Control de datos, dependencia del modelo de IA

Una región cloud en la UE permite controlar dónde se procesan los datos. No aclara si se puede cambiar de modelo de IA. En una encuesta de Accenture, el 60 por ciento de las organizaciones aplicaba requisitos de soberanía o ubicación a los datos, pero solo el 22 por ciento a los modelos de IA. Los responsables de TI deberían prever pronto el cambio de modelo en arquitectura y contratos.

Lo esencial en breve

La brecha de control entre los datos y el modelo

Una empresa puede procesar datos en una región de la UE y depender al mismo tiempo de un único proveedor de modelos. En ese caso, son determinantes, entre otros factores, las versiones disponibles del modelo, la interfaz y la posibilidad de redirigir las solicitudes a otro modelo. La ubicación del almacenamiento por sí sola no responde a estas preguntas.

La encuesta de Accenture a 1.928 directivos, realizada en julio y agosto de 2025, muestra en qué niveles aplican las organizaciones encuestadas requisitos de soberanía o ubicación: el 60 por ciento menciona los datos, el 46 por ciento la infraestructura y el 22 por ciento los modelos de IA. Las cifras muestran el alcance de estos requisitos en la muestra. Por sí solas, no demuestran ni la seguridad real ni la facilidad para cambiar los sistemas utilizados.

En las aplicaciones de IA con acceso a herramientas y procesos empresariales, la revisión debería abarcar también el modelo y su integración: ¿quién determina la versión del modelo? ¿Qué datos se envían al servicio? ¿Qué funciones dependen de una interfaz específica del proveedor?

La vía de cambio comienza en la arquitectura

Una capa de interfaz propia puede desacoplar las aplicaciones de las API de modelos concretos. Así pueden gestionarse de forma específica las plantillas de instrucciones, los permisos de las herramientas y los registros. Incluso en ese caso, el cambio es un proyecto: los modelos difieren en sus formatos de salida y su comportamiento. Es necesario comprobar la calidad y los fallos de comportamiento de un modelo alternativo mediante tareas representativas.

Por tanto, el plan de salida requiere una prueba práctica. Esta incluye un modelo o procedimiento operativo alternativo, las dependencias documentadas y una prueba que abarque la transferencia de datos, los permisos y la continuidad del proceso empresarial. En los modelos ejecutados localmente también deben revisarse el origen, las condiciones de licencia y el control de todo el entorno de ejecución.

Los contratos cloud deben contemplar el cambio

El Reglamento de Datos contiene normas de cambio para los servicios de tratamiento de datos comprendidos en su ámbito. El contrato debe prever, entre otras cosas, un plazo de preaviso para iniciar el proceso de cambio que no supere los dos meses. Por regla general, el contrato finaliza cuando el cambio se ha completado satisfactoriamente. La revisión contractual también debe determinar qué datos y activos digitales pueden exportarse.

A partir del 12 de enero de 2027, los proveedores ya no podrán cobrar comisiones por el cambio. Hasta entonces, durante el periodo transitorio, el reglamento limita esas comisiones a los costes pertinentes. Esto no elimina automáticamente todo el esfuerzo por parte del cliente: la empresa debería prever, en particular, sus propias adaptaciones y las pruebas del sistema de destino.

Las entidades financieras necesitan un plan de salida

Para las entidades financieras, DORA exige gestionar el riesgo asociado a terceros proveedores de servicios de TIC. Si un servicio de TIC presta apoyo a funciones críticas o importantes, la entidad financiera debe contar con una estrategia de salida. Los planes de salida deben estar documentados de forma exhaustiva, someterse a pruebas adecuadas y revisarse periódicamente.

Que un servicio de IA apoye una función de este tipo depende del uso concreto. Para tomar esta decisión no basta con examinar de forma aislada la ubicación de la nube. Las empresas también deberían determinar qué procesos dependen del modelo y de sus demás proveedores de servicios.

Además, desde agosto de 2026 se aplican las obligaciones de transparencia del Reglamento de IA a determinados sistemas de IA. La Comisión Europea señala el 2 de diciembre de 2027 como fecha para los requisitos aplicables a determinados sistemas de IA de alto riesgo independientes. Las obligaciones aplicables dependen del sistema, su finalidad prevista y el papel de la empresa.

Preguntas frecuentes

Fuente de la imagen: generada por IA (noviembre de 2026)

Traducido del original en alemán con inteligencia artificial. La versión alemana es la de referencia.