La soberanía de datos es el principio de que los datos se rigen por las leyes y regulaciones del país o jurisdicción en el que se encuentran, junto con el objetivo práctico de mantener un control real sobre qué gobiernos, tribunales y proveedores pueden acceder a ellos. Está estrechamente relacionada con la residencia de datos, pero no es lo mismo: la residencia se refiere a dónde se encuentran físicamente los datos, mientras que la soberanía se refiere a quién tiene la autoridad legal sobre ellos.
La distinción es importante para la IA porque las solicitudes, los archivos cargados y los registros de uso de la IA contienen habitualmente datos personales y confidenciales. Los datos pueden almacenarse en el país y aun así quedar expuestos a una ley de divulgación extranjera que alcance a la matriz en el extranjero de un proveedor de nube, o enrutarse a un modelo de IA alojado en otra jurisdicción. La soberanía pide a las organizaciones que miren más allá de la ubicación de almacenamiento para considerar toda la cadena de control legal: la ley aplicable, los subencargados del tratamiento, los proveedores de modelos y quién puede obligar al acceso.
Los impulsores regulatorios y de políticas de la soberanía de datos incluyen el régimen de transferencias del RGPD en la UE y el Reino Unido, la PIPL y la Ley de Seguridad de Datos de China, la Digital Personal Data Protection Act de la India, la ley de localización de Rusia y un conjunto creciente de mandatos gubernamentales de relocalización y clasificación de datos. Las normas sectoriales en los servicios financieros, la sanidad y el sector público añaden expectativas adicionales sobre dónde pueden residir los datos regulados.
Para las organizaciones que rigen el uso de la IA por parte de los empleados, la soberanía de datos también se aplica a la propia capa de supervisión. Una herramienta de gobernanza o DLP que captura las solicitudes procesa exactamente el contenido sensible que cubren las reglas, por lo que la propia jurisdicción de la herramienta, sus subencargados del tratamiento y sus controles de acceso pasan a formar parte de la evaluación de soberanía. Las organizaciones deberían mapear hacia dónde fluyen los datos de IA, preferir el almacenamiento y el procesamiento en la región, exigir subencargados del tratamiento divulgados y conservar registros que evidencien el control que afirman tener.