La IA puede preparar correos, resumir documentos y apoyar investigaciones. Cuando intervienen datos personales, la calidad de la respuesta es solo parte del trabajo: ¿quién recibe qué información, para qué y durante cuánto tiempo?
Un servidor propio puede dar más control sobre documentos y accesos. No cumple por sí solo todos los requisitos legales. Los servicios en la nube también pueden utilizarse bajo condiciones adecuadas. Importan el servicio, la tarea, los contratos y la configuración.
El RGPD y la IA: Lo que las empresas necesitan saber#
Revisión: 30 de septiembre de 2026. Cada operación necesita una base jurídica adecuada. Los datos de salud y otras categorías especiales necesitan además una condición del artículo 9 RGPD. La limitación de finalidad, minimización, transparencia, exactitud, conservación limitada y seguridad también se aplican a la IA local.
Dar una dirección de correo para una consulta no autoriza automáticamente el entrenamiento de modelos. El consentimiento tampoco es la única base posible para toda operación de IA. Hay que evaluar finalidad y tarea concretas.
El problema con las herramientas de IA en la nube#
La API recibe las entradas y fragmentos que se le envían. Entrenamiento, conservación y lugar de procesamiento son cuestiones distintas. La API de OpenAI no utiliza las entradas para entrenamiento por defecto, pero puede conservar registros de supervisión de abusos y datos de determinadas funciones. El procesamiento europeo está disponible bajo condiciones y no cubre automáticamente todos los metadatos o servicios conectados.
Ni «nube significa EE. UU.» ni «sin entrenamiento significa sin almacenamiento» son reglas fiables. Una transferencia internacional no hace que el RGPD deje de aplicarse. Deben evaluarse el mecanismo de transferencia permitido y las salvaguardas adicionales.
La Ley de IA de la UE: Reglas según tarea y riesgo#
Tras el AI Omnibus, la Comisión Europea describe plazos distintos. Las reglas de transparencia se aplican desde agosto de 2026; los usos pertinentes de alto riesgo del anexo III desde el 2 de diciembre de 2027 y los sistemas de alto riesgo integrados en productos regulados desde el 2 de agosto de 2028. La competencia en IA se exige desde febrero de 2025.
| Área | Qué debe evaluar la empresa |
|---|---|
| Prácticas prohibidas | La práctica definida legalmente y sus condiciones, incluidas determinadas manipulaciones |
| Alto riesgo | La finalidad prevista, como determinadas decisiones de contratación o crédito |
| Transparencia | Si las personas interactúan con IA o debe indicarse cierto contenido sintético |
| Otros usos | RGPD, seguridad y otras leyes siguen aplicándose aunque no haya requisitos específicos del AI Act |
Se clasifica la aplicación, no todo un sector. No todo texto generado necesita una etiqueta visible. Chatbots y determinados contenidos sintéticos tienen condiciones y excepciones propias. Las multas máximas corresponden a infracciones concretas, no a una sanción uniforme para todo uso de IA.
Una posible arquitectura: IA en el servidor propio#
Qué significa esto concretamente#
Almacenamiento propio con modelo en la nube: Documentos y conocimiento residen en el servidor. Para responder se envían contenidos seleccionados a una API. La transferencia debe estar documentada y ser lícita; la minimización reduce su alcance, no la elimina.
Modelo local: La inferencia se ejecuta en el hardware propio. Que todos los contenidos permanezcan allí depende también de correo, mensajería, búsquedas, procesamiento de voz, copias, mantenimiento y registros. La inferencia local sola no garantiza aislamiento completo.
Ambos diseños necesitan permisos, actualizaciones seguras, cifrado, copias probadas y plazos de conservación. Tecnología y contratos se complementan. Ninguna ubicación garantiza cumplimiento del RGPD de fábrica.
¿Para quién es relevante un servidor propio?#
Un diseño local puede convenir para expedientes sensibles, secreto profesional o mucho conocimiento interno. La calidad del modelo, número de usuarios y soporte deben encajar. Preparar textos generales no exige automáticamente hardware propio.
Ejemplo práctico: Flujos de datos cotidianos#
Una empresa de 30 personas quiere resumir correos, preparar presupuestos y consultar conocimiento de proyectos. Antes del inicio define qué puede leer el sistema y quién revisa los resultados.
Resumen de correo: Solo se procesan los mensajes necesarios. Con una API se envían sus contenidos seleccionados al proveedor; con inferencia local ese paso queda en el hardware propio.
Borrador de presupuesto: Se utilizan una tarifa aprobada y datos necesarios del cliente. Antes del envío se comprueban precios, compromisos y destinatario.
Planificación de contenidos: Los textos públicos deberían necesitar los mínimos datos personales de clientes. El conocimiento de empresa puede seguir siendo confidencial y requerir permisos.
Nota móvil: Telegram u otro canal externo procesa datos adicionales. Enviar una nota por ese canal no demuestra que todo quede exclusivamente en el servidor propio. La información sensible necesita un acceso adecuado y revisado.
Lista de verificación: ¿Se ha evaluado su uso de IA?#
- ¿Están documentadas finalidad y base jurídica de entradas, consultas y comunicaciones?
- ¿Se han definido los roles de encargados, responsables independientes o corresponsables? Un encargado necesita un contrato del artículo 28.
- ¿Se han evaluado por separado entrenamiento, procesamiento, conservación y borrado?
- ¿Se conocen almacenamiento, procesamiento, subencargados y posibles accesos internacionales?
- ¿Pueden cumplirse los derechos de los interesados, incluidos borrado y rectificación necesarios? Hay que considerar conservación legal y copias.
- ¿Están resueltos permisos, registro de actividades y una posible evaluación de impacto?
Contar respuestas inciertas no es una prueba de cumplimiento. Una sola comunicación importante sin resolver puede impedir el inicio.
¿Cuánto cuesta un despliegue adecuado?#
Se determina mediante análisis de necesidades. Hardware o alojamiento, configuración, integraciones, uso del modelo y funcionamiento son costes separados. Alcance, copias, mantenimiento y soporte se acuerdan en el presupuesto. Consulte nuestros sistemas de IA locales.
Protección de datos y productividad pueden combinarse#
Empieza por la tarea y sus datos; después elige modelo local, servicio en la nube revisado o una combinación. La ubicación alemana puede ayudar, pero no sustituye base jurídica, contratos ni procesos seguros.
¿Quieres evaluar los flujos de un sistema previsto? Contacta con nosotros.
Lee también: Tu propio servidor IA: ¿Cuánto cuesta y qué aporta?
Fuentes y fecha de revisión#
Revisado el 30 de septiembre de 2026.
