Cloud Act e IA: ¿qué riesgos existen para los datos de las empresas?

¿Qué es la Cloud Act y qué permite a las autoridades estadounidenses?

La Cloud Act es una ley federal estadounidense que permite a las autoridades de Estados Unidos exigir acceso a datos controlados por una empresa estadounidense, independientemente del lugar donde se procesen esos datos. Su nombre completo es Clarifying Lawful Overseas Use of Data Act y fue firmada en 2018 [27].

Una respuesta al caso Microsoft v. United States

Según el análisis publicado en Cairn, la Cloud Act es una consecuencia directa del caso Microsoft v. United States [9]. Esta fuente académica es la más cercana al texto entre las que contiene el expediente. Los extractos disponibles no detallan los hechos del caso, por lo que no los reproducimos aquí.

Lo que permite la ley

Las síntesis secundarias coinciden en el mecanismo:

• Las autoridades estadounidenses pueden exigir acceso a datos controlados por una empresa estadounidense [3].
• La ley autoriza al gobierno estadounidense a recuperar datos almacenados en servidores estadounidenses, incluidos datos extranjeros, sin que los usuarios sean informados [23].
• La empresa afectada debe entregar los datos solicitados, bajo pena de sanciones [24].

Los proveedores afectados

La Cloud Act se aplica a los proveedores de servicios de comunicación, de tratamiento o de almacenamiento electrónico, de computación en la nube o de servicios informáticos a distancia [23]. Los proveedores de servicios de IA en modo nube entran en estas categorías en la medida en que tratan o almacenan datos para sus clientes. Esta es nuestra lectura de esa definición, que las fuentes no formulan en estos términos. El criterio decisivo es el control ejercido por una empresa estadounidense, no la nacionalidad del cliente. El expediente no precisa la condición de vinculación que hace entrar a un proveedor en el ámbito de la ley (el extracto de [23] está truncado). Debe verificarse en el texto.

Una ley controvertida

El despacho Dreyfus & associés señala que la Cloud Act es controvertida, porque entra en conflicto con varias leyes nacionales e internacionales, entre ellas el RGPD [24].

Varias de estas fuentes son síntesis de profesionales o de actores del mercado (despachos, editores, alojadores). No sustituyen la lectura del texto estadounidense en sí. La evaluación de la exposición de una empresa corresponde a la empresa y a sus asesores.

Mi alojador está en Europa: ¿estoy protegido de la Cloud Act?

No, no automáticamente: según las fuentes consultadas, el criterio determinante es la vinculación del proveedor con el derecho estadounidense, no la ubicación de los servidores. La Cloud Act permite a las autoridades estadounidenses exigir acceso a datos controlados por una empresa estadounidense [3]. Esto vale para los datos de proveedores estadounidenses incluso cuando están alojados en Europa [7]. Alojar los datos en París o en Fráncfort no basta, por tanto, para descartar el riesgo: la Cloud Act se aplica en cuanto interviene una entidad estadounidense [19]. Esta última formulación procede de un proveedor comercial, pero coincide con el análisis de otras fuentes, según las cuales la Cloud Act y FISA 702 dan a las autoridades estadounidenses un acceso amplio a los datos almacenados en servicios en la nube estadounidenses, estén o no los servidores en Europa [40].

La trampa del proveedor «europeo» apoyado en una infraestructura estadounidense

Una oferta comercializada por una sociedad europea no está necesariamente a salvo. Una guía cita como error clásico creer que un proveedor «europeo» está protegido cuando se apoya en una infraestructura subyacente (IaaS) estadounidense [28]. Las fuentes del expediente no detallan cómo se aplica el texto a cada eslabón de esa cadena. Las preguntas que conviene plantear a un proveedor son, por tanto:

• ¿Cuál es la sociedad matriz y existe una entidad estadounidense en el grupo?
• ¿Sobre qué infraestructura se apoya realmente la oferta?
• ¿Qué subcontratistas intervienen en el tratamiento y el almacenamiento?

Datos cifrados: una afirmación que debe matizarse

Una fuente afirma que el acceso sería posible incluso a datos cifrados [4]. Procede de un actor comercial, y el expediente no contiene ninguna fuente primaria que la confirme. Debe tratarse, por tanto, como una hipótesis por verificar, no como un hecho establecido.

Las fuentes de esta sección son análisis secundarios y contenidos de proveedores, no el texto de la ley en sí. La evaluación de la exposición de un proveedor concreto corresponde a la empresa y a sus asesores jurídicos.

Cloud Act y FISA 702: ¿cuál es la diferencia y por qué citarlas juntas?

La Cloud Act y FISA 702 son dos textos estadounidenses de naturaleza distinta: el primero pertenece a la justicia penal, el segundo a la inteligencia [30]. Sin embargo, se citan juntas porque el debate sobre el acceso de las autoridades estadounidenses a los datos en la nube, incluidos los europeos, las asocia de forma recurrente [40].

Dos marcos, dos finalidades

Esta distinción importa a un jurista o a un DPO: la finalidad, la autoridad competente y el procedimiento no son los mismos. El expediente no contiene el texto de la sección 702. Su ámbito exacto no se detalla aquí, por lo que debe verificarse en los textos oficiales.

Por qué asociarlas en el debate

Los dos textos se reúnen porque, según una de las fuentes del expediente, dan a las autoridades estadounidenses un acceso amplio a los datos almacenados en servicios en la nube estadounidenses, estén o no los servidores en Europa [40]. Otra fuente subraya que las empresas estadounidenses (proveedores de nube, servicios tecnológicos) pueden verse obligadas a entregar datos incluso almacenados fuera de Estados Unidos [38].

En ambos casos, el punto común es la vinculación del proveedor con el derecho estadounidense, y no la ubicación física de los datos. Para una empresa europea que recurre a un proveedor de IA estadounidense, la cuestión depende, por tanto, de la naturaleza del proveedor más que de la localización de sus servidores.

Una precaución de lectura

Estas afirmaciones proceden de fuentes web [30][40][38], no de textos oficiales. El expediente no contiene una fuente primaria sobre este punto. Su alcance preciso, y su aplicación a un proveedor concreto, deben ser evaluados por la empresa con sus asesores, a la luz de los propios textos.

¿Por qué la Cloud Act entra en conflicto con el RGPD?

La Cloud Act entra en conflicto con el RGPD porque puede colocar a una empresa europea ante dos obligaciones contradictorias. La Cloud Act y el RGPD encarnan dos visiones opuestas de la protección de datos, lo que genera un riesgo jurídico [2].

El dilema descrito por las fuentes

Ante una solicitud de las autoridades estadounidenses, la empresa tiene dos opciones. Puede cumplirla y arriesgarse a infringir el RGPD, o negarse y exponerse a consecuencias jurídicas en Estados Unidos [25][29]. Según otro comentarista, no puede prever con certeza qué jurisdicción prevalecerá [16]. Una fuente indica que las empresas europeas pueden oponerse a una transferencia que vulnere leyes locales [10]. El expediente no permite saber cómo se resolvería esa oposición.

Lo que prevé el RGPD

El RGPD solo permite transferir o tratar datos personales en un país tercero si se garantiza un nivel de protección adecuado (art. 45) [14]. El artículo 48 regula las transferencias solicitadas por jurisdicciones extranjeras [36]. Se aplica a toda empresa, europea o no, que maneje datos de usuarios europeos [36].

Consecuencias para la empresa

• Sanción: es posible una sanción de la CNIL por incumplimiento del RGPD [18].
• Pérdida de control: la empresa pierde el control de datos a veces sensibles [18].
• Ausencia de notificación: la empresa no está necesariamente informada de la transmisión, al no existir obligación de notificación [21]. Por tanto, nunca puede saber con certeza si sus datos han sido consultados [16].

Un riesgo que debe documentarse

Según Intelligence Privée, el G29, hoy CEPD, indicó que recurrir a un proveedor sometido a la Cloud Act constituye un riesgo para el cumplimiento del RGPD, «que debe documentarse y justificarse» [20]. Esta fuente es secundaria y el expediente no contiene el texto original. Debe, por tanto, verificarse ante el CEPD antes de citarla en un expediente de cumplimiento.

La evaluación del cumplimiento de un tratamiento concreto sigue correspondiendo a la empresa y a sus asesores.

¿Por qué la IA agrava la exposición de los datos?

Los servicios de IA alojados en proveedores estadounidenses se describen como accesibles para las autoridades estadounidenses en virtud de la Cloud Act, incluso cuando sus servidores están en Europa. Según una fuente comercial, este texto permite a las autoridades estadounidenses acceder a los datos de los sistemas de IA alojados en proveedores estadounidenses, sea cual sea la ubicación de los servidores [31]. El mecanismo es el descrito anteriormente: el texto permite exigir acceso a datos controlados por una empresa estadounidense [3]. Un modelo de IA, sus consultas y sus datos asociados quedan, por tanto, expuestos en las mismas condiciones que cualquier servicio en la nube.

Una dependencia mal medida

El riesgo se ve reforzado por una falta de visibilidad sobre lo que se utiliza. Golem.ai, editor de IA, estima que casi tres empresas de cada cuatro siguen expuestas a legislaciones extranjeras que podrían obligar a dar acceso, explotar o transferir datos sensibles [17]. Según el mismo estudio, esta vulnerabilidad se agrava por un desconocimiento generalizado de los lugares reales de alojamiento de los modelos de IA [17]. Se trata de una constatación de un actor comercial, que debe leerse como tal. Sin embargo, subraya un punto práctico: una empresa no puede evaluar su exposición si ignora dónde y por quién está realmente alojado su modelo.

Usos ya integrados en las herramientas cotidianas

Dos ejemplos aparecen en las fuentes, ambas comerciales:

• Las suites ofimáticas con IA. France Nuage, que promueve una alternativa, afirma que Office 365 y Copilot siguen sometidos a la Cloud Act estadounidense, incluso alojados en Europa [34].
• La IA jurídica. Una guía destinada a los abogados franceses, publicada por el editor de IA jurídica Harvey, indica que los datos de las empresas europeas siguen siendo accesibles para las autoridades estadounidenses en virtud de la Cloud Act cuando utilizan un proveedor estadounidense [35].

Estas afirmaciones describen un riesgo jurídico, no una práctica demostrada de acceso a los datos. Su alcance concreto depende del contrato, de la arquitectura técnica y de la vinculación del proveedor, y corresponde a la valoración de la empresa y de sus asesores.

¿Es el riesgo realmente tan alto como dicen algunos?

El riesgo es real según una parte de las fuentes, pero su magnitud es objeto de debate, por lo que la cuestión requiere una respuesta matizada y no binaria.

Las fuentes que consideran el riesgo elevado

Para LeMagIT, en un mercado de nube B2B dominado en gran medida por editores estadounidenses (Microsoft, Amazon, Google, Salesforce, Oracle), la Cloud Act «representa un riesgo real para la soberanía de los datos de las empresas europeas» [26]. Patrick Blum, citado por Hosteur, habla de un «peligro real» [13].

Los puntos de vista más matizados

• El análisis contextualizado de Sciences Po (HAL) cita una tribuna de Maxwell titulada «La Cloud Act estadounidense no permite espiar a las empresas europeas» [32]. Los extractos disponibles no detallan su argumentación.
• Otra fuente, una publicación de LinkedIn, indica que las empresas europeas pueden oponerse a una transferencia de datos a Estados Unidos en virtud de la Cloud Act si esta vulnera leyes locales [10].

Un desenlace imprevisible

Poder oponerse a una transferencia no garantiza obtener la razón. Una empresa europea no puede prever con certeza qué jurisdicción prevalecerá en caso de conflicto [16].

Leer las fuentes con perspectiva

Varias fuentes proceden de actores de la nube o de alternativas llamadas soberanas, por ejemplo un alojador [13] o un sitio que propone una alternativa a Microsoft 365 [34]. Su lectura no es neutral. Por otra parte, una misma constatación circula en términos casi idénticos de un sitio a otro [26][13][37], lo que no añade una prueba independiente.

Verificar el marco vigente

El blog de Oxeva sobre las transferencias hacia Estados Unidos escribe que, «a la espera de un nuevo acuerdo», estas transferencias son «por el momento ilegales» salvo que existan cláusulas contractuales tipo [39]. Esta formulación remite a un estado del derecho anterior y no debe reproducirse tal cual. El marco aplicable a las transferencias debe verificarse en los textos oficiales (EUR-Lex, Légifrance) y ante las autoridades de protección de datos.

¿Qué prepara la Unión Europea frente a estos riesgos?

La Unión Europea avanza en varios frentes: un reglamento dedicado a la nube y la IA, textos de derecho de datos que se oponen a las solicitudes de acceso extranjeras, y un proyecto de cooperación judicial. El expediente no permite detallar su contenido ni saber en qué punto se encuentran a 13 de octubre de 2026.

Las respuestas citadas en el expediente

• El reglamento sobre el desarrollo de la informática en nube y de la IA. La Comisión Europea indica que «reforzará la soberanía y la competitividad de Europa» [1]. Un artículo de blog de un editor de videoconferencia, es decir, un actor comercial, presenta lo que Europa opone al derecho estadounidense con el «CADA» [7]. Los extractos disponibles no precisan las obligaciones impuestas a los proveedores ni el calendario.
• El Data Act y el RGPD. Según un editor de soluciones de seguridad, estos dos textos se oponen a las exigencias de acceso de la Cloud Act [8]. Es la lectura de una fuente comercial, no de una institución.
• El proyecto e-evidence. Un análisis académico lo pone en relación con la Cloud Act [9]. Habla de un «proyecto»: el expediente no indica su estado de avance.

Un marco distinto: el AI Act

El reglamento europeo sobre IA no trata del acceso de las autoridades extranjeras a los datos. Se basa en un enfoque por niveles de riesgo, que impone transparencia, documentación y supervisión humana a los sistemas de IA [5]. Se presenta como una normativa emblemática de la Unión para regular el desarrollo y el uso de la IA [6]. Complementa, por tanto, el análisis de exposición jurídica sin sustituirlo.

Dónde verificar el estado del derecho

Antes de tomar cualquier decisión, conviene consultar los textos oficiales: la página de la Comisión dedicada al reglamento sobre nube e IA [1], luego EUR-Lex y el Diario Oficial de la Unión Europea para las versiones adoptadas y su fecha de aplicación. La evaluación del cumplimiento sigue correspondiendo a la empresa y a sus asesores.

¿Cómo reducir la exposición de los usos de IA y quién evalúa el cumplimiento?

Reducir la exposición de los usos de IA exige controlar la cadena de proveedores, más allá del mero lugar de alojamiento. Las fuentes coinciden en cuatro pistas, que deben aplicarse herramienta por herramienta.

• Documentar y justificar cada recurso a un proveedor. Según Intelligence Privée, el G29 (hoy CEPD) indicó que recurrir a proveedores sometidos a la Cloud Act constituye un riesgo para el cumplimiento del RGPD, «que debe documentarse y justificarse» [20].
• Analizar los terceros y la infraestructura subyacente. Una trampa clásica consiste en creer que un proveedor «europeo» está a salvo cuando se apoya en una infraestructura estadounidense (IaaS) [28].
• Reducir la dependencia de infraestructuras sometidas al derecho estadounidense. Tanto para las instituciones como para las empresas, es el reto identificado frente a un riesgo doble: pérdida de control sobre los datos y debilitamiento de la soberanía digital [22].
• Considerar alternativas o una nube europea [11][15]. Ambas fuentes son actores comerciales. La de [15] afirma que con una nube europea los archivos quedan protegidos frente a leyes extranjeras. Esta promesa debe verificarse contractual y técnicamente, hasta los subcontratistas.

Alojamiento y vinculación jurídica

La IA de Oupi está alojada en Francia (compromisos de confianza). Según las fuentes, este criterio no basta: alojar datos en Fráncfort o en París no protege frente al derecho estadounidense [19]. La vinculación jurídica del proveedor y de su cadena técnica importa tanto como el lugar de alojamiento [28]. Ambos elementos deben examinarse para cualquier proveedor de IA, Oupi incluido.

¿Quién evalúa el cumplimiento?

Este artículo explica textos y recoge análisis. No constituye un dictamen jurídico. La evaluación del cumplimiento corresponde a la empresa, responsable de sus tratamientos, y a sus asesores: DPO, juristas, abogados. Les corresponde calificar el riesgo propio de cada uso y de cada proveedor, y documentar la decisión adoptada [20].