Soberanía de Datos en IA: Por Qué Importa Dónde se Procesan tus Documentos

Cuando un despacho legal sube un contrato a ChatGPT para que lo analice, ese contrato viaja a un servidor de OpenAI en Estados Unidos. Cuando un hospital usa un servicio de IA en la nube para transcribir consultas, el audio del paciente sale de México. Cuando una empresa sube sus estados financieros a una herramienta de IA para análisis, esos datos quedan en infraestructura de un tercero.

En cada caso, la empresa perdió el control sobre dónde están sus datos, quién puede acceder a ellos y bajo qué jurisdicción legal se rigen.

Esto no es paranoia. Es un análisis de riesgo básico que cualquier empresa con datos sensibles debería hacer antes de integrar herramientas de IA en sus procesos.

Qué es la soberanía de datos

La soberanía de datos es el principio de que una organización debe mantener el control sobre dónde se almacenan y procesan sus datos, bajo qué jurisdicción legal se rigen, y quién tiene acceso a ellos.

En el contexto de la IA, la soberanía de datos se vuelve particularmente relevante porque los servicios de IA en la nube requieren que envíes tus datos al proveedor para que sean procesados. A diferencia de un servicio de almacenamiento (donde el dato se guarda pero no se "lee"), un servicio de IA necesariamente procesa — lee, analiza, interpreta — el contenido de tus datos.

Cuando envías un documento a una API de IA, estás confiando en que el proveedor no almacenará el contenido más allá del procesamiento, no usará el contenido para entrenar sus modelos, no proporcionará acceso al contenido a terceros, y cumplirá con la regulación de protección de datos de tu jurisdicción.

Cada una de estas premisas depende de las políticas del proveedor, que pueden cambiar, y de la jurisdicción donde operan sus servidores, que tú no elegiste.

El problema jurisdiccional

La mayoría de los proveedores de IA en la nube operan desde Estados Unidos. Esto significa que tus datos, mientras son procesados, están sujetos a la legislación americana.

En Estados Unidos, leyes como la CLOUD Act (Clarifying Lawful Overseas Use of Data Act) permiten a las autoridades federales solicitar acceso a datos almacenados por empresas americanas, incluso si esos datos están en servidores fuera de Estados Unidos. Esto aplica a Microsoft, Google, Amazon, OpenAI y cualquier empresa incorporada en EE.UU.

Para una empresa mexicana que envía datos de clientes a un servicio americano de IA, esto significa que las autoridades americanas podrían teóricamente solicitar acceso a esos datos, independientemente de lo que diga la legislación mexicana de protección de datos.

En la práctica, esto rara vez ocurre para datos comerciales ordinarios. Pero para sectores regulados — financiero, salud, gobierno — el simple hecho de que la posibilidad exista puede ser un incumplimiento regulatorio.

La Ley de Protección de Datos en México

La Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) establece obligaciones específicas para quien trata datos personales:

Consentimiento. El titular de los datos debe consentir el tratamiento. Si un hospital envía datos clínicos a una API de IA sin que el paciente lo sepa, hay un problema de consentimiento.

Finalidad. Los datos solo deben usarse para los fines informados al titular. Si la API de IA usa los datos para entrenar modelos (como hacen algunos proveedores con datos de la versión gratuita), es un uso no consentido.

Transferencia. La transferencia de datos personales a terceros requiere consentimiento e información al titular sobre el destino y la finalidad. Enviar datos a un servidor de OpenAI es una transferencia a un tercero en otra jurisdicción.

Datos sensibles. Los datos de salud, financieros y otros clasificados como sensibles tienen requisitos adicionales de protección. Su procesamiento en servidores de terceros sin consentimiento expreso es particularmente riesgoso.

Sectores donde la soberanía es crítica

Salud. Los datos clínicos son datos personales sensibles por definición. El expediente clínico, las notas de consulta, los diagnósticos y las prescripciones están protegidos por la LFPDPPP y por la NOM-004-SSA3-2012. Enviarlos a una API de IA en la nube para generar notas SOAP o codificar diagnósticos es un riesgo legal que muchos consultorios asumen sin evaluar.

Legal. Los despachos tienen obligación de confidencialidad con sus clientes. Los contratos, actas constitutivas, paquetes de due diligence y comunicaciones privilegiadas que suben a herramientas de IA pasan por servidores de terceros. Si el cliente se entera, la relación de confianza se deteriora.

Financiero. Las instituciones financieras reguladas por la CNBV tienen obligaciones específicas sobre el manejo de datos. La subcontratación de procesamiento de datos a proveedores no regulados puede requerir autorización previa y cumplimiento de requisitos específicos.

Gobierno. Las dependencias gubernamentales que procesan datos de ciudadanos tienen obligaciones adicionales bajo la Ley General de Protección de Datos Personales en Posesión de Sujetos Obligados. El procesamiento en servidores extranjeros es particularmente problemático.

La alternativa: procesamiento privado

El procesamiento privado de IA significa que los modelos de lenguaje, los modelos de OCR y cualquier otro componente de IA corren en infraestructura controlada por tu organización. Los datos no se envían a servicios de IA públicos. No hay transferencia a terceros. No hay riesgo jurisdiccional. No hay dependencia de políticas de privacidad que pueden cambiar.

Técnicamente, esto es posible gracias a los modelos de código abierto (Qwen, Llama, Mistral) que se pueden descargar y ejecutar en hardware local. La calidad de estos modelos para tareas empresariales estructuradas es comparable a la de los modelos comerciales.

El costo es una inversión en hardware (un servidor con GPU) que se amortiza en meses contra el costo de APIs comerciales. El beneficio es control total sobre tus datos.

No es todo o nada

La soberanía de datos no significa desconectarse de internet. Significa tomar decisiones conscientes sobre qué datos se procesan dónde.

Una estrategia razonable es: datos sensibles (clínicos, legales, financieros, personales) se procesan localmente. Datos genéricos (traducciones de textos públicos, redacción de contenido de marketing, investigación general) pueden procesarse en la nube sin riesgo.

Lo importante es que la decisión sea consciente e informada, no que un empleado suba un contrato confidencial a ChatGPT porque es "más fácil".

Productos Leeuwwolk: soberanía por diseño

En Leeuwwolk, la privacidad no es un feature — es la arquitectura. Todos nuestros productos están diseñados para procesar datos localmente:

Fullkro procesa documentos legales y corporativos sin enviar archivos a APIs externas. Los modelos de OCR y de lenguaje corren en el servidor del cliente.

Medicus genera notas clínicas y codifica diagnósticos con IA privada. El audio de la consulta y los datos del paciente nunca llegan a servicios de IA públicos.

Scriba transcribe y genera documentos legales localmente. La grabación de la asamblea se queda en tu infraestructura.

The Manager opera sus agentes de IA con modelos de código abierto. Los datos comerciales de tu empresa se procesan internamente.

SureSeal verifica documentos sin subirlos al servidor. La huella digital se calcula en el navegador del usuario.

→ Conoce nuestras soluciones de IA privada

Leeuwwolk es una empresa mexicana que desarrolla soluciones de inteligencia artificial con procesamiento privado. Tus datos son tuyos — nosotros solo construimos las herramientas.