> aiibiza.com·Insights·
AI IBIZA · 19 August 2026

¿Es ChatGPT Conforme al RGPD para Firmas en España? La Doctrina de Soberanía Operativa de la AEPD, Explicada

Respuesta breve: Elegir la región de datos en la UE de un proveedor de IA en la nube no basta, por sí solo, para satisfacer el RGPD cuando una firma española procesa datos de clientes a través de él. La Agencia Española de Protección de Datos (AEPD) ha publicado una guía que formaliza la soberanía operativa — la capacidad real del responsable para definir, supervisar, auditar y, si es necesario, modificar o cesar el tratamiento — como parte de la obligación de seguridad del tratamiento del Artículo 32. La residencia de los datos responde a dónde están los bytes. La soberanía operativa pregunta quién puede acceder a ellos, bajo qué autoridad legal, con independencia de dónde estén.

> Qué significa realmente la "soberanía operativa"

Conforme al Artículo 32 del RGPD, un responsable del tratamiento debe garantizar "la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento". La guía de la AEPD aclara que esto cubre más que elegir la ubicación de un servidor. Cubre si el responsable — la firma, no el proveedor — conserva un control real y ejercitable sobre el tratamiento: ¿puede auditar qué ocurre con los datos, modificar cómo se tratan, o detener el tratamiento por completo, sin depender de la cooperación de un tercero?

Esa distinción importa específicamente para herramientas de IA cuya identidad, gestión de claves o infraestructura de plano de control recae en un proveedor sujeto a normativa extraterritorial no comunitaria (por ejemplo, la CLOUD Act de EE. UU. o la Sección 702 de FISA, que pueden obligar a proveedores con sede en EE. UU. a entregar datos con independencia de dónde estén físicamente almacenados). Una firma española puede seleccionar "UE" como región de datos en la consola empresarial de ChatGPT, Claude o Copilot y aun así no haber resuelto la cuestión de soberanía operativa que describe la AEPD, porque el ajuste de región no cambia quién controla en última instancia el acceso.

> Por qué es una cuestión de cumplimiento activa, no teórica

La guía de la AEPD se sitúa junto a otra guía relacionada sobre IA agéntica, que aborda qué ocurre cuando los sistemas de IA actúan de forma autónoma — extrayendo datos de bandejas de entrada, software contable o repositorios de documentos, en lugar de responder a una única instrucción. Esa guía sitúa la responsabilidad por los fallos de diseño sistémico en el responsable del tratamiento, y es explícita en que un humano que revisa después el resultado de un agente de IA no transfiere, por sí solo, esa responsabilidad de vuelta fuera del responsable.

Juntas, ambas guías desplazan la pregunta práctica que una firma española necesita poder responder, de "¿firmamos un Acuerdo de Tratamiento de Datos?" a "¿podemos demostrar realmente quién puede acceder a estos datos, bajo qué autoridad, y cómo detectaríamos o detendríamos un acceso no autorizado?". Un DPA firmado conforme al Artículo 28 sigue siendo necesario — pero la guía de la AEPD lo trata como un elemento más del análisis, no como el final de este.

> Qué significa esto en la práctica

Para un despacho de abogados, gestoría o asesoría española, la exposición práctica no se limita a una hipotética sanción de la AEPD (aunque la agencia ha impuesto sanciones significativas en los últimos años). Se suma a deberes específicos del sector que ya existían antes de esta guía: las obligaciones de secreto profesional de los abogados bajo el Artículo 542.3 LOPJ, los deberes antilavado de dinero de las gestorías clasificadas como sujetos obligados bajo la Ley 10/2010, y las obligaciones de transparencia del Artículo 50 de la Ley de IA de la UE, que entraron en vigor según lo previsto el 2 de agosto de 2026 incluso después de que el Digital Omnibus aplazara las obligaciones de sistemas de alto riesgo de la Ley a diciembre de 2027 y agosto de 2028 (véase nuestro artículo sobre qué aplica realmente desde agosto de 2026). Ninguna de esas obligaciones se satisface tampoco marcando una casilla de residencia de datos.

La respuesta arquitectónica hacia la que apunta el propio planteamiento de la AEPD es sencilla, aunque implementarla no lo sea: un tratamiento que ocurre sobre infraestructura que la propia firma controla — donde la firma, no un proveedor, posee las claves y puede señalar el hardware físico — cierra la cuestión de soberanía operativa eliminando por completo al tercero de la vía de acceso, en lugar de intentar sortearla por contrato.

> Fuentes

AI IBIZA construye sistemas de IA local-first para despachos de abogados y gestorías españolas donde la firma posee las claves y el hardware. Consulte IA Privada para Despachos o IA Privada para Gestorías.