Key Takeaways
- La arquitectura es el cumplimiento: Los LLMs locales de pesos abiertos eliminan el riesgo de transferencia transfronteriza del Artículo 44 del RGPD manteniendo los datos en hardware de la UE.
- Qwen 3.6 27B: Licencia Apache 2.0, 92,1% HumanEval, funciona con 16 GB de VRAM — el modelo de codificación de mayor calidad conforme al RGPD a mayo de 2026.
- Artículos 25, 32, 44 del RGPD: El despliegue local satisface la protección de datos por diseño (Art. 25), las medidas técnicas adecuadas (Art. 32) y elimina las obligaciones de transferencia transfronteriza (Art. 44).
- Ley de IA de la UE 2026: Los proveedores de IA de propósito general (nube) se enfrentan a nuevas evaluaciones de conformidad. Los despliegues locales de pesos abiertos con menos de 10^25 FLOP de cómputo de entrenamiento quedan fuera del nivel de mayor riesgo.
- El contraargumento: Los proveedores de nube ofrecen SCCs, DPAs y opciones de residencia de datos en la UE. Estas son herramientas legales válidas, no sustitutos de la residencia de datos por diseño.
El Manifiesto
Estos principios reflejan la posición de PromptQuorum sobre la arquitectura de IA y el gobierno de datos en la UE. Están pensados como punto de partida para las políticas de IA organizacionales, no como asesoramiento legal.
- 1Los datos que no salen de tu infraestructura no pueden ser vulnerados por sistemas de terceros
Why it matters: Los ataques a la cadena de suministro de proveedores de IA son una categoría de riesgo emergente. Los LLMs locales eliminan la capa de API como superficie de ataque. - 2El cumplimiento del RGPD por arquitectura es más sólido que el cumplimiento por contrato
Why it matters: Las [Cláusulas Contractuales Estándar (SCCs) del Artículo 46 del RGPD](https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:31995L0046#d1e1789) legitiman la transferencia y crean responsabilidad legal entre el responsable y el destinatario. Tras Schrems II, las SCCs deben complementarse con una [Evaluación de Impacto de la Transferencia](https://edpb.europa.eu/our-work-tools/our-documents/recommendations/recommendations-012020-measures-supplement-transfer-tools_en) que evalúe si la jurisdicción del destinatario ofrece una protección equivalente al RGPD. El despliegue local evita todo este marco impidiendo que se produzca la transferencia. - 3Los pesos abiertos permiten una auditabilidad que las APIs cerradas no pueden proporcionar
Why it matters: El Artículo 53 de la Ley de IA de la UE exige que los proveedores de IA de propósito general publiquen documentación técnica. Los modelos de pesos abiertos permiten a las organizaciones inspeccionar la arquitectura del modelo, las fichas de datos de entrenamiento y los patrones de comportamiento de forma independiente. - 4La paridad de rendimiento ha llegado — los modelos locales ya no implican sacrificio de calidad
Why it matters: Qwen 3.6 27B (92,1% HumanEval, 77,2% SWE-bench) y Mistral Devstral Small 24B demuestran que los modelos locales de pesos abiertos igualan el rendimiento frontera en la nube en tareas de codificación a mayo de 2026. El argumento de calidad para la exclusividad en la nube ya no es válido. - 5La soberanía de datos es una ventaja competitiva para las organizaciones de la UE
Why it matters: Los estándares de protección de datos de la UE se están convirtiendo en la referencia global. Las organizaciones con infraestructura de IA local madura afrontarán menos transiciones regulatorias a medida que la gobernanza internacional de la IA converja hacia los requisitos del estilo europeo. - 6La transparencia de licencias es un prerequisito para un despliegue de IA responsable
Why it matters: Apache 2.0 (la mayoría de los modelos Qwen 3) otorga derechos irrevocables para usar, modificar y distribuir para cualquier propósito. Esto contrasta con los términos de servicio de APIs propietarias que pueden cambiar con 30 días de aviso, creando un riesgo de cumplimiento impredecible. - 7El despacho multi-modelo, no el bloqueo en un único modelo, es la arquitectura de IA madura
Why it matters: Ningún modelo único optimiza coste, calidad, latencia y cumplimiento simultáneamente. Enrutar tareas por tipo — pesos abiertos locales para datos sensibles al RGPD, nube para tareas de escala no sensibles — es una práctica documentada en los marcos de gobernanza de IA de la UE y reduce el área de cumplimiento global.
•Important: Este manifiesto no argumenta que la IA en la nube sea inutilizable en la UE. Argumenta que los modelos locales de pesos abiertos deben ser el predeterminado para tareas sensibles a los datos, con las APIs en la nube como opción de inclusión para tareas donde las obligaciones del RGPD han sido explícitamente evaluadas y satisfechas.
El Problema de los Modelos Cerrados
Los modelos de IA en la nube cerrados presentan un problema estructural del RGPD que los remedios contractuales no pueden resolver completamente. Cuando envías un prompt a OpenAI, Anthropic o Google, transfieres datos a sus servidores. El modelo los procesa. El registro, la detección de abusos, las canalizaciones de datos de entrenamiento y la supervisión de seguridad pueden tocar esos datos. Las Cláusulas Contractuales Estándar (SCCs) del Artículo 46 del RGPD legitiman la transferencia y crean responsabilidad legal entre el responsable y el destinatario — pero no impiden que se produzca la transferencia de datos.
La sentencia Schrems II del Tribunal de Justicia de la Unión Europea (TJUE) (Asunto C-311/18) estableció que las SCCs por sí solas son insuficientes para las transferencias a jurisdicciones sin una protección equivalente al RGPD. La sentencia se aplica especialmente a los Estados Unidos, donde la legislación de vigilancia como la FISA 702 permite el acceso del gobierno sin garantías adecuadas. Tras Schrems II, las Recomendaciones 01/2020 del EDPB exigen a las organizaciones realizar una Evaluación de Impacto de la Transferencia (TIA) antes de depender de las SCCs, evaluando si la jurisdicción del destinatario proporciona una protección "esencialmente equivalente". Esta obligación de cumplimiento se ha convertido en práctica estándar para cualquier organización que envíe datos personales a proveedores de IA en la nube.
En 2023–2024, varias Autoridades de Protección de Datos de la UE emitieron orientaciones o acciones de ejecución relacionadas con la IA en la nube: el Garante italiano restringió temporalmente el acceso a ChatGPT, la UODO polaca abrió una investigación sobre el manejo de datos de entrenamiento de ChatGPT, y la APD de Hamburgo emitió orientaciones que exigen SCCs para el uso de APIs de IA. Estos casos señalan que el cumplimiento del RGPD por parte de la IA en la nube está bajo escrutinio activo, no se da por supuesto.
Más allá del riesgo regulatorio, hay un argumento económico: cada prompt a una API en la nube es una divulgación del trabajo intelectual de tu organización a un sistema de terceros. El código, las comunicaciones con clientes, los documentos internos y los planes de producto tienen valor comercial. La pregunta no es solo "¿es esto legal?" sino "¿es esto prudente?"
Los modelos de IA en la nube cerrados crean obligaciones estructurales de transferencia según el RGPD. Las Cláusulas Contractuales Estándar legitiman las transferencias y crean responsabilidad según el Artículo 46, pero deben complementarse con una Evaluación de Impacto de la Transferencia tras Schrems II. El despliegue local previene la transferencia por completo.
Cuando escribes un prompt en una herramienta de IA en la nube, ese texto se envía al servidor del proveedor en otro país. Los contratos legales (SCCs) significan que puedes responsabilizar al proveedor si algo va mal y crear una base legal para la transferencia — pero tus datos siguen viajando hasta allí. Tras la sentencia Schrems II, estos contratos deben estar respaldados por una Evaluación de Impacto de la Transferencia que confirme que el país receptor proporciona una protección de privacidad equivalente. Los LLMs locales significan que los datos no viajan en absoluto.
Por qué Importan los Pesos Abiertos
Los modelos de pesos abiertos publican los parámetros del modelo entrenado — los valores numéricos que definen el comportamiento del modelo. Esto los distingue de los modelos de código abierto (que también publican el código de entrenamiento) y de las APIs cerradas (que no publican ninguno). La familia Qwen 3, Llama 3.3 y los modelos Mistral son de pesos abiertos: cualquiera puede descargar los parámetros, ejecutar inferencia, ajustar finamente e inspeccionar la arquitectura.
La auditabilidad es el primer beneficio. Un CISO puede verificar que Qwen 3.6 27B ejecuta los pesos exactos publicados por Alibaba Cloud (Tongyi Lab), inspeccionar la arquitectura y realizar pruebas adversariales en el despliegue local. Nada de esto es posible con una API en la nube.
La reproducibilidad es el segundo beneficio. Los modelos de pesos abiertos no cambian entre llamadas a la API. Cuando un proveedor de nube actualiza su modelo (GPT-4o ha tenido múltiples actualizaciones silenciosas, Claude Sonnet ha pasado por múltiples versiones), tus prompts ajustados, suites de pruebas y resultados esperados pueden romperse sin previo aviso. Un despliegue local de pesos abiertos está congelado en la versión que elegiste.
La libertad comercial es el tercer beneficio. Apache 2.0 otorga derechos perpetuos e irrevocables para usar Qwen 3 para cualquier propósito. Los términos de APIs propietarias pueden cambiar. Anthropic, OpenAI y Google han modificado sus políticas de uso, precios y disponibilidad de modelos en ventanas de 12 meses. Los modelos de pesos abiertos Apache 2.0 no pueden ser retirados unilateralmente.
💡Tip: La gama de modelos de DeepSeek evoluciona con frecuencia. Verifica el nombre del modelo actual y el precio en platform.deepseek.com antes del despliegue. Las cifras reflejan datos disponibles públicamente a mayo de 2026.
Panorama de Licencias de Qwen
Siempre verifica la licencia en la página Hugging Face del modelo específico antes del despliegue en producción. Las licencias pueden cambiar entre versiones del modelo. Esta tabla refleja la política declarada de QwenLM a mayo de 2026.
Los términos de licencia determinan si un modelo puede usarse comercialmente, distribuirse y ajustarse finamente. Revisa la licencia relevante antes de desplegar en producción. Verifica toda la información de licencias en la ficha oficial del modelo en Hugging Face.
| Familia de Modelos Qwen | Licencia | Uso Comercial |
|---|---|---|
| Todos los modelos Qwen 3.6 de pesos abiertos | Apache 2.0 | ✅ Sin restricciones |
| Todos los modelos Qwen 3.5 de pesos abiertos | Apache 2.0 | ✅ Sin restricciones |
| Variantes Qwen antiguas (anteriores a 3.5) | Variable — consulta la ficha del modelo | ⚠️ Verificar |
Adecuación Artículo por Artículo del RGPD
A continuación se examinan los artículos del RGPD más directamente relevantes para el despliegue de IA, con una evaluación de la postura de cumplimiento de los pesos abiertos locales frente a la API en la nube.
El despliegue local de LLM satisface el Artículo 25 del RGPD (protección de datos por diseño) y elimina las obligaciones del Artículo 44 (transferencia transfronteriza) porque los datos nunca salen de la infraestructura controlada por la UE.
| Artículo RGPD | Postura LLM Local | Postura API en la Nube |
|---|---|---|
| Art. 5 — Minimización de Datos | ✅ Los datos nunca salen de la infraestructura | ⚠️ Datos transferidos al proveedor — la minimización requiere un diseño cuidadoso de los prompts |
| Art. 25 — Protección de Datos por Diseño | ✅ La arquitectura previene la transferencia por diseño | ⚠️ Requiere controles contractuales y técnicos para aproximarse a la protección a nivel de diseño |
| Art. 32 — Medidas Técnicas | ✅ Cifrado en reposo y en tránsito bajo el control directo de la organización | ⚠️ El proveedor implementa medidas; la organización debe verificar y documentar |
| Art. 44 — Transferencias Transfronterizas | ✅ Sin transferencia — el Artículo 44 no se aplica | ❌ Se produce la transferencia — requiere decisión de adecuación, SCC o BCR |
| Art. 28 — Obligaciones del Encargado | ✅ Sin encargado en el ámbito — la organización es el único responsable | ⚠️ El proveedor es encargado — se requiere Acuerdo de Tratamiento de Datos (DPA) |
Ley de IA de la UE 2026
La Ley de IA de la UE (Reglamento 2024/1689) entró en vigor en fases entre 2025 y 2026. A mayo de 2026, las obligaciones para los proveedores de IA de propósito general (GPAI) están activas según el Artículo 53. El umbral de 10^25 FLOPs de cómputo de entrenamiento identifica específicamente los modelos GPAI de "riesgo sistémico" según el Artículo 55, que se enfrentan a requisitos de supervisión adicionales. Esta distinción es crítica: todos los proveedores GPAI deben cumplir el Artículo 53, pero solo los modelos de riesgo sistémico afrontan la carga completa del Artículo 55.
El Artículo 53 se aplica a todos los proveedores GPAI, exigiendo: documentación técnica, divulgación del cumplimiento de derechos de autor, resúmenes de datos de entrenamiento y registros de ajuste por instrucciones. El Artículo 55 se aplica específicamente a los modelos por encima de 10^25 FLOPs, añadiendo pruebas adversariales, notificación de incidentes a la Oficina de IA de la UE y evaluaciones de ciberseguridad. Los modelos frontera en la nube (GPT-4o, Claude Sonnet, Gemini) se acercan o superan el umbral de riesgo sistémico. Los modelos de pesos abiertos en el rango de 7B–72B permanecen por debajo.
El despliegue local de modelos de pesos abiertos por debajo del umbral de riesgo sistémico no activa las obligaciones del proveedor GPAI. Las organizaciones que despliegan Qwen 3.6 27B localmente son usuarias, no proveedoras, a efectos de la Ley de IA de la UE. Siguen sujetas a las disposiciones de usuario de la Ley (casos de uso prohibidos, transparencia hacia los usuarios finales) pero no a la carga completa del cumplimiento del proveedor GPAI.
En la práctica, esto significa: los proveedores de APIs en la nube afrontan una carga de cumplimiento creciente en la UE en 2026–2027 debido a las obligaciones de los Artículos 53 y 55. Los despliegues locales de pesos abiertos por debajo del umbral de riesgo sistémico ofrecen un camino de cumplimiento estructuralmente más sencillo siempre que se observen las disposiciones sobre usos prohibidos.
📌Note: La distinción entre GPAI (Artículo 53) y GPAI de riesgo sistémico (Artículo 55, 10^25 FLOPs) es crítica para la planificación del cumplimiento. Monitoriza la orientación de la Oficina de IA de la UE para actualizaciones de umbrales y clasificaciones de modelos. A mayo de 2026, los modelos Qwen 3 hasta 72B están muy por debajo del umbral de riesgo sistémico de 10^25 FLOP. El cómputo de entrenamiento exacto de los modelos frontera en la nube normalmente no se divulga; las estimaciones sugieren que se acercan o superan el umbral.
El Contraargumento
El contraargumento más sólido contra los LLMs locales de pesos abiertos para el cumplimiento en la UE es: "Los proveedores de nube ofrecen residencia de datos en la UE, SCCs y DPAs detallados — estas son opciones legalmente válidas y operativamente más sencillas que gestionar infraestructura de inferencia local."
Esto es correcto. Microsoft Azure, AWS y Google Cloud ofrecen despliegues en regiones de la UE. Anthropic y OpenAI ofrecen DPAs empresariales con SCCs de la UE. Para muchas organizaciones, especialmente aquellas sin equipos dedicados de infraestructura ML, la IA en la nube con las salvaguardas contractuales adecuadas es una elección legítima y conforme.
La posición del manifiesto no es "la nube no es conforme" — es "los pesos abiertos locales son estructuralmente más simples desde una perspectiva de cumplimiento, y la brecha de calidad es ahora suficientemente pequeña como para que valga la pena asumir el intercambio." Una organización con 5 ingenieros y sin presupuesto para GPU debería usar IA en la nube con las SCCs adecuadas. Una organización con un equipo de infraestructura, datos sensibles al RGPD y un equipo de 1.000 desarrolladores que manejan código de clientes tiene un argumento sólido para Qwen 3.6 27B local.
La variable clave es la sensibilidad de los datos. Para tareas de propósito general sin datos personales, la IA en la nube es operativamente superior. Para sanidad, servicios legales, servicios financieros y cualquier prompt que contenga datos personales a escala, los LLMs locales de pesos abiertos representan la arquitectura de menor riesgo.
Preguntas frecuentes
¿Prohíbe el RGPD la IA en la nube para organizaciones de la UE?
No. El RGPD no prohíbe la IA en la nube. Exige que las transferencias de datos transfronterizas tengan una base legal (Artículo 44). Las Cláusulas Contractuales Estándar (SCCs) son la base legal más común para las organizaciones de la UE que usan APIs de IA en la nube con sede en EE.UU. La IA en la nube es legalmente utilizable con las SCCs, los Acuerdos de Tratamiento de Datos (DPAs) y las prácticas de minimización de datos adecuadas. Los LLMs locales ofrecen una postura de cumplimiento estructuralmente más sencilla al eliminar la transferencia por completo.
¿Es DeepSeek R2 conforme con el RGPD para datos personales de la UE?
Usar DeepSeek R2 para datos personales de la UE es de alto riesgo desde la perspectiva del RGPD. DeepSeek AI opera desde China. La Comisión Europea no ha emitido una decisión de adecuación para China. Sin una decisión de adecuación, las transferencias internacionales requieren SCCs o Normas Corporativas Vinculantes (BCRs). DeepSeek actualmente no ofrece SCCs al estándar de la UE. Consulta a tu DPO antes de usar DeepSeek R2 para cualquier dato personal.
¿Se aplica la Ley de IA de la UE al despliegue local de Qwen?
A mayo de 2026, desplegar Qwen 3.6 27B localmente te convierte en usuario, no en proveedor, según la Ley de IA de la UE. Las obligaciones del proveedor GPAI (documentación del Artículo 53, pruebas adversariales para modelos de riesgo sistémico) se aplican al creador del modelo (Alibaba) y a las organizaciones que crean productos sobre el modelo y lo ponen a disposición de terceros. El despliegue interno para uso de tu propia organización está cubierto solo por las disposiciones de usuario (casos de uso prohibidos, transparencia hacia el usuario final donde corresponda).
¿Está Qwen 3.6 27B realmente licenciado bajo Apache 2.0?
Sí. Qwen 3.6 27B se publica bajo Apache 2.0, que permite el uso comercial, la modificación y la redistribución sin regalías. Verifica la licencia actual de cada modelo en su ficha de modelo de Hugging Face antes de desplegar en producción.
¿Cuál es el umbral GPAI de la Ley de IA de la UE?
La Ley de IA de la UE define los modelos de IA de propósito general entrenados con más de 10^25 FLOPs de cómputo como modelos GPAI de "riesgo sistémico" que requieren supervisión adicional. Los modelos frontera (GPT-4o, Claude 3.5 Sonnet, Gemini 1.5 Pro) superan este umbral. Los modelos de pesos abiertos en el rango de 7B–72B, incluido Qwen 3.6 27B, están muy por debajo del umbral a mayo de 2026. El umbral se aplica al cómputo de entrenamiento del modelo en sí — no al cómputo de inferencia en tu organización.