Proveedor de IA francés o extranjero: qué cambia de verdad

Tiene dos presupuestos sobre la mesa. El mismo alcance, el mismo plazo anunciado, dos precios que no tienen nada que ver. Uno viene de un equipo instalado en Lyon, el otro de un proveedor sin establecimiento en Francia, a veces de un editor o de una agencia fuera de la Unión Europea. La pregunta no es cuál es más serio. Es qué compra de más, o de menos, cuando firma.

Key Takeaways

• La ley no sigue a la bandera: el RGPD y el Reglamento IA se aplican a un proveedor de fuera de la UE en cuanto su sistema se usa en la UE.
• Tres cosas cambian de verdad: el camino de los datos, la fuerza del contrato y la velocidad con la que puede salir.
• Un proveedor establecido fuera de la UE sigue siendo su encargado del tratamiento. El contrato del artículo 28 y el marco de transferencia del capítulo V son obligatorios.
• Una decisión de adecuación, como la del 10 de julio de 2023 para Estados Unidos, simplifica la transferencia. No la elimina.
• La tarifa diaria no es el coste. Los días de rehacer, los desplazamientos, el tipo de cambio y la salida del contrato suelen pesar más.

Lo que no cambia realmente: el derecho aplicable

Este es el punto que muchos directivos invierten. Un proveedor instalado fuera de la Unión no escapa al marco europeo. La Dirección General de Empresas francesa lo formula sin rodeos: el reglamento "afecta a toda organización, ya sea una empresa, una asociación o una administración, que proporcione, importe, distribuya o despliegue sistemas o modelos de inteligencia artificial cubiertos por el reglamento. Esto incluye a las entidades establecidas en la Unión Europea, así como a las situadas fuera de la Unión, siempre que sus productos se utilicen o distribuyan en la UE", según la Dirección General de Empresas (página actualizada el 28 de julio de 2025).

La misma lógica vale para el RGPD. Si su proveedor trata datos de sus clientes o de sus empleados por cuenta suya, actúa como encargado del tratamiento, esté donde esté. Se aplican el contrato de encargo y las reglas de transferencia. La nacionalidad del proveedor no le exime de nada.

El calendario del Reglamento IA, tal como lo publica la Dirección General de Empresas: entrada en vigor el 1 de agosto de 2024, prohibición de los usos inaceptables el 2 de febrero de 2025, reglas para los modelos de IA de uso general el 2 de agosto de 2025. Desde el 2 de agosto de 2026 se aplican las obligaciones de transparencia del artículo 50, también para los agentes conversacionales, que deben indicar que son máquinas. Los sistemas de alto riesgo siguen un calendario distinto, repartido en varios años.

Lo que esto significa para usted: el derecho no le protege de forma distinta según la dirección del proveedor. Lo que cambia es su capacidad de hacer respetar ese derecho.

Primer punto: el camino de los datos

Un tratamiento que se queda en la Unión no genera transferencia. Un tratamiento que sale hacia Estados Unidos, India o Reino Unido sí la genera.

El Tribunal de Justicia de la Unión fijó el límite en 2020, en la sentencia Schrems II. La CNIL resume su alcance: "En lo que respecta a Estados Unidos, el Tribunal consideró que el derecho estadounidense en materia de acceso a los datos por los servicios de inteligencia (en particular la sección 702 de la FISA y la Orden Ejecutiva 12333) no permite garantizar un nivel de protección esencialmente equivalente", según la CNIL (sentencia de 16 de julio de 2020). Dicho de otro modo, el lugar de almacenamiento no basta. Lo que cuenta es quién puede ordenar legalmente el acceso.

Desde entonces, la Comisión Europea adoptó una decisión de adecuación para Estados Unidos, el 10 de julio de 2023. Una adecuación significa que los datos pueden circular sin garantía adicional, porque la transferencia se asimila a una transmisión intraeuropea, según la Comisión Europea. En la práctica, ya no tiene que firmar cláusulas para una transferencia hacia un proveedor certificado en ese marco.

Pero la adecuación no es un cheque en blanco. La CNIL recuerda el método: sigue siendo necesario evaluar la legislación del país de destino, documentar las medidas adicionales y suspender la transferencia si el nivel de protección no se sostiene. Una adecuación también puede retirarse, como ocurrió con Safe Harbor y después con Privacy Shield.

Si su proveedor no está cubierto por una decisión de adecuación, toman el relevo las cláusulas contractuales tipo. Las de 2021, las únicas utilizables desde el 27 de diciembre de 2022, cubren cuatro situaciones, entre ellas las transferencias entre un encargado establecido en la UE y un encargado fuera de ella. Es el caso típico de una agencia francesa que aloja su modelo o su soporte en otro lugar. La transferencia existe, aunque el contrato se firme en París.

Segundo punto: el contrato y los recursos

Un contrato de servicios se juzga por lo que permite hacer cuando todo va mal.

Con un proveedor establecido en Francia, usted negocia el derecho aplicable, la jurisdicción, las penalizaciones por retraso, el límite de responsabilidad y una cláusula de reversibilidad. Todo ello es oponible ante un tribunal francés, en un idioma que usted lee, con plazos que conoce.

Con un proveedor fuera de la UE, a menudo firma sus condiciones generales. Tome o deje. El derecho aplicable es el de su sede. Los recursos existen en teoría y en la práctica son inalcanzables para una pyme: coste del arbitraje, distancia, derecho extranjero. Su única palanca real pasa a ser la fuerza comercial, es decir, casi nada una vez entregado el proyecto.

Esa asimetría no es una cuestión de seriedad. Es estructural. Un equipo pequeño en el extranjero puede ser excelente y perfectamente leal. Simplemente no tiene las mismas obligaciones de responderle.

Tercer punto: el soporte, los plazos y el idioma

Una avería a las 14 horas de un martes no cuesta lo mismo según dónde esté la persona que descuelga. Un soporte con seis horas de desfase supone un día de producción perdido antes del primer diagnóstico.

Fíjese en tres cosas de la oferta: el horario contractual del soporte, el nombre de la persona que escala y el idioma de los entregables. Una auditoría entregada en inglés se traduce en reuniones internas, en desacuerdos de vocabulario, en idas y venidas. Ese coste no aparece en ningún presupuesto.

Añada un punto que se olvida: quién tiene las llaves. Si el modelo, el alojamiento y los registros están en manos del proveedor, su capacidad de cambiar de opinión depende por completo de su buena voluntad. Ahí se decide la reversibilidad de un agente IA, mucho antes del final del contrato.

Cuarto punto: el coste completo

La tarifa diaria es la línea más visible y la menos decisiva.

El cálculo real incluye los días de rehacer, el desplazamiento si el proveedor está lejos, el tipo de cambio si la factura va en dólares, la fiscalidad del servicio, las pruebas que usted debe repetir y el coste de salida. Un servicio dos veces más barato que exige tres semanas más de su equipo interno no es más barato.

La buena pregunta no es "¿cuánto cuesta el día?" sino "¿cuánto cuesta el resultado y cuánto cuesta el error?". Dos importes que solo se comparan bien poniendo por escrito el alcance, los entregables y las condiciones de salida. Ese es exactamente el trabajo de una auditoría y consultoría IA realizada antes de la firma, no después.

Seis preguntas que hacer en ambos casos

1. ¿Dónde se alojan los datos y dónde las copias de seguridad?
2. ¿Quién puede acceder a los datos y con qué base legal?
3. ¿Qué subencargados intervienen y cuáles están fuera de la UE?
4. ¿Qué ocurre si quiero irme en seis meses?
5. ¿Cuál es el plazo contractual de respuesta ante un incidente?
6. ¿Qué documentos puedo entregar a un cliente que me audita?

Si el proveedor responde a estas seis preguntas por escrito, la nacionalidad pasa a ser un criterio secundario. Si elude, se convierte en una señal. Este cuestionario coincide con lo que describimos en las señales de un proveedor de IA poco serio y, antes, en las preguntas antes de firmar con una agencia IA.

Preguntas frecuentes

¿Un proveedor extranjero está fuera de la ley en Europa?

No. El RGPD y el Reglamento IA se aplican en cuanto el sistema se utiliza o se distribuye en la UE, sea cual sea la sede del proveedor. Lo que cambia es la facilidad con la que usted puede constatar un incumplimiento y obtener reparación.

¿Puedo trabajar con un proveedor fuera de la UE sin cláusulas de transferencia?

No si salen datos personales de la Unión. Hace falta una decisión de adecuación que cubra al destinatario, cláusulas contractuales tipo o una excepción prevista por el RGPD. El contrato de encargo del artículo 28 sigue siendo necesario en todos los casos.

¿Basta la decisión de adecuación con Estados Unidos?

Simplifica la transferencia para las organizaciones certificadas. Debe verificar que su proveedor figura en ese marco y conservar la prueba de esa verificación. La adecuación puede anularse, como ocurrió con los dos marcos anteriores.

¿Garantiza un proveedor francés que mis datos se quedan en Francia?

No. Una agencia francesa puede alojar en Estados Unidos o confiar su soporte a un equipo fuera de la UE. La transferencia existe entonces, aunque el contrato se firme en Francia. Pida la lista de subencargados, no la sede.

¿Cuánto tiempo se tarda en cambiar de proveedor?

Depende de quién tenga los accesos y la documentación. Con un modelo, unas instrucciones y unos registros documentados, un cambio se prepara en pocas semanas. Sin documentación, a menudo hay que reconstruir. Para enmarcar las competencias necesarias en interno, vea también los agentes IA en la empresa.

Conclusión

La nacionalidad del proveedor no es el buen criterio de decisión. El buen criterio se reduce a tres preguntas: adónde van mis datos, qué puedo oponer si algo va mal y a qué velocidad puedo salir. Un proveedor francés que responde mal a esas tres preguntas es más arriesgado que un proveedor extranjero que las responde por escrito.

Si quiere zanjar esa elección antes de firmar, nuestra página de auditoría y consultoría IA sirve exactamente para eso: alcance, alojamiento, contrato y condiciones de salida. Para hablarlo, pase por la página de contacto.