RGPD
IA y RGPD: ¿los datos de mis clientes van a Estados Unidos?
Por Hugo Ribeiro · Actualizado el · 7 min de lectura
Los asistentes de IA más usados en los despachos son de empresas de Estados Unidos. Quien trata datos personales de clientes tiene que saber adónde van y con qué base. Esta guía resume lo esencial, sin sustituir la lectura del contrato de su proveedor.
Cuándo hay transferencia
El RGPD (capítulo V, artículos 44 a 49) solo permite enviar datos personales fuera del Espacio Económico Europeo si el destino ofrece protección adecuada o existen garantías apropiadas. Hay transferencia cuando los datos se guardan o tratan fuera del EEE y también cuando son accesibles desde allí.
Las dos bases más usadas
1. Marco de Privacidad de Datos
La Decisión de Ejecución (UE) 2023/1795, de 10 de julio de 2023, considera adecuada la protección de las empresas estadounidenses certificadas en el Marco de Privacidad de Datos UE-EE. UU. Puede comprobar si su proveedor está certificado en la lista oficial. El Tribunal General confirmó la decisión en septiembre de 2025; hay un recurso pendiente ante el Tribunal de Justicia. Los dos regímenes anteriores (Puerto Seguro y Escudo de la Privacidad) fueron anulados, el segundo en la sentencia Schrems II, de 2020.
2. Cláusulas contractuales tipo
Si el proveedor no está certificado, o como segunda red, se usan las cláusulas contractuales tipo de la Comisión (artículo 46). Suelen venir en el contrato de encargo de los planes empresariales. Desde Schrems II, quien exporta los datos debe valorar si hacen falta medidas complementarias; el Comité Europeo de Protección de Datos pone la seudonimización como ejemplo de medida eficaz, siempre que la clave quede en manos del exportador.
Qué comprobar con su proveedor
- Plan. Las versiones gratuitas y personales no suelen tener contrato de encargo. Use un plan empresarial.
- Contrato de encargo (artículo 28): ¿existe, y qué dice sobre transferencias?
- Entrenamiento. ¿Se usan sus datos para entrenar modelos? En los planes empresariales, por defecto, no suele ser así.
- Ubicación y subencargados. Dónde están los datos y quién más accede.
- Conservación. Cuánto tiempo se guardan conversaciones y archivos.
Por qué esto no basta para el secreto
El RGPD pregunta si el tratamiento es lícito y seguro. El secreto profesional pregunta otra cosa: si puede revelar ese hecho a ese tercero. Un proveedor certificado, con contrato y servidores en Europa, sigue siendo un tercero. Vea IA y secreto profesional.
La solución práctica: enviar sin identificar
Si el documento sale del despacho con códigos en lugar de NIF, nombres, IBAN y direcciones, y la tabla de correspondencia se queda en su ordenador, el proveedor recibe datos que no puede vincular a nadie. La transferencia sigue necesitando base legal, pero lo que está en riesgo es mucho menos, y la cuestión del secreto deja de plantearse igual. Es la diferencia entre seudonimización y anonimización puesta a su favor.
Velado hace ese paso en su ordenador y restaura los datos en la respuesta. Puede probarlo en el navegador y dejar la regla por escrito con el modelo de política de IA.
Preguntas frecuentes
¿Está en vigor el Marco de Privacidad de Datos?
Sí. La Comisión Europea adoptó la decisión de adecuación el 10 de julio de 2023 y el Tribunal General de la UE la confirmó el 3 de septiembre de 2025 (asunto Latombe/Comisión). Se interpuso recurso ante el Tribunal de Justicia; a la fecha de esta guía no teníamos confirmación de una decisión final. Conviene seguirlo.
Si el proveedor guarda los datos en Europa, ¿ya no hay transferencia?
Guardar en la UE reduce la cuestión, pero no siempre la elimina: puede haber acceso remoto desde fuera de la UE por soporte o seguridad, y algunos subencargados están en otros países. Lea el contrato de encargo y la lista de subencargados del plan contratado.
¿La seudonimización sustituye el contrato con el proveedor?
No. Los datos seudonimizados siguen siendo datos personales para quien tiene la clave, que es el despacho. Sigue necesitando un proveedor con contrato de encargo. Lo que cambia es el riesgo: el proveedor recibe códigos e importes sin saber de quién son.
¿Y el secreto profesional?
Es una obligación distinta del RGPD. Una transferencia puede ser perfectamente legal y, aun así, enviar el documento identificado es revelar hechos del cliente a un tercero. Por eso la regla práctica es quitar los identificadores antes de enviar.
Pruébelo con un documento suyo
Velado funciona en el navegador, en su ordenador: no se envía nada a ningún servidor.