferencia global o en Estados Unidos. Para tenerlo en Europa hay que usar Amazon Bedrock o Google Cloud en región europea. En Bedrock, Opus 5.5 y Sonnet 5.5 tienen perfil europeo y Fable 5.1 no.

¿Guardar los datos en la UE me protege de la CLOUD Act?

No. La CLOUD Act alcanza a los proveedores bajo jurisdicción de Estados Unidos estén donde estén los datos. Lo que añade la UE es el artículo 48 del RGPD, que exige un acuerdo internacional para que una orden extranjera justifique la entrega, y eso deja al proveedor entre dos leyes.

¿Puedo usar ChatGPT o Claude con el RGPD si los datos van a Estados Unidos?

Puedes, si la transferencia tiene base legal: que el proveedor esté adherido al Marco de Privacidad de Datos UE y EE. UU. o que el contrato incluya cláusulas contractuales tipo. Tu empresa sigue respondiendo como responsable del tratamiento, así que revisa el contrato de encargado y qué datos entran en la herramienta.

¿Microsoft 365 Copilot procesa los datos en la UE?

Sí, para clientes de la UE es un servicio del EU Data Boundary y el tráfico europeo se queda dentro de esa frontera. La excepción son los modelos de Anthropic dentro de Copilot: vienen desactivados en la UE y, si un administrador los activa, quedan fuera de ese compromiso.

¿Gemini en Google Workspace guarda los datos en Europa?

Con la región de datos en Europa, los prompts y respuestas de la app de Gemini se guardan aquí en las ediciones compatibles, desde Business Standard. Que además se procesen en Europa exige Enterprise Plus, Enterprise Essentials Plus, Frontline Plus o un complemento de regiones. NotebookLM queda fuera.

¿Qué IA europea guarda los datos en la UE?

Mistral, con sede en París, aloja los datos en la UE por defecto salvo que uses su punto de acceso de Estados Unidos. Avisa de que algunas funciones pueden pasar por subencargados de fuera de la UE, con cláusulas tipo, y en sus planes de empresa se pueden desactivar parte de ellas.

Última actualización: 27 de octubre de 2026