Actualizado el 4 de octubre de 2026. Este artículo es de marzo de 2026 y cita GPT-4 como modelos actuales. El método y los consejos siguen valiendo; hoy lo harías con:
- Gemma 4: Puedes usar sus versiones pequeñas para procesar datos sensibles en tu propio hardware sin que nada salga de tu red.
- Llama 4 Scout / Maverick: Sus modelos cuantizados permiten ejecutar tareas de clasificación de documentos con un consumo de memoria muy bajo.
- DeepSeek V4: Es una opción útil para despliegues locales cuando necesitas mayor capacidad de razonamiento en servidores privados.
Lo que más preocupa a las empresas españolas de la IA no es la tecnología, son los datos: a dónde van, quién más puede verlos y qué pasa en una auditoría.
Son preocupaciones válidas. Bajo el GDPR, los despliegues de IA que procesan datos personales crean obligaciones de cumplimiento significativas. Pero hay una decisión arquitectónica simple que elimina la mayoría: ejecutar la IA en tu propio hardware.
flowchart LR
subgraph Cloud["IA en la Nube"]
direction TB
A1["Datos de tu empresa"] --> B1["API Cloud\n(OpenAI, Google, etc.)"]
B1 --> C1["Servidores en EEUU/Irlanda"]
C1 --> D1["Resultado devuelto"]
C1 -.-> E1["Datos expuestos a terceros\nTransferencia internacional\nDPA + TIA + CCT obligatorios"]
end
subgraph Local["IA Local (VORLUX AI)"]
direction TB
A2["Datos de tu empresa"] --> B2["Modelo en tu hardware\n(Mac Mini M4 / Jetson)"]
B2 --> D2["Resultado inmediato"]
B2 -.-> E2["Datos nunca salen de tu red\nSin transferencias\nCumplimiento GDPR simplificado"]
end
style Cloud fill:#FECACA,stroke:#B91C1C
style Local fill:#D1FAE5,stroke:#059669
style E1 fill:#FECACA,stroke:#B91C1C
style E2 fill:#D1FAE5,stroke:#059669El Problema GDPR con la IA Cloud
Con multas RGPD que suman 7.100 millones de euros entre mayo de 2018 y enero de 2026, según la encuesta anual de DLA Piper, el riesgo es real. Cada vez que envías datos a una API cloud de IA (OpenAI, Google, Anthropic), creas un evento de procesamiento que activa obligaciones GDPR:
| Obligación | IA Cloud | IA Local |
|---|---|---|
| Acuerdo de Tratamiento de Datos (DPA) | Obligatorio con cada proveedor | No necesario: eres el único responsable |
| Evaluación de Impacto de Transferencia (TIA) | Obligatorio si los datos salen de la UE | No necesario: datos en tu oficina |
| Cláusulas Contractuales Tipo (CCT) | Obligatorio para transferencias fuera de UE | No necesario: sin transferencias |
| Registro de Actividades de Tratamiento | Complejo: múltiples encargados | Simple: procesamiento interno único |
| Notificación de brechas | Proveedor debe notificarte, tú a AEPD | Controlas toda la cadena |
| Derecho de supresión | Verificar que el proveedor borra los datos | Borras localmente: control total |
Fuente: GDPR Artículos 28-30, 44-49. Guía AEPD sobre IA.
Lo Que Dice la AEPD
La Agencia Española de Protección de Datos ha sido clara: la minimización de datos es un principio fundamental. Esto se alinea con el Artículo 25 del GDPR sobre protección de datos por diseño, que se aplica a cualquier tratamiento de datos personales, también con IA. Si puedes lograr la misma capacidad de IA sin enviar datos a terceros, la minimización de datos pesa claramente a favor de la opción local.
La AEPD ha emitido orientación específica sobre:
- Decisiones automatizadas (Art. 22): debe haber supervisión humana
- Evaluaciones de Impacto para IA (Art. 35): obligatorias para tratamiento de alto riesgo
- Transparencia: los usuarios deben saber cuándo la IA procesa sus datos
El despliegue local simplifica todo esto porque controlas toda la cadena.
Checklist GDPR para IA Local
Antes del Despliegue
- Identificar datos personales: ¿qué datos verá el modelo?
- Realizar EIPD si el tratamiento es “susceptible de entrañar un alto riesgo” (Art. 35)
- Definir base jurídica: interés legítimo, consentimiento o ejecución de contrato
- Documentar en RAT: añadir el sistema de IA al Registro de Actividades
- Actualizar aviso de privacidad: informar a los interesados
Durante el Despliegue
- Verificar que los datos quedan en local: sin telemetría
- Controles de acceso: quién consulta la IA, quién ve los resultados
- Registro de auditoría: qué datos procesó la IA y cuándo
- Probar derecho de supresión: ¿puedes borrar datos específicos?
Después del Despliegue
- Revisión periódica EIPD: al menos anual
- Monitorizar actualizaciones: nuevas versiones pueden manejar datos diferente
- Formar al equipo: concienciación GDPR para todos los usuarios
El EU AI Act Añade Otra Capa
El Reglamento de IA de la UE añade requisitos sobre el GDPR, por fases. Las obligaciones de transparencia (artículo 50) se aplican desde el 2 de agosto de 2026, fecha en que el Reglamento pasó a ser aplicable con carácter general (calendario de la Comisión); tras el Ómnibus Digital, las de alto riesgo del Anexo III desde el 2 de diciembre de 2027 y las del Anexo I desde el 2 de agosto de 2028:
| Si tu sistema IA es… | También debes… |
|---|---|
| Alto riesgo (contratación, sanidad, justicia) | Evaluación de conformidad, documentación técnica, supervisión humana |
| Riesgo limitado (chatbot, generación de contenido) | Transparencia (art. 50): si has construido el chatbot, eres su proveedor y debes diseñarlo para que el usuario sepa que es una IA; como responsable del despliegue, etiquetas las ultrasuplantaciones y el texto generado que publicas para informar al público |
| Riesgo mínimo (filtro spam, recomendaciones) | Sin obligaciones adicionales |
Escenario de ejemplo: un despacho de abogados
Piensa en un despacho de 15 personas que procesa documentos de clientes a diario. Supón que se plantea enviarlos a GPT-4 y su responsable de cumplimiento señala:
- Documentos con datos personales sensibles (Art. 9 categorías especiales)
- Enviar a OpenAI crea transferencia internacional (servidores EEUU)
- El secreto profesional podría verse comprometido
Solución: Mac Mini M4 con Qwen 3 8B en local. Los documentos nunca salen de la oficina. EIPD realizada, tratamiento documentado, equipo formado. El hardware es una compra única.
Resultado: La misma capacidad de resumen, ninguna transferencia internacional que documentar y sin costes de API recurrentes.
Recursos Relacionados
- Test EU AI Act: clasifica el nivel de riesgo de tu sistema IA
- 17 plantillas de cumplimiento: EIPD, avisos de transparencia, conformidad
- Hub de Cumplimiento: guía completa EU AI Act y GDPR
- Catálogo de Hardware: 13 dispositivos para IA privada
- Calculadora ROI: compara costes local vs cloud
- Agendar consultoría: sesión gratuita GDPR + IA
Fuentes
- RGPD, Reglamento (UE) 2016/679: EUR-Lex
- GDPR Fines and Data Breach Survey, enero de 2026, DLA Piper
- Calendario de Implementación del EU AI Act
Lecturas relacionadas
- Convergencia GDPR e IA en 2026: Por Qué el Despliegue Local Es la Única Respuesta Limpia
- Las 8 Prácticas de IA Prohibidas por el EU AI Act (con ejemplos)
- Cómo Clasificar el Riesgo de tu IA según el EU AI Act (Art. 6)
Siguientes pasos
- Revisa nuestra guía sobre la convergencia entre GDPR e IA para entender el despliegue local.
- Consulta las prácticas de IA prohibidas por el EU AI Act para evitar riesgos legales.
- Aplica el checklist de identificación de datos personales antes de cualquier despliegue.
- Realiza una EIPD si el tratamiento de datos es susceptible de entrañar un alto riesgo.
Trabaja con nosotros
Podemos hacer este análisis con tus datos reales antes de recomendar hardware. Una conversación de 30 minutos suele bastar para saber si tiene sentido en tu caso: reserva una llamada o mira cómo trabajamos en consultoría.