Residencia de datos en la UE para apps de IA en 2026: ¿OpenAI, Azure OpenAI, Mistral, Hetzner o autoalojamiento?

Si estás creando una app de IA en Europa y necesitas mantener los datos en la UE, tus opciones realistas en 2026 son: la API de OpenAI con residencia de datos en la UE (solo a través de ventas, almacenamiento en reposo en el EEE), Azure OpenAI con un despliegue de EU Data Zone (la garantía de procesamiento en la región mejor documentada de un hiperescalador), Mistral (con sede en la UE, UE por defecto), AWS Bedrock con perfiles de inferencia entre regiones de la UE, o autoalojar modelos de pesos abiertos en Hetzner con GPU en Alemania o Finlandia. Solo Mistral y Hetzner escapan por completo a la jurisdicción de EE. UU. La trampa en la que cae casi todo el mundo: "residencia de datos en la UE" suele significar almacenamiento en reposo en la UE, no que el modelo se ejecute en la UE. Son garantías distintas. Pide ambas, de forma explícita.

Esta es una visión de ingeniería, no un argumento de venta, y tiene una vida útil corta. Las ofertas de residencia se movieron mucho a lo largo de 2025 y 2026. Cada afirmación de abajo está fechada a mediados de 2026; vuelve a revisar la página del proveedor enlazada antes de firmar nada o de comprometer una arquitectura.

Primero, aclara los términos

La mayor parte de la confusión en la contratación de IA en la UE viene de mezclar términos que significan cosas distintas. Fíjalos bien antes de comparar nada.

• Residencia de datos es una afirmación de ubicación: dónde residen físicamente los datos. Es una convención, no un término definido en el RGPD.
• Soberanía de datos es una afirmación de jurisdicción: qué leyes rigen los datos. Datos de la UE en una nube propiedad de EE. UU. pueden residir en la UE y aun así ser accesibles bajo la US CLOUD Act. El anclaje legal aquí es el Capítulo V del RGPD sobre transferencias, no la palabra "residencia".
• Almacenamiento en reposo es donde se persisten tus datos. El procesamiento o la inferencia es donde la GPU ejecuta realmente la llamada. Según el artículo 4.2 del RGPD, el "tratamiento" incluye explícitamente tanto almacenar como usar datos, por lo que una llamada de inferencia en una región fuera de la UE es en sí misma un acto de tratamiento, aunque el almacenamiento se quede en la UE.
• La retención cero de datos (ZDR) significa que el proveedor no persiste tu solicitud ni tu respuesta en absoluto. "No entrenar con tus datos" solo significa que no entrenarán con ellos; no dice nada sobre si se registran o se almacenan. Son cosas independientes. Un proveedor puede negarse a entrenar con tus datos y aun así conservarlos 30 días para monitorización de abusos.

La frase que conviene recordar: la residencia de datos en la UE casi siempre significa almacenamiento en reposo en la UE. El procesamiento en la región es una garantía separada, más estrecha y a menudo más reciente. Nunca supongas que residencia equivale a inferencia solo en la UE.

La comparación de un vistazo

Cómo se posicionan las opciones principales en las dimensiones que de verdad deciden una contratación. Todas las entradas son de mediados de 2026 y deberían reverificarse por proveedor.

Solo Mistral y Hetzner tienen su sede en la UE, así que quedan fuera del alcance de la US CLOUD Act, que aplica a los hiperescaladores incluso para datos residentes en la UE. Para los proveedores de EE. UU., las claves de cifrado gestionadas por el cliente son la medida complementaria habitual, no una cura.

API de OpenAI

OpenAI ofrece residencia de datos configurada por proyecto, con Europa (EEE y Suiza) entre las regiones, abarcando tanto la plataforma de API como ChatGPT Enterprise. Va por ventas, no por autoservicio, y normalmente se fija en proyectos nuevos. El matiz importante: la garantía por defecto es el almacenamiento en reposo en la región seleccionada. La inferencia en la región es un asunto aparte, así que si necesitas que el propio modelo se ejecute en la UE para la API en crudo, confírmalo de forma explícita con su equipo de ventas en lugar de darlo por hecho. Los datos enviados a la API no se usan para entrenar modelos de OpenAI desde marzo de 2023 salvo que actives la opción, y la ZDR está disponible pero sujeta a aprobación, eliminando la retención de unos 30 días para monitorización de abusos. Ten en cuenta un incremento de precio en 2026 en los endpoints de residencia de datos para los modelos más nuevos.

Azure OpenAI

Azure ofrece el relato más claro de procesamiento en la región entre los hiperescaladores, porque el tipo de despliegue decide dónde se ejecuta la inferencia. Los despliegues Global pueden procesar en cualquier región de Azure del mundo. Los despliegues Data Zone procesan solo dentro de una zona especificada, y la EU Data Zone confina el procesamiento a la EU Data Boundary. Los despliegues regionales se quedan en la región del despliegue. El almacenamiento en reposo se mantiene en tu geografía elegida en todos ellos. Dos trampas que conviene señalar: los trabajos Batch usan procesamiento Global por defecto salvo que elijas la variante Batch de Data Zone, y la EU Data Zone (un alcance de procesamiento de varias regiones) no es lo mismo que el compromiso de residencia más amplio de la EU Data Boundary. Los revisores humanos para despliegues del EEE están ubicados en el EEE, lo cual es un argumento de venta genuino. Azure OpenAI no llama a los propios servicios de OpenAI ni comparte tus datos con el proveedor del modelo.

Mistral

Mistral tiene su sede en la UE y declara que, por defecto, tus datos se alojan en la Unión Europea; usar el endpoint de EE. UU. es una activación explícita. Hay dos cosas que conviene precisar. Primera, la redacción oficial dice "Unión Europea", no un país concreto, así que no escribas que está "alojado en Suecia", porque la instalación sueca es un futuro centro de inferencia, no donde residen hoy los datos de La Plateforme. Segunda, los valores por defecto de entrenamiento varían según el plan: los planes de pago y Scale están excluidos del entrenamiento por defecto, mientras que el nivel gratuito está incluido salvo que lo cambies. La ZDR existe en el plan Scale para llamadas sin estado y va bajo solicitud. Para el máximo control, Mistral también ofrece despliegues autoalojados y de VPC dedicado, y sus modelos de pesos abiertos pueden autodesplegarse. Una advertencia: en marketplaces cloud como Bedrock o Azure, la residencia sigue a la región cloud que elijas, no al valor por defecto de la UE de Mistral.

Hetzner y el autoalojamiento

Hetzner es hosting de propósito general, no una API de LLM gestionada, así que aportas tu propio modelo y tu propio stack de inferencia. Lo que obtienes es control total tanto del almacenamiento como del procesamiento, todo dentro de la UE, bajo un contrato de tratamiento de datos del artículo 28, sin ningún proveedor de modelo de terceros de por medio. Sus centros de datos propios en la UE están en Alemania (Núremberg, Falkenstein) y Finlandia (Helsinki), y ofrece servidores dedicados de una sola GPU: a grandes rasgos, una tarjeta de 20 GB para inferencia de modelos más pequeños, y una de 96 GB para entrenar o ejecutar un modelo 70B cuantizado. Los parques tienen certificación ISO 27001. El coste de este control es real: ahora asumes la planificación de capacidad, las decisiones de cuantización, el batching, el autoescalado, la disponibilidad, el parcheado y la monitorización.

Si vas a autoalojar por completo sobre pesos abiertos, vigila las licencias. La mayoría de los modelos abiertos de Mistral son Apache 2.0 y los menos restrictivos. Llama no es software de código abierto OSI; su licencia comunitaria incluye una amplia cláusula sobre usuarios activos mensuales y un requisito de atribución, y los equipos de la UE deberían revisar con cuidado la política de uso aceptable vigente antes de apoyarse en variantes multimodales. La licencia de Qwen es mixta según el modelo. El autoalojamiento gana en control, no en coste ni en calidad a bajo volumen, donde una GPU dedicada está inactiva.

El árbol de decisión

Elige la primera rama que encaje con tu restricción dura, no con tu preferencia.

1. Ninguna entidad de EE. UU. debe poder acceder jamás a los datos. Autoaloja pesos abiertos en Hetzner, o ejecuta Mistral autoalojado u on-premise. Son las únicas opciones bajo jurisdicción de la UE.
2. Necesitas residencia en la UE, baja carga operativa y calidad frontera, y el procesamiento por una empresa de EE. UU. es aceptable con un DPA y cláusulas contractuales tipo. Azure OpenAI con un despliegue de EU Data Zone, o la residencia en la UE de la API de OpenAI una vez confirmes con ventas el alcance de la residencia de inferencia.
3. Quieres una API gestionada con sede en la UE y con el mínimo esfuerzo. Mistral en un plan de pago o Scale, entrenamiento desactivado por defecto, con ZDR añadida si la necesitas.
4. Ya vives en AWS y quieres inferencia contenida en la UE. Bedrock con perfiles de inferencia entre regiones de la UE, más retención cero de datos si la necesitas.
5. Tienes un volumen sostenido alto y MLOps interno y quieres poseerlo todo. Autoaloja pesos abiertos en Hetzner, dimensionado al modelo, con las advertencias de licencia anteriores.

"La residencia de datos en la UE en el contrato suele significar que tus datos se almacenan en la UE. No significa que el modelo se ejecute en la UE. Son dos promesas distintas, y la mayoría de los equipos solo piden la primera."

Dónde encaja la residencia en el panorama mayor

La residencia es uno de los insumos de un sistema de IA defendible en la UE, no la respuesta completa. Los problemas más difíciles suelen ser la calidad de la recuperación, los permisos por usuario, las evals y el coste, que cubrimos en nuestra checklist de preparación para producción de RAG en la UE. Y la residencia se asienta dentro de un stack de cumplimiento más amplio de flujos de datos de RAG, RGPD y la Ley de IA, que desenredamos en cómo se apilan el RGPD y la Ley de IA para un SaaS de la región DACH. Acierta pronto con el modelo de residencia, porque readaptar la ubicación de los datos tras el lanzamiento es de las cosas más caras que puedes hacer.