Mistral y Aleph Alpha: las ventajas RGPD de los proveedores europeos de LLM

Los proveedores europeos de LLM son proveedores de modelos de lenguaje con sede en la Unión Europea, con Mistral AI (Francia) y Aleph Alpha (Alemania) a la cabeza. Su principal ventaja en materia de RGPD es el tratamiento de datos en la UE y, con ello, la posibilidad de prescindir, para la inferencia pura, de una transferencia internacional según el capítulo V del RGPD. Esto simplifica mucho el cumplimiento, pero no lo sustituye.

• Sin transferencia internacional: si el tratamiento se queda en la UE, para ese paso dejan de ser necesarias las cláusulas contractuales tipo, el apoyo en el Marco de Privacidad de Datos UE-EE. UU. y la correspondiente evaluación de impacto de la transferencia.
• Sin matriz estadounidense: el riesgo de la CLOUD Act, FISA 702 y EO 12333, que puede persistir con proveedores estadounidenses, se reduce claramente con un proveedor de la UE sin matriz en EE. UU., siempre que sus subencargados tampoco sean empresas estadounidenses y ninguna sociedad de un grupo estadounidense tenga acceso a los datos.
• Soberanía, incluso on-premise: Aleph Alpha (Pharia) ofrece opciones de despliegue on-premise y soberanas en la UE con un DPA regido por el derecho alemán y plantillas compatibles con el BfDI. Mistral pone a disposición modelos de pesos abiertos para autoalojamiento.

Situación a octubre de 2026: la canadiense Cohere anunció el 24 de abril de 2026 que adquiriría Aleph Alpha. El 16 de septiembre de 2026 ambas empresas firmaron el acuerdo de fusión. Está previsto que la empresa resultante opere bajo la marca Cohere, con sedes centrales en Berlín y Toronto; el cierre sigue pendiente de las autorizaciones regulatorias. Si usas Pharia o tienes previsto hacerlo, revisa tras el cierre el contrato de encargo del tratamiento, los subencargados, la estructura del grupo y los posibles accesos desde terceros países. Para Canadá existe una decisión de adecuación de la Comisión Europea para organizaciones comerciales, pero Cohere también tiene oficinas en Nueva York y San Francisco.

Por qué la ubicación del proveedor importa para la protección de datos

Cualquier tratamiento de datos personales en un agente LLM, como el prompt, el output, la memoria del agente, el payload de las llamadas a herramientas, la base de datos vectorial o los logs, es un tratamiento en el sentido del art. 4 del RGPD. Si estos datos salen del EEE, se aplica el capítulo V del RGPD. Desde la sentencia del TJUE Schrems II (C-311/18, 16 de julio de 2020), el criterio es el siguiente: las cláusulas contractuales tipo solo son válidas si una evaluación de impacto de la transferencia (TIA) para el caso concreto confirma un nivel de protección equivalente y, en su caso, se adoptan medidas complementarias.

Para los proveedores estadounidenses, el elemento central es el Marco de Privacidad de Datos UE-EE. UU. (DPF), que la Comisión Europea adoptó el 10 de julio de 2023. Su situación sigue sin estar definitivamente aclarada en 2026: el Tribunal General de la UE (TGUE) confirmó el DPF en primera instancia el 3 de septiembre de 2025 en el asunto Latombe v Commission (T-553/23), en concreto en lo que respecta a su validez en el momento de su adopción; el recurso de casación ante el TJUE está pendiente desde el 31 de octubre de 2025 (situación en 2026, sujeta a cambios). NOYB/Max Schrems ha anunciado una impugnación separada y más amplia. Por eso, la recomendación operativa de nuestra investigación es esta: el DPF es actualmente una base válida para las transferencias, pero las empresas deberían tener preparadas las CCT como respaldo y realizar una TIA también con destinatarios certificados en el DPF, porque el Garante y la CNIL recomiendan en 2025 esta doble protección.

Aquí es justo donde entra la ventaja de los proveedores europeos: quien mantiene la inferencia, el índice RAG y los logs íntegramente en la UE no necesita recurrir al DPF, a las CCT ni a una TIA para esos pasos. El riesgo derivado del acceso al amparo de la CLOUD Act, de FISA 702, de EO 12333 y de la divulgación forzosa a autoridades estadounidenses con independencia del lugar de almacenamiento se reduce claramente con un proveedor de la UE sin vínculo con un grupo estadounidense. Cuánto se reduce depende de si los subencargados están sujetos al derecho estadounidense, aunque traten los datos en centros de datos de la UE, y de si una sociedad de un grupo estadounidense tiene acceso. Que todo se quede en la UE no es algo que se dé por hecho ni siquiera con proveedores europeos: el contrato de encargo del tratamiento de Mistral permite transferencias fuera del EEE sobre la base de garantías adecuadas. Según un memorando de Open Terms Archive de febrero de 2025, Mistral añadió para su infraestructura de Google Cloud EE. UU. como lugar de tratamiento, además de Irlanda. Google Cloud es a su vez un proveedor estadounidense, así que allí el riesgo se mantiene incluso con la ubicación en Irlanda. Por eso, revisa la lista vigente de subencargados en el Trust Center del proveedor.

El perfil RGPD de Mistral AI y Aleph Alpha

En nuestra investigación, ambos proveedores figuran en la configuración responsable → encargado con compromiso «No-Training», es decir, como encargados del tratamiento con el compromiso contractual de no usar los datos de los clientes para entrenar modelos. Estos compromisos son de naturaleza contractual, no un estándar legal, y por eso hay que verificarlos al firmar el contrato.

Mistral AI (Francia): sede central en la UE, con énfasis en el tratamiento de datos dentro de la UE. Se aplica un compromiso de no entrenamiento para los productos comerciales. La lista de subencargados es pública, con un plazo de oposición de diez días para nuevos subencargados (DPA de Mistral, cláusula 7.2). La retención es configurable. Mistral también está disponible a través de AWS Bedrock y Google Vertex AI en regiones de la UE, lo que da flexibilidad de enrutamiento. Para un control total de los datos, los modelos de Mistral pueden ejecutarse en infraestructura propia, y Le Chat Enterprise existe también en una versión autoalojada.

Aleph Alpha (Pharia, Alemania): DPA regido por el derecho alemán con plantillas compatibles con el BfDI, compromiso de no entrenamiento y opciones de despliegue soberanas explícitas. Ofrece modelos de operación on-premise y soberanos en la UE; la lista de subencargados se facilita por contrato y la retención la controla el cliente. Esto es relevante para los sectores regulados: nuestra investigación menciona Aleph Alpha Pharia on-premise como opción soberana para entidades suizas reguladas por FINMA, junto a Swisscom Sovereign AI.

Más allá de los proveedores de modelos, existe un ecosistema de alojamiento soberano en la región DACH (Alemania, Austria y Suiza): según nuestra investigación, IONOS AI Model Hub, STACKIT (Grupo Schwarz) y T-Systems Open Telekom Cloud trabajan con plantillas de contrato de encargo regidas por el derecho alemán, alineadas con las orientaciones del BfDI y la DSK, y con tratamiento en el país, exclusivamente en DE/UE. Swisscom Sovereign AI cubre Suiza con un DPA conforme a la revDSG y residencia de datos en CH.

Tabla comparativa: proveedores europeos frente a rutas de hiperescaladores estadounidenses

Las contrapartidas, sin rodeos

Un proveedor europeo no es una solución automática. Normalmente hay que sopesar tres aspectos:

• Calidad del modelo: los modelos frontier estadounidenses siguen liderando muchos benchmarks. Quien necesite el máximo rendimiento en razonamiento o multimodalidad puede tener que aceptar renuncias con un proveedor europeo.
• Ecosistema y herramientas: la madurez de los SDK, las integraciones, los servidores MCP y la conexión con herramientas de observabilidad suele ser mayor en los grandes proveedores estadounidenses. Los proveedores europeos están recortando distancia, pero el estándar del mercado a menudo se fija en otra parte.
• Costes: las opciones soberanas y on-premise generan gastos de operación y licencias; los endpoints regionales pueden llevar un recargo. En el otro platillo de la balanza está el esfuerzo de cumplimiento que se ahorra.

Importante: el proveedor europeo solo resuelve la cuestión de las transferencias y la soberanía. Todas las demás obligaciones se mantienen: el contrato de encargo del tratamiento según el art. 28(3)(a)–(h), la evaluación de impacto relativa a la protección de datos según el art. 35, que casi siempre resulta obligatoria, una base jurídica sólida según el art. 6 (normalmente el art. 6(1)(f) con una ponderación de intereses documentada), el tratamiento de las categorías especiales según el art. 9, la arquitectura para decisiones individuales automatizadas según el art. 22 y los derechos de los interesados. Tampoco desaparece la diligencia debida del responsable del despliegue sobre la licitud de los datos de entrenamiento derivada del Dictamen 28/2024 del CEPD (17 de diciembre de 2024).

Cuándo un proveedor europeo es la opción correcta

Un proveedor europeo es especialmente recomendable cuando:

• se tratan categorías especiales (art. 9), es decir, datos de salud, biométricos o de sensibilidad comparable;
• la actividad está sujeta a regulación sectorial: nuestra investigación señala una preferencia expresa por la nube soberana en despliegues de crédito y seguros, así como en entidades reguladas por FINMA;
• se exige on-premise o control total de los datos, por ejemplo con Aleph Alpha Pharia o con modelos de Mistral autoalojados;
• la empresa no quiere incorporar a su arquitectura la inseguridad jurídica del DPF.

Ejemplo con cifras: tres saltos entre subencargados

Una pyme utiliza un agente RAG interno sobre documentos de personal. Con un proveedor estadounidense, cada prompt pasa por tres saltos sensibles desde el punto de vista de terceros países: API del modelo, alojamiento en la nube y observabilidad. Por cada salto hay que documentar una TIA y la asignación del módulo de CCT; con tres saltos, tres TIA más el seguimiento continuo del DPF. Si la empresa implanta Aleph Alpha Pharia on-premise con base de datos vectorial y observabilidad en la UE, el número de transferencias sujetas al capítulo V baja a cero. En lugar de tres TIA queda el esfuerzo habitual del contrato de encargo y la EIPD. Con una revalidación anual de cada TIA y una estimación conservadora de alrededor de una jornada de trabajo por TIA, eso supone un ahorro de unas tres jornadas al año, y desaparece el riesgo residual de una posible caída del DPF.

Para agencias y decisores B2B

Para las agencias de marketing, la elección del proveedor es un argumento de venta: quien atiende a clientes en Europa en sectores regulados puede ofrecer, con un stack de LLM europeo (Mistral o Aleph Alpha más alojamiento soberano en la UE), un relato de cumplimiento más ligero y fácil de auditar que con una configuración solo estadounidense. Para los decisores B2B: toma la decisión sobre el proveedor como una ponderación consciente de riesgos y beneficios, con proveedores europeos allí donde predominan las categorías especiales, la regulación sectorial o los requisitos on-premise, y modelos estadounidenses allí donde decide la máxima calidad del modelo y el riesgo de tercer país sigue siendo controlable mediante regiones de la UE y CCT como respaldo. Documenta la decisión en la EIPD y en el registro de actividades de tratamiento.

La agencia Blck Alpaca, de Viena, presta apoyo en la evaluación neutral respecto al proveedor, la elaboración del mapa de subencargados y la integración en la EIPD para arquitecturas de agentes basadas en proveedores europeos o estadounidenses.

Nota: este artículo sirve de orientación técnica y no constituye asesoramiento jurídico. Las condiciones de los proveedores cambian con frecuencia y deben verificarse al firmar el contrato; para el diseño concreto, recurre a asesoramiento jurídico cualificado. Fecha de la investigación de base: 14 de mayo de 2026. Datos sobre la fusión de Aleph Alpha con Cohere, así como sobre el autoalojamiento y los subencargados de Mistral, añadidos el 13 de octubre de 2026.