Tu proveedor de IA está en EEUU: qué pasa con tus datos si cae el Data Privacy Framework

Si tu empresa usa ChatGPT, Microsoft Copilot, Gemini o cualquier otra herramienta de IA que procesa datos en servidores estadounidenses, hasta ahora dabas por hecho que esa transferencia tenía cobertura legal. El Data Privacy Framework (DPF), la decisión de adecuación que desde julio de 2023 permite mover datos personales de la UE a proveedores certificados en Estados Unidos sin cláusulas contractuales adicionales, sigue en vigor. Pero la pieza que sostenía esa cobertura, la independencia de la Federal Trade Commission, acaba de perder su base constitucional en Estados Unidos.

El 29 de junio de 2026 el Tribunal Supremo estadounidense revocó noventa años de doctrina sobre agencias independientes. En cuestión de horas, la organización austriaca noyb pidió a la Comisión Europea que empezara a desmontar el marco, y un mes después el CEPD, que agrupa a las autoridades de protección de datos de toda la UE, incluida la AEPD, le pidió formalmente que revisara sus consecuencias. Nada de esto invalida el DPF de forma automática. Pero si tu empresa depende de proveedores de IA alojados en Estados Unidos, hay una diferencia entre saber que el marco sigue vigente y saber qué hacer si deja de estarlo con poco margen de reacción.

Qué decidió el Tribunal Supremo de EEUU el 29 de junio

La sentencia se llama Trump v. Slaughter y, en apariencia, no tiene nada que ver con protección de datos. El caso empezó en 2025, cuando el presidente Trump destituyó sin causa a dos comisionados demócratas de la FTC, Rebecca Slaughter y Álvaro Bedoya, pese a que la ley que rige la agencia solo permite destituir a sus comisionados por ineficiencia, negligencia o mala conducta. Slaughter recurrió, y el asunto llegó al Tribunal Supremo.

El 29 de junio de 2026, por 6 votos contra 3 y siguiendo la línea ideológica del tribunal, el Supremo falló a favor de Trump y revocó Humphrey's Executor v. United States, el precedente de 1935 que blindaba a los comisionados de agencias como la FTC frente a la destitución libre del presidente. La mayoría, redactada por el presidente del tribunal John Roberts, sostiene que quien ejerce poder ejecutivo responde ante el presidente, y que el Congreso no puede exigirle una causa para destituir a un subordinado que ejecuta ese poder. En la práctica, los cinco comisionados de la FTC dejan de tener la protección de mandato fijo que tenían desde hace noventa años: el presidente puede cesarlos cuando quiera, sin justificar el motivo. La Reserva Federal quedó excluida de esa misma lógica en una sentencia gemela dictada el mismo día, Trump v. Cook, por el peso que tiene sobre la economía. El régimen de destitución libre sí alcanza a los cinco comisionados de la FTC.

Por qué eso golpea al Data Privacy Framework

La decisión de adecuación que sostiene el DPF, adoptada por la Comisión Europea en julio de 2023, no se apoya solo en las cláusulas del acuerdo con Washington. El artículo 45.2.b) del RGPD exige valorar si el país de destino cuenta con autoridades de supervisión independientes capaces de garantizar el cumplimiento de las normas de protección de datos. Para el pilar comercial del DPF, esa autoridad es la FTC, que investiga y sanciona a las empresas estadounidenses que incumplen sus compromisos de certificación. Los considerandos 58 a 60 de la decisión de adecuación describen precisamente esa independencia, apoyada en el mandato fijo y la destitución solo por causa, como garantía estructural del sistema.

Esa descripción ya no se corresponde con la realidad jurídica estadounidense. No es que la FTC haya dejado de funcionar ni que sus comisionados actuales vayan a ser destituidos mañana: es que la garantía en la que se apoyaba la Comisión Europea para calificar a la FTC como autoridad independiente ha desaparecido como cuestión de derecho constitucional de Estados Unidos.

La escalada institucional: de noyb al CEPD

El primer movimiento llegó rápido. El 30 de junio de 2026, un día después de la sentencia, Max Schrems y su organización noyb enviaron una carta a la Comisión Europea pidiendo una «retirada ordenada» de la decisión de adecuación, con periodo transitorio incluido, y anunciaron que preparan una demanda de anulación ante el Tribunal de Justicia de la Unión Europea. noyb no es una autoridad pública: es una organización de litigio estratégico que ya provocó la caída de los dos marcos anteriores, Safe Harbor en 2015 y Privacy Shield en 2020. A fecha de este artículo no consta que esa demanda se haya presentado formalmente, aunque la organización confirma que sigue trabajando en ella.

El segundo movimiento tiene más peso institucional. El 31 de julio de 2026 el Comité Europeo de Protección de Datos (CEPD), el organismo que reúne a las veintisiete autoridades nacionales de protección de datos, la AEPD entre ellas, remitió una carta a la Comisión registrada con la referencia Ares(2026)7540711 y firmada por su presidenta, Anu Talus. La carta, dirigida al comisario Michael McGrath, no pide suspender el DPF ni declara nada inválido. Pide, en dos páginas, que la Comisión «evalúe detenidamente» cómo afecta la sentencia a la posición de la FTC, sin fijar plazo ni anticipar una conclusión.

Dónde está la Comisión Europea hoy

La respuesta pública de la Comisión, hasta ahora, ha sido cautelosa: un portavoz confirmó que evaluará si la sentencia afecta a la validez del marco, sin comprometerse a un calendario. No consta respuesta formal a la carta del CEPD a fecha de este artículo. Mientras tanto, nada ha cambiado en el plano formal: la decisión de adecuación sigue en vigor mientras no la derogue la propia Comisión o la anule un tribunal, y las empresas certificadas bajo el DPF pueden seguir operando con esa base legal.

Dos precedentes conviene tener presentes para entender el terreno en el que se mueve la Comisión. El primero es el recurso que el eurodiputado francés Philippe Latombe presentó contra el propio DPF antes de la sentencia estadounidense. El Tribunal General lo desestimó en el fondo el 3 de septiembre de 2025, confirmando la validez del marco con los hechos y el derecho vigentes en 2023. Latombe recurrió esa desestimación ante el Tribunal de Justicia el 31 de octubre de 2025, registrada como asunto C-703/25 P y limitada a cuestiones de derecho; Microsoft fue admitida como parte interviniente en apoyo de la Comisión el 29 de junio de 2026. A fecha de mis últimas fuentes no se había fijado vista.

El segundo precedente no habla del DPF, pero sí de la exposición de la propia Comisión cuando algo sale mal. En Bindl c. Comisión (asunto T-354/22), el Tribunal General condenó el 8 de enero de 2025 a la Comisión Europea a pagar 400 € de indemnización a un particular alemán cuyos datos, incluida su dirección IP, se transfirieron a servidores de Meta en Estados Unidos a través de un botón de inicio de sesión con Facebook, sin que existiera entonces cláusula contractual tipo ni ninguna otra garantía. Es la primera vez que el Tribunal General condena a la propia Comisión por este tipo de infracción.

Si tu proveedor de IA está en EEUU, qué puedes comprobar ya

Nada de lo anterior obliga a nadie a dejar de usar IA alojada en Estados Unidos mañana. Sí obliga a saber en qué se apoya cada transferencia que hace tu empresa, porque esa es la pregunta que va a hacer cualquier auditoría o inspección a partir de ahora.

Empieza por el proveedor: el listado de organizaciones certificadas bajo el DPF lo publica el Departamento de Comercio de EEUU, y conviene comprobar que la certificación de cada herramienta que usas sigue activa y cubre el tipo de dato que tratas, no solo el nombre comercial del producto. Sigue por el contrato: si el proveedor no está certificado, o si prefieres no depender solo del DPF mientras dura la incertidumbre, la alternativa son las cláusulas contractuales tipo de la Comisión Europea, acompañadas de una evaluación de impacto de la transferencia conforme al estándar que fijó la sentencia Schrems II. Y termina por las medidas técnicas: cifrado en tránsito y en reposo, minimización de los datos que realmente viajan a EEUU, y control sobre quién puede acceder a ellos del lado del proveedor. Cuando la exposición de tu empresa como responsable no europea de tratamiento requiere un marco de cumplimiento completo, y no solo esta revisión puntual, ese encargo tiene alcance propio en RGPD para empresas de fuera de la UE.

Dónde termina el mapeo por tu cuenta y empieza la calificación jurídica

Hasta aquí puedes llegar solo: identificar qué proveedores de IA usa tu empresa, qué datos les envías y si su certificación DPF sigue vigente es un ejercicio de inventario que no requiere abogado. Lo que no puedes resolver por tu cuenta es la calificación que sostiene ese inventario frente a un inspector.

Si alguno de esos sistemas de IA entra en el ámbito del Reglamento europeo, la pregunta de si tu empresa es proveedor o responsable del despliegue determina qué obligaciones tienes y desde cuándo, y esa clasificación se hace mirando la arquitectura del sistema, no la licencia que firmaste. Cuando el sistema trata datos personales, la evaluación de impacto en derechos fundamentales que exige el AI Act (FRIA) y la evaluación de impacto en protección de datos del artículo 35 del RGPD (DPIA) se resuelven como un único ejercicio coordinado, no como dos trámites separados. Qué te obliga ya el AI Act resume el calendario vigente tras el Reglamento (UE) 2026/1744; si el resultado es que tu empresa necesita clasificar sus sistemas y dejar el expediente por escrito, es el punto de partida para revisar la clasificación y el expediente de cumplimiento de tu IA. Y si el proveedor de IA forma parte de un contrato SaaS más amplio, conviene revisar también las cláusulas de tu contrato con proveedores tecnológicos, porque el Data Act ya condiciona lo que ese proveedor puede cobrarte si decides cambiar.

Preguntas frecuentes

¿Es ilegal ahora mismo usar ChatGPT, Copilot o Gemini con datos de mi empresa?

No. La decisión de adecuación del DPF sigue vigente y ni la Comisión ni ningún tribunal la ha suspendido. Lo que ha cambiado es la solidez de uno de sus pilares, no su vigencia formal.

¿Qué pasa si la Comisión deroga el DPF o el TJUE lo anula?

Las transferencias que hoy se amparan en el DPF tendrían que sostenerse en cláusulas contractuales tipo con evaluación de impacto de la transferencia, el mismo estándar que ya exigen quienes nunca dependieron del marco. Es un cambio de base legal, no una prohibición de usar la herramienta.

¿Tengo que esperar a que se resuelva el litigio para actuar?

No conviene. Comprobar la certificación de tus proveedores y tener a mano cláusulas contractuales tipo como respaldo es trabajo que se hace una vez y no depende de cómo termine el litigio en Luxemburgo.

¿Esto afecta también a proveedores de IA europeos?

No directamente. La discusión gira en torno a las transferencias a Estados Unidos. Un proveedor establecido en la UE que trata los datos en territorio europeo no depende del DPF ni de las cláusulas contractuales tipo para esa parte del tratamiento.

El Data Privacy Framework no ha caído. Lo que ha caído es la ficción de que su base institucional era estable, y eso cambia el horizonte con el que hay que gestionarlo. Un proveedor de IA certificado hoy puede dejar de ofrecer esa cobertura sin que tu empresa reciba aviso alguno, simplemente porque la Comisión o un tribunal europeo decidan que la garantía ya no existe. La diferencia entre una empresa que reacciona a tiempo y una que no suele estar en si alguien revisó el mapa de proveedores antes de que hiciera falta, no después.