IA propia en la UE o IA generativa externa: qué cambia al tratar documentos con datos personales

Qué comparamos exactamente

Opción A, IA propia o alojada en la UE: el modelo que lee el documento (por ejemplo, para detectar datos personales) se ejecuta en servidores de la organización o de un proveedor que lo aloja en la Unión Europea y que no reenvía el contenido a terceros. El proveedor actúa como encargado del tratamiento con un contrato y una lista de subencargados conocida.

Opción B, IA generativa externa: el texto completo se envía a un servicio de terceros, sea la versión web de un chatbot de consumo, una versión empresarial o una API. Lo que ocurre después depende de las condiciones del proveedor: dónde se procesa, cuánto se conserva, quién puede revisarlo y si se usa para mejorar modelos.

Ojo con los matices: «nube» no es sinónimo de riesgo. Un SaaS europeo también es nube. La diferencia relevante no es la palabra, sino quién trata los datos, dónde, con qué contrato y para qué fines.

Transferencias internacionales: el capítulo V del RGPD

El RGPD solo permite transferir datos personales fuera del EEE si existe una decisión de adecuación (art. 45), garantías adecuadas como las cláusulas contractuales tipo (art. 46) o, de forma excepcional y restrictiva, alguna de las excepciones del art. 49. Enviar un documento a un servicio cuyo procesamiento o soporte está en otro país puede ser una transferencia aunque tú no lo percibas así.

Para Estados Unidos existe desde el 10 de julio de 2023 la Decisión de Ejecución (UE) 2023/1795, que declara adecuado el Marco de Privacidad de Datos UE-EE. UU. (EU-US Data Privacy Framework). Ampara las transferencias a entidades estadounidenses que se hayan autocertificado y figuren en la lista oficial del Departamento de Comercio. Si la entidad concreta que recibe los datos no está certificada, hay que recurrir a otras garantías, normalmente cláusulas contractuales tipo con una evaluación del riesgo. El marco ha sido impugnado ante los tribunales de la UE, así que conviene seguir su evolución.

Que un proveedor diga «procesamos en la UE» ayuda, pero no lo resuelve todo: pregunta también por accesos remotos de soporte desde terceros países y por los subencargados que intervienen.

Contrato de encargado, conservación y uso de los datos

Si una organización usa un servicio externo para tratar datos personales por su cuenta, ese proveedor es su encargado y el art. 28 RGPD exige un contrato que fije instrucciones documentadas, confidencialidad del personal, medidas de seguridad del art. 32, régimen de subencargados y la supresión o devolución de los datos al terminar.

Las versiones de consumo de muchos chatbots se rigen por condiciones pensadas para particulares, y el proveedor puede reservarse usos propios de lo que se introduce. Las versiones empresariales y las API suelen ofrecer un acuerdo de tratamiento, pero no lo des por supuesto: revisa las condiciones del proveedor antes de enviar nada.

• ¿Se usan las entradas o los ficheros para entrenar o mejorar modelos? ¿Se puede desactivar y a qué nivel (usuario u organización)?
• ¿Cuánto tiempo se conservan las conversaciones, los ficheros y los registros, también para la vigilancia de abusos?
• ¿En qué países se procesa y desde dónde se accede para soporte?
• ¿Hay acuerdo de tratamiento firmado y lista de subencargados actualizada?
• ¿Quién de tu organización tiene cuenta, con qué configuración y quién la controla?

Confidencialidad y secreto profesional

El art. 5 de la LOPDGDD extiende el deber de confidencialidad a responsables, encargados y a todas las personas que intervengan en el tratamiento. Para abogados, sanitarios o empleados públicos se suma el secreto profesional propio de cada profesión: pegar un escrito con datos de un cliente en un chatbot de consumo es comunicar esa información a un tercero, aunque nunca llegue a filtrarse. Y no todo es dato personal: estrategias procesales, ofertas o secretos empresariales también merecen protección.

La AEPD lo resume en su decálogo «Cuidado con lo que le confIAs» (enero de 2026): seguir las políticas de seguridad de la organización, no incluir información confidencial de la entidad, de su plantilla o de sus clientes y, cuando sea posible, plantear un caso ficticio en lugar de uno real.

El Reglamento de IA, en su justa medida

El Reglamento (UE) 2024/1689 entró en vigor el 1 de agosto de 2024 y se aplica de forma escalonada: las prácticas prohibidas y la obligación de alfabetización en IA (art. 4) desde el 2 de febrero de 2025, las obligaciones de los modelos de uso general desde el 2 de agosto de 2025 y el resto en fases posteriores. No sustituye al RGPD: si hay datos personales, el RGPD se sigue aplicando completo. Usar un chatbot para resumir documentos no convierte a una organización en proveedora de un sistema de alto riesgo, pero sí debe formar a quien lo usa y decidir para qué se permite.

Comparativa: IA propia en la UE frente a IA generativa externa

Cuándo tiene sentido cada opción

• IA propia o alojada en la UE: documentos con datos de clientes, pacientes, empleados o ciudadanos; expedientes sujetos a secreto profesional; volúmenes grandes y repetitivos; organizaciones que necesitan trazabilidad y auditoría.
• IA generativa externa: textos sin datos personales ni información confidencial, borradores genéricos, plantillas, traducciones de material público o documentos previamente anonimizados.
• Combinación de ambas: anonimizar o seudonimizar primero con una herramienta que no saca los datos de la UE y, después, usar el chatbot solo con la versión limpia.

La tercera vía es la más práctica para muchos equipos y la explicamos en anonimizar documentos antes de usar ChatGPT u otros chatbots. Recuerda que un documento seudonimizado sigue siendo dato personal para quien conserva la clave de correspondencia (considerando 26 RGPD); si vas a compartirlo fuera, valora si te basta la seudonimización o necesitas anonimizar de forma irreversible.

Anonimatum sigue el modelo de la opción A: detecta datos personales con IA propia ejecutada en servidores de la Unión Europea, sin enviar el texto a APIs externas de modelos de lenguaje, combina IA con patrones y deja revisar cada propuesta antes de aplicarla. Puedes consultar dónde se procesan los documentos y qué se conserva en seguridad y protección de datos, y comparar enfoques en anonimización manual frente a automática.