Soberanía de datos & AI Compliance

Overview

La soberanía de datos es el principio según el cual los datos están sujetos a las leyes y normas del país o la jurisdicción en que se recopilan, almacenan o tratan. A medida que los gobiernos de todo el mundo aprueban leyes de localización de datos y de transferencias internacionales, las organizaciones que desarrollan sistemas de IA se enfrentan a requisitos cada vez más complejos sobre dónde pueden residir los datos de entrenamiento y cómo pueden entrenarse y ejecutarse los modelos. No atender a estos requisitos puede acarrear sanciones regulatorias, la pérdida de contratos públicos y daños a la reputación.

El panorama de las normas de soberanía de datos es amplio y cambia con rapidez. La Unión Europea restringe las transferencias de datos personales a países sin un nivel de protección adecuado mediante el capítulo V del RGPD. La Ley Federal 242-FZ de Rusia exige que los datos personales de los ciudadanos rusos se almacenen y traten en servidores ubicados físicamente en Rusia. La Ley de Seguridad de Datos y la Ley de Protección de la Información Personal de China imponen requisitos estrictos de localización para los datos importantes y la información personal. La Privacy Act de Australia (Principio de Privacidad Australiano 8) hace a la organización responsable de cómo trata un destinatario extranjero la información personal que ella le comunica, y muchos contratos públicos añaden sus propios requisitos de alojamiento. La Ley de Protección de Datos Personales Digitales de la India, la LGPD de Brasil y muchos otros marcos nacionales suman nuevas capas de requisitos propios de cada jurisdicción.

Para los equipos de desarrollo de IA, la soberanía de datos plantea un reto de arquitectura. Las plataformas de IA en la nube suelen tratar los datos en centros de datos centralizados ubicados en jurisdicciones concretas, lo que puede chocar con los requisitos de residencia del país de origen de los datos. Cuando los datos de entrenamiento proceden de varias jurisdicciones, las organizaciones deben conciliar requisitos que pueden ser contradictorios sobre dónde pueden tratarse los datos, cuánto tiempo pueden conservarse y en qué condiciones pueden transferirse. Una infraestructura situada en la jurisdicción donde se recopilaron los datos, ya sea en sus propias instalaciones o en una región de nube local, resuelve muchos de estos retos.

AI-Specific Requirements

Las restricciones a las transferencias internacionales de datos son el reto de soberanía de datos más inmediato para el desarrollo de IA. Muchas jurisdicciones exigen mecanismos jurídicos específicos antes de que los datos personales puedan transferirse al extranjero. La UE permite las transferencias mediante decisiones de adecuación, cláusulas contractuales tipo (CCT), normas corporativas vinculantes o las excepciones del artículo 49 del RGPD. La sentencia Schrems II de 2020 anuló el Escudo de Privacidad UE-EE. UU. y exigió medidas complementarias al usar CCT, y en julio de 2023 la Comisión Europea adoptó una decisión de adecuación para el Marco de Privacidad de Datos UE-EE. UU., que cubre las transferencias a organizaciones estadounidenses certificadas en ese marco. Cada mecanismo de transferencia añade complejidad jurídica, coste y riesgo a los flujos de entrenamiento de IA.

Los mandatos de localización de datos van más allá y exigen que determinadas categorías de datos se almacenen y traten exclusivamente dentro de las fronteras de la jurisdicción. Estos requisitos son habituales en sectores como los servicios financieros, la sanidad, las telecomunicaciones y la administración pública. Para los equipos de IA, la localización de datos puede implicar que un modelo entrenado con datos de varios países no pueda usar una única infraestructura de entrenamiento centralizada. En su lugar, las organizaciones pueden necesitar entornos de entrenamiento separados en cada jurisdicción, o técnicas como el aprendizaje federado, que permiten entrenar modelos sin centralizar los datos a través de las fronteras.

Los proyectos de IA gubernamentales y de defensa suelen imponer los requisitos más estrictos. Los datos de seguridad nacional, la información clasificada y los datos de infraestructuras críticas a menudo deben permanecer en el territorio nacional y ser tratados solo por personal con habilitación de seguridad que utilice infraestructura aprobada. Los sistemas de IA que manejan estos datos a menudo no pueden usar servicios comerciales en la nube y deben ejecutarse en entornos separados, sin conexión a redes externas, sobre una infraestructura que la organización posee y controla por completo.

How Ertas Helps

Las cuestiones de residencia se dividen en dos flujos: los datos con los que entrena y los datos que el modelo ve durante su uso. Ertas Studio entrena en las GPU en la nube de Ertas, por lo que el conjunto de datos de entrenamiento se sube a Ertas y se almacena fuera de su propia infraestructura, posiblemente en otra jurisdicción. Contraste ese flujo con sus normas de transferencia antes de subir los datos, y pregúntenos dónde se ejecuta el entrenamiento si es relevante para su evaluación. Cuando las normas sean estrictas, entrene con ejemplos desidentificados o sintéticos, que muchas leyes de residencia tratan de forma distinta a los datos personales. Puede eliminar los conjuntos de datos subidos una vez terminado el entrenamiento.

El flujo de inferencia es el que puede mantener dentro de su jurisdicción. Exporte el modelo entrenado en GGUF o safetensors y ejecútelo en una infraestructura situada allí, en sus propias instalaciones o en la región de nube local que elija. Un modelo autoalojado no envía nada a Ertas ni necesita conectarse con nosotros en tiempo de ejecución, así que las peticiones y las respuestas permanecen donde usted lo ejecuta. El modelo es suyo y su versión no cambia hasta que vuelva a entrenarlo. El endpoint de modelo adaptativo y los desarrollos empresariales a medida pueden ejecutar el modelo en su propia nube o en sus propias instalaciones (on-premise), de modo que la ubicación del alojamiento la elige usted.

Ertas todavía no ofrece alojamiento gestionado por Ertas en la jurisdicción que usted elija, así que, cuando la residencia sea obligatoria, ejecute el modelo en su propia nube o en sus propias instalaciones. Identificar las leyes aplicables, elegir un mecanismo de transferencia para los datos de entrenamiento que crucen una frontera y proteger el entorno donde se ejecuta el modelo quedan a su cargo.

Compliance Checklist