Confianza y cumplimiento · 2026-09-11
RGPD y APIs de IA: transferencias internacionales, CCT y evaluación de impacto
Cuándo una llamada a una API de IA es una transferencia internacional de datos, qué garantías admite el RGPD, por qué las cláusulas contractuales tipo no bastan por sí solas y cuál es la posición de LLMTR en esa cadena, dicha sin rodeos.
La pregunta no es dónde está el modelo
Es fácil reducir el cumplimiento a una sola casilla: el modelo se aloja en la Unión Europea, luego no hay transferencia. El capítulo V del RGPD no funciona así. Lo que se examina es el recorrido completo del dato personal, y en ese recorrido hay más de un actor: quien recibe la petición, quien la enruta, quien ejecuta el modelo y quien guarda registros.
Basta con que un eslabón esté fuera del Espacio Económico Europeo para que exista una transferencia internacional, aunque el cómputo del modelo ocurra en un centro de datos europeo. Por eso la primera pregunta útil no es dónde está el modelo, sino por cuántas manos pasa el dato y dónde está cada una de ellas.
Adecuación, cláusulas contractuales tipo y TIA
El camino más cómodo es una decisión de adecuación: la Comisión Europea declara que un tercer país ofrece un nivel de protección equivalente y la transferencia no necesita garantía adicional. La lista de países con decisión vigente es corta y pública.
Cuando no hay adecuación, el instrumento habitual son las cláusulas contractuales tipo de la Decisión de Ejecución (UE) 2021/914, que se articulan en módulos según la relación entre las partes.
Firmarlas no cierra el expediente. Tras la sentencia Schrems II se espera además una evaluación de impacto de la transferencia: un análisis de si el marco legal del país de destino permite que esas cláusulas se cumplan de verdad, y qué medidas suplementarias hacen falta si no.
La posición de LLMTR, dicha sin rodeos
LLMTR es una empresa establecida en Turquía y Turquía no cuenta con una decisión de adecuación de la Comisión Europea. Si usted envía datos personales a través de la plataforma, se trata de una transferencia internacional y le corresponde a usted, como responsable del tratamiento, elegir y documentar la garantía aplicable.
Esto no cambia por elegir un modelo alojado en la UE dentro del catálogo. El lugar de tratamiento del modelo y la ubicación de la plataforma que enruta la petición son dos hechos distintos, y un informe de cumplimiento honesto los trata por separado.
Lo que sí reduce el alcance es qué se envía y qué se guarda. LLMTR no almacena en su base de datos el contenido de los prompts ni las respuestas del modelo, y el acceso a los proveedores que lo requieren está detrás de un registro de consentimiento por proveedor, asociado a la cuenta y revocable desde los ajustes.
Lo que este artículo no va a afirmar: que exista hoy un contrato de encargo del tratamiento con cláusulas contractuales tipo publicado y listo para descargar. No lo hay. Si su proceso de cumplimiento lo exige, pídalo por escrito antes de integrar, aquí y en cualquier otro proveedor.
Reducir el alcance antes de discutir la garantía
Buena parte de las discusiones sobre transferencias se evitan cuando el dato personal nunca entra en el prompt. No siempre es posible, pero casi siempre es posible reducirlo.
- Sustituya identificadores por referencias internas antes de construir el prompt y deshaga la sustitución al recibir la respuesta.
- Separe el texto que necesita el modelo del expediente que lo rodea; rara vez hacen falta los dos.
- Documente qué categorías de datos pueden aparecer en un prompt y trate esa lista como parte del registro de actividades de tratamiento.
- Registre la base jurídica y la garantía elegida antes del primer despliegue, no después de la primera auditoría.
- Revise la decisión cuando cambie el proveedor, el modelo o el país de un subencargado.
Qué se puede comprobar y qué solo se puede pedir
Una parte de esto se verifica sin hablar con nadie: qué entidad aparece en la política de privacidad, qué dice el aviso informativo, si existe un registro de consentimiento y si se puede revocar.
La otra parte solo llega pidiéndola por escrito: la lista de subencargados con su ubicación, el compromiso de notificación previa cuando esa lista cambie y el módulo de cláusulas que corresponde a su relación. Un proveedor que responde a esto con una página de marketing está respondiendo que no lo tiene.
Frequently asked questions
¿Hay transferencia internacional si el modelo se ejecuta en la Unión Europea?
Puede haberla. La transferencia depende del recorrido completo del dato, no solo del lugar donde se ejecuta el modelo: si algún eslabón de la cadena está fuera del Espacio Económico Europeo, el capítulo V del RGPD entra en juego.
¿Basta con firmar las cláusulas contractuales tipo?
Las cláusulas son el instrumento, no el expediente completo. Tras Schrems II se espera además una evaluación de impacto de la transferencia sobre el marco legal del país de destino y, si procede, medidas suplementarias.
¿Tiene Turquía una decisión de adecuación de la Comisión Europea?
No. Por eso una transferencia hacia una entidad turca necesita otra garantía del artículo 46, normalmente cláusulas contractuales tipo acompañadas de su evaluación de impacto.