Cloud Act: ¿están realmente protegidos sus datos alojados en Francia?
El 10 de junio de 2025, ante una comisión de investigación del Senado francés, el director de asuntos públicos y jurídicos de Microsoft France debía garantizar bajo juramento que los datos de los franceses nunca se transmitirían a las autoridades estadounidenses sin el acuerdo de París. Su respuesta: «No, no puedo garantizarlo», aunque precisó que ese caso nunca se había producido hasta ahora. En Happy Mining montamos máquinas de cálculo para IA, y nuestros clientes nos plantean esta pregunta cada semana. Esto es lo que dice realmente el derecho, sin dramatizar ni minimizar.
Este artículo forma parte de nuestro dossier sobre la IA local en la empresa, que explica cómo mantener sus datos de IA dentro de su empresa.
¿Qué es la Cloud Act?
La Clarifying Lawful Overseas Use of Data Act es una ley federal estadounidense aprobada en marzo de 2018. Permite a las autoridades estadounidenses, provistas de una orden judicial o un requerimiento válidos, exigir a un proveedor sujeto al derecho estadounidense los datos que controla, dondequiera que estén almacenados.
Lo que cuenta, por tanto, no es la dirección del centro de datos, sino la jurisdicción de la empresa que lo explota. Un servidor en París explotado por una filial de un grupo estadounidense sigue estando afectado. Amazon Web Services recuerda que es necesario un procedimiento judicial válido: el acceso no es libre, pero es jurídicamente posible.
Por qué «alojado en Francia» no basta
- La ubicación no es una barrera jurídica. Las fronteras de datos europeas de los grandes proveedores garantizan dónde se almacenan y procesan los datos, no quién puede reclamarlos.
- El RGPD entra en conflicto con la Cloud Act. Su artículo 48 establece que una resolución de un tribunal o de una autoridad de un tercer país que exija la comunicación de datos solo se reconoce si se basa en un acuerdo internacional, como un tratado de asistencia judicial mutua. El proveedor queda atrapado entre dos ordenamientos jurídicos.
- Todos los gigantes estadounidenses están afectados. Microsoft lo dijo ante el Senado, pero AWS y Google Cloud se rigen por el mismo marco legal.
Para una IA, el riesgo es aún más concreto: para responder a sus preguntas, el modelo debe leer sus documentos en claro. Sus contratos, sus fichas de clientes o sus planos pasan entonces por los servidores del proveedor.
FISA 702: expirada en junio de 2026, pero todavía activa
La sección 702 de la Foreign Intelligence Surveillance Act autoriza la recopilación, sin orden judicial individual, de las comunicaciones de no estadounidenses situados en el extranjero, con la ayuda obligatoria de los proveedores estadounidenses. En sus sentencias Schrems I y Schrems II, el Tribunal de Justicia de la Unión Europea consideró que estas prácticas vulneraban los derechos de los europeos.
En 2026, el Congreso prorrogó la ley unas semanas en abril y después la dejó expirar el 12 de junio de 2026. Pero el tribunal FISA había renovado el programa en marzo de 2026 por aproximadamente un año: la recopilación puede continuar legalmente hasta alrededor de marzo de 2027. Según el Brennan Center, una votación antes del 17 de marzo de 2027 bastaría para evitar cualquier interrupción. Así pues, en la práctica, las turbulencias políticas en Washington no cambian nada para los datos europeos.
¿Resistirá el Data Privacy Framework?
El Data Privacy Framework, adoptado en julio de 2023, es el tercer intento de regular las transferencias a Estados Unidos, tras el Safe Harbor, anulado en 2015, y el Privacy Shield, anulado en 2020. El Tribunal General de la UE desestimó el recurso del diputado francés Philippe Latombe el 3 de septiembre de 2025, y este recurrió en casación ante el TJUE el 31 de octubre de 2025.
En junio de 2026, el Tribunal autorizó a Microsoft a intervenir en apoyo de la Comisión. La decisión aún está pendiente: una empresa que se apoya en este marco vive, por tanto, con incertidumbre jurídica.
Tres niveles de protección para sus datos de IA
| Opción | Dónde se procesan sus datos | Exposición al derecho estadounidense | Para qué usos |
|---|---|---|---|
| IA o nube de un proveedor estadounidense, región Europa | Centro de datos en Europa | Sí, a través de la Cloud Act | Datos públicos o poco sensibles |
| Nube cualificada SecNumCloud | Centro de datos en Francia, operador europeo | Requisitos de inmunidad desde la versión 3.2 (sede y capital europeos, ningún acceso de proveedores no europeos), protección sólida pero no hermética | Datos sensibles, sector público |
| IA en su propia máquina, en sus instalaciones o alojada por nosotros en Francia | Un servidor de su propiedad | Ningún proveedor de nube al que se pueda requerir la entrega de sus preguntas y sus documentos | Jurídico, RR. HH., sanidad, I+D, ficheros de clientes |
Incluso SecNumCloud tiene sus límites: como señala Le Monde Informatique, un operador cualificado sigue dependiendo de componentes y software no europeos. Una IA local tampoco lo resuelve todo, pero elimina al intermediario: una vez descargado el modelo, funciona sin conexión.
Nuestra solución: la IA que se queda en su empresa
Entregamos estaciones de IA listas para usar, montadas y probadas con componentes nuevos: Linux, controladores NVIDIA, Ollama y una interfaz de chat en el navegador, ya instalados.
- Estación Esencial 16 GB desde 2.490 € IVA incluido, para un asistente documental y de 1 a 3 usuarios.
- Estación Pro 32 GB por 4.490 € IVA incluido, para modelos de unos 30.000 millones de parámetros.
- Estación Threadripper con 1 a 3 RTX PRO 6000 y servidores de 8 GPU bajo presupuesto, para modelos de 70.000 millones de parámetros o más.
Producto nuevo, probado y entregado en 7 días. ¿Prefiere no instalarla en sus oficinas? Podemos alojar la máquina en Francia, con acceso remoto. Para un proyecto concreto, llámenos al +33 6 32 49 26 41 o solicite un presupuesto.
Lea también
- Soberanía digital: Europa frente a Estados Unidos en la IA
- ChatGPT Business y RGPD: lo que hay que comprobar en la empresa
- Nuestro asistente de IA privado: un ChatGPT interno que se queda en su empresa
Preguntas frecuentes
¿Se aplica la Cloud Act a las empresas francesas? Se dirige a los proveedores sujetos a la jurisdicción estadounidense: los grupos estadounidenses, sus filiales y las sociedades con una presencia suficiente en Estados Unidos. Una pyme francesa que almacena sus datos en un proveedor de este tipo se ve, por tanto, afectada indirectamente.
¿Basta con cifrar mis datos? El cifrado protege el almacenamiento si solo usted posee las claves. Pero una IA debe leer sus documentos en claro para responder: el tratamiento tiene lugar allí donde funciona el modelo.
¿Una IA local cumple automáticamente con el RGPD? No. Elimina las transferencias fuera de la UE y los encargados del tratamiento, pero usted sigue siendo el responsable del tratamiento. Detallamos este punto en nuestro artículo sobre la IA local en la empresa.
Fuentes
- Senado francés, comisión de investigación sobre la contratación pública, comparecencia del 10 de junio de 2025
- Génération-NT, Microsoft y la Cloud Act
- Departamento de Justicia de Estados Unidos, recursos sobre la Cloud Act
- Reglamento General de Protección de Datos, EUR-Lex
- Congressional Research Service, la expiración de la sección 702 (22 de junio de 2026)
- NPR, la sección 702 ha expirado: ¿y ahora qué? (12 de junio de 2026)
- Brennan Center, el plazo de marzo de 2027 (22 de septiembre de 2026)
- heise, el recurso de Latombe ante el TJUE
- WilmerHale, el TJUE revisará el Data Privacy Framework
- WinBuzzer, Microsoft interviene en el recurso (30 de junio de 2026)
- Le Monde Informatique, SecNumCloud y el derecho extraterritorial (8 de enero de 2026)