Cada empresa pregunta lo mismo cuando ve IA por primera vez: "¿Qué pasa con nuestros datos?" Esta página explica las dos arquitecturas disponibles y el marco legal europeo que las envuelve.
"Si usamos IA, nuestros datos van a entrenar el modelo de otra empresa."
Depende del plan, no de si pagas o no. Los planes de consumo personal — ChatGPT Free, Plus y Pro; Gemini Personal; Claude Free y Pro — entrenan con tus datos por defecto. Los planes empresariales — ChatGPT Team y Enterprise, Google Workspace (Gemini for Workspace), Claude for Work / Teams — están excluidos del entrenamiento por defecto, por contrato. La pregunta correcta no es "¿usamos IA de pago?" sino "¿tenemos un plan Teams o Enterprise?"
"IA en la nube significa datos fuera de nuestro control."
Sólo si se configura así. Con un entorno de red privada virtual (VPC) y garantías contractuales de cero retención, la IA en la nube tiene el mismo nivel de aislamiento que un sistema on-premise — más las garantías de disponibilidad del proveedor.
No existe una única respuesta correcta. La decisión depende del perfil regulatorio de la empresa, la sensibilidad del dato, y la capacidad operativa interna. Normalmente llegamos a la respuesta juntos en la primera sesión de diseño.
| Opción A — Cloud privado | Opción B — Open-source local | |
|---|---|---|
| Rendimiento | Modelos frontier (GPT-4o, Claude, Gemini). Máxima capacidad. | Brecha real frente a frontier. Cierra a medida que los modelos open-source maduran. |
| Soberanía del dato | Alta — VPC + cero retención contractual. Datos fuera de vuestros servidores sólo durante el procesamiento. | Total — los datos no salen de vuestro perímetro en ningún momento. |
| Costo operativo | Pago por uso. Sin infraestructura GPU propia. Escala con el volumen. | Inversión inicial en hardware/cloud + equipo técnico para mantener el modelo. |
| Cuándo elegirlo | Empresa sin mandato de soberanía total, que prioriza capacidad y velocidad de despliegue. | Empresa con mandato explícito de datos en casa, sector muy regulado, o datos altamente sensibles. |
Independientemente de la arquitectura elegida, si la empresa opera en la UE, el RGPD aplica. No es una opción. Esta sección describe las cuatro obligaciones concretas que gestionamos en cada implementación.
Todos los datos se procesan y almacenan en regiones de la UE. Para Opción A, esto se configura explícitamente en el contrato con el proveedor (Azure, AWS, GCP tienen regiones EU con garantías de residencia). Para Opción B, el servidor es vuestro — la región es vuestra decisión.
El Art. 28 RGPD exige un contrato escrito entre vosotros (responsable) y nosotros/el proveedor (encargado). Este DPA define qué datos, para qué fin, durante cuánto tiempo, y con qué medidas de seguridad. Para Opción A, el proveedor cloud firma adicionalmente un DPA con vosotros. Todos los sub-procesadores deben divulgarse y pueden ser auditados.
Cualquier acceso desde un país fuera de la lista de adecuación de la UE requiere medidas adicionales — sin importar la nacionalidad del acceso o su ubicación física. Las salvaguardas técnicas y contractuales que implementamos:
Todos los inputs y outputs del modelo se registran con timestamps. La política de retención es configurable — podéis exigir borrado en X días. Si un interesado ejerce su derecho de supresión (Art. 17), el registro permite localizar y eliminar sus datos de forma demostrable. El log de auditoría es también el primer instrumento en caso de incidente de seguridad.
Si vuestra empresa supera estos umbrales y opera en sectores cubiertos — NIS2 distingue entre Entidades Esenciales (Anexo I: energía, salud, infraestructura digital) y Entidades Importantes (Anexo II: manufactura industrial específica — dispositivos médicos, maquinaria, equipos electrónicos; no toda manufactura está cubierta). La Directiva está en vigor en toda la UE desde octubre 2024 y obliga a mantener un registro de riesgos de seguridad de la información y a notificar incidentes significativos en 24h (notificación inicial) y 72h (informe completo). Los despliegues de IA deben catalogarse en ese registro; un fallo del modelo que afecte a un proceso crítico se convierte en un incidente reportable. Lo gestionamos como parte del diseño de la arquitectura desde el primer día.
A partir del 2 de agosto de 2026, cualquier sistema de IA diseñado para interacción directa con personas — chatbots, copilots, asistentes — debe informar al usuario de que está interactuando con una IA. La obligación recae sobre el desplegador (vosotros), no sobre el proveedor del modelo.
En la práctica: es un requisito de UX que integramos en el diseño de cada interfaz. Un banner de aviso, un mensaje de bienvenida, o una etiqueta clara. No es una amenaza regulatoria — es una línea de código que añadimos desde el principio.
Clasificamos la sensibilidad de vuestros datos
No todos los datos tienen el mismo nivel de sensibilidad. Mapeamos qué flujos procesan datos personales, comercialmente sensibles, o regulados — y cuáles no. La arquitectura sigue a la clasificación, no al revés.
Mapeamos la arquitectura correcta por flujo
No hay una única respuesta para toda la empresa. Un flujo de cotización puede ir por Opción A; un flujo que toca datos de pacientes puede requerir Opción B. El modelo híbrido por flujo es la norma, no la excepción.
Documentamos la capa contractual y operativa
DPAs, catálogo de sub-procesadores, política de retención, bitácora de auditoría — todo queda documentado antes de ir a producción. No es un trámite: es la evidencia que vuestro departamento legal y cualquier auditor necesitan.