IA Soberana vs IA en la Nube: Requisitos de Residencia de Datos por País y Región

El 58% de las iniciativas empresariales de IA reportan retrasos causados por preocupaciones de residencia de datos y cumplimiento. No retrasos causados por el rendimiento del modelo, no por adquisición de hardware, no por escasez de talento — residencia de datos.

Este artículo existe porque los oficiales de cumplimiento, CTOs y líderes de IA necesitan una referencia única para los requisitos de residencia de datos en las jurisdicciones donde operan. Para cada región principal, cubrimos: qué exige la ley para datos de entrenamiento de IA, si se permiten transferencias transfronterizas, si los pesos de modelos entrenados con datos locales pueden exportarse, y cómo es la aplicación de la ley.

Esta es una guía de referencia, no asesoría legal. Las regulaciones cambian, la aplicación varía por jurisdicción, y tu situación específica puede tener restricciones adicionales. Usa esto como punto de partida para conversaciones con tu equipo legal.

---

Tabla de Referencia Rápida

---

Unión Europea: GDPR + EU AI Act

La UE tiene el marco regulatorio más desarrollado para el manejo de datos de IA, combinando la ley de privacidad más influyente del mundo (GDPR) con la primera regulación integral de IA del mundo (EU AI Act).

Implicaciones del GDPR para datos de entrenamiento de IA

El GDPR aplica a datos de entrenamiento de IA cuando esos datos contienen datos personales — lo cual, para el procesamiento de documentos empresariales, casi siempre es el caso. Nombres en contratos, direcciones en facturas, IDs de empleados en documentos de RRHH, identificadores de pacientes en registros médicos — todo son datos personales bajo GDPR.

Requisitos clave:

• Base legal para el procesamiento: Necesitas una base legal (consentimiento, interés legítimo, contrato, obligación legal) para usar datos personales para entrenamiento de IA. El interés legítimo es la base más común para IA empresarial, pero requiere una prueba de balance documentada.
• Derechos del interesado: Las personas cuyos datos se usan para entrenamiento tienen derecho de acceso, rectificación, supresión y oposición. Cómo implementar el derecho de supresión para datos que ya se usaron para entrenar un modelo es una pregunta legal abierta — pero la obligación existe.
• Minimización de datos: Solo procesar datos personales necesarios para el propósito específico. Entrenar con documentos completos cuando solo necesitas nombres de entidades es una violación potencial.
• Evaluación de impacto en la protección de datos (DPIA): Requerida para procesamiento de alto riesgo, lo cual el entrenamiento de IA con datos personales casi seguramente califica.

Transferencias transfronterizas: La decisión Schrems II (2020) invalidó el EU-US Privacy Shield. El EU-US Data Privacy Framework (2023) restauró parcialmente las transferencias, pero está bajo impugnación legal. Las Cláusulas Contractuales Estándar (SCCs) son el mecanismo principal de transferencia, pero requieren medidas suplementarias al transferir a países sin protección adecuada.

La implicación práctica: Usar un proveedor de nube basado en EE.UU. (AWS, Azure, GCP) para procesar datos personales de la UE para entrenamiento de IA crea riesgo legal. Incluso con SCCs, el CLOUD Act de EE.UU. y la Sección 702 de FISA permiten al gobierno estadounidense acceder a datos mantenidos por empresas estadounidenses — independientemente de dónde estén almacenados físicamente los datos. Varias DPAs de la UE han encontrado esto incompatible con el GDPR.

Implicaciones del EU AI Act

El EU AI Act agrega una capa específicamente para sistemas de IA:

• Artículo 10 (Datos de entrenamiento): Los sistemas de IA de alto riesgo deben usar datos de entrenamiento que sean "relevantes, suficientemente representativos, y en la medida de lo posible, libres de errores y completos." Esto requiere gobernanza de datos documentada — qué datos se usaron, cómo se limpiaron, qué controles de calidad se aplicaron.
• Artículo 30 (Documentación técnica): Los proveedores de sistemas de IA de alto riesgo deben mantener documentación técnica detallada incluyendo especificaciones de datos, decisiones de diseño, procedimientos de entrenamiento y resultados de validación. Esta documentación debe estar disponible para inspección.
• Fecha de aplicación para alto riesgo: 2 de agosto de 2026. Las organizaciones que despliegan sistemas de IA de alto riesgo deben cumplir para esta fecha.

Qué cubre "alto riesgo": IA en salud, educación, empleo, scoring crediticio, aplicación de la ley, migración e infraestructura crítica. La mayoría de despliegues de IA empresarial en industrias reguladas caen en categorías de alto riesgo.

---

Estados Unidos: Mosaico Sectorial

EE.UU. no tiene ley federal de localización de datos ni ley federal integral de privacidad. En cambio, los requisitos de residencia de datos provienen de regulaciones sectoriales y, cada vez más, de leyes estatales de privacidad.

Regulaciones federales sectoriales

HIPAA (salud):

• Sin requisito de localización de datos — HIPAA no exige dónde se almacenan los datos
• Requiere salvaguardas administrativas, físicas y técnicas para PHI
• Se requieren Business Associate Agreements (BAAs) para cualquier tercero que procese PHI
• Se permite procesamiento en la nube con un BAA, pero algunas organizaciones de salud eligen on-premise para simplificar el cumplimiento y eliminar el riesgo de terceros
• El entrenamiento de IA con PHI requiere desidentificación (Safe Harbor o Expert Determination) o autorización del paciente

ITAR (defensa/control de exportación):

• Los datos y tecnología clasificados bajo ITAR deben ser procesados por personas estadounidenses en infraestructura controlada por EE.UU.
• Los proveedores de nube deben tener entornos compatibles con ITAR (AWS GovCloud, Azure Government)
• Para datos clasificados, se requieren entornos air-gapped en suelo estadounidense
• Los modelos de IA entrenados con datos controlados por ITAR heredan las restricciones de control de exportación

CMMC (contratistas del DoD):

• Nivel 1-2: Salvaguardas básicas, nube permitida con autorización FedRAMP
• Nivel 3+: Salvaguardas avanzadas, el manejo de Información No Clasificada Controlada (CUI) requiere controles de acceso significativos
• Entornos air-gapped comunes para Nivel 3+ dependiendo de la clasificación de datos

GLBA (servicios financieros):

• Requiere salvaguardas para información financiera del cliente
• Sin localización de datos, pero los reguladores esperan controles de acceso robustos
• El entrenamiento de IA con datos financieros está sujeto a requisitos de gestión de riesgo de modelo (SR 11-7)

Leyes estatales de privacidad

Para 2026, más de 20 estados de EE.UU. han promulgado leyes integrales de privacidad. Disposiciones clave relevantes para datos de entrenamiento de IA:

La tendencia: Las leyes estatales convergen hacia requerir la exclusión del consumidor del perfilamiento con IA e imponer evaluaciones de protección de datos para el entrenamiento de IA con datos personales. Ningún estado actualmente exige localización de datos, pero los requisitos de exclusión crean complejidad operativa para el entrenamiento de IA basado en la nube — si un consumidor se excluye, debes asegurar que sus datos sean removidos de los datasets de entrenamiento, lo cual es más difícil de auditar cuando los datos están distribuidos entre servicios en la nube.

---

Reino Unido: Marco Post-Brexit

El Reino Unido retuvo el GDPR como UK GDPR después del Brexit y mantiene su propio marco de protección de datos a través del Data Protection Act 2018 y la Information Commissioner's Office (ICO).

Diferencias clave del GDPR de la UE:

• El Reino Unido tiene sus propias decisiones de adecuación (independientes de las decisiones de adecuación de la UE)
• Las transferencias de datos UK-EE.UU. están cubiertas por la Extensión del Reino Unido al EU-US Data Privacy Framework
• El Reino Unido ha señalado un enfoque más "favorable a la innovación" para la regulación de IA, con reglas menos prescriptivas que el EU AI Act
• El marco regulatorio de IA del Reino Unido es sectorial, con reguladores existentes (FCA, ICO, Ofcom, CMA) incorporando supervisión de IA

Para datos de entrenamiento de IA: Los requisitos son sustancialmente similares al GDPR de la UE. Base legal, minimización de datos, DPIAs para procesamiento de alto riesgo y salvaguardas de transferencia transfronteriza aplican. La decisión de adecuación post-Brexit del Reino Unido por parte de la UE (actualmente vigente) significa que los datos pueden fluir entre el Reino Unido y la UE sin salvaguardas adicionales — pero esta decisión de adecuación se revisa periódicamente y podría ser retirada.

---

China: PIPL + Ley de Seguridad de Datos

China tiene el régimen de localización de datos más estricto de cualquier economía importante, con regulaciones superpuestas que crean restricciones significativas para el desarrollo de IA.

PIPL (Ley de Protección de Información Personal):

• Los operadores de infraestructura de información crítica (CIIOs) deben almacenar datos personales dentro de China
• Las transferencias transfronterizas requieren: evaluación de seguridad gubernamental, certificación de contrato estándar o certificación de protección de información personal
• La evaluación de seguridad es obligatoria para transferencias de "datos importantes" o datos personales que excedan umbrales de volumen (1M+ individuos)
• Se requiere consentimiento de los interesados para transferencias transfronterizas, con divulgación específica de identidad del destinatario y propósito

Ley de Seguridad de Datos:

• Introduce categorías de "datos importantes" y "datos centrales" con restricciones escalonadas
• Los datos centrales (seguridad nacional, líneas vitales económicas) tienen los controles más estrictos — solo procesamiento dentro de China, sin transferencia transfronteriza
• Las organizaciones deben catalogar y clasificar datos para determinar qué restricciones aplican

Regulaciones específicas de IA:

• Los servicios de IA generativa para usuarios chinos deben alojarse en infraestructura china
• Los datos de entrenamiento de IA están sujetos a requisitos de moderación de contenido
• El contenido generado por IA debe estar etiquetado
• Las regulaciones de síntesis profunda (deepfake) imponen obligaciones adicionales de manejo de datos

Para empresas que operan en China: Los datos de entrenamiento de IA recopilados en China deben procesarse en China. La transferencia transfronteriza de datasets de entrenamiento requiere aprobación gubernamental, lo cual puede tomar meses. Los modelos de IA entrenados con datos chinos están sujetos a supervisión regulatoria china incluso si se despliegan en otro lugar. En la práctica, esto significa mantener infraestructura de IA separada dentro de China.

---

India: DPDP Act 2023

La Ley de Protección de Datos Personales Digitales de India (DPDP Act) 2023 introduce un marco que aún se está implementando a través de reglas subsidiarias.

Disposiciones clave:

• Localización de datos: No es un requisito general, pero el gobierno puede designar categorías específicas de datos que deben procesarse dentro de India. Los "Fiduciarios de Datos Significativos" (procesadores de datos a gran escala) enfrentan obligaciones adicionales.
• Transferencias transfronterizas: Permitidas a países en una lista blanca aprobada por el gobierno. Los países no incluidos están bloqueados. La lista blanca no se ha finalizado a principios de 2026.
• Consentimiento: Se requiere consentimiento explícito e informado para el procesamiento de datos personales; el consentimiento debe ser específico al propósito.
• Derechos del Titular de Datos: Derechos de acceso, corrección, supresión y reparación de quejas.

Para datos de entrenamiento de IA en India: Las empresas clasificadas como Fiduciarios de Datos Significativos deben realizar evaluaciones de impacto en la protección de datos y designar oficiales de protección de datos. El entrenamiento de IA con datos personales de residentes indios requiere consentimiento o una base legal. Las transferencias transfronterizas de datos de entrenamiento están restringidas a jurisdicciones aprobadas — lo cual crea incertidumbre para el entrenamiento de IA basado en la nube hasta que se publique la lista blanca.

---

Arabia Saudita: PDPL

La Ley de Protección de Datos Personales (PDPL) de Arabia Saudita entró en plena aplicación en septiembre de 2024.

Disposiciones clave:

• El procesamiento de datos personales debe ocurrir dentro del Reino a menos que se cumplan las condiciones de transferencia
• Las transferencias transfronterizas solo se permiten a jurisdicciones con protección adecuada, o con salvaguardas específicas (reglas corporativas vinculantes, cláusulas contractuales)
• Se requiere consentimiento para el procesamiento, con excepciones específicas para interés público, intereses vitales e intereses legítimos
• Los interesados tienen derechos de acceso, corrección, eliminación y objeción

Para datos de entrenamiento de IA: El procesamiento de datos personales para entrenamiento de IA dentro de Arabia Saudita debe ocurrir en infraestructura basada en Arabia Saudita. Los servicios de IA en la nube son permisibles si la región de la nube está en Arabia Saudita (AWS tiene una región saudita, Azure tiene una región en Qatar con expansión anunciada a Arabia Saudita). Para datos sensibles o datos relacionados con el gobierno, el despliegue on-premise dentro del Reino es el camino más seguro de cumplimiento.

---

EAU: Decreto-Ley Federal No. 45/2021

El marco de protección de datos de los EAU es por capas — ley federal más regulaciones específicas de zonas francas (DIFC, ADGM) y requisitos sectoriales.

Disposiciones clave:

• Los datos gubernamentales deben almacenarse y procesarse dentro de los EAU
• Los datos de salud (bajo la Ley de Datos de Salud) tienen requisitos específicos de residencia
• Los datos financieros en DIFC y ADGM siguen las regulaciones de protección de datos de esas zonas francas (modeladas según GDPR)
• Las transferencias transfronterizas de datos personales no gubernamentales están permitidas con salvaguardas adecuadas

Para datos de entrenamiento de IA: Los proyectos gubernamentales y del sector público de IA deben usar infraestructura basada en los EAU. Las empresas del sector privado tienen más flexibilidad pero deben evaluar si sus datos caen bajo requisitos sectoriales de residencia (salud, finanzas). Los EAU están construyendo activamente capacidad soberana de IA — el Technology Innovation Institute (desarrollador de los modelos Falcon) cuenta con respaldo gubernamental, señalando que la IA soberana es una prioridad nacional.

---

Australia: Privacy Act 1988

Australia actualmente no exige localización de datos, pero las reformas de la ley de privacidad están en progreso.

Disposiciones clave:

• El Australian Privacy Principle (APP) 8 gobierna la divulgación transfronteriza de información personal — las organizaciones deben tomar pasos razonables para asegurar que los destinatarios en el extranjero cumplan con los APPs
• Sin requisito de localización de datos (los datos pueden procesarse en el extranjero)
• Las propuestas de reforma incluyen fortalecer los requisitos de consentimiento, agregar un derecho de supresión e introducir un código de privacidad infantil
• La revisión del Privacy Act (en curso) puede introducir reglas más estrictas de transferencia transfronteriza

Para datos de entrenamiento de IA: La ley actual permite el entrenamiento de IA basado en la nube con datos personales australianos, siempre que el proveedor de nube cumpla los requisitos de APP. Las próximas reformas pueden endurecer esto. Las organizaciones que procesan información sensible (salud, financiera) típicamente eligen infraestructura doméstica u on-premise como medida de gestión de riesgos incluso sin un mandato legal.

---

Brasil: LGPD

La Lei Geral de Proteção de Dados (LGPD) de Brasil está modelada según el GDPR y ha sido activamente aplicada desde 2021.

Disposiciones clave:

• Sin requisito de localización de datos
• Transferencias transfronterizas permitidas con determinación de adecuación, cláusulas contractuales estándar o reglas corporativas vinculantes
• Se requiere base legal para el procesamiento (consentimiento, interés legítimo, contrato, etc.)
• Derechos del interesado incluyendo acceso, corrección, eliminación y portabilidad de datos
• La ANPD (Autoridad Nacional de Protección de Datos) ha emitido orientación sobre toma de decisiones automatizada

Para datos de entrenamiento de IA: La LGPD no restringe dónde se procesan los datos de entrenamiento de IA, pero requiere una base legal y salvaguardas apropiadas para transferencias transfronterizas. La adecuación Brasil-UE se ha discutido pero no formalizado. Las organizaciones que sirven a interesados brasileños deben cumplir con la LGPD independientemente de dónde ocurra el procesamiento.

---

Canadá: PIPEDA + Ley 25 de Quebec

La ley federal de privacidad de Canadá (PIPEDA) se complementa con leyes provinciales — más notablemente la Ley 25 de Quebec, que introduce nuevos requisitos significativos.

Disposiciones clave (PIPEDA):

• Sin requisito de localización de datos a nivel federal
• Transferencias transfronterizas permitidas, pero las organizaciones siguen siendo responsables de la protección de datos incluso cuando se procesa en el extranjero
• Se requiere consentimiento para la recopilación, uso y divulgación de información personal
• Se recomiendan Evaluaciones de Impacto de Privacidad para procesamiento de alto riesgo

Ley 25 de Quebec:

• Requiere evaluaciones de impacto de privacidad antes de transferir información personal fuera de Quebec
• Impone obligaciones de transparencia para la toma de decisiones automatizada
• Requiere que las organizaciones aseguren protección equivalente cuando los datos se transfieren internacionalmente

Para datos de entrenamiento de IA: La ley federal no restringe el entrenamiento de IA basado en la nube. La Ley 25 de Quebec requiere evaluación adicional antes de procesar datos de residentes de Quebec fuera de la provincia. La propuesta Ley de Inteligencia Artificial y Datos (AIDA), si se aprueba, introduciría requisitos adicionales para sistemas de IA de "alto impacto."

---

Japón: APPI

La Ley de Protección de Información Personal (APPI) de Japón fue significativamente enmendada en 2022.

Disposiciones clave:

• Sin requisito de localización de datos
• Las transferencias transfronterizas requieren consentimiento informado del interesado, o transferencia a un país con un sistema adecuado de protección de datos, o implementación de salvaguardas apropiadas
• Japón y la UE tienen reconocimiento mutuo de adecuación — los datos fluyen libremente entre Japón y la UE
• Los datos pseudonimizados tienen restricciones relajadas de transferencia y uso (relevante para entrenamiento de IA después de la desidentificación)

Para datos de entrenamiento de IA: El enfoque de Japón es relativamente permisivo para el desarrollo de IA. La adecuación mutua con la UE simplifica los flujos de datos para operaciones Japón-UE. La pseudonimización y anonimización de datos de entrenamiento se fomenta y crea un camino de cumplimiento más ligero. El despliegue on-premise no es legalmente requerido pero es común en empresas japonesas por razones culturales y prácticas.

---

Corea del Sur: PIPA

La Ley de Protección de Información Personal (PIPA) de Corea del Sur fue enmendada en 2023 con disposiciones más estrictas de transferencia transfronteriza.

Disposiciones clave:

• Los datos del sector público tienen requisitos de localización (deben procesarse dentro de Corea para ciertas funciones gubernamentales)
• Sector privado: sin localización general, pero las transferencias transfronterizas requieren consentimiento o salvaguardas
• Las enmiendas de 2023 introdujeron nuevos mecanismos de transferencia transfronteriza (adecuación, certificaciones, cláusulas contractuales estándar)
• Los datos pseudonimizados pueden usarse para investigación, estadísticas e interés público sin consentimiento — relevante para entrenamiento de IA

Para datos de entrenamiento de IA: Las empresas privadas pueden procesar datos en el extranjero con salvaguardas apropiadas. Los proyectos de IA del sector público pueden requerir procesamiento doméstico. Los reguladores financieros de Corea del Sur (FSC, FSS) imponen requisitos adicionales de manejo de datos para IA financiera — incluyendo gestión de riesgo de modelo y expectativas de gobernanza de datos similares a SR 11-7 de EE.UU.

---

El Problema Multi-Jurisdiccional

Las regulaciones anteriores son cada una manejable por separado. El problema surge cuando una empresa opera en múltiples jurisdicciones simultáneamente.

Considera una empresa de construcción que opera en Arabia Saudita, India, los EAU y la UE. Cada jurisdicción tiene diferentes reglas de residencia de datos:

Usar una sola plataforma de IA en la nube para procesar datos de entrenamiento de las cuatro jurisdicciones simultáneamente es un problema de cumplimiento. Los datos sauditas no pueden salir de Arabia Saudita. Los datos indios pueden no poder salir de India. Los datos de la UE requieren salvaguardas específicas de transferencia. Los datos gubernamentales de los EAU no pueden salir de los EAU.

La solución práctica: Infraestructura de IA on-premise desplegada en cada jurisdicción donde operas, procesando datos locales localmente. Esta es la única arquitectura que satisface simultáneamente todos los requisitos de residencia de datos sin requerir una red compleja de acuerdos de transferencia transfronteriza, decisiones de adecuación y cláusulas contractuales.

Por esto el 58% de las iniciativas de IA reportan retrasos causados por preocupaciones de residencia de datos. No es que una regulación individual sea imposiblemente compleja — es que operar entre jurisdicciones crea un problema combinatorio de cumplimiento que las arquitecturas solo en la nube no pueden resolver.

---

Qué Significa Esto para la Infraestructura Empresarial de IA

La convergencia de requisitos de residencia de datos entre jurisdicciones apunta a una conclusión arquitectónica clara: para empresas que operan en múltiples mercados regulados, la preparación de datos on-premise y el despliegue de modelos en cada jurisdicción es el camino de menor resistencia regulatoria.

Esto no significa que cada carga de trabajo de IA deba estar air-gapped. Significa:

1. La preparación de datos (ingestión de documentos, limpieza, etiquetado, aumentación) debe ocurrir on-premise en la jurisdicción donde se originan los datos. Esta es la etapa donde se manejan datos personales crudos, y donde los requisitos de residencia de datos son más estrictos.
2. El fine-tuning puede ocurrir on-premise (soberano) o en la nube (con salvaguardas apropiadas) dependiendo de la sensibilidad de datos y requisitos jurisdiccionales. Los datos de entrenamiento desidentificados pueden tener menos restricciones de transferencia.
3. La inferencia debe ocurrir on-premise o en la jurisdicción para la soberanía de datos. Los runtimes de inferencia local (Ollama, Foundry Local, llama.cpp) hacen esto técnicamente sencillo.

La etapa de preparación de datos es la más crítica para el cumplimiento porque es donde los datos personales crudos, sin procesar, se manejan en volumen. Una herramienta de preparación de datos basada en la nube que requiere subir documentos empresariales a un servidor externo crea una violación de residencia de datos en cada jurisdicción que exige procesamiento local.

La preparación de datos on-premise no es una preferencia — para empresas multi-jurisdiccionales, es cada vez más un requisito regulatorio.

---

Lecturas relacionadas

• IA Soberana para Empresas: Qué Significa y Por Qué Importa en 2026 — Guía integral de IA soberana: las tres capas de soberanía, impulsores regulatorios y checklist del comprador empresarial.
• Cómo Construir un Pipeline de IA Air-Gapped para Industrias Reguladas — Arquitectura técnica para construir pipelines de IA con cero conectividad a internet.
• Preparación de Datos de IA On-Premise: La Guía de Cumplimiento para Industrias Reguladas — Resumen completo de cumplimiento para GDPR, HIPAA, EU AI Act y soberanía de datos.