Soberanía de Datos con IA para Empresas: El Problema del 73 %

El 73 % de las grandes empresas reconoce que sus sistemas de IA mandan datos fuera del país al menos una vez por semana. Solo el 33 % lo hace a diario, pero la cifra que de verdad importa es otra: la mitad de esas mismas empresas admite que su falta de visibilidad sobre ese tráfico podría provocarles un incumplimiento normativo que todavía no han detectado (Harbr Data, encuesta a directores de TI y de datos de grandes empresas británicas, citada por IntelligentCIO, abril de 2026). No es un problema de países pequeños ni de proveedores dudosos: es lo que pasa cada vez que un empleado pega un documento en un asistente de IA sin preguntarse dónde se procesa.

La realidad semanal: dónde van realmente tus prompts

Cuando una empresa contrata un asistente de IA, casi siempre revisa el precio, la integración y, como mucho, si cumple el RGPD sobre el papel. Lo que rara vez revisa es algo más simple: en qué país se ejecuta el modelo cuando responde, en qué país se entrena con esos datos si el contrato lo permite, y en qué país quedan los registros de la conversación. La encuesta de Harbr Data lo confirma con un dato incómodo: el 91 % de las empresas dice que las leyes de localización de datos ya influyen en sus decisiones de contratación de IA, pero el 47 % reconoce que no tiene suficiente personal cualificado para gestionar ese riesgo transfronterizo, y el 28 % ni siquiera tiene claro qué departamento es responsable de vigilarlo.

El informe 2026 Data Security Forecast de Kiteworks, basado en 225 responsables de seguridad, TI y riesgo de 10 sectores y 8 regiones, añade el matiz que de verdad distingue la IA de un problema de soberanía de datos clásico: el 29 % de las empresas señala las transferencias transfronterizas de IA como su principal punto de exposición, no porque hayan resuelto el almacenamiento y descuidado el resto, sino porque sus controles se diseñaron para datos guardados en un servidor, no para datos que viajan por una canalización de IA en cada inferencia. Guardar los datos en la UE o en EAU ya no basta si el modelo que los procesa corre en otro continente cada vez que alguien hace una pregunta.

«Usamos un proveedor que cumple la ley» no es lo mismo que saberlo

Esta es la frase que más repiten los equipos de cumplimiento cuando se les pregunta por su proveedor de IA, y es la que menos aguanta una auditoría real. El mismo informe de Kiteworks encontró que el 42-45 % de las empresas de Oriente Medio (Emiratos y Arabia Saudí) está preocupado específicamente por cómo gestionan sus proveedores externos de IA los datos, un porcentaje empujado por las exigencias explícitas de localización de datos de la región, no por una sospecha genérica. En Alemania, el 60 % de las empresas teme que su proveedor de IA comparta datos con terceros sin autorización, casi el doble de la media mundial.

El motivo por el que «cumple la ley» no basta es que la mayoría de los contratos de proveedores de IA permiten el reentrenamiento, el procesamiento en varias regiones o la subcontratación a otro proveedor de infraestructura sin que el cliente lo note, salvo que lo haya pactado por escrito (ver nuestra revisión de contratos con IA: qué detecta y qué se le escapa). Preguntar «¿cumples el RGPD?» a un proveedor casi siempre da un sí. Preguntar «¿en qué país se ejecuta la inferencia cuando mi equipo de Madrid usa la herramienta a las 9 de la mañana, y qué cambia si lo usa la oficina de Dubái a las 9 de la tarde?» rara vez tiene una respuesta inmediata, y esa es la pregunta que de verdad importa.

Lo que de verdad miran los reguladores

No es una amenaza en abstracto. La Comisión de Protección de Datos de Irlanda ya ha impuesto dos de las mayores multas de la historia del RGPD precisamente por transferencias internacionales de datos: 1.200 millones de euros a Meta por seguir enviando datos de usuarios europeos a Estados Unidos sin garantías suficientes tras la sentencia Schrems II, y 530 millones de euros a TikTok en 2025 por transferencias a China bajo el mismo principio. Ninguna de las dos multas fue por una brecha de seguridad: fue por no poder demostrar dónde acababan los datos y con qué garantías.

El Reglamento de IA de la Unión Europea añade ahora una capa de sanciones propia (hasta 35 millones de euros o el 7 % de la facturación global, según la infracción, explicado con más detalle en nuestro análisis de qué exige ya el Reglamento de IA de la UE a tu empresa), y en el Golfo la ausencia de una ley de IA específica no ha impedido que reguladores como la DFSA sancionen a empresas por fallos de cumplimiento relacionados con IA y datos (lo vimos con el caso DFSA-Moody’s, sancionada sin que hubiera ni un solo hackeo de por medio). La Ley Federal de Protección de Datos Personales de EAU exige, igual que el RGPD, que cualquier transferencia internacional de datos personales cuente con un nivel de protección adecuado en el país de destino o con garantías contractuales equivalentes. Si tu proveedor de IA no puede decirte en qué país procesa los datos, no puedes demostrar esa garantía, sin importar lo bien redactada que esté su política de privacidad.

Qué hacer esta semana

1. Pide a tu proveedor de IA una lista por escrito de en qué países se almacenan, se procesan y se entrenan (si aplica) los datos de tu empresa, no solo dónde dice tener sede el proveedor. 2. Revisa si tu contrato permite el reentrenamiento con tus datos o la subcontratación de la infraestructura a un tercero sin aviso previo: es la cláusula que más veces se pasa por alto. 3. Haz un inventario de qué herramientas de IA usa realmente tu plantilla, no solo las que ha aprobado IT: la IA en la sombra mueve datos fuera del país igual que la autorizada, y nadie la está auditando. 4. Comprueba qué dato concreto exige tu sector: una gestoría fiscal con clientes en España y Emiratos no tiene el mismo requisito de residencia de datos que una empresa de software sin datos personales sensibles. 5. Pregunta por la ruta exacta de un dato, no por una certificación genérica: SOC 2 o ISO 27001 confirman que el proveedor gestiona bien la seguridad, no en qué país concreto se ejecuta tu consulta de hoy. Esta pregunta encaja de forma natural en la evaluación de riesgo de proveedores que ya deberías estar haciendo antes de firmar cualquier contrato de IA.

Cómo ayudamos

En Optima Quantum auditamos qué herramientas de IA usa realmente tu empresa (incluida la que nadie ha aprobado formalmente), revisamos los contratos de tus proveedores de IA cláusula por cláusula para localizar dónde viajan tus datos de verdad, y te entregamos un informe claro de qué cumple, qué no y qué hay que cambiar antes de que lo pregunte un regulador o un cliente. Puedes pedir una auditoría de seguridad gratuita y empezar por ahí.

Preguntas frecuentes

¿La soberanía de datos con IA es solo un problema para empresas que operan en varios países? No. Basta con que uses un asistente de IA cuyo proveedor procese las consultas en un centro de datos de otro país, algo habitual incluso en herramientas que se venden como «europeas» o «locales»: el frontend puede estar en tu país y la inferencia, en otro.

¿El RGPD ya cubre esto, o necesito algo más? El RGPD regula las transferencias internacionales de datos personales desde 1995 (actualizado tras Schrems II), pero no fue escrito pensando en pipelines de IA que procesan datos en tiempo real en varias regiones a la vez. Cumplir el RGPD en papel no garantiza tener visibilidad real de esas rutas.

¿Qué diferencia hay entre dónde se «almacenan» los datos y dónde se «procesan»? Mucha, y es el matiz que más empresas ignoran: un proveedor puede guardar tus datos en un servidor de la UE y, aun así, enviarlos a un modelo que corre en Estados Unidos o Asia para generar cada respuesta. La garantía de almacenamiento no cubre el procesamiento.

¿Qué pasa si mi proveedor de IA no puede decirme en qué país procesa mis datos? Es la señal de alarma más clara que existe. Si no puede responder con un país concreto y un contrato que lo respalde, no puedes demostrar cumplimiento ante un regulador, y es el momento de pedir esa información por escrito o buscar una alternativa que sí la dé.

¿Esto afecta más a empresas con clientes en Emiratos o en la Unión Europea? Afecta a ambas, por motivos distintos: la UE sanciona con fuerza las transferencias sin garantías (los casos de Meta y TikTok lo demuestran), y EAU exige expresamente adecuación o garantías contractuales para cualquier transferencia internacional bajo su Ley de Protección de Datos Personales. Si tu empresa tiene clientes o datos en ambas zonas, el requisito no se suma, se duplica.