¿Está su proveedor de IA al alcance de la CLOUD Act estadounidense?
Siete preguntas sobre quién es el dueño de su stack tecnológico. Unos dos minutos. Sin dirección de correo, sin seguimiento, sus respuestas permanecen en su navegador.
En 2018, los Estados Unidos promulgaron la CLOUD Act. Obliga a cualquier proveedor sujeto a la jurisdicción estadounidense a conservar y revelar los datos que estén en su “posesión, custodia o control”, y a hacerlo “con independencia de que dicha comunicación, registro u otra información se encuentre dentro o fuera de los Estados Unidos” (18 U.S.C. § 2713). En términos claros: si la empresa puede ser obligada ante un tribunal estadounidense, la ubicación de los servidores no zanja la cuestión. La residencia de datos es una cuestión de geografía. La CLOUD Act trata de lo que conservan sobre usted.
Esto no es una lectura teórica de la ley. Preguntado ante una comisión de investigación del Senado francés el 10 de junio de 2025 sobre si podía garantizar que los datos de los ciudadanos franceses nunca se transmitirían a las autoridades estadounidenses sin el acuerdo de las autoridades francesas, el director de asuntos públicos y jurídicos de Microsoft Francia respondió, bajo juramento: no, no podía garantizarlo, y añadió que nunca había ocurrido. Ambas mitades de esa respuesta merecen tomarse en serio. Este verificador trata de la primera mitad: si la vía legal hacia sus datos existe siquiera.
Responda a las preguntas siguientes sobre el servicio de IA o de nube que su consulta realmente utiliza, incluida cualquier costumbre no oficial de ChatGPT, si esa es la respuesta honesta. Si no conoce una respuesta, dígalo. No saberlo es un hallazgo en sí mismo, y el resultado le dirá exactamente qué preguntas plantear por escrito a su proveedor.
Información general, no asesoramiento jurídico. Este verificador refleja fuentes públicas a fecha de junio de 2026 y las respuestas que usted da, que no podemos verificar. No evalúa ni la licitud de sus disposiciones actuales, ni su posición ante el RGPD, ni ningún contrato concreto, y un veredicto aquí no sustituye a la EIPD de su propia consulta. Para decisiones sobre sus obligaciones de protección de datos, consulte a su delegado de protección de datos o a un abogado.
JavaScript está desactivado, esta página sigue funcionando como hoja de trabajo. Responda a las siete preguntas en papel y luego lea el veredicto al que apuntan las reglas. Las reglas: si su respuesta a la pregunta 1 o 2 es sí, su veredicto es Al alcance directo. De lo contrario, si su respuesta a la pregunta 3, 4 o 5 es sí, su veredicto es Al alcance a través de la cadena de suministro. De lo contrario, si alguna de las preguntas 1-5 es “no estoy seguro”, su veredicto es Exposición desconocida. Solo cinco respuestas firmes de “no” producen Fuera del alcance directo. Las preguntas 6 y 7 nunca cambian el veredicto; le dicen qué cartas de seguimiento enviar. Los cuatro veredictos están impresos íntegros más abajo.
Al alcance directo.
Según sus respuestas, la empresa con la que contrata, o su matriz, está sujeta a la jurisdicción estadounidense. En virtud del 18 U.S.C. § 2713, un proveedor sujeto a la jurisdicción estadounidense debe revelar los datos en su “posesión, custodia o control... con independencia de que” esos datos “se encuentren dentro o fuera de los Estados Unidos”. La residencia de datos en el Reino Unido no cierra esta vía; determina dónde se ubican sus datos, no quién puede ser obligado a entregarlos. Para ser igual de claros sobre lo que este veredicto no es: no es un hallazgo de que se haya accedido a sus datos, de que el acceso sea probable, o de que usar este proveedor sea ilícito. Las autoridades estadounidenses necesitan una orden legal cualificada, las órdenes pueden impugnarse, y el directivo de Microsoft que dijo al Senado francés que no podía garantizar la no divulgación también dijo que nunca había ocurrido. El hallazgo es más estrecho y más útil que la alarma: la vía legal existe, su contrato y su región de alojamiento no la eliminan, y su EIPD debería decirlo con esas palabras en lugar de basarse en el “alojamiento en el Reino Unido” para responder a una pregunta que no puede responder.
Qué hacer a continuación
Registre la exposición en su EIPD por su nombre, la CLOUD Act y la entidad a la que se vincula, en lugar de bajo una fórmula genérica de “transferencia a un tercer país”.
Decida deliberadamente qué categorías de texto puede introducir el personal en el servicio, y anótelo como política de la consulta. Una carta de paciente dictada y una consulta sobre el turno son decisiones distintas.
Plantee por escrito a su proveedor las preguntas que no pudo responder a partir de las páginas públicas: quién es el dueño del hardware de inferencia y qué entidades de la cadena están sujetas a un proceso judicial estadounidense.
Trate la respuesta como un dato de compra en la renovación, no necesariamente como una emergencia hoy. El sentido de saberlo es decidir a propósito.
Pida a su proveedor que publique quién es el dueño del hardware de inferencia y dónde se procesan los contenidos. Si es una buena noticia, debería querer hacerlo; si se niega, anótelo en su EIPD.
Pida una frase por escrito: “Ninguna empresa de nuestra cadena de propiedad o de tratamiento puede ser obligada a revelar sus datos en virtud del derecho estadounidense”, o su alternativa honesta más cercana. Archive la frase que reciba.
La confirmación escrita de su proveedor parece incoherente con sus otras respuestas. Vuelva a leer lo que realmente firmaron, las confirmaciones sobre “sus datos en reposo en el Reino Unido” no son confirmaciones sobre la jurisdicción.
Al alcance a través de la cadena de suministro.
Puede que su proveedor sea británico o de propiedad de la UE, pero según sus respuestas sus contenidos pasan por manos de propiedad estadounidense, una API de modelo, una plataforma en la nube o hardware operado por una empresa estadounidense. La CLOUD Act vincula a los proveedores sujetos a la jurisdicción estadounidense, y la pregunta para sus datos se plantea a cada eslabón que tiene su posesión, custodia o control, no al logotipo de la factura. Una empresa británica que revende un modelo estadounidense ha movido el contrato; no ha movido la jurisdicción. Como con cada veredicto de esta página, esto no es un hallazgo de que se haya accedido a nada. Es un hallazgo de que la vía existe un eslabón más abajo en la cadena, justo donde es más fácil que una EIPD la pase por alto.
Qué hacer a continuación
Pida a su proveedor la lista completa de subencargados por escrito, con el país de constitución y la matriz última de cada entidad. Al amparo del artículo 28 del RGPD, es una petición razonable, no incómoda.
Pregunte específicamente dónde ocurre la inferencia y quién es el dueño de esas máquinas. “Región del Reino Unido” nombra una ubicación, no un propietario.
Actualice su EIPD para evaluar la cadena en lugar de solo la parte contratante, y feche la evaluación.
Pida a su proveedor que publique quién es el dueño del hardware de inferencia y dónde se procesan los contenidos. Si es una buena noticia, debería querer hacerlo; si se niega, anótelo en su EIPD.
Pida una frase por escrito: “Ninguna empresa de nuestra cadena de propiedad o de tratamiento puede ser obligada a revelar sus datos en virtud del derecho estadounidense”, o su alternativa honesta más cercana. Archive la frase que reciba.
La confirmación escrita de su proveedor parece incoherente con sus otras respuestas. Vuelva a leer lo que realmente firmaron, las confirmaciones sobre “sus datos en reposo en el Reino Unido” no son confirmaciones sobre la jurisdicción.
Exposición desconocida, lo que es en sí un hallazgo.
No pudo responder a una o más de las preguntas que determinan si existe una vía legal estadounidense hacia sus datos. Eso no es una crítica. La mayor parte de esta información es genuinamente difícil de encontrar, y algunos proveedores lo prefieren así. Pero significa que la posición actual de su consulta es “exposición indeterminada”, y una EIPD que guarda silencio sobre una pregunta tan básica es incompleta en lugar de tranquilizadora. La noticia útil es que cada laguna de esta página puede cerrarse con una carta breve, y la rapidez y franqueza de un proveedor al responderla le dirá casi tanto como las respuestas mismas.
Qué hacer a continuación
Envíe a su proveedor las preguntas sin responder por escrito. El enlace de abajo conserva sus respuestas, para que pueda ver exactamente cuáles quedan abiertas.
Pida cuatro cosas: la empresa matriz última y su país de constitución; la entidad con la que contrata y la ley aplicable; la lista completa de subencargados con los países de propiedad; y quién es el dueño y operador del hardware de inferencia.
Anote un plazo de respuesta en su agenda. Un proveedor que no puede responder por escrito a preguntas de propiedad en dos semanas ha respondido a una pregunta distinta.
Vuelva a ejecutar esta comprobación cuando llegue la carta.
Pida a su proveedor que publique quién es el dueño del hardware de inferencia y dónde se procesan los contenidos. Si es una buena noticia, debería querer hacerlo; si se niega, anótelo en su EIPD.
Pida una frase por escrito: “Ninguna empresa de nuestra cadena de propiedad o de tratamiento puede ser obligada a revelar sus datos en virtud del derecho estadounidense”, o su alternativa honesta más cercana. Archive la frase que reciba.
La confirmación escrita de su proveedor parece incoherente con sus otras respuestas. Vuelva a leer lo que realmente firmaron, las confirmaciones sobre “sus datos en reposo en el Reino Unido” no son confirmaciones sobre la jurisdicción.
Fuera del alcance directo, según sus respuestas.
Por lo que nos ha dicho, ninguna empresa de su cadena de suministro de IA es de propiedad estadounidense, contrata en EE. UU. ni funciona sobre hardware operado en EE. UU. Si eso es correcto, la CLOUD Act no tiene vía directa hacia sus datos: la ley vincula a los proveedores sujetos a la jurisdicción estadounidense, y según sus respuestas no hay ninguno en la cadena. Dos matices honestos acompañan a eso. Primero, esta página no puede verificar sus respuestas, solo la confirmación escrita de su proveedor puede hacerlo, y si aún no tiene una, ese es el siguiente paso. Segundo, “fuera de la CLOUD Act” no significa “más allá de todo proceso judicial”: las autoridades estadounidenses todavía pueden buscar datos conservados en el Reino Unido a través de los tribunales británicos, por asistencia jurídica mutua o al amparo del Acuerdo de Acceso a Datos entre el Reino Unido y los EE. UU. en vigor desde octubre de 2022, y las autoridades británicas tienen sus propias competencias. La diferencia es que esas vías pasan por el derecho británico y la supervisión británica, que es exactamente por qué merecía la pena comprobar, en primer lugar, lo que conservan sobre usted, y no la ubicación del servidor.
Qué hacer a continuación
Conserve una copia fechada de este resultado junto con su EIPD como constancia de que la pregunta se planteó y se respondió.
Vuelva a comprobar en la renovación del contrato y ante cualquier noticia de adquisición o inversión. La propiedad es un hecho, y los hechos cambian.
Si un proveedor de su cadena es adquirido por una empresa estadounidense, el análisis anterior cambia el día en que se cierra la operación, no cuando se actualiza la política de privacidad.
Pida a su proveedor que publique quién es el dueño del hardware de inferencia y dónde se procesan los contenidos. Si es una buena noticia, debería querer hacerlo; si se niega, anótelo en su EIPD.
Pida una frase por escrito: “Ninguna empresa de nuestra cadena de propiedad o de tratamiento puede ser obligada a revelar sus datos en virtud del derecho estadounidense”, o su alternativa honesta más cercana. Archive la frase que reciba.
La confirmación escrita de su proveedor parece incoherente con sus otras respuestas. Vuelva a leer lo que realmente firmaron, las confirmaciones sobre “sus datos en reposo en el Reino Unido” no son confirmaciones sobre la jurisdicción.
Compartir este resultado
Este enlace reproduce sus respuestas y su veredicto exactamente como se muestran, nada más. No contiene ningún identificador, y no registramos quién lo crea ni quién lo abre.
La CLOUD Act es una ley estadounidense de 2018 (18 U.S.C. § 2713) que obliga a cualquier proveedor sujeto a la jurisdicción estadounidense a revelar los datos en su posesión, custodia o control cuando se le ordene legalmente, con independencia de que esos datos se almacenen dentro o fuera de los Estados Unidos.
¿La residencia de datos en el Reino Unido protege mis datos de la CLOUD Act estadounidense?
No. La residencia de datos trata de dónde están los servidores; la CLOUD Act trata de quién puede ser obligado. Una empresa de propiedad estadounidense que conserva sus datos en una región británica los conserva igualmente al alcance de una orden estadounidense. La residencia es geografía; la jurisdicción es el derecho al que responde.
¿Cómo sé si mi herramienta de IA está expuesta a la CLOUD Act?
Responda a siete preguntas sobre quién es el dueño de su proveedor de IA y dónde procesa sus datos. Este verificador gratuito calcula el resultado en su navegador, sin dirección de correo, sin seguimiento, y le da un enlace que puede compartir con su DPD.
¿Le preocupa su resultado? Obtenga el informe de una página sobre la CLOUD Act.
Un informe en lenguaje claro que puede reenviar a su DPD, además de cómo una alternativa británica elimina la exposición. Gratis.