Seguridad de datos en IA: Data Residency, RGPD y EU AI Act

La pregunta central: ¿Dónde están los datos?

Cuando un agente de IA lee una factura, procesa una baja médica o responde una consulta de cumplimiento normativo, está procesando datos empresariales. Datos de facturación, datos de personal, secretos comerciales. La primera pregunta de todo CISO y Delegado de Protección de Datos (DPD): ¿dónde se procesan estos datos? ¿Quién tiene acceso? ¿Durante cuánto tiempo se almacenan?

Al usar ChatGPT, Gemini o CoPilot, la respuesta es: los datos se transmiten a servidores externos, son procesados por un tercero y pueden utilizarse con fines de entrenamiento. Para empresas reguladas, esta no es una respuesta aceptable.

Tres modelos de despliegue

La arquitectura de Gosign soporta tres modelos de despliegue. La elección depende del nivel de protección requerido para los datos.

Self-Hosted: Todos los componentes (modelos, agentes, bases de datos) se ejecutan en la infraestructura del cliente. Ningún dato sale de la red corporativa. Esto incluye los modelos de lenguaje: modelos open source como Llama, Mistral, DeepSeek o gpt-oss pueden ejecutarse localmente.

Nube (solo UE): Procesamiento en centros de datos de la UE en Azure, GCP o AWS. Data Processing Agreement, Standard Contractual Clauses. Los modelos son modelos en la nube (Claude, ChatGPT, Gemini), pero el procesamiento permanece en la UE.

Híbrido: Los datos sensibles (datos de personal, datos financieros) se procesan en self-hosted. Los datos no críticos pueden procesarse mediante modelos en la nube. El enrutamiento entre self-hosted y nube es basado en reglas y automático.

Data Residency en detalle

Data Residency va más allá de la ubicación de los servidores. Comprende:

Lugar de procesamiento: ¿Dónde se ejecuta el modelo de lenguaje? En self-hosted: en el centro de datos propio. En nube: en un centro de datos de la UE definido.

Lugar de almacenamiento: ¿Dónde se almacenan los datos procesados? Audit Trails, conjuntos de datos de decisiones, documentos. Todo en la misma región que el procesamiento.

Ruta de tránsito: ¿Cómo llegan los datos al modelo y vuelven? En self-hosted: red interna. En nube: conexión cifrada al centro de datos de la UE. Sin tránsito por terceros países.

Copias de seguridad: ¿Dónde se almacenan las copias de seguridad? Las copias de seguridad deben cumplir los mismos requisitos de Data Residency que los datos primarios.

Aislamiento de mandantes

Para despachos de auditoría y asesoría fiscal, así como para centros de servicios compartidos, el aislamiento de mandantes es crítico para el negocio. Los datos de un mandante no deben ser visibles para otros mandantes, tampoco para el sistema de IA.

El aislamiento se implementa en múltiples capas:

Separación de workspaces: Cada mandante tiene su propio workspace con claves API separadas, almacenamiento de documentos separado y configuraciones de modelos separadas.

Row-Level Security: A nivel de base de datos, Row-Level Security garantiza que las consultas solo devuelvan datos del mandante actual. Incluso si un agente ejecuta accidentalmente una consulta entre mandantes, la base de datos solo devuelve resultados del mandante autorizado.

Aislamiento de prompts: Los prompts y las reglas son específicos de cada mandante. El agente de un mandante no tiene acceso a los prompts ni a las reglas de otros mandantes.

Conformidad con el RGPD

El RGPD establece requisitos para el tratamiento de datos personales. En el contexto de IA:

Base jurídica: El tratamiento de datos personales por agentes de IA requiere una base jurídica. En el contexto laboral, típicamente: ejecución de un contrato (art. 6.1.b RGPD) o interés legítimo (art. 6.1.f RGPD). La AEPD ha sido especialmente activa en la aplicación de estos principios a sistemas de IA.

Minimización de datos: El agente procesa únicamente los datos necesarios para el fin concreto. Sin almacenamiento permanente de documentos en el modelo. Sin uso de datos de clientes para fines de entrenamiento.

Derecho de acceso: Los interesados pueden solicitar información sobre los datos procesados. El Audit Trail documenta cada tratamiento de datos personales.

Supresión: Los datos se eliminan una vez transcurrido el plazo de conservación. La supresión incluye también el Audit Trail tras el vencimiento de los plazos legales de conservación.

Checklist de seguridad de datos por modelo de despliegue

Requisito de seguridad	Self-Hosted	Nube solo UE	Hibrido
Los datos salen de la red corporativa	No	Si (a centro de datos UE)	Sensibles: No / No criticos: Si
Entrenamiento del modelo con datos corporativos	No posible	Excluido via DPA	Excluido via DPA
Mecanismo de conformidad RGPD	Control total by design	DPA + SCCs + zonas de procesamiento UE	Routing por clase de datos
Aislamiento de mandantes	Workspace + RLS + aislamiento de prompts	Workspace + RLS + aislamiento de prompts	Workspace + RLS + aislamiento de prompts
Ubicacion del Audit Trail	On-Premises	Centro de datos UE	Dividido: on-prem + nube UE
Residency de copias de seguridad	Igual que datos primarios	Misma region UE	Segun clasificacion de datos
Latencia	Minima (red local)	Latencia de red UE	Variable segun clase de datos

Más información: Data Residency

Agendar una reunión - Le mostramos las opciones de Data Residency adaptadas a sus necesidades.