¿Se aplican el RGPD o el Reglamento de IA a mi empresa estadounidense?

Una empresa estadounidense de SaaS que vende licencias a un cliente en Berlín, una tienda de Shopify que envía pedidos a Francia, un proveedor de HR-tech cuyo modelo de puntuación utiliza un empleador neerlandés: ninguna de las tres tiene oficina en la UE, cuenta bancaria europea ni entidad registrada en la UE. Las tres pueden, aun así, quedar claramente dentro del RGPD, del Reglamento de IA, o de ambos. Lo que activa la norma no es dónde está constituida su empresa. Es dónde están sus clientes, hacia dónde apunta su marketing y dónde termina utilizándose el resultado de su sistema de IA. Es una pregunta distinta de la que suele hacerse la mayoría de las empresas estadounidenses, que normalmente es alguna variante de "somos una empresa de EE. UU., por qué nos iba a aplicar el derecho de la UE".

La prueba del RGPD: ¿dirige su actividad a personas en la UE, o vigila su comportamiento?

El ámbito territorial del RGPD, artículo 3(2) del Reglamento (UE) 2016/679, no atiende al lugar de constitución. Se aplica a una empresa no europea siempre que ofrezca bienes o servicios a personas en la UE —incluso de forma gratuita— o vigile su comportamiento. Las autoridades observan la intención de dirigirse a ese mercado, no la mera accesibilidad: ¿su web fija precios en euros, ofrece versiones lingüísticas para mercados de la UE, publica anuncios geolocalizados hacia audiencias europeas, menciona clientes o testimonios europeos, envía físicamente a direcciones de la UE, o utiliza un dominio de código de país como .es o .fr? Una empresa estadounidense cuya web resulta accesible desde Bruselas porque internet es global no queda automáticamente dentro del ámbito de aplicación. Una empresa estadounidense con pago en euros, páginas en francés y alemán, y anuncios geodirigidos a París y Berlín es un caso distinto, sin importar dónde estén sus servidores o su sede. La "vigilancia del comportamiento" cubre un grupo completamente diferente: cookies, analítica y píxeles publicitarios que rastrean a visitantes de la UE, incluso en una web que nunca se dirigió explícitamente a ventas europeas.

La prueba del Reglamento de IA: no importa dónde esté su empresa, sino dónde acabe el resultado

El Reglamento de IA de la UE, Reglamento (UE) 2024/1689, tiende una red aún más amplia para los proveedores estadounidenses de IA. El artículo 2(1)(c) se aplica a proveedores y responsables del despliegue situados en un tercer país siempre que el resultado producido por su sistema de IA se utilice en la UE. Es una prueba basada en el resultado, no en el establecimiento, y no exige ninguna venta en la UE. Una empresa estadounidense de HR-tech cuya herramienta de puntuación de candidatos utiliza un único empleador neerlandés queda dentro del ámbito de aplicación, aunque la empresa estadounidense no tenga ningún cliente, contrato ni marketing en la UE. El 2 de agosto de 2026 entraron en vigor las obligaciones de los sistemas de alto riesgo del anexo III y los deberes de transparencia del artículo 50 para todo proveedor y responsable del despliegue cuyo resultado llegue a la UE, incluidos los proveedores de terceros países: un plazo que ya está en vigor, no es teórico.

La obligación que casi todas las empresas estadounidenses se saltan: designar un representante en la UE

Si el RGPD le aplica en virtud del artículo 3(2), el artículo 27 le exige designar un representante establecido en un Estado miembro de la UE: un punto de contacto formal para las autoridades de control y los interesados, distinto de cualquier abogado que ya tenga contratado. Omitir esto no es un descuido administrativo que las autoridades ignoren: el artículo 83 fija la multa por no designar representante en hasta 10 millones de euros o el 2 % de la facturación mundial, además de cualquier multa que corresponda al tratamiento subyacente. El Reglamento de IA impone un deber paralelo a los proveedores no europeos de sistemas de alto riesgo, que deben designar su propio representante autorizado con sede en la UE antes de introducir ese sistema en el mercado europeo. Ambos deberes existen precisamente porque la UE prevé tratar con empresas de terceros países sin oficina en la UE, y ambos suelen ser lo primero que se salta la revisión de cumplimiento de una empresa estadounidense: "necesitamos un abogado en EE. UU." y "necesitamos un representante en la UE" no parecen la misma pregunta hasta que alguien señala que no son alternativas intercambiables.

Quién puede realmente hacer cumplir esto frente a una empresa sin activos en la UE

Aquí es donde todo se vuelve mucho más difuso una vez que se abandona la norma y se mira lo que ocurre en la práctica. El caso más claro es Clearview AI: las autoridades de protección de datos de los Países Bajos, Francia, Italia y Grecia han impuesto conjuntamente a la empresa estadounidense de reconocimiento facial multas por unos 100 millones de euros por infracciones del RGPD. Clearview no tiene oficina en la UE, ni representante en la UE, ni activos en la UE, y ha declarado que no hace negocios en la UE en absoluto. No existe ningún mecanismo de tratado que obligue a los tribunales estadounidenses a ejecutar la multa de un regulador europeo, y, según la mayoría de la información pública disponible, las autoridades apenas han cobrado nada de ello.

Eso no significa que la exposición sea teórica para una empresa estadounidense que no sea Clearview. Tres cosas muerden incluso sin una multa cobrable. Primero, los clientes empresariales europeos realizan cada vez más una debida diligencia de compra que exige un contrato de tratamiento de datos firmado, cláusulas contractuales tipo o la prueba de haber completado una evaluación de riesgos antes de firmar contrato alguno: para una empresa estadounidense de SaaS que persigue ingresos empresariales europeos, perder el contrato es un coste más rápido y mayor que perder una batalla que el regulador no puede cobrar. Segundo, las autoridades de vigilancia del mercado del Reglamento de IA tienen el poder de ordenar la retirada directa de un producto del mercado europeo, algo que no exige cobrar nada, simplemente termina con las ventas en la UE. Tercero, ser conocido públicamente como la empresa que ignoró a los reguladores europeos, como ahora es el caso de Clearview, es una referencia que un pipeline de ventas serio hacia la UE no sobrevive.

La complicación que se suma ahora mismo a todo esto: el Marco de Privacidad de Datos UE-EE. UU.

Si su empresa transfiere datos personales de clientes europeos a servidores estadounidenses, esa transferencia necesita su propia base jurídica, independiente de si el RGPD se aplica a su tratamiento en primer lugar. La mayoría de las empresas estadounidenses se apoyan en el Marco de Privacidad de Datos UE-EE. UU., la decisión de adecuación que la Comisión Europea adoptó en julio de 2023. Esa base está sometida a una tensión real en el momento de escribir este artículo: la sentencia del Tribunal Supremo de EE. UU. de junio de 2026 en el caso Trump contra Slaughter eliminó la independencia estatutaria de los comisionados de la FTC, y el Comité Europeo de Protección de Datos ha pedido formalmente a la Comisión que revise si la decisión de adecuación del DPF sigue siendo válida, ya que esa decisión citaba la independencia de la FTC como uno de sus pilares. Ya hay un recurso independiente pendiente ante el Tribunal de Justicia de la UE. Todavía nadie sabe cómo se resolverá ninguno de los dos procesos, pero el patrón resultará familiar a quien siguiera la caída del Privacy Shield en 2020: una empresa estadounidense que no tenga preparadas cláusulas contractuales tipo como alternativa está asumiendo un segundo riesgo, independiente, además de la exposición sustantiva al RGPD que ya tuviera.

Qué revisar en su propia empresa

• ¿Su marketing, sus precios o su proceso de pago se dirigen específicamente a clientes de la UE —precios en euros, páginas en idiomas de la UE, anuncios geodirigidos— más allá de ser simplemente accesibles desde la UE?
• ¿Alguna función de IA que desarrolle o utilice produce una puntuación, decisión o recomendación que utiliza alguien establecido en la UE, tenga o no un solo cliente europeo?
• ¿Ha designado un representante en la UE conforme al artículo 27 del RGPD, o conforme al deber equivalente del Reglamento de IA para proveedores de alto riesgo, o asume que su política de privacidad estadounidense ya lo cubre?
• Si transfiere datos personales europeos a servidores estadounidenses, ¿depende únicamente del Marco de Privacidad de Datos, y tiene preparadas cláusulas contractuales tipo por si esa decisión de adecuación no sobrevive a sus impugnaciones legales actuales?
• ¿Podría presentar hoy una evaluación de riesgos del RGPD o una clasificación de riesgo del Reglamento de IA si el departamento de compras de un cliente empresarial europeo se la pidiera mañana?
• ¿Ha comprobado si su producto entra en una categoría de alto riesgo del anexo III del Reglamento de IA para algún usuario europeo de su resultado, con independencia de cómo se clasifique para sus clientes estadounidenses?

Información general, no asesoramiento jurídico: que el RGPD o el Reglamento de IA alcancen a su negocio concreto depende de hechos sobre su marketing, sus clientes y sus sistemas de IA que este artículo no puede resolver por usted. Cuando Komplya publica contenidos como este, dejamos claro qué capas han sido revisadas jurídicamente y cuáles siguen siendo material en borrador, para que pueda valorarlo en consecuencia.

¿Puede una herramienta de cumplimiento pensada para pymes europeas ayudar realmente a una empresa estadounidense? La lógica de aplicabilidad es la misma prueba en ambos casos: los criterios de dirección de actividad y vigilancia del artículo 3(2) del RGPD, y el ámbito basado en el resultado del artículo 2(1)(c) del Reglamento de IA, no cambian según dónde esté constituida su empresa. Responda un breve cuestionario sobre su marketing, sus clientes y sus funciones de IA orientados a la UE, y Komplya le indica exactamente qué obligaciones aplican y genera una Política de Privacidad, una Política de Uso de IA o una evaluación de impacto redactadas con IA y fundamentadas en esas obligaciones concretas: documentación que además suele ser justo lo que pide el departamento de compras de un cliente empresarial europeo. Lo que Komplya no hace es actuar como su representante en la UE conforme al artículo 27; ese nombramiento jurídico independiente seguiría teniendo que gestionarlo por su cuenta.

En lugar de adivinar a cinco mil kilómetros de distancia si el derecho de la UE alcanza a su negocio, el camino más rápido es repasar directamente sus clientes, su marketing y sus sistemas de IA orientados a la UE frente a ambas pruebas.