)
Última actualización: 11 de noviembre, 2026
¿Un AI gateway con Data Residency en UK mantiene los datos personales en el Reino Unido solo porque el proveedor nombra una región? Por sí solo, no. El UK GDPR mira con quién contratas y quién puede acceder a prompts, logs y embeddings, no solo dónde están los servidores.
TL;DR: Key Takeaways
- El test de tres pasos de la ICO, del 15 de enero de 2026, decide si hay una transferencia restringida. Aplica el UK GDPR, inicias una transferencia fuera del Reino Unido y el destinatario es una entidad legal distinta.
- Según ICO (2026), el estatus no se basa en la ubicación de los servidores. Un contrato con una entidad no británica puede ser una transferencia restringida aunque los servidores estén en el Reino Unido, según la misma guía.
- El data protection test llegó con la Data (Use and Access) Act 2025. En vigor desde el 5 de febrero de 2026, exige que la protección no sea «materialmente inferior» a la del Reino Unido.
- La Comisión Europea, el 19 de diciembre de 2025, renovó la adecuación del Reino Unido, con sunset hasta el 27 de diciembre de 2031.
- El NCSC (2023) aconseja saber dónde residen los activos de IA, incluidos modelos, prompts y logs, y tratar los logs como datos sensibles.
De un vistazo: preguntas sobre UK data residency AI gateway
Respuesta rápida
¿Qué deberías preguntar sobre un UK data residency AI gateway?
Pregunta qué entidad legal firma, en qué países se almacenan y procesan cada tipo de dato, quién puede acceder en remoto y qué salvaguarda cubre cualquier transferencia restringida. La ubicación del servidor no responde, por sí sola, al test de tres pasos de la ICO. Mapea prompts, logs, embeddings y cargas de tools.
| Pregunta | Por qué | Qué se ve bien |
|---|---|---|
| ¿Qué entidad firma? | El test de la ICO sigue a la entidad, no al rack. | Entidad nombrada y subencargados. |
| ¿Dónde está cada tipo de dato? | Prompts, logs y embeddings pueden vivir aparte. | Lista de países. |
| ¿Quién accede, incluido el soporte? | Hacer accesibles los datos ya es una transferencia. | Regiones, aprobación y plazo. |
| ¿Qué salvaguarda aplica? | Adecuación, salvaguardas más el test, o el art. 49. | Base escrita y test del art. 46. |
Cómo comparamos
Revisamos la guía de la ICO del 15 de enero de 2026. El comunicado del 5 de febrero de 2026 y la renovación de la Comisión del 19 de diciembre de 2025.
Lo que el UK GDPR prueba, y lo que no prueba
El UK GDPR regula las transferencias restringidas de datos personales, no un deber general de guardar cada byte en suelo británico. Según ICO (2026), si los tres pasos del test son sí, se aplican las reglas de transferencia y necesitas una base lícita.
Una transferencia incluye enviar datos y hacerlos accesibles, también por acceso remoto. El tránsito por otro país no es, por sí solo, una transferencia restringida, pero sigues necesitando seguridad en tránsito. Si tú operas los servidores, la ICO no trata la ubicación dentro de la misma entidad como transferencia restringida. Un proveedor británico no lo es solo porque sus servidores estén fuera; uno de fuera sí lo es aunque los servidores estén en el Reino Unido.
Para las definiciones, consulta Soberanía, residencia y localización de datos.
)
Preguntas sobre prompts, logs y embeddings
Un AI gateway puede inspeccionar prompts, completions, tools, embeddings, cachés y trazas, y cualquiera puede contener datos personales o secretos. Según ICO (2026), deberías registrar dónde se mueven los datos personales y borrar archivos intermedios cuando ya no hagan falta.
| Tipo | ¿Dónde se guarda? | ¿Dónde se procesa? | Retención | ¿Entrenamiento? | ¿Quién lo lee? |
|---|---|---|---|---|---|
| Prompts y completions | País o instalaciones | País o memoria | Horas o contrato | Sí, no u opt-out | Soporte y ops |
| Logs y trazas | Misma u otra región | Mismo u otro SIEM | Defecto y máximo | Suele ser no | SOC |
| Embeddings y cachés | Misma o vector store | Misma | Time-to-live | Confírmalo | Igual |
| Cargas de tools | Misma | Misma, más tools | Igual | Confírmalo | Igual, más dueños |
Pregunta si las cachés se pueden reconstruir sin guardar prompts en bruto. El artículo 5(1)(c) del UK GDPR sigue exigiendo minimización en la IA.
Contratos, acceso y el riesgo de tu UK data residency AI gateway
Qué entidad legal firmará el pedido y si está en el Reino Unido. Pregunta cómo el proveedor mueve datos a su «red global de procesadores» (la fórmula de la ICO para grupos cloud) y qué filial aparece en tu pedido.
Si una transferencia restringida no está cubierta por una adecuación del Reino Unido, necesitas salvaguardas del artículo 46, como el IDTA o el UK Addendum, y una evaluación de riesgo. La ICO (2026) afirma que eso es ahora el «data protection test». Debes decidir, de forma razonable y proporcionada, que la protección no es materialmente inferior a la del Reino Unido. Según ICO statement (2026), entró en vigor el 5 de febrero de 2026.
Para flujos del Reino Unido a EE. UU., la UK Extension to the EU-US Data Privacy Framework (UK-US data bridge) puede dar adecuación si el proveedor está certificado en el DPF para ella. Se hizo el 20 de septiembre de 2023 y entró en vigor el 12 de octubre de 2023. El DSIT publica documentos de apoyo.
La adecuación no sustituye conocer tus flujos. Según European Commission (2025), se renovó el 19 de diciembre de 2025, con sunset el 27 de diciembre de 2031 y una revisión a los cuatro años. Cubre flujos del EEE hacia el Reino Unido, no otros hacia terceros, salvo una vía como la UK Extension.
Acceso de soporte, subencargados y failover
Pregunta quién puede abrir un ticket y ver un prompt. El soporte remoto desde fuera del Reino Unido puede ser una transferencia restringida, porque la ICO trata el acceso como una transferencia. Exige regiones de soporte, acceso aprobado y un log exportable.
Pide una lista actual de subencargados, con modelos y almacenamiento, y aviso antes de añadir uno nuevo. Un failover silencioso a otro país es un cambio de tratamiento.
Según NCSC Guidelines (2023), deberías saber dónde residen los activos. El NCSC (2018, revisado en 2023) aconseja, en el Principio 2, conocer los países de almacenamiento, procesamiento y gestión, incluido el soporte.
Seguridad y gobernanza: lagunas de residencia que filtran datos
La prompt injection, la fuga de datos y el uso indebido de tools no esperan a un dictamen de transferencia. Un gateway que guarda prompts en una región británica pero deja que una instrucción inyectada los envíe por una tool sigue siendo un fallo de confidencialidad. Logs y embeddings pueden ampliar ese riesgo.
Necesitas un punto de aplicación, redacción antes de almacenar, identidades acotadas y evidencia para un DPO. El Agent Gateway (TrustGate) hace pasar el tráfico a modelos y tools por una capa de control. Las páginas públicas indican residencia en EE. UU. y la UE para el SaaS, con opciones split-plane, de plano de datos privado y on-premises. No hay una región gestionada en el Reino Unido anunciada.
¿Cuál deberías elegir?
Elige el patrón que puedas evidenciar en un contrato y en una PoC, no la etiqueta más cercana a «UK». La residencia, la entidad contratante y los flujos del modelo son tres preguntas distintas. Una buena compra responde a las tres por escrito.
| Situación | Patrón a probar | Trabajo de transferencia | Encaje |
|---|---|---|---|
| Aceptas datos en la UE | Región o plano en la UE | Confirma entidad y transferencias ulteriores | Vía gestionada |
| Quieres datos en el Reino Unido | Plano tuyo u on-premises UK | Sigue probando soporte y modelos | Más control |
| Envías datos a un modelo en EE. UU. | La llamada puede seguir siendo transferencia restringida | Adecuación por la UK Extension si el proveedor está certificado en el DPF para ella; si no, salvaguardas del artículo 46 más el data protection test, o no envíes los datos | Minimiza o redacta antes |
| Grupo dual Reino Unido y UE | Enrutado y registros separados | Normas UK en un sentido, adecuación UE en el otro | Un memo no cubre ambos |
Conclusión
Un UK data residency AI gateway es tan sólido como las respuestas que obtengas. ¿Quién es la entidad contratante? ¿Dónde se almacenan y procesan prompts, logs, embeddings y cargas de tools? ¿Quién puede acceder, incluido el soporte? ¿Qué salvaguarda y data protection test cubren cualquier transferencia restringida? La ubicación del servidor es solo una parte del test. Consigue esas respuestas por escrito y valídalas en una PoC.
Asegura los flujos de datos de tu AI gateway en el Reino Unido en producción con NeuralTrust
Reserva una demo para revisar despliegue y evidencia.
)
Comparativas relacionadas
- Soberanía, residencia y localización de datos
- UK Data Residency: Which AI Security Vendors Offer It?
- Qué es un AI Gateway
- GDPR e IA: guía para un CISO en el Reino Unido
Preguntas frecuentes sobre UK Data Residency AI Gateway
1. ¿El UK GDPR obliga a tener un UK data residency AI gateway?
No. El UK GDPR no impone un deber general de almacenar todos los datos personales en el Reino Unido. Regula las transferencias restringidas. Puedes elegir residencia británica por política o contrato, pero eso se suma al test y no lo sustituye.
2. Si los servidores están en el Reino Unido, ¿se cierra la pregunta?
No. Según ICO (2026), un contrato con un proveedor fuera del Reino Unido es una transferencia restringida aunque los servidores estén en el Reino Unido. Un proveedor británico no lo es solo porque sus servidores estén fuera. Identifica siempre la entidad contratante.
3. ¿La adecuación de la UE para el Reino Unido resuelve el tráfico del gateway hacia EE. UU.?
No. Según European Commission (2025), la adecuación del EEE hacia el Reino Unido dura hasta el 27 de diciembre de 2031 y cubre flujos hacia el Reino Unido desde el EEE. Por sí sola no autoriza transferencias del Reino Unido a EE. UU. por una API de modelo. Para esos flujos, usa la UK Extension si el proveedor está certificado en el DPF para ella. Si no, el artículo 46 más el data protection test, o no envíes los datos.
4. ¿Qué es el data protection test en las transferencias del gateway?
Si te apoyas en salvaguardas del artículo 46, como el IDTA o el UK Addendum, debes completar una evaluación de riesgo. La ICO lo llama ahora data protection test. La protección no debe ser materialmente inferior a la del Reino Unido. Entró en vigor el 5 de febrero de 2026.
5. ¿Los logs del gateway entran en la conversación sobre residencia?
Sí. El NCSC (2023) aconseja tratar los logs como datos sensibles y saber dónde residen los activos de IA. Los logs suelen guardar prompts e identificadores. Pregunta dónde se almacenan, quién los consulta, cuánto se retienen y si salen de tu región.
6. ¿Puede una «oficina en el Reino Unido» sustituir la residencia de datos?
No. Una dirección de oficina no es una región de hosting ni la entidad contratante. Pide la entidad legal del pedido, los países de almacenamiento, procesamiento y soporte, y el aviso de cambios. Luego comprueba esas respuestas en una PoC.
Sobre el autor
Roger Howroyd es Head of Global SEO and AI en NeuralTrust, donde dirige la estrategia de búsqueda de la compañía en SEO, AEO, GEO y optimización para LLM. Está especializado en búsqueda impulsada por IA, estrategia de contenidos y SEM. Conecta con él en LinkedIn.
NeuralTrust es la plataforma líder para proteger y escalar agentes de IA. Nombrada pionera en el Gartner Emerging Market Quadrant for AI Application Security 2026, reconocida en cuatro informes Gartner Hype Cycle en 2026 y destacada en la Gartner Market Guide for Guardian Agents 2026, la Gartner Market Guide for AI Gateways 2025 y el KuppingerCole Leadership Compass for Generative AI Defense 2025. Con sede en Barcelona y oficinas en Londres y Nueva York. Certificada ISO 27001.
Fuentes
- ICO, A guide to international transfers, 15 de enero de 2026.
- ICO, Are we making a restricted transfer?, test de tres pasos, 2026.
- ICO, What's a transfer risk assessment (TRA)?, 15 de enero de 2026, actualizado en noviembre de 2026.
- ICO, Statement on DUAA commencement, 5 de febrero de 2026.
- The Data (Use and Access) Act 2025 (Commencement No. 6 and Transitional and Saving Provisions) Regulations 2026, legislation.gov.uk, hechas el 29 de enero de 2026; s. 85 y Sch. 7 en vigor el 5 de febrero de 2026.
- Comisión Europea, renovación de la adecuación del Reino Unido, 19 de diciembre de 2025, sunset 27 de diciembre de 2031.
- NCSC, Guidelines for secure AI system development, 27 de noviembre de 2023; Cloud Security Principle 2, 2018, revisado en 2023.
- ICO, How should we assess security and data minimisation in AI?, artículo 5(1)(c), 11 de noviembre de 2026.
- UK-US data bridge: The Data Protection (Adequacy) (United States of America) Regulations 2023, hechas el 20 de septiembre de 2023, en vigor el 12 de octubre de 2023. ICO, How does the UK Extension to the EU-US Data Privacy Framework work?, 11 de noviembre de 2026. DSIT, UK-US data bridge: supporting documents, 21 de septiembre de 2023.
- NeuralTrust, AI Gateway y Pricing, 11 de noviembre de 2026.