Por qué el hosting en la UE importa a los equipos de SaaS e IA: RGPD, Schrems II y CLOUD Act

El RGPD se aplica cuando tratas datos personales en el contexto de las actividades de un establecimiento en la UE (artículo 3, apartado 1). Si no tienes establecimiento en la UE, también se aplica al tratamiento de datos personales de personas que se encuentran en la UE cuando está relacionado con la oferta de bienes o servicios a esas personas o con el control de su comportamiento allí (artículo 3, apartado 2). A partir de ahí, dónde se alojan esos datos y qué empresa los aloja determinan en qué medida entran en juego las transferencias internacionales y el acceso de autoridades extranjeras. El RGPD restringe las transferencias de datos personales fuera del EEE, la legislación de EE. UU. puede obligar a los proveedores cloud y de comunicaciones estadounidenses a entregar datos que guardan en el extranjero, y los prompts de IA suelen estar llenos de datos personales.

Este artículo explica las reglas de forma sencilla y termina con una lista de comprobación para elegir proveedor. No es asesoramiento legal: para tu caso concreto, consulta a tu delegado de protección de datos o a un abogado.

La regla del RGPD sobre transferencias

El capítulo V del RGPD (artículos 44 a 50) regula las “transferencias de datos personales a terceros países u organizaciones internacionales”. Un tercer país es cualquier país fuera de la UE y del Espacio Económico Europeo. El artículo 44 fija el principio: los datos personales solo pueden salir si se cumplen las condiciones de ese capítulo. Hay tres vías principales:

• Decisión de adecuación (artículo 45): la Comisión Europea decide que un país protege los datos personales con un nivel esencialmente equivalente al de la UE. Entonces los datos pueden transferirse allí sin más garantías.
• Garantías adecuadas (artículo 46): por ejemplo, las cláusulas contractuales tipo que la Comisión adoptó en la Decisión de Ejecución (UE) 2021/914, o normas corporativas vinculantes dentro de un grupo de empresas (artículo 47).
• Excepciones (artículo 49): excepciones limitadas para situaciones específicas, no una base para el hosting habitual.

Incumplir estas reglas se sanciona en la categoría de multas más elevadas del RGPD: hasta 20 millones de euros o el 4% del volumen de negocio total anual global, si esta cifra es mayor (artículo 83, apartado 5).

Schrems II: por qué no bastaba con un contrato

El 16 de julio de 2020, el Tribunal de Justicia de la UE resolvió el asunto C-311/18, conocido como Schrems II. Declaró inválido el Privacy Shield UE-EE. UU., que entonces era la decisión de adecuación para Estados Unidos. El Tribunal concluyó que los programas de vigilancia estadounidenses no se limitaban a lo estrictamente necesario y que las personas cuyos datos se transferían no tenían forma de acudir a un órgano independiente con garantías equivalentes a las del Derecho de la Unión.

Las cláusulas contractuales tipo siguieron siendo válidas, pero con una condición. La protección tiene que ser esencialmente equivalente a la de la UE, y la evaluación debe tener en cuenta los elementos pertinentes del ordenamiento jurídico del país de destino, en particular el acceso por parte de las autoridades públicas. Exportador y destinatario tienen que comprobarlo antes de la transferencia. Si no se pueden cumplir las cláusulas, la transferencia debe suspenderse o terminarse.

Para los equipos, firmar dejó de ser suficiente: antes de apoyarte en las cláusulas, tienes que analizar la legislación del país al que van tus datos.

El EU-US Data Privacy Framework

El 10 de julio de 2023, la Comisión adoptó la Decisión de Ejecución (UE) 2023/1795, una nueva decisión de adecuación para el EU-US Data Privacy Framework (DPF, Marco de Privacidad de Datos UE-EE. UU.). Los datos personales pueden transferirse sin garantías adicionales a las empresas estadounidenses que participan en el marco. Las empresas se adhieren comprometiéndose a cumplir una serie de obligaciones de privacidad; el Departamento de Comercio de EE. UU. administra el marco, y la Comisión Federal de Comercio (FTC) o el Departamento de Transporte, según la organización, hace cumplir los compromisos. Por el lado gubernamental, el marco limita el acceso de los servicios de inteligencia estadounidenses a lo necesario y proporcionado, y creó un Tribunal de Revisión de la Protección de Datos (Data Protection Review Court) para las reclamaciones de personas de la UE.

Dos cosas que conviene tener en cuenta:

• Solo cubre a las empresas participantes. Un proveedor estadounidense que no esté certificado necesita otra vía, como las cláusulas contractuales tipo.
• Ha sido impugnado. El Tribunal General de la UE desestimó un recurso de anulación el 3 de septiembre de 2025 (asunto T-553/23), y la parte demandante recurrió en casación ante el Tribunal de Justicia (asunto C-703/25 P); el recurso seguía pendiente cuando se escribió este artículo. Los dos marcos anteriores para EE. UU., Safe Harbour y Privacy Shield, fueron declarados inválidos por ese Tribunal.

La CLOUD Act de EE. UU.: la ubicación no lo es todo

La Clarifying Lawful Overseas Use of Data Act se promulgó el 23 de marzo de 2018 como parte de la Consolidated Appropriations Act, 2018. Añadió el 18 U.S.C. 2713: los proveedores de servicios de comunicaciones electrónicas o de computación remota deben cumplir sus obligaciones, conforme a ese capítulo (capítulo 121 del título 18), de conservar, hacer copia de seguridad o revelar comunicaciones y registros de clientes que estén en su “possession, custody, or control” (posesión, custodia o control), mediante el procedimiento legal aplicable, con independencia de que esos datos se encuentren dentro o fuera de Estados Unidos.

En la práctica, un proveedor estadounidense con un centro de datos en Fráncfort puede recibir una orden de EE. UU. que abarque los datos almacenados allí. El RGPD establece un límite en sentido contrario: según el artículo 48, una sentencia de un órgano jurisdiccional o una decisión de una autoridad de un tercer país que exija una transferencia o comunicación solo puede reconocerse o ejecutarse en la UE si se basa en un acuerdo internacional, como un tratado de asistencia jurídica mutua. Eso no descarta cualquier comunicación, porque el artículo 48 se aplica “sin perjuicio de otros motivos para la transferencia”, pero toda comunicación sigue necesitando una base jurídica según el artículo 6 y un motivo de transferencia según el capítulo V. El proveedor tiene que resolver ese conflicto, y tus datos quedan en medio.

Para un destinatario estadounidense certificado en el DPF, la decisión de adecuación cubre la propia transferencia: según el CEPD, no necesita un instrumento de transferencia aparte ni medidas complementarias. Comprueba que el destinatario figura actualmente en la DPF List y sigue cumpliendo tus demás obligaciones del RGPD. Lo que una región en la UE no cambia por sí sola es a qué legislación nacional responde el proveedor.

Por qué la IA lo hace más urgente

El RGPD define los datos personales como toda información sobre una persona identificada o identificable, por ejemplo mediante un nombre, un número de identificación, datos de localización o un identificador en línea (artículo 4, punto 1). Fíjate en lo que suelen tratar las funciones de IA:

• tickets de soporte e historiales de chat con nombres, direcciones de email y números de pedido,
• currículums, contratos, facturas e informes médicos que se suben para resumirlos o extraer datos,
• transcripciones de llamadas y notas de reuniones,
• repositorios enteros de documentos indexados para retrieval-augmented generation (RAG).

Cada prompt con ese contenido es un tratamiento de datos personales y, si el modelo se ejecuta en un tercer país, puede ser una transferencia. Así que, para cada componente de IA, hazte las mismas preguntas que para tu base de datos: ¿dónde se ejecuta la inferencia?, ¿se almacenan o se registran en logs los prompts y las respuestas, y durante cuánto tiempo?, ¿se usan para entrenar?, ¿y qué proveedor del modelo hay detrás de la API como subencargado del tratamiento?

Lista de comprobación: cómo elegir un proveedor

1. Sede y propiedad. ¿Dónde está constituido el proveedor y quién es su propietario? La CLOUD Act se refiere a los datos que están en posesión, custodia o control de un proveedor, así que la empresa que hay detrás del servicio importa tanto como el centro de datos.
2. Región de los datos. ¿Puedes elegir una región en la UE para apps, bases de datos, backups y logs, y los datos se quedan allí a menos que los muevas tú? ¿Dónde se ejecutan el dashboard y la API, y dónde se almacenan los datos de la cuenta?
3. Acceso remoto y transferencias ulteriores. ¿Quién puede acceder a los datos y desde dónde? El acceso del propio personal del proveedor desde el extranjero requiere una seguridad adecuada. Poner los datos a disposición de otra empresa fuera del EEE, como un subencargado del tratamiento, requiere una base de transferencia del capítulo V, que el exportador debe evaluar y documentar. Tener servidores en Fráncfort no lo resuelve por sí solo.
4. Subencargados del tratamiento. Pide la lista con el país de cada empresa. Según el artículo 28, apartado 2, un encargado no puede recurrir a otro encargado sin tu autorización previa por escrito, específica o general. Comprueba cómo te informan de los cambios.
5. Contrato de encargo del tratamiento (DPA). El artículo 28, apartado 3, exige un contrato (u otro acto jurídico) con tu encargado del tratamiento. Comprueba que puedes firmarlo sin un contrato empresarial y qué vía de transferencia se utiliza si los datos salen de la UE.
6. Certificaciones. Los informes ISO 27001 o SOC 2 del proveedor y de sus centros de datos muestran que los controles de seguridad se auditan. No dicen nada sobre qué legislación nacional se aplica, así que léelos junto con los puntos 1 y 2.
7. Aspectos específicos de la IA. Ubicación de la inferencia, conservación de prompts y respuestas, uso para entrenamiento y el proveedor del modelo detrás de la API.

Cómo lo gestiona Nodion

Nodion es una plataforma gestionada por Nodion GmbH, una empresa alemana con sede en Stuttgart. Las API y el control plane de Nodion están alojados en Alemania. La región EU Central está en Fráncfort del Meno; según la documentación de regiones, su centro de datos tiene las certificaciones ISO 27001, ISO 9001, ISO 14001 e ISO 50001, cumple PCI DSS y dispone de un informe SOC 2, y el proveedor de infraestructura tiene la certificación ISO 27001, cumple PCI DSS y dispone de un informe SOC 1.

Eliges la región al crear un servicio, y después no cambia. Las apps, bases de datos, volúmenes, buckets, el registro, los logs y las métricas de ese servicio se quedan en la región que elegiste. Los proveedores de infraestructura de cada región figuran como subencargados del tratamiento en la documentación de regiones, y puedes firmar el DPA por tu cuenta. Nodion también opera regiones en EE. UU., así que elige EU Central cuando crees un servicio que deba ejecutarse en la UE.