Confianza y cumplimiento · 2026-09-11
Cómo verificar que una API de LLM trata sus datos en la Unión Europea
Un distintivo de residencia de datos en la UE no es una prueba. Las cuatro preguntas que sí se pueden comprobar sobre un proveedor de modelos de lenguaje, y qué declara LLMTR sobre su categoría de modelos alojados en Europa.
Un distintivo no es una prueba
La etiqueta de alojamiento europeo se ha convertido en un argumento de venta, y por eso mismo ha dejado de ser informativa por sí sola. Dice lo que el proveedor afirma, no lo que un auditor puede comprobar.
La diferencia importa el día que alguien de cumplimiento le pregunte de dónde sale esa afirmación. Si la única respuesta es una página de producto, no tiene un hecho: tiene una cita.
Las cuatro preguntas comprobables
Ninguna de estas preguntas necesita conocimientos jurídicos para formularse, y todas tienen una respuesta documental o ninguna.
- Qué entidad jurídica trata los datos y en qué país está registrada, no en qué país están sus servidores.
- Qué subencargados intervienen, dónde están y cómo se notifica un cambio en esa lista.
- Qué dice el contrato cuando el proveedor cambia de infraestructura: si puede hacerlo sin avisar, la garantía es del día de la firma y no de hoy.
- Qué ocurre ante un incidente: quién notifica a quién, en qué plazo y con qué nivel de detalle.
- Si la afirmación aparece en un documento contractual o solo en material comercial.
Qué declara LLMTR sobre su categoría europea
El catálogo de LLMTR marca una categoría de modelos alojados en la Unión Europea y permite filtrarla. Sobre esa categoría la plataforma hace una afirmación acotada, y conviene leerla tal cual está escrita.
Para los modelos de esta categoría, el tratamiento dentro de la Unión Europea es lo que declara el proveedor; LLMTR no lo ha verificado de forma independiente.
Es decir: la categoría existe porque el proveedor lo declara, y LLMTR lo publica como declaración del proveedor, no como resultado de una auditoría propia. Esa es una afirmación más débil que un sello, y también más honesta que un sello.
Al lado de eso hay dos hechos verificables en el propio producto: el contenido de los prompts y las respuestas no se almacena en la base de datos de la plataforma, y el acceso a los proveedores que lo exigen queda detrás de un registro de consentimiento por proveedor, ligado a la cuenta y revocable.
Cómo comprobarlo en la práctica
El recorrido más corto es filtrar el catálogo por la categoría europea, abrir la ficha de un modelo concreto y contrastar lo que dice con la documentación del proveedor original.
A partir de ahí, la parte que no se puede leer se pide: lista de subencargados con ubicación, compromiso de notificación previa y el contrato de encargo del tratamiento. Repita exactamente el mismo ejercicio con el resto de candidatos; la comparación sirve más que cualquier respuesta aislada.
Frequently asked questions
¿Un proveedor con servidores en la UE es automáticamente suficiente?
No necesariamente. La ubicación de los servidores es un dato; la entidad responsable, los subencargados y las condiciones de cambio son otros. La evaluación se hace sobre la cadena completa.
¿Qué hago si el proveedor no publica su lista de subencargados?
Pídala por escrito antes de integrar. Si no puede obtenerla, eso es un hecho que pertenece a su expediente de decisión tanto como cualquier característica técnica.
¿Verifica LLMTR de forma independiente el alojamiento europeo de esos modelos?
No. LLMTR publica la declaración del proveedor como tal, y lo dice con la misma frase en todos los idiomas para que no pueda leerse como una garantía propia.