¿Tienen que quedarse los datos de IA en la UE o en el Reino Unido?
Ni el RGPD de la UE ni el RGPD del Reino Unido imponen una norma general que establezca que todos los datos personales permanezcan localmente. Las transferencias internacionales requieren cumplir las condiciones aplicables, junto con otras obligaciones de protección de datos.
El alojamiento local puede soportar un requisito de residencia. Por sí solo no resuelve el procesamiento en otro lugar, el acceso de un destinatario extranjero, copias de seguridad o transferencias posteriores. Mapea los destinatarios reales y los flujos de datos antes de llegar a una conclusión.
Fuentes comprobadas el 20 de septiembre de 2026. Orientación general de contratación, no opinión legal. Que un abogado cualificado evalúe el acuerdo real.
Separa el servicio de seguridad del proveedor de IA
Una respuesta de una sola región de hosting no puede describir todas las partes de una interacción de IA con empleados.
- Backend de seguridad
- Donde se alojan la configuración, registros de cuenta y eventos retenidos.
- Inspección de prompts
- Donde se procesan prompts o archivos y qué contenido se retiene.
- Proveedor de IA de destino
- Los términos propios de procesamiento, almacenamiento, entrenamiento y retención de la cuenta de IA.
¿Qué evidencias deben acompañar cada respuesta?
Registra las categorías de datos, ubicaciones de procesamiento y almacenamiento, términos de retención y eliminación, subprocesadores y acceso de soporte. Vincula el contrato, arquitectura o evidencia de configuración aplicable y nombra un responsable para preguntas sin responder. Una región local de almacenamiento no establece la ubicación de todos los procesos o accesos.
Hoja de revisión en blanco. No contiene resultados observados del producto.
Lo que las normas de la UE te piden verificar
El EDPB identifica una transferencia en la que un responsable o procesador sujeto al RGPD pone a disposición datos personales a otra organización fuera del EEE. El Capítulo V establece vías a través de decisiones de adecuación, salvaguardas adecuadas y excepciones para circunstancias específicas.
Cuando se aplica una decisión de adecuación relevante, no se requieren salvaguardas adicionales del Artículo 46 para esa transferencia. Al utilizar salvaguardas como cláusulas contractuales estándar, evalúa si funcionan en el destino y si son necesarias medidas complementarias. Otras obligaciones del RGPD siguen aplicándose.
Schrems II invalidó el antiguo Escudo de Privacidad UE-EE. UU. y aclaró la evaluación necesaria para las herramientas de transferencia del Artículo 46. Utilice la actual guía regulatoria y la lista de adecuación para el destinatario y la transferencia en cuestión.
Comprueba la ruta de transbordo del Reino Unido por separado
La guía de enero de 2026 de la ICO utiliza una prueba de tres pasos: el RGPD del Reino Unido se aplica al procesamiento, tú inicias la transferencia a una organización fuera del Reino Unido y el destinatario es una entidad legal separada. Hacer accesible la información puede contar, incluso sin mover la copia almacenada.
Una transferencia restringida necesita regulaciones de adecuación del Reino Unido, salvaguardas adecuadas o una excepción aplicable. Las salvaguardas pueden incluir la IDTA del Reino Unido, el Anexo del Reino Unido o las normas corporativas vinculantes del Reino Unido. La ICO exige una evaluación del riesgo de transferencia cuando se basa en salvaguardias; La legislación británica ahora denomina esto una prueba de protección de datos.
Mantén el mapa de la entidad jurídica y del contrato junto con el mapa técnico de flujo de datos. Una respuesta de la UE no documenta automáticamente una transferencia en el Reino Unido.
Una base de datos local con acceso internacional
Una organización del Reino Unido almacena datos personales en Londres. Un proveedor de soporte independiente en India puede acceder a ellos bajo el contrato de soporte.
La ICO utiliza este tipo de acuerdo de acceso para ilustrar una transferencia restringida. La dirección de almacenamiento no ha cambiado, pero la información personal se pone a disposición de una organización extranjera separada. Consulta las condiciones de transferencia aplicables y los controles de soporte.
Esto ilustra una pregunta de revisión. No es una descripción de los arreglos de apoyo de Aonani una decisión sobre tu despliegue.
Cinco comprobaciones para el registro de compras
Use la hoja en blanco arriba y adjunte la evidencia para cada respuesta.
1. Procesamiento y almacenamiento
Nombra cada ubicación para prompts, archivos, configuraciones, eventos y copias de seguridad. Confirma qué datos son transitorios y cuáles se conservan.
2. Destinatarios y acceso
Identificar las entidades legales, subprocesadores y ubicaciones de soporte que pueden recibir o acceder a datos personales. Los servidores locales no resuelven cuestiones de acceso remoto.
3. Mecanismo de transferencia
Para una transferencia internacional relevante, documenta la decisión de adecuación aplicable, las salvaguardas y evaluación, o la excepción de aplicación estrecha. Consulta por separado las rutas de la UE y del Reino Unido.
4. Retención y eliminación
Graba el contenido y la retención de eventos por separado, incluyendo copias de seguridad, eliminación al salir y cualquier excepción legal o de seguridad.
5. Evidencia operativa
Mantén el acuerdo aplicable, la arquitectura, la configuración y la evidencia de garantía con un propietario de la revisión designado. Una lista de regiones de marketing por sí sola no es el registro completo.
¿Dónde encaja Aona
Aona protege el uso de la IA por parte de los empleados. El alojamiento backend puede estar en la nube, en las instalaciones o en servidores gestionados Aona. El procesamiento de prompts es una elección aparte: el dispositivo del usuario, tu entorno o los servidores gestionados por Aona, sujeto a la configuración de funciones requerida.
Aonaopciones regionales gestionadas incluyen Francia (París), Alemania (Frankfurt) y Reino Unido (Londres), junto con Australia, Estados Unidos, Singapur y Hong Kong. Acorda qué contenido y registros se procesan o conservan en la configuración seleccionada. El proveedor de IA de destino tiene sus propios términos de manejo.
Aona ha completado un examen SOC 2 Tipo II que cubre Seguridad, Confidencialidad y Disponibilidad. Solicite el informe para revisar los hallazgos del auditor y el alcance completo del sistema. La retención de datos es configurable por cliente, por ejemplo 30, 90 o 180 días. Acordar la configuración de retención y eliminación para los datos en su despliegue seleccionado.
Revisa las opciones ↗ de alojamiento y procesamiento de Aona