Dónde pueden vivir los datos de tu IA: lista de residencia de datos en la UE para despliegues locales e híbridos
Al terminar este artículo tendrás un mapa de una página con dónde se procesa y se guarda cada dato que toca tu IA, una decisión por cada flujo (local, alojado en la UE o nube con salvaguardas) y el registro que demuestra que la tomaste. El sitio más barato para la parte local es el PC que ya tienes.
Qué necesitas
- Una lista de tus usos de IA: asistentes, procesamiento de documentos, RAG sobre tus archivos, el modelo que va dentro de una herramienta SaaS.
- El Reglamento (UE) 2016/679 (RGPD), capítulo V, artículos 44 a 49, en EUR-Lex.
- La lista actual de decisiones de adecuación de la Comisión.
- Noventa minutos y una hoja de cálculo. Un terminal para el paso 5.
Dos palabras que no significan lo mismo
| Término | Pregunta que responde | Ejemplo |
|---|---|---|
| Residencia de datos | ¿Dónde se guardan y procesan físicamente? | ”En un centro de datos de Fráncfort” |
| Soberanía de datos | ¿Qué ley puede obligar a entregarlos? | La jurisdicción de origen del proveedor puede alcanzar datos que sus filiales guardan fuera |
El RGPD no obliga a que los datos se queden en la UE. Regula las transferencias fuera del Espacio Económico Europeo (EEE). Una región europea de un proveedor no europeo resuelve la residencia y deja la soberanía en manos del contrato y de la ley del país del proveedor. Un modelo que corre en hardware de tu edificio resuelve las dos, porque no hay transferencia ni tercero.
Paso 1: mapea cada flujo (30 minutos)
Una fila por tipo de dato y por uso de IA. La mayoría de las empresas encuentran entre seis y ocho filas.
| Flujo | Ejemplo | Se procesa en | Se guarda en | Quién puede leerlo |
|---|---|---|---|---|
| Prompts y respuestas | Preguntas del personal a un asistente | ? | ¿Registros del proveedor, 30 días? | ? |
| Documentos enviados a procesar | Facturas, contratos, currículums | ? | ? | ? |
| Embeddings | Vectores de tus manuales para RAG | ? | Base de datos vectorial | ? |
| Registros de la aplicación | Quién preguntó qué y cuándo | ? | ? | ? |
| Pesos del modelo | El propio modelo de 7B | Disco local | Disco local | Tú |
| Copias de seguridad | Copias de todo lo anterior | ? | ? | ? |
Los interrogantes son el entregable del paso 1. En una herramienta SaaS las respuestas están en su contrato de encargado del tratamiento y en su lista de subencargados; si no las encuentras en diez minutos, eso también es una respuesta.
Paso 2: clasifica cada flujo (15 minutos)
Añade tres columnas y marca lo que aplique.
- ¿Datos personales (RGPD)? Nombres, correos, currículums, historiales de clientes. Los embeddings de documentos con datos personales siguen siendo datos personales.
- ¿Categorías especiales (art. 9)? Salud, afiliación sindical, biometría, creencias. Suben el listón de todas las decisiones posteriores.
- ¿Cliente del sector público? En España, los sistemas que prestan servicios a entidades públicas entran en el Esquema Nacional de Seguridad, Real Decreto 311/2022, con sus tres categorías (básica, media y alta) y una declaración o certificación de conformidad que el órgano contratante debe exigir (BOE). Si vendes a un ayuntamiento o a un hospital, el flujo hereda ese requisito.
Paso 3: para cada flujo que salga del EEE, nombra el mecanismo (15 minutos)
| Mecanismo | Cuándo sirve | Qué debes conservar |
|---|---|---|
| Decisión de adecuación (art. 45) | El destino está en la lista de la Comisión: Andorra, Argentina, Brasil (decisión mutua cerrada en febrero de 2026), Canadá (organizaciones comerciales), Islas Feroe, Guernsey, Israel, Isla de Man, Japón, Jersey, Nueva Zelanda, República de Corea, Suiza, Reino Unido (renovada en diciembre de 2025), Uruguay y Estados Unidos para organizaciones certificadas en el Marco de Privacidad de Datos | La certificación del proveedor o el nombre del país en tu registro |
| Cláusulas contractuales tipo (art. 46) | Cualquier otro destino | Las cláusulas firmadas más una evaluación de impacto de la transferencia |
| Excepciones (art. 49) | Situaciones puntuales y concretas, como el consentimiento explícito para una transferencia | No es base para un flujo diario |
Sobre Estados Unidos: el Tribunal General desestimó el recurso contra el Marco de Privacidad de Datos el 3 de septiembre de 2025 en el asunto T-553/23 (comunicado del TJUE) y hay un recurso de casación pendiente ante el Tribunal de Justicia. Hoy el marco es válido. Ten cláusulas tipo firmadas en el cajón para cada encargado estadounidense, de modo que una futura sentencia cambie un archivo, no tu operación.
Paso 4: decide dónde corre cada flujo (15 minutos)
| Opción | Residencia | Soberanía | Qué te cuesta | Para qué sirve |
|---|---|---|---|---|
| Local, en hardware tuyo | Tu edificio | Tu jurisdicción | De una placa de 250 EUR a un Mac mini de 920 EUR, más copias y control de acceso que gestionas tú | Datos personales, categorías especiales, sector público, todo lo que no mandarías por correo |
| Proveedor con sede en la UE, región de la UE | UE | UE | Un contrato, un encargo del art. 28, revisar sus subencargados | Capacidad extra, modelos mayores de los que corre tu caja |
| Proveedor no europeo, con el mecanismo del paso 3 | Donde esté la región | La ley del país del proveedor | Cláusulas, evaluación de impacto y plan de respaldo | El 5 por ciento de tareas que necesitan un modelo de primera línea y no llevan datos personales |
El patrón que desplegamos es el camino intermedio, el híbrido: el trabajo rutinario con datos personales se queda en la máquina local; los prompts anonimizados o sintéticos pueden ir a una clave de nube con límite de gasto. Nuestro artículo del punto de equilibrio muestra que la caja local, además, se amortiza en cuanto varias personas la usan a diario.
Paso 5: demuestra que la caja local no llama a casa (10 minutos)
A auditores y clientes les convence más una demostración que un párrafo. En cualquier máquina Linux con Ollama:
# 1. Ata el servidor a la interfaz local
export OLLAMA_HOST=127.0.0.1:11434
ollama serve &
# 2. Descarga el modelo una sola vez (la única conexión saliente que verás)
ollama pull qwen2.5-coder:7b
# 3. Lanza un prompt mientras vigilas las conexiones
ss -tnp | grep -i ollama # antes: nada saliente
ollama run qwen2.5-coder:7b "Resume: [pega un documento]"
ss -tnp | grep -i ollama # durante: solo 127.0.0.1 <-> 127.0.0.1
# 4. Enseña lo que hay cargado
ollama psEn nuestra estación de trabajo, el 09-09-2026, ollama ps mostraba qwen2.5-coder:7b, 6,6 GB, 100 % GPU, y el modelo respondió a un prompt de 291 tokens sobre una factura a 34,4 tokens por segundo. El paso 3 del script no muestra ninguna conexión fuera de la máquina. Si quieres la versión teatral, desenchufa el cable de red y repite; sigue funcionando.
Paso 6: déjalo por escrito (15 minutos)
- Añade el mapa a tu registro de actividades de tratamiento del artículo 30; las columnas de “destinatarios” y “transferencias” son exactamente los pasos 1 y 3.
- Si algún flujo es de alto riesgo para las personas (seguimiento sistemático, categorías especiales a gran escala), el mapa es la primera página de la evaluación de impacto del artículo 35.
- Cada proveedor de las filas de UE o de nube necesita un contrato de encargado del artículo 28; archívalo junto al mapa.
- Los flujos locales también necesitan un destino de copias, una lista de accesos y un plazo de conservación de registros. Escríbelos en la misma página. Nuestro artículo de privacidad desde el diseño tiene los valores por defecto que usamos.
Límites honestos
- Lo local elimina la pregunta de la transferencia; no elimina el RGPD. Base jurídica, minimización, conservación y control de acceso siguen siendo tu trabajo, en tu hardware.
- La residencia del modelo importa menos de lo que parece: los modelos de pesos abiertos son archivos, y lo que se revisa es la licencia. Lo que importa es adónde van los prompts, los documentos y los registros.
- Un modelo de 7B en un mini PC no hace todo lo que hace un modelo de primera línea. Planifica la fila de nube para esas tareas y quita los datos personales antes de enviarlas.
Siguientes pasos
- Valores por defecto para la fila local: RGPD artículo 25 e IA local.
- Coste de la fila local: IA en la nube o en local, tu punto de equilibrio.
- Qué usos tuyos son de alto riesgo: guía de la Ley de IA para pymes españolas y nuestra página de cumplimiento.
- Llévate la plantilla: Plantilla de EIPD (RGPD) para sistemas de IA.
Trabaja con nosotros
Hacemos este mapa con cada cliente en una sola tarde y después instalamos la fila local en hardware que se queda en su empresa. Si quieres esa tarde, escríbenos o mira cómo trabajamos en consultoría.