Qué puedes usar legalmente desde una empresa de la UE o de la República de Moldavia, dónde se procesan realmente los datos y cuánto te cuesta la elección equivocada.
Verificado 6 de septiembre de 2026 · 23 modelos · 6 plataformas · 27 fuentes oficiales
La pregunta que recibimos con más frecuencia no es «qué modelo es el mejor». Es «cuál puedo usar». Son dos preguntas distintas, y la segunda tiene respuestas que cambian cada mes.
Esta página es una lista de verificación, no una comparación de puntuaciones. Para cada modelo decimos una sola cosa: si puedes obtener la garantía de que tus datos se procesan en el espacio europeo —y en qué condiciones exactas. El resto (velocidad, precio, calidad) lo encuentras en cualquier lugar.
Todo lo de abajo fue verificado el 6 de septiembre de 2026, en la documentación pública del proveedor. Donde el proveedor no dice, escribimos que no dice.
Cada línea fue verificada en la documentación del proveedor el día de la publicación: las páginas oficiales fueron descargadas y sus tablas HTML fueron parseadas directamente, no leídas de memoria. Donde el proveedor no publica la información, la línea está marcada como "unverified" y explicada.
Tabelul
Cada modelo, con lo que se puede demostrar sobre él
Pulsa una línea para la residencia de los datos, la retención, el acuerdo de procesamiento y las trampas. Ninguna celda está completada de memoria.
23 de 23
Da
El proveedor publica una opción por la que tanto el almacenamiento como el procesamiento permanecen en el espacio europeo, y el modelo aparece en la lista de elegibilidad.
Condicionado
El modelo está disponible con garantía europea solo a través de determinadas plataformas, regiones o tipos de implementación — no de forma predeterminada.
Nu
El modelo se puede llamar desde Europa, pero hoy no existe una opción publicada de procesamiento garantizado en el espacio europeo.
Neverificat
El proveedor no publica la información en una forma que hayamos podido verificar hoy.
«El modelo está disponible en la UE» y «mis datos permanecen en la UE» son dos cosas distintas
Aquí se equivocan la mayoría de los compradores, y hay un ejemplo que aclara todo en diez segundos.
En Microsoft Foundry, `gpt-6-astra` — el modelo lanzado por OpenAI el 3 de septiembre de 2026 — aparece en las tablas oficiales de disponibilidad para las regiones europeas: France Central, Germany West Central, Sweden Central, West Europe y el resto. Puedes desplegarlo desde una cuenta europea, en un centro de datos europeo, con factura en euros.
Pero aparece solo en los tipos de implementación **Global Standard** y **Global Provisioned Managed**. No aparece en absoluto en la tabla **Data Zone Standard**. Y la documentación de Microsoft dice, textualmente, lo que significa la diferencia: los tipos Global «may be processed in any Azure region», mientras que los tipos Data Zone procesan «only within the Microsoft-specified data zone».
En otras palabras: el modelo está disponible en Europa, pero tu prompt puede salir a cualquier parte. El modelo OpenAI más potente con procesamiento garantizado dentro de la zona de datos de la UE en Azure es hoy GPT-5.6, no GPT-6 Astra.
El mismo patrón en Google. En la tabla oficial de residencia de Vertex AI, la familia Gemini 3.x **Flash** (3.8, 3.7, 3.6, 3.5) tiene marca en «EU multi-region». Gemini 3.1 Pro no aparece en la tabla en absoluto. El modelo existe en Europa; la garantía de procesamiento, no.
La regla práctica: el nombre de la región en la consola no es una garantía. La garantía es el tipo de implementación, el endpoint y la tabla de elegibilidad — tres cosas diferentes, publicadas en tres páginas diferentes.
Hay otro nivel que nadie lee: **el almacenamiento** y el **procesamiento** se regulan por separado. OpenAI incluso los nombra por separado — „data residency” para lo que se almacena en reposo, „inference residency” para dónde se ejecuta realmente la GPU. De las diez regiones que OpenAI ofrece en la API, solo tres tienen también procesamiento regional: Estados Unidos, Europa (EEE + Suiza) y los Emiratos Árabes Unidos. El resto — Reino Unido, Canadá, Japón, India, Singapur, Corea del Sur, Australia — solo tienen almacenamiento. Eliges „Canadá” y tu inferencia igual se va.
Tres preguntas que separan el marketing del contrato
¿Dónde se almacenan los datos en reposo? (data residency)
¿Dónde se ejecuta realmente el modelo? (inference / ML processing residency)
¿Qué pasa con los registros de supervisión de abusos, que son un tercer flujo, separado de los dos primeros?
Las trampas que no aparecen en ninguna presentación comercial
**Video y residencia se excluyen mutuamente en OpenAI.** La documentación dice que el endpoint `/v1/videos` „is currently blocked for MAM or ZDR requests”. Como la residencia europea requiere obligatoriamente Modified Abuse Monitoring o Zero Data Retention, hoy no puedes tener a la vez generación de video con Sora 2 y procesamiento en la UE en el mismo proyecto.
**La residencia UE en OpenAI no es un botón.** Requiere: aprobación comercial (no se activa sola), una modificación del contrato („Modified Retention amendment”), aprobación de los controles de retención, y cuesta **10% más** para los modelos lanzados después del 5 de marzo de 2026. Además, la imagen en las regiones no estadounidenses requiere aprobación separada para la variante „enhanced” de ZDR o MAM.
**El proyecto se elige una sola vez.** La región se establece al crear el proyecto en la API. Un proyecto existente no puede trasladarse a Europa después.
**„EU” en AWS no significa automáticamente EEE.** En la tabla oficial de compatibilidad por regiones de Amazon Bedrock, la columna „Geo” también está marcada para `eu-west-2` (Londres) y `eu-central-2` (Zúrich), regiones fuera del Espacio Económico Europeo. AWS documenta la lista de regiones de destino en la página de cada modelo por separado y precisa que, una vez vinculada a una geografía, la lista ya no cambia. Léela para tu modelo antes de traducir „eu.” por „EEE”.
**Los servidores MCP son un agujero en cualquier política de residencia.** La documentación de OpenAI lo dice directamente: „MCP servers are third-party services. Data sent to an MCP server is subject to its data residency policies.” Puedes tener una configuración de la UE impecable y enviar los datos fuera mediante una herramienta conectada.
**Los datos de sistema no entran en la residencia en ninguna parte.** Autenticación, enrutamiento, analítica, facturación, metadatos — en todos los proveedores verificados, esto queda fuera de la garantía regional. No contienen el contenido del cliente, pero deben declararse en el registro de tratamientos.
**Zero Data Retention no cubre todo.** En Mistral, por ejemplo, ZDR se aplica solo a las llamadas sin estado — chat, embeddings, moderación, clasificación, OCR, síntesis y transcripción de voz. No se aplica a agentes, conversaciones, bibliotecas, archivos o procesamiento por lotes, porque esos productos tienen que almacenar para funcionar.
Platforme
A través de qué llegas al modelo — y qué condiciones pone cada uno
OpenAI — API directa
La opción europea
La región „Europe (EEA + Switzerland)”, endpoint eu.api.openai.com. Almacenamiento sí, procesamiento sí.
Cómo se activa
Se configura por proyecto, al crear el proyecto. Alternativamente, puedes elegir el procesamiento por solicitud usando el dominio prefijado con una clave de un proyecto con geografía global.
Condiciones
Elegibilidad confirmada por el equipo comercial; aprobación para controles de supervisión de abusos; un anexo de retención firmado para cualquier región fuera de EE. UU.; 10% adicional al precio para los modelos lanzados después del 5 de marzo de 2026.
Trampa
Un proyecto existente no puede trasladarse a Europa después de su creación. La terminación TLS se realiza en la región mediante Cloudflare Regional Services, lo cual es un buen detalle que conviene saber cuando completas el registro de subencargados.
OpenAI — ChatGPT Enterprise / Edu
La opción europea
Residencia de datos en „Europe (EEA + Switzerland)” para el almacenamiento en reposo, además de la residencia de inferencia, que es una configuración separada.
Cómo se activa
Se activa al aprovisionar un nuevo espacio de trabajo. Los propietarios del espacio ven la región configurada en los ajustes, pero ahí es visualización, no control.
Condiciones
La residencia de inferencia requiere que la residencia de datos ya esté activa en la misma región.
Trampa
La residencia de inferencia cubre la ejecución en GPU, no todo lo que implica procesamiento. La autenticación, el enrutamiento y la analítica pueden permanecer fuera de la región. Y si OpenAI lanza funciones nuevas, no quedan cubiertas por la residencia salvo que se añadan explícitamente a la lista.
Microsoft Foundry / Azure OpenAI
La opción europea
Tipo de implementación „Data Zone”, zona de la UE.
Cómo se activa
Se elige el tipo de implementación al desplegar el modelo. La documentación define la zona textualmente: „European Union (data processed within any EU member nation)”.
Condiciones
El modelo debe existir en la tabla de Data Zone para tu región. No todos los modelos están allí, y la lista cambia con cada lanzamiento.
Trampa
Microsoft describe el orden de lanzamiento: primero Global, luego Data Zone, luego los vinculados a geografía —y los últimos „have no guaranteed availability date”. En otras palabras, el desfase entre el lanzamiento de un modelo y su disponibilidad con garantía de la UE es un hecho de diseño de la plataforma, no un accidente. Planifícalo.
Google Cloud Vertex AI
La opción europea
El endpoint multi-regional `eu`, además de regiones europeas individuales (Bélgica, Francia, Alemania, Países Bajos).
Cómo se activa
Google separa explícitamente los datos en reposo del procesamiento ML y dice que el lugar del procesamiento está determinado por el endpoint elegido.
Condiciones
El modelo debe aparecer en la tabla de residencia, que se actualiza con frecuencia (la versión consultada hoy era del 2 de septiembre de 2026).
Trampa
La formulación más honesta de todo lo que he leído hoy, y la más útil para el derecho moldavo: el endpoint `eu` „strictly covers data residency within EU member states. Geographies outside the European Union political boundary, including the United Kingdom and Switzerland, are excluded.” En cambio, los endpoints globales „don't provide regional isolation or data residency guarantees”.
Amazon Bedrock
La opción europea
Perfiles de inferencia vinculados a la geografía, con el prefijo `eu.`, más disponibilidad en la región para algunos modelos.
Cómo se activa
El prefijo de geografía se coloca en el identificador del modelo. AWS precisa que, una vez vinculado a una geografía, la lista de regiones de destino de un perfil ya no cambia nunca — a diferencia de los perfiles globales, que pueden ampliarse a medida que AWS añade regiones.
Condiciones
La lista de regiones de destino está documentada en la página de cada modelo. Debe leerse por modelo.
Trampa
Dos cosas. La primera: en la tabla de compatibilidad, la columna «Geo» también está marcada para Londres y Zúrich — verifica qué significa eso para tu modelo antes de equiparar «eu.» con «SEE». La segunda: los perfiles de inferencia entre regiones pueden enrutar hacia regiones de tipo «opt-in» que no hayas activado, y AWS dice directamente que «your input prompts and output results may be stored in the opt-in Regions for abuse detection purposes». Las políticas de control del servicio son el mecanismo con el que limitas eso.
Modelo ejecutado en infraestructura propia
La opción europea
Total, por definición.
Cómo se activa
Descargas los pesos, los ejecutas en hardware que controlas, en un centro de datos que eliges.
Condiciones
La licencia del modelo debe leerse. Apache 2.0 y MIT no plantean problemas comerciales; las licencias «community» y las marcadas «other» deben leerse íntegramente.
Trampa
No tienes transferencia, así que no tienes el capítulo V de la Ley 195/2024 — pero sí tienes todas las demás obligaciones: seguridad, registro de tratamientos, derechos de las personas afectadas. La soberanía resuelve un problema de la lista, no la lista.
Qué significa el Reglamento de la UE sobre IA para quien compra
El calendario ha sido modificado. Lo que circula en la prensa está, en gran parte, desactualizado.
El Reglamento (AI Act) entró en vigor el 1 de agosto de 2024, pero se aplica por etapas. El calendario oficial publicado por la Comisión Europea fue **modificado mediante el „Digital Omnibus on AI”**, y la página oficial lo precisa explícitamente. Muchos artículos de prensa y muchas presentaciones comerciales aún citan la versión antigua, en la que las obligaciones para los sistemas de alto riesgo caían en agosto de 2026.
Lo que importa en la práctica para un comprador: si usas un chatbot, un agente vocal o generas contenido sintético, tu obligación principal es **la transparencia (artículo 50), a partir del 2 de agosto de 2026**. Debe quedar claro que el interlocutor habla con una máquina y que un contenido se genera artificialmente. No es una obligación de arquitectura, sino de interfaz y de proceso — y es la que se verifica más fácilmente desde fuera.
Las obligaciones pesadas, las de los sistemas de alto riesgo del Anexo III, se han aplazado al **2 de diciembre de 2027**. Si alguien te vende hoy «conformidad AI Act» para un caso de uso habitual, pregúntale qué artículo, con qué fecha.
2024-08-01Entrada en vigor
2025-02-02Disposiciones generales (definiciones, alfabetización en IA) y las prohibiciones
2025-08-02Reglas para los modelos de IA de uso general; la gobernanza debe ser funcional
2026-08-02La mayoría de las normas entra en aplicación; las normas de transparencia (art. 50) empiezan a aplicarse; comienza la aplicación a nivel nacional y de la UE
2026-12-02Nuevas prohibiciones (deepfake sexual no consentido, material de abuso infantil) + el plazo transitorio para el art. 50(2)
2027-08-02Los Estados miembros deberían tener al menos un “sandbox” regulatorio operativo
2027-12-02Reglas para los sistemas de alto riesgo del Anexo III (aplazadas por Digital Omnibus)
2028-08-02Reglas para la IA de alto riesgo incorporada en productos regulados (Anexo I)
República de Moldavia: Ley 195/2024 y por qué el EEE cambia todo el cálculo
La parte que no escribe nadie más, porque hace falta abrir el texto de la ley.
La Ley n.º 195/2024 sobre la protección de datos personales está en vigor desde el 23 de agosto de 2026 y sustituye a la Ley 133/2011. El capítulo V regula las transferencias a otros Estados, y el artículo 44 establece el principio general.
El apartado (2) del artículo 44 es el que cuenta para cualquier decisión de arquitectura de IA tomada dentro de una empresa moldava.
La consecuencia es directa: si consigues que el tratamiento permanezca en el Espacio Económico Europeo, **no tienes que construir un dossier de transferencia**. No necesitas cláusulas contractuales estándar, no necesitas una evaluación de impacto sobre la transferencia, no necesitas la autorización del Centro. Si los datos salen del EEE, entras en el resto del capítulo: ya sea una decisión de adecuación emitida por el Centro (art. 45), ya sean garantías adecuadas con cláusulas contractuales estándar, ya sea una excepción.
De aquí sale una regla de diseño que merece escribirse en la pared: **para una empresa de Moldova, una ruta UE bien elegida no es solo más segura, es más barata en trabajo jurídico.** La diferencia entre `Data Zone Standard` y `Global Standard` en Azure no es una preferencia técnica; es la diferencia entre cero documentos de transferencia y un dossier entero.
Atención a la geografía, aun así. El EEE significa los 27 Estados miembros de la UE más Islandia, Liechtenstein y Noruega. **Gran Bretaña no está en el EEE. Suiza no está en el EEE.** Y algunas garantías comerciales mezclan exactamente estas jurisdicciones: la región de OpenAI se llama «Europe (EEA + Switzerland)», y la zona de datos de Azure está definida, textualmente, como «data processed within any EU member nation» — es decir, solo Estados miembros de la UE, lo que es más estrecho que el EEE, pero aun así íntegramente dentro de él. Lee la definición, no la etiqueta.
El presente capítulo no se aplica a las transferencias de datos personales hacia los Estados miembros del Espacio Económico Europeo. En el caso de estas transferencias no son necesarias autorizaciones especiales.
Legea nr. 195/2024, art. 44 alin. (2)Textul integral al legii, extras cu pdftotext din Legea-195-2024-TEXT-INTEGRAL-71pag.pdf, verificat pe 2026-09-06
Cómo elegir, en seis preguntas
No es un árbol de decisión que siempre lleva a nuestro producto. Dos de las ramas llevan a «ejecútalo tú mismo».
1¿Los datos que entran en el modelo contienen datos de carácter personal?
NuElige por calidad y precio. El resto de las preguntas no te concierne. Solo cuida el secreto comercial, que es un problema de contrato, no de protección de datos.
DaTreci mai departe.
2¿Se permite que el tratamiento salga del Espacio Económico Europeo?
NuElimina de entrada cualquier implementación de tipo «Global». Quédate solo con: Azure Data Zone (UE), Vertex AI multi-region UE, Bedrock con perfil de geografía UE verificado en la página del modelo, un proveedor establecido en la UE, o un modelo ejecutado en tu infraestructura.
DaPuedes usar cualquier ruta global, pero firmas las cláusulas contractuales estándar y documentas la transferencia. En OpenAI y Anthropic, los acuerdos de tratamiento ya incorporan las cláusulas: consúltalos, son públicos.
3Ai nevoie exact de cel mai puternic model existent azi?
NuUn modelo con un escalón menos te abre todas las rutas con procesamiento en la UE, a un costo que suele ser la mitad.
DaEntonces estás en procesamiento global o en eu.api.openai.com con ZDR aprobado y 10% más en la factura. No puedes tener a la vez el máximo absoluto y la zona de datos de la UE en Azure. La decisión es comercial, no técnica: o aceptas la transferencia con sus garantías, o bajas un nivel de modelo.
4¿Necesitas voz en tiempo real?
La familia OpenAI Realtime (`gpt-realtime-2.1` y las demás) tiene procesamiento regional en Europa en la API. Pero verifica la plataforma que usas: en Azure, los modelos Realtime aparecen en regiones europeas en Global Standard, no en la tabla de Data Zone.
5Ai nevoie de generare video?
Entonces no puedes tener también residencia, al menos en OpenAI: `/v1/videos` está bloqueado para las solicitudes con MAM o ZDR, y la residencia de la UE las exige. Separa los proyectos o separa los proveedores.
6No puedes firmar ninguna transferencia, bajo ninguna forma?
Solo queda una categoría: modelos con pesos abiertos, ejecutados en tu infraestructura, en la UE. El nivel de esta categoría en 2026 es suficiente para la mayoría de las tareas de producción — consulta la sección de modelos abiertos. El coste se mueve de la suscripción al hardware y la operación, y eso se calcula, no se presupone.
Lo que no pudimos confirmar
Los huecos, escritos como huecos
Cada uno de estos podría haberse completado de memoria y habría quedado bien. No lo fueron.
Las ventanas de contexto para GPT-4o, GPT-Realtime-2.1, Amazon Nova, Qwen3.8, DeepSeek-V4 y gpt-oss no se abrieron hoy en la página de modelo de cada uno. Están marcadas como «no verificado» en lugar de completarse de memoria.
La política de entrenamiento y el acuerdo de procesamiento para Google Vertex AI no se verificaron hoy en la fuente primaria. Las filas de Gemini están marcadas en consecuencia.
La composición exacta de la lista de regiones destino para los perfiles `eu.` de AWS no pudo extraerse hoy de las páginas individuales de modelo. He recogido lo que dice la tabla de compatibilidad y he marcado explícitamente que la verificación por modelo sigue pendiente por parte del comprador.
Aleph Alpha no publica un catálogo de modelos con especificaciones comparable al de los demás proveedores. Cinco campos de su entrada son «unverified», y esa es en sí misma la información relevante.
No he verificado a los proveedores de nivel dos (Cohere, AI21, xAI/Grok, FLUX), aunque aparecen en las tablas de Azure para regiones europeas. Si la página se amplía, ellos son los primeros en la lista.
30 días — las listas de modelos elegibles para procesamiento regional cambian con cada lanzamiento.
Lo que hacemos nosotros con esto
La página de aquí es el material que usamos internamente cuando diseñamos una integración. La elección de la ruta — proveedor, región, tipo de implementación, qué se registra y dónde — la hacemos antes de escribir la primera línea de código, porque cambiarla después significa un proyecto nuevo, no una nueva configuración. En OpenAI, por ejemplo, la región no puede cambiarse en un proyecto existente.
Si quieres que hablemos de la ruta para tu caso concreto, los detalles sobre cómo enroutamos las solicitudes y cómo cambia el proveedor sin reescribir la aplicación están en la página del servicio.