Residencia no es soberanía. Una región de la UE en una consola estadounidense no cambia a quién se puede ordenar entregar sus datos.

Cada consola de hiperescalador estadounidense tiene un desplegable de regiones, y elegir eu-central parece una decisión de cumplimiento. No lo es. La CLOUD Act se vincula al proveedor, no al código postal del servidor: una empresa con sede en EE. UU. que opera un datacenter en Fráncfort puede ser obligada a entregar los datos que guarda allí. Dónde viven los datos y a quién se puede ordenar que los entregue son dos preguntas distintas, y el desplegable solo responde a la primera.

Qué alcanza la CLOUD Act

La Clarifying Lawful Overseas Use of Data Act (ley de clarificación del uso legal de datos en el extranjero), aprobada en 2018, permite a un tribunal estadounidense ordenar a un proveedor sujeto a jurisdicción de EE. UU. que entregue datos que estén en su posesión, custodia o control, con independencia de que esos datos estén almacenados dentro o fuera de Estados Unidos. La prueba es el alcance legal del proveedor, no la ubicación del disco. Una empresa constituida en EE. UU., o que opere allí, o con una matriz estadounidense que controle la entidad que opera su región de la UE, puede quedar dentro de ese alcance.

Esa es toda la distinción. La residencia es una afirmación sobre geografía: los bytes están en un disco en la UE. La soberanía es una afirmación sobre derecho: las órdenes legales que alcanzan esos bytes son órdenes de la UE, notificadas a una entidad de la UE, ejecutadas por personas empleadas bajo legislación de la UE. La residencia es fácil de comprar y fácil de mostrar en un mapa. La soberanía es una propiedad de la estructura societaria, y ningún desplegable puede concederla.

Por qué las soluciones contractuales estándar no cierran la brecha

Las respuestas habituales son papel: cláusulas contractuales tipo, un anexo de tratamiento de datos, un marco de transferencia, una promesa del proveedor de impugnar las solicitudes extranjeras. Cada una de ellas es un contrato entre usted y el proveedor. Ninguna vincula a un tribunal estadounidense. Cuando llega una orden legal, el conflicto entre el contrato del proveedor con usted y su obligación ante el tribunal lo resuelven los abogados del proveedor, en el calendario del proveedor, y a usted se le informa si la orden lo permite. Las cláusulas pueden cambiar cómo responde un proveedor a un requerimiento. No pueden cambiar si el requerimiento puede hacerse.

• Las cláusulas contractuales tipo rigen las transferencias entre usted y el encargado del tratamiento. No le dicen nada a un tribunal que ordena al encargado entregar datos.
• Una oferta «soberana» de una matriz no europea traslada la entidad operadora y el personal, lo que ayuda, siempre que la matriz no pueda darle instrucciones. Lea quién es el propietario de la entidad y quién puede darle órdenes.
• Las claves de cifrado en manos del cliente son la solución sobre el papel más sólida, y aun así dejan al proveedor con el texto cifrado, los metadatos y los registros de acceso, y dejan la gestión de claves bajo su software.
• Los marcos de transferencia hacen que la transferencia sea lícita bajo el GDPR. No retiran la jurisdicción extranjera que hizo surgir la cuestión.

La prueba de tres partes

Una respuesta estructural tiene que superar tres preguntas a la vez. Si falla una sola, puede abrirse fuera de la UE una vía legal de vuelta a sus datos, diga lo que diga el marketing.

Aplique la prueba a cualquier proveedor, incluidos nosotros. Euclid Services Ltd tiene su sede central en Chipre; el hardware de nuestros datacenters de Atenas y Ámsterdam es de nuestra propiedad y lo operan nuestros propios ingenieros. Haga las mismas tres preguntas a cualquier otro y las respuestas clasifican a los proveedores rápidamente.

Por qué las cargas de IA lo notan primero

Esa brecha importa sobre todo en las cargas de IA, porque los prompts son los datos más sinceros que produce una empresa: contratos, notas de pacientes, código fuente, las preguntas que nadie pone por escrito en ningún otro sitio. Un modelo alojado los recibe en texto plano, y una API alojada los conserva donde los conserve su operador. Una organización regulada puede controlar lo que entra en un campo de base de datos. No puede controlar lo que un empleado escribe en una caja de prompt, y precisamente por eso dónde vive esa caja es una cuestión estructural.

Un modelo de pesos abiertos en hardware single-tenant dentro del datacenter de un proveedor de la UE saca al tercero de la ecuación. El modelo se ejecuta en su máquina, los prompts se quedan en su máquina, y las únicas personas que pueden tocar esa máquina están empleadas bajo legislación de la UE. Es la misma respuesta que el resto de este artículo: no un ajuste, una estructura.