La soberanía digital comienza con la infraestructura

O por qué Synaedge es independiente de los hyperscalers

La rápida expansión del análisis de vídeo basado en IA plantea nuevos desafíos de protección de datos para las empresas. Plataformas como Vaidio, una solución de visión por IA para el análisis de vídeo, prometen una vigilancia eficiente mediante el reconocimiento automatizado de imágenes y la generación de alertas. Al mismo tiempo, las organizaciones en la UE y en Suiza deben cumplir estrictamente con la legislación vigente en materia de protección de datos. Un tema central en este contexto es la soberanía de los datos. ¿Dónde y bajo el control de quién se procesan los datos sensibles de vídeo y personales? Synaedge se ha posicionado claramente como un proveedor europeo independiente que no recurre a hyperscalers estadounidenses. En este artículo, explicamos por qué la soberanía digital comienza con la infraestructura y por qué Synaedge es independiente de los hyperscalers.

Análisis de vídeo con IA y protección de datos: el desafío de la transferencia de datos

En el análisis de vídeo basado en IA se generan datos personales (p. ej., rostros, matrículas de vehículos, perfiles de movimiento) que a menudo se almacenan de forma centralizada o se transfieren a la nube. Cuando material de vídeo con datos personales se transfiere a terceros países fuera de Europa – por ejemplo, a Estados Unidos – , entran en vigor requisitos legales complejos. Especialmente desde la sentencia histórica Schrems II del Tribunal de Justicia de la Unión Europea (TJUE) de 16 de julio de 2020 (asunto C-311/18), está claro que soluciones simples como el antiguo Escudo de Privacidad UE–EE. UU. ya no son suficientes. Este acuerdo de protección de datos, que hasta 2020 facilitaba las transferencias de datos a Estados Unidos, fue declarado inválido por el TJUE, ya que no ofrecía un nivel de protección suficientemente alto. La razón: amplios programas de vigilancia estadounidenses como PRISM y UPSTREAM permitían la vigilancia masiva, lo que vulnera los derechos fundamentales de la UE. Al mismo tiempo, el TJUE confirmó la validez de las cláusulas contractuales tipo (CCT) como instrumento de transferencia, pero impuso requisitos elevados: los exportadores e importadores de datos deben evaluar si el nivel de protección en el país receptor es esencialmente equivalente al de la UE y, en caso necesario, adoptar medidas de protección adicionales. Esta evaluación es especialmente delicada cuando se trata de transferencias a Estados Unidos. El TJUE criticó explícitamente que las leyes estadounidenses de inteligencia, como la Sección 702 de la FISA y la Orden Ejecutiva 12333, no ofrecen a los ciudadanos de la UE una protección jurídica suficiente y permiten un acceso desproporcionado a sus datos. En otras palabras, sin salvaguardas adicionales, una empresa de la UE no puede estar segura de que los datos almacenados en Estados Unidos o accesibles desde allí estén protegidos en el mismo grado que en la UE.

Leyes de vigilancia estadounidenses vs. derecho de la UE: visión general del conflicto

La cuestión central es la siguiente: ¿puede un proveedor de servicios estadounidense garantizar que no se produzca ninguna divulgación ilícita de datos personales de la UE a las autoridades estadounidenses? En la práctica, no, ya que leyes estadounidenses como el USA PATRIOT Act (2001) y, en particular, el CLOUD Act (2018) obligan a las empresas estadounidenses a entregar datos a las autoridades estadounidenses previa orden, independientemente de dónde se almacenen los datos. El CLOUD Act se aplica explícitamente también a los datos almacenados en servidores ubicados en el extranjero. Esto significa que las autoridades estadounidenses pueden exigir datos a proveedores estadounidenses incluso si estos se almacenan en Europa, sin que sea necesario presentar previamente una solicitud de asistencia jurídica mutua (MLAT) a través de las autoridades europeas. Desde la perspectiva de la UE, esto crea un conflicto jurídico directo. Porque el artículo 48 del RGPD establece que una solicitud de divulgación por parte de una autoridad pública no europea solo puede ser reconocida sobre la base de un acuerdo internacional o de una base jurídica adecuada. Los accesos unilaterales por parte de autoridades estadounidenses, tal como lo permite el CLOUD Act, no deben dar lugar a transferencias de datos conforme al derecho de la UE. Con el CLOUD Act, los ordenamientos jurídicos entran en conflicto: una orden judicial estadounidense puede obligar a un proveedor a divulgar datos, mientras que el RGPD prohíbe a una empresa europea transferir datos a terceros sin una base jurídica válida. Tras la sentencia Schrems II, las autoridades de protección de datos exigen, por tanto, para cada transferencia a un tercer país la realización de una evaluación de impacto de la transferencia (Transfer Impact Assessment, TIA). Especialmente al utilizar servicios estadounidenses, es necesario evaluar si medidas técnicas, organizativas o contractuales adicionales pueden proteger adecuadamente los datos frente al acceso de autoridades estadounidenses, lo cual a menudo resulta difícil.

¿Físicamente en Europa, jurídicamente en Estados Unidos? Riesgos de los hyperscalers

Los grandes hyperscalers (como AWS, Microsoft Azure o Google Cloud) operan centros de datos en Europa, pero como empresas estadounidenses están en última instancia sujetos al derecho estadounidense. Se habla aquí del problema del «cuerpo en Europa, espíritu en Estados Unidos»: aunque los servidores estén físicamente ubicados en la UE, el acceso legal y administrativo desde Estados Unidos sigue siendo posible. Así, el mero hecho de que empleados estadounidenses tengan acceso administrativo o de que los datos puedan ser transferidos a la empresa matriz en Estados Unidos es suficiente para que el RGPD y la Ley Federal Suiza de Protección de Datos (LPD) consideren que existe una transferencia a un tercer país, incluso si los servidores se encuentran en la UE. Para los clientes de estos hyperscalers, esto significa que, a pesar del alojamiento en regiones de la UE, persiste un riesgo residual de que los datos lleguen a manos de las autoridades estadounidenses sin su conocimiento. En resumen, los riesgos asociados al uso de proveedores de nube con sede en Estados Unidos son:

Accesos extraterritoriales: las autoridades estadounidenses pueden solicitar datos independientemente de dónde estén almacenados. Esto entra en conflicto directo con los requisitos de la UE (artículo 48 del RGPD).
Falta de protección jurídica: los ciudadanos de la UE no disponen de medios efectivos para impugnar dichos accesos, ya que leyes estadounidenses como la FISA o el CLOUD Act no prevén recursos legales adecuados.
Carga de cumplimiento: las empresas deben evaluar y documentar de forma continua si y cómo protegen los datos frente al acceso de terceros (cifrado, gestión de claves dentro de la UE, etc.) para cumplir con los requisitos establecidos por Schrems II. Cada nuevo uso de servicios en la nube requiere una evaluación de impacto de la transferencia caso por caso (TIA), un esfuerzo considerable que conlleva inseguridad jurídica.
Inseguridad jurídica: si bien la UE adoptó en 2023 el nuevo Marco de Privacidad de Datos UE–EE. UU. (EU–US Data Privacy Framework, DPF). El DPF está en vigor, fue confirmado en un primer procedimiento en 2025, pero sigue siendo políticamente y jurídicamente controvertido y podría volver a llegar ante el TJUE.
Administración Trump: esto agrava aún más el problema de la imprevisibilidad del marco jurídico y político en Estados Unidos.

Synaedge: soberanía europea de los datos en lugar de la nube estadounidense

Synaedge se posiciona como proveedor local de servicios y cloud para el análisis de vídeo basado en IA, en particular como socio de alojamiento certificado de la plataforma Vaidio en la región EMEA. La diferencia decisiva: Synaedge es independiente de los hyperscalers y opera su propia infraestructura de servidores en centros de datos certificados en Suiza, Alemania y España. Estas ubicaciones están interconectadas directamente, sin pasar por proveedores externos ni grandes corporaciones globales de la nube. Esta arquitectura garantiza una auténtica soberanía técnica: control total de las rutas de datos, latencia mínima y una conectividad de red estable desde el dispositivo edge y los servidores on-premise hasta el análisis de IA en el centro de datos. Dado que toda la infraestructura opera dentro de la UE así como en Suiza, reconocida como tercer país con decisión de adecuación, no se producen transferencias de datos a terceros países jurídicamente inciertos. Para los tratamientos de datos dentro de la UE, los artículos 44 y siguientes del RGPD no se aplican en absoluto; en el caso de Suiza, las transferencias se realizan sobre la base del artículo 45 del RGPD, sin necesidad de garantías adicionales como cláusulas contractuales tipo o evaluaciones de impacto de la transferencia. De este modo, se elimina por completo la elevada carga de cumplimiento que normalmente es necesaria al utilizar proveedores estadounidenses. En particular, este modelo elimina el mayor riesgo: el acceso de autoridades externas basado en leyes extraterritoriales. Synaedge no está sujeta a ninguna legislación estadounidense como el CLOUD Act o la FISA y, por lo tanto, no puede ser obligada a entregar datos a las autoridades estadounidenses. Se excluye cualquier acceso sin el conocimiento y el control del cliente. Si alguna vez se presentara una solicitud legítima de información desde el extranjero, esta debería seguir la vía formal de los acuerdos internacionales de asistencia jurídica mutua, con revisión judicial y la participación de las autoridades europeas o suizas competentes, tal como establece el artículo 48 del RGPD. En resumen: con Synaedge, la soberanía de los datos permanece en manos del cliente y dentro del marco jurídico europeo.

Conclusión: protección de datos mediante la independencia europea

Synaedge demuestra con su arquitectura cloud independiente que el análisis de vídeo moderno basado en IA y la estricta protección de datos son compatibles. Al renunciar deliberadamente a los hyperscalers estadounidenses y operar en centros de datos europeos, Synaedge evita las trampas jurídicas de las transferencias de datos transatlánticas. Las empresas que utilizan Vaidio a través de Synaedge obtienen una solución conforme a Schrems II «lista para usar», sin renunciar a la funcionalidad ni a la escalabilidad.