Plataforma de IA soberana en la UE.

Qué significa de verdad «soberana en la UE»

La IA soberana en la UE es más que la «región UE» de los proveedores de nube estadounidenses. Una soberanía europea de verdad requiere cuatro capas: primero, una empresa de la UE como proveedor (persona jurídica según el derecho de la UE, no una filial estadounidense); segundo, infraestructura de alojamiento en la UE (servidores en un Estado miembro de la UE, no una región de nube estadounidense); tercero, tratamiento del LLM en la UE (inferencia en servidores de la UE, garantizado por contrato, sin entrenamiento con datos de clientes); cuarto, un contrato de encargo de tratamiento completo conforme al art. 28 del RGPD con una lista transparente de subencargados. En los hyperscalers estadounidenses, el primer punto ya es delicado: las matrices están sujetas al derecho estadounidense, por ejemplo al CLOUD Act. La «región UE» solo desplaza la ubicación del servidor, no la soberanía jurídica.

Schrems II + art. 28 del RGPD, la realidad jurídica de 2026

La sentencia Schrems II del Tribunal de Justicia de la Unión Europea de 2020 tumbó el Privacy Shield y exige, para las transferencias a terceros países, un nivel de protección equivalente. El Comité Europeo de Protección de Datos describió en sus Recomendaciones 01/2020 cómo pueden ser las medidas complementarias. Desde julio de 2023 rige para los proveedores estadounidenses certificados la decisión de adecuación sobre el EU-US Data Privacy Framework, que el Tribunal General de la UE confirmó en septiembre de 2025. Las transferencias a esos proveedores son, por tanto, lícitas, pero dependen de una decisión controvertida en lo político y en los tribunales. Quien trata los datos en la UE desde el principio no necesita esa base: sin transferencia a terceros países ni evaluación de impacto de la transferencia para esa parte.

Art. 50 del AI Act, obligación de transparencia desde el 02.08.2026

El artículo 50 del Reglamento de IA de la UE 2024/1689 obliga a los proveedores, desde el 02.08.2026, al aviso en las interacciones de IA en el contacto con clientes finales. Las personas deben saber con claridad, a más tardar en el primer contacto, que interactúan con una IA. Cómo hacerlo lo deja abierto el reglamento; lo habitual es un mensaje al teléfono, un aviso visible en el chat y un aviso en el texto de un correo. Las infracciones pueden acarrear multas de hasta 15 mill. de € o el 3 % de la facturación anual mundial. En rinqo el aviso viene configurado de serie: fijo en el chat y en el correo, y en el teléfono dentro del saludo predeterminado.

La pila plenamente en la UE de rinqo en detalle

Alojamiento: servidores en Alemania con un proveedor alemán, contrato de encargo de tratamiento conforme al art. 28 del RGPD. App, API, base de datos, base de datos vectorial, cola y servicio de voz funcionan todos allí. Las copias de seguridad se guardan cifradas en la UE. Telefonía: un proveedor con sede en Irlanda. Modelo de lenguaje: modelos de IA con tratamiento de datos asegurado por contrato en la UE (sin entrenamiento con datos de clientes), y además un proveedor europeo de respaldo que toma el relevo si hay una incidencia. Reconocimiento de voz: un proveedor con tratamiento en Francia, con contrato de encargo de tratamiento. Síntesis de voz: un proveedor alemán, con tratamiento en la UE. Las categorías figuran en /security, y la lista de subencargados con nombres, en el panel.

Cuándo la soberanía en la UE es obligatoria, y cuándo no

Un proveedor de la UE no es obligatorio por ley: el RGPD permite las transferencias a terceros países en las condiciones del capítulo V, por ejemplo con una decisión de adecuación o con cláusulas contractuales tipo. El tratamiento en la UE tiene especial sentido allí donde los datos están especialmente protegidos: datos de salud, secreto de los clientes de un despacho, datos financieros, todo lo sujeto a secreto profesional. En rinqo se añade para estos ámbitos: para datos de salud firmas un acuerdo complementario antes de empezar, y para el secreto profesional rige la sección 10 del contrato de encargo. Menos críticas son las aplicaciones sin datos personales, por ejemplo los bots de FAQ anónimos en páginas de marketing.

Soberanía digital: por qué la ubicación del servidor llegó a la mesa de dirección

Soberanía digital significa que tú controlas quién accede a los datos de tu empresa y bajo qué legislación. Durante años fue un asunto del departamento de TI. El US CLOUD Act lo convirtió en asunto de dirección: las autoridades estadounidenses pueden obligar a los proveedores de EE. UU. a entregar datos, con independencia de dónde estén los servidores. Un centro de datos en Fráncfort no protege nada si la contraparte contractual es un grupo estadounidense. Por eso hoy es la dirección quien decide sobre la ubicación del servidor, y ya no solo TI. En la práctica, la soberanía digital se compone de tres criterios. Primero, servidores en la UE: tus datos se procesan y almacenan en servidores dentro de la UE. Segundo, contraparte contractual en la UE: la otra parte de tu contrato de encargo de tratamiento (DPA) está sujeta al derecho europeo, no al CLOUD Act. Tercero, capacidad de salida: puedes exportar tus datos y cambiar de proveedor sin que tu negocio se detenga. Si falta uno de los tres criterios, la soberanía queda incompleta, por mucho que el marketing diga lo contrario. Para los sistemas de IA esto pesa el doble, porque llamadas, chats y correos con datos de clientes pasan por el sistema. Pregunta a cada proveedor exactamente por estos tres puntos. En rinqo las respuestas son estas: servidores en Alemania, en centros de datos con certificado ISO 27001, contrato de encargo de tratamiento conforme al Art. 28 del RGPD, procesamiento del modelo de lenguaje asegurado por contrato dentro de la UE. Tus datos no se utilizan para entrenar modelos. Todo el stack está documentado, cada componente con su proveedor y su región.

• Servidores en la UE: procesamiento y almacenamiento en servidores dentro de la UE
• Contraparte contractual en la UE: la otra parte del DPA está sujeta al derecho europeo, no al CLOUD Act
• Capacidad de salida: datos exportables y cambio de proveedor sin parar el negocio

IA local frente a nube europea: la opción realista para pymes

Para la mayoría de las pymes, la nube europea es el camino practicable hacia una IA conforme al RGPD. La IA local, es decir, modelos de lenguaje propios sobre hardware propio, es la forma máxima de control: ningún dato sale de la empresa, no hay contraparte contractual externa, no hay debate de terceros países. Siendo honestos, ese control tiene su precio. Los modelos de lenguaje potentes necesitan servidores con GPU, cuya compra y consumo eléctrico corren de tu cuenta. A eso se suman operación, monitorización, actualizaciones de modelos, parches de seguridad y personal que se responsabilice de todo ello de forma permanente. Un agente telefónico exige además operación en tiempo real y conexión de telefonía; eso es servicio continuo, no un proyecto de fin de semana. La IA local compensa sobre todo a empresas con equipo de TI propio y requisitos muy específicos. La nube europea ofrece las ventajas de soberanía sin esa carga operativa: servidores en la UE, contraparte contractual en la UE, DPA conforme al Art. 28 del RGPD, y el proveedor asume operación y actualizaciones. rinqo eligió este camino de forma deliberada. Los servidores están en Alemania, en centros de datos con certificado ISO 27001. El procesamiento del modelo de lenguaje se realiza con garantía contractual dentro de la UE, sin entrenamiento con tus datos. Un proveedor europeo de respaldo toma el relevo si hay una incidencia. Te acompañamos en la configuración; en el chat y por correo los agentes trabajan en 17+ idiomas, y por teléfono en tu idioma principal y en inglés. La cuenta, en frío, es esta: control total frente a operación calculable. Para teléfono, chat y correo en el día a día de una pyme, la nube gana casi siempre.