No entrenar no significa almacenar ni procesar en la UE
Para un extracto bancario de un cliente no basta con preguntar si el modelo entrena con los datos. También hay que revisar contrato, DPA, almacenamiento, procesamiento, retención, subprocesadores y accesos.
Una transferencia fuera de la UE no es automáticamente ilegal según el RGPD, pero requiere un marco jurídico adecuado. Las obligaciones profesionales adicionales dependen de la profesión regulada y de la capacidad concreta en la que se preste el servicio.
Información general, no asesoramiento jurídico. El plan, contrato y caso concreto determinan la evaluación.
Tres preguntas separadas
1. ¿Se usan los datos para entrenar?
Describe la mejora futura del modelo, no el lugar donde se guardan los datos.
2. ¿Dónde se almacenan?
La residencia en reposo puede incluir archivos, prompts y respuestas, pero no necesariamente logs o metadatos.
3. ¿Dónde se procesan?
Inferencia, extracción de PDF, enrutamiento y seguridad pueden seguir reglas diferentes.
Comparativa actual de localización
Información oficial disponible en octubre de 2026. El plan y la configuración reales son determinantes.
| Servicio | Entrenamiento | Almacenamiento | Procesamiento | Lectura práctica |
|---|---|---|---|---|
| ChatGPT Business | Los datos empresariales no se usan por defecto para entrenar modelos. | El almacenamiento regional se está desplegando gradualmente. Con una región fuera de EE. UU., OpenAI mantiene datos de control de abuso en EE. UU. y una copia temporal de cada prompt y respuesta. | La región de almacenamiento Business no es residencia de inferencia ni determina dónde se generan las respuestas. | Business no equivale a almacenamiento y procesamiento exclusivamente europeos. |
| ChatGPT Enterprise / Edu | Los datos empresariales no se usan por defecto para entrenamiento. | Los workspaces elegibles pueden seleccionar Europa para contenido de cliente en reposo. | La inferencia GPU europea está disponible para workspaces elegibles, aunque algunos procesos CPU, como extracción de texto PDF y routing, pueden seguir siendo globales. | Controles regionales más fuertes, sin garantizar que cada etapa técnica permanezca en Europa. |
| Claude for Work / Enterprise | Los productos comerciales de Anthropic no usan datos para entrenamiento por defecto. | Anthropic declara expresamente que los datos comerciales se almacenan en Estados Unidos. | El tráfico puede enrutarse por defecto a EE. UU., Europa, Asia o Australia salvo acuerdo o configuración distinta. | No usar datos para entrenamiento no significa residencia de datos en la UE. |
| Gemini / Google Workspace | Las ofertas Workspace elegibles ofrecen protecciones empresariales y no usan contenido Workspace para entrenamiento externo sin permiso. | Business Standard y Business Plus permiten una región para datos en reposo. Los prompts y respuestas Gemini figuran entre los datos cubiertos. | Los controles de región de procesamiento dependen de la edición, con opciones más avanzadas especialmente en Enterprise Plus. | Hay que comprobar la edición concreta, porque almacenamiento y procesamiento regional son funciones diferentes. |
| Langdock | Langdock declara que los datos de clientes no se usan para entrenamiento. | Langdock declara almacenamiento generalmente en la UE y menciona Fráncfort y Azure EU Data Boundary. | La mayoría de modelos configurables pueden operar en la UE. Modelos globales seleccionados expresamente pueden inferir fuera de la UE. | Fuerte orientación europea, pero sigue importando el modelo realmente seleccionado. |
| KontoCSV | KontoCSV es un convertidor de finalidad limitada, no un workspace de chat general. | Infraestructura europea con servidores en Fráncfort. Archivos e historial visible se eliminan automáticamente tras siete días. | El proceso se limita a la conversión e incluye validación bancaria y lógica contable especializada. | Finalidad más estrecha, retención limitada y salida preparada para contabilidad. |
RGPD y deberes profesionales deben evaluarse por separado
En España, 'asesor fiscal' no constituye una única profesión estatutaria regulada equivalente al Steuerberater alemán. Las obligaciones adicionales de secreto profesional dependen de la profesión y colegiación concreta, además del RGPD.
RGPD
Responsable, encargado, seguridad, retención y transferencias internacionales deben evaluarse para el servicio real.
Profesiones reguladas
Abogados, auditores y otros profesionales regulados pueden tener deberes específicos de secreto profesional adicionales.
No asumir por el nombre del producto
Un plan Business no garantiza por sí solo almacenamiento y procesamiento íntegramente europeos.
Integridad contable
La privacidad no sustituye la comprobación de saldos, signos y completitud.
Checklist antes de subir un extracto de cliente
- ¿Cuenta empresarial aprobada o cuenta personal?
- ¿DPA y subprocesadores revisados?
- ¿Entrenamiento excluido o controlado?
- ¿Dónde se guardan archivos, prompts y respuestas?
- ¿Dónde se realiza inferencia, extracción PDF y enrutamiento?
- ¿Transferencias internacionales correctamente cubiertas?
- ¿Retención conocida?
- ¿El acceso es necesario y está autorizado internamente?
- ¿Se reconciliará el resultado antes de contabilizar?
Por qué un extracto bancario es especialmente sensible
Puede revelar salarios, alquileres, salud, donaciones, proveedores, clientes y relaciones económicas.
Además, una CSV generada puede parecer correcta y aun así omitir movimientos, cambiar signos o interpretar mal un arrastre de saldo.
Qué significa realmente residencia UE
Almacenamiento, inferencia y procesamiento auxiliar son garantías distintas.
ChatGPT Business: la región de almacenamiento no es residencia de inferencia y OpenAI describe todavía datos de seguridad y copias temporales en Estados Unidos.
ChatGPT Enterprise/Edu: almacenamiento e inferencia GPU europea disponibles para workspaces elegibles, con ciertos procesos CPU globales.
Claude comercial: datos almacenados en Estados Unidos según Anthropic, con posible enrutamiento global.
Google Workspace: prompts y respuestas Gemini pueden estar cubiertos por Data Regions; la región de procesamiento depende de la edición.
Langdock: aplicación y mayoría de modelos configurables en UE, salvo modelos globales seleccionados.
Cómo KontoCSV limita el propósito
KontoCSV se limita a documentos bancarios y de pago y elimina los archivos automáticamente a los siete días.
La pipeline añade conciliación de saldos, suma firmada, scope de páginas, multi-cuenta y controles para MT940/CAMT.053.
No sustituye el análisis legal del usuario, pero separa este proceso de un entorno de chat general persistente.
Fuentes oficiales
Revise siempre la documentación vigente antes del uso productivo.
Preguntas frecuentes
¿Claude for Work guarda datos en la UE?
Anthropic declara actualmente que los datos de sus productos comerciales se almacenan en Estados Unidos.
¿ChatGPT Business se queda completamente en Europa?
No por seleccionar solo una región de almacenamiento. OpenAI mantiene determinados datos y copias temporales en Estados Unidos y Business no ofrece residencia de inferencia.
¿Gemini Workspace permite regiones europeas?
Sí para los datos cubiertos, incluidos prompts y respuestas Gemini. El control regional de procesamiento depende de la edición.
¿Langdock es siempre UE?
La aplicación y la mayoría de modelos pueden operar en la UE, pero modelos globales seleccionados pueden procesar fuera.
Usar un workflow bancario especializado
KontoCSV limita el proceso a documentos bancarios, elimina archivos tras siete días y añade conciliación y controles contables.