Cloud Act: por qué alojar en Europa no basta

Le preguntas a un editor adónde van tus datos. La respuesta llega pulida: «nuestros servidores están en Europa». Suena a respuesta completa. Es solo la mitad de una. La localización de los servidores te dice dónde están los datos. No te dice nada sobre quién puede exigir legalmente su entrega. Desde 2018, una ley estadounidense ha convertido esa segunda pregunta en la que realmente decide tu exposición, y es justo la que casi ningún editor responde por iniciativa propia.

Esta guía explica qué dice la Cloud Act, a quién alcanza realmente, por qué el Data Privacy Framework no la neutraliza y cómo comprobar en la práctica si una herramienta SaaS o de IA queda fuera de la jurisdicción estadounidense.

Qué dice realmente la Cloud Act

La Cloud Act (Clarifying Lawful Overseas Use of Data Act) se promulgó el 23 de marzo de 2018, dentro de la ley de presupuestos estadounidense. No surgió de la nada: zanjó un caso que el Tribunal Supremo de Estados Unidos estaba examinando.

Ese caso comenzó en diciembre de 2013, cuando Microsoft recibió una orden judicial basada en la Stored Communications Act para entregar correos almacenados en un centro de datos de Dublín. Microsoft se negó, alegando que una orden estadounidense no podía alcanzar datos almacenados en Irlanda. El litigio llegó hasta el Tribunal Supremo, que celebró vista en febrero de 2018. Antes de que pudiera resolver, el Congreso aprobó la Cloud Act y el caso se declaró sin objeto.

Lo que la Cloud Act cambió cabe en una cláusula. Modifica la Stored Communications Act para que un proveedor deba conservar, respaldar o entregar los contenidos y registros que estén en su posesión, custodia o control, «con independencia de que esa comunicación, registro u otra información se encuentre dentro o fuera de Estados Unidos».

A quién alcanza realmente

La Cloud Act no apunta a «las empresas estadounidenses» como etiqueta. Alcanza a cualquier proveedor sujeto a la jurisdicción de Estados Unidos, una categoría bastante más amplia de lo que suponen la mayoría de los compradores europeos. Tres situaciones quedan habitualmente dentro:

• Una empresa estadounidense, sea cual sea la ubicación de su infraestructura. Es el caso evidente.
• Una filial europea de una matriz estadounidense. Este es el caso que sorprende. El criterio es el control: cuando una matriz estadounidense controla su entidad europea, los datos que esta conserva se consideran por lo general dentro del control de la matriz, y una orden estadounidense puede alcanzarlos. Ningún tribunal se ha pronunciado directamente sobre este supuesto, y algunos editores discuten el punto. La respuesta práctica la dio el propio Microsoft, más abajo. Constituir una S.L. o una GmbH no levanta, por sí solo, un muro.
• Una empresa no estadounidense con presencia suficiente en Estados Unidos como para considerarse sujeta a su jurisdicción.

La consecuencia práctica es incómoda pero simple: lo que determina tu exposición es la nacionalidad jurídica de la empresa que opera el servicio, y la del grupo que la controla. La localización de los servidores es un detalle en comparación.

No es una cuestión abstracta de contratos en la nube. Afecta a cada herramienta de tu pila: el CRM que guarda tu pipeline, la aplicación de notas que guarda tus reuniones, el asistente de IA en el que pegas documentos, la herramienta de dictado en la que dictas tus expedientes. Esta última es el caso que casi nadie anticipa, porque el audio dictado suele ser lo más confidencial que produce un profesional en su jornada.

Un riesgo que no es teórico: Microsoft ante el Senado francés

Si esto sigue sonando académico, una comparecencia lo zanjó. En junio de 2025, declarando bajo juramento ante una comisión de investigación del Senado francés, el director jurídico de Microsoft Francia reconoció que no podía garantizar que los datos de ciudadanos franceses alojados por la empresa nunca se entregarían a las autoridades estadounidenses sin el acuerdo de Francia.

Esa admisión viene de un hiperescalador con centros de datos europeos considerables y una oferta de soberanía propia y extensa. No es la afirmación de un competidor, es la respuesta del propio editor, bajo juramento. Para cualquier organización que maneje expedientes confidenciales, ese único intercambio vale más que cien páginas de marketing sobre alojamiento europeo.

El Data Privacy Framework responde a otra pregunta

Cuando aprietas a un editor estadounidense con el asunto de las transferencias, la respuesta suele ser el Data Privacy Framework (DPF), la decisión de adecuación adoptada por la Comisión Europea el 10 de julio de 2023. Una empresa estadounidense se autocertifica y puede entonces recibir datos personales de la Unión Europea sin trámite adicional. Sobre el papel, la transferencia es lícita. Conviene saber dos cosas antes de confiar en ello.

Primera: es el tercer marco de su clase, y los dos anteriores fueron anulados. El Safe Harbor fue invalidado por el Tribunal de Justicia de la Unión Europea en octubre de 2015 (Schrems I), y el Privacy Shield en julio de 2020 (Schrems II), en ambos casos porque la vigilancia estadounidense no ofrecía a los europeos una protección sustancialmente equivalente a la del derecho de la Unión. El DPF sobrevivió a su primer recurso: el 3 de septiembre de 2025, el Tribunal General de la UE desestimó el recurso presentado por Philippe Latombe, diputado de la Asamblea Nacional francesa y miembro de la CNIL (asunto T-553/23). Pero esa sentencia fue recurrida el 31 de octubre de 2025 y está pendiente ante el Tribunal de Justicia con el número C-703/25 P. En agosto de 2026 el recurso sigue sin resolverse, y los comentaristas no esperan una decisión antes de finales de 2026 como muy pronto. Construir la confidencialidad sobre un mecanismo ya invalidado dos veces es una apuesta, no una garantía.

Segunda, y más de fondo: el DPF no neutraliza la Cloud Act. Los dos instrumentos responden a preguntas distintas. El DPF hace lícita la transferencia comercial de datos a Estados Unidos. La Cloud Act regula el acceso de las autoridades estadounidenses a datos que un proveedor ya conserva. Un editor puede estar impecablemente certificado en el DPF y recibir aun así una orden estadounidense válida que le obligue a entregarlos. La conformidad de la transferencia no te protege del acceso.

El otro fundamento: la sección 702 de la FISA

La Cloud Act no es la única vía. La sección 702 de la Foreign Intelligence Surveillance Act permite a las agencias de inteligencia estadounidenses obligar a los proveedores de servicios de comunicación electrónica a entregar las comunicaciones de personas no estadounidenses situadas fuera de Estados Unidos. Es decir, de europeos. Fue precisamente la insuficiencia de las garantías en torno a esa vigilancia lo que llevó al Tribunal de Justicia a anular el Privacy Shield en Schrems II.

La sección 702 atraviesa una zona de turbulencias legislativas en 2026. Se renovó por última vez en abril de 2024 mediante la Reforming Intelligence and Securing America Act, con una cláusula de extinción inusualmente corta de dos años, y el Congreso no ha aprobado desde entonces una prórroga duradera. Esa inestabilidad no cambia nada en la práctica para un cliente europeo: como ha documentado el Brennan Center, la recopilación continúa al amparo de certificaciones ya emitidas por el tribunal FISA, vigentes hasta marzo de 2027 con independencia del vencimiento legal. Apostar por que ese fundamento decaiga no es una estrategia.

Qué significa «soberano» de verdad, en cuatro comprobaciones

«Soberano» se ha convertido en una palabra de marketing. Así se pone a prueba, en el orden que importa.

1. De quién es el editor. Busca la empresa en el registro mercantil: forma jurídica, domicilio, capital social y, sobre todo, si hay una matriz estadounidense o un grupo controlado desde Estados Unidos por encima. Una marca europea puede ser una filial al 100 %. Esta comprobación lleva cinco minutos y responde a lo esencial.
2. Quiénes son los subencargados y dónde operan. El alojamiento propio del editor rara vez es toda la historia. Pide la lista de subencargados y léela: el proveedor de modelos, la base de datos, la capa de autenticación, la pasarela de pago. Un solo eslabón estadounidense basta para devolver al ámbito de aplicación los datos que toca.
3. Contenido frente a datos de cuenta. Casi siempre se tratan de forma distinta. Un editor puede procesar de verdad tus documentos en Francia y aun así hacer pasar los datos de cuenta, correo electrónico, autenticación, facturación, por proveedores SaaS estadounidenses. Puede que eso te parezca perfectamente aceptable, pero conviene saberlo y no descubrirlo. Pide al editor que trace la línea de forma explícita.
4. A qué se compromete el contrato de verdad. Un contrato de encargo del tratamiento conforme al artículo 28 del RGPD debe nombrar a los subencargados, indicar dónde trata los datos cada uno y comprometer al editor a notificarte antes de cambiar cualquiera de ellos. Un editor que no quiere nombrar su cadena te está diciendo algo.

La trampa específica de las herramientas de IA

Hay un modo de fallo con el que los compradores europeos de herramientas de IA tropiezan una y otra vez, y merece enunciarse aparte.

Un editor puede ser una empresa europea de verdad, alojar su aplicación en infraestructura europea de verdad, y aun así enviar cada uno de tus documentos a Estados Unidos. Ocurre en la llamada al modelo. Si la inteligencia del producto viene de una API operada por OpenAI, Anthropic, Google o una nube controlada desde Estados Unidos, tu contenido abandona el perímetro europeo en el instante exacto en que el producto se vuelve útil. El alojamiento europeo es real, y también es irrelevante: sostiene la interfaz, no la carga útil.

En el dictado por voz esto es casi la norma. La mayoría de las herramientas del mercado, incluidas varias que se presentan como respetuosas con la privacidad, transcriben llamando a una API de reconocimiento de voz estadounidense. El audio dictado, a menudo lo más confidencial que produce un profesional en su jornada, entra directamente en el ámbito de aplicación.

Seis preguntas que plantear por escrito a cualquier editor

1. ¿Qué entidad jurídica edita el servicio, y está controlada por una matriz no europea?
2. ¿Dónde se trata mi contenido, y qué empresas lo hacen? No «en Europa», sino la lista con nombres.
3. ¿Qué modelos de IA usáis, y quién los opera? El punto de ruptura propio de los productos de IA.
4. ¿Cuáles de mis datos son contenido y cuáles son datos de cuenta, y se tratan de forma distinta?
5. ¿Estáis vosotros, o alguno de vuestros subencargados, sujetos a la Cloud Act o a otra ley extraterritorial? Un editor europeo sin matriz estadounidense puede responder que no, sin rodeos.
6. ¿Facilitáis un contrato de encargo conforme al artículo 28 que nombre a vuestros subencargados y os obligue a notificar los cambios?

Las respuestas deben llegar por escrito y sin evasivas. Donde no llegan, ya tienes tu respuesta. Si quieres la vertiente del RGPD del mismo análisis, nuestra guía sobre dictado por voz y RGPD cubre las obligaciones que recaen sobre la propia herramienta, y nuestro artículo sobre la AI Act explica por qué la regulación de la IA no dice nada de todo esto.

La posición de Fast Dictate

Fast Dictate está pensado para responder a esas seis preguntas en una página, no en una reunión comercial.

• El editor es una empresa francesa. Synapse Crew SAS, inscrita en el registro mercantil de París, sin matriz estadounidense. No está sujeta a la Cloud Act.
• Plan Pro: el contenido dictado se queda en Francia. El audio y las transcripciones se tratan exclusivamente en servidores situados en Francia, sobre infraestructura certificada ISO/IEC 27001:2022.
• Los modelos también funcionan en Francia. La transcripción y el posprocesado lingüístico se operan sobre infraestructura francesa, sin ninguna llamada a una API de IA fuera de Francia para tratar ese contenido. Es el punto por donde se escapan la mayoría de las herramientas, así que lo decimos de forma explícita.
• Cero conservación en todos los planes. El audio se transcribe y después se elimina de inmediato, y nunca se reutiliza para entrenar modelos.
• El matiz honesto sobre los metadatos. Los datos técnicos de cuenta, correo electrónico, autenticación, estado de la suscripción, pasan por subencargados internacionales amparados por las cláusulas contractuales tipo de la Comisión Europea. Ningún contenido dictado circula por ellos. El desglose completo está en nuestra página de Seguridad, y el DPA se facilita a los clientes del plan Pro.

Preguntas frecuentes