Soberanía de datos

Cuando escribes un mensaje en una aplicación, ese dato normalmente no se queda en tu computador: viaja a un servidor que puede estar en otro país, gestionado por una empresa sujeta a leyes distintas a las tuyas. La soberanía de datos es la idea —y, cada vez más, la exigencia legal— de que esa distancia física no debería significar que tus datos quedan fuera del alcance de la ley de tu país.

El término no tiene una única definición técnica aceptada por todos: una revisión académica de 2021 encontró usos muy distintos entre sí, desde "soberanía" como control efectivo de una persona sobre sus propios datos, hasta "soberanía" como autoridad de un Estado sobre los datos generados en su territorio o sobre sus ciudadanos. Esta última acepción —estatal— es la que más aparece en el debate de IA, porque entrenar o correr un modelo implica mover datos entre jurisdicciones a una escala que la ley tradicional no anticipó.

El ejemplo regulatorio más citado es el Reglamento General de Protección de Datos de la Unión Europea (GDPR, 2016). Su artículo 3 establece que la norma aplica a cualquier procesamiento de datos de personas que están en la UE, sin importar si la empresa que procesa esos datos tiene sede en la Unión o no —basta con que ofrezca bienes o servicios a personas en territorio europeo, o que monitoree su comportamiento. Ese diseño extraterritorial es, en la práctica, una afirmación de soberanía de datos: Europa reclama que sus reglas rigen el dato aunque el servidor esté en otro continente.

En la práctica esto se ve en exigencias de "localización de datos" (obligar a que cierta información sensible —salud, datos bancarios, biométricos— se almacene físicamente dentro del país), en cláusulas contractuales que las empresas de nube deben ofrecer para procesar datos europeos sólo en centros europeos, y en el debate sobre si un gobierno puede exigirle a una empresa de IA extranjera acceso a los datos de entrenamiento que usó sobre ciudadanos locales.

Lo que se discute —y donde no hay consenso— es si la soberanía de datos protege genuinamente a las personas o si termina siendo, en la práctica, una herramienta de proteccionismo económico o de control estatal disfrazada de protección de privacidad; y si fragmentar internet en jurisdicciones de datos separadas no termina encareciendo servicios y dificultando la cooperación internacional en investigación, incluida la investigación en IA.