FAQ cumplimiento y soberanía

En resumen

Esta FAQ responde, palabra por palabra, a las preguntas que un comprador profesional y su DPO se hacen antes de adquirir una herramienta de toma de notas IA. Se distinguen tres niveles de fuerza legal, porque no son iguales: lo que exige la ley (RGPD, AI Act), lo que tus clientes piden sin obligación legal (ISO 27001, hosting europeo) y lo que impone cada sector (salud, público). Cada respuesta incluye su prueba. Ninguna afirmación de cumplimiento está sin respaldo. Los términos técnicos (DPA, circuito cerrado, diarización) se definen en el glosario de la herramienta de toma de notas IA.

Ni ISO 27001 ni el hosting en Francia son obligaciones legales universales. Tus clientes los exigen, y dos sectores los imponen: salud y público.

Lo esencial en una respuesta: hosting AWS región París, opción Scaleway para cierto volumen de licencias, LLM (OpenAI) ejecutado vía Azure Francia en circuito cerrado, no se entrena con datos de clientes, cifrado en tránsito y reposo, ISO 27001 certificada, ISO 42001 en proceso, NIS2 en finalización, alineación con EU AI Act, DPA y lista de subcontratistas y certificado ISO disponibles a solicitud, unas 10,000 empresas usuarias en Europa, empresa belga.

1. Localización y hosting de datos

¿Mis datos salen de la Unión Europea?

No para almacenamiento y procesamiento, que permanecen en Francia. La diferencia está en el proveedor de infraestructura: la región de almacenamiento es europea, pero AWS es una empresa bajo ley estadounidense (ver pregunta sobre Cloud Act). Para soberanía estricta (entidad no sujeta a leyes extraterritoriales), la opción Scaleway es la adecuada.

¿Qué es un hosting « soberano » exactamente?

Un comprador exigente verifica tres cosas: datacenters físicamente en Francia, entidad jurídica francesa o europea no sujeta a leyes extraterritoriales, y control accionarial europeo. Hosting AWS París cumple la ubicación física pero no inmunidad a leyes extraeuropeas. La opción Scaleway cumple las tres.

¿Es obligatorio legalmente el hosting en Francia?

No, no en general. El RGPD no exige que los datos permanezcan en Francia o Europa para la mayoría de tratamientos. El hosting soberano es obligatorio solo para ciertos sectores: datos de salud (con hosting certificado HDS) y sector público para datos sensibles (trayectoria SecNumCloud, ley SREN). Para el resto, es demanda creciente de compradores; la ley no lo impone.

2. Entrenamiento de la IA

¿Leexi entrena su IA con mis reuniones?

No. Tus conversaciones no se usan para entrenar modelos. Esta regla aplica a todas las cuentas por defecto. Es también la primera verificación técnica y una razón por la que compradores descartan herramientas americanas y eligen Leexi.

¿Leexi está « basado en ChatGPT »? ¿Mis datos van a OpenAI?

El modelo de lenguaje es de OpenAI, pero se ejecuta vía Azure Francia, en circuito cerrado. Tus datos no se usan para entrenar el modelo ni se exponen a terceros. Circuito cerrado significa procesamiento en perímetro controlado, en Francia.

¿Cómo demostrarlo a mi DPO?

Leexi documenta esto en su dossier de cumplimiento, con DPA y lista de subcontratistas. El no entrenamiento está claramente especificado.

3. Certificaciones y normas

¿Qué otras certificaciones tiene o prepara Leexi?

ISO 42001 (gestión de IA) en proceso. Cumplimiento NIS2 en finalización. Leexi se alinea con EU AI Act. Realiza auditorías regulares, incluso por clientes.

¿NIS2 o ISO 27001 es la obligación legal de seguridad?

NIS2, no ISO 27001, impone la obligación legal para entidades « esenciales » y « importantes ». ISO 27001 es un medio para cumplir, no la obligación en sí.

¿Leexi está calificado SecNumCloud?

No aún. SecNumCloud (ANSSI) certifica nivel superior y protección ante leyes extraeuropeas, sobre todo para sector público y datos sensibles (ley SREN). No es requisito para uso B2B estándar.

4. DPA, subcontratistas y pruebas de compra

¿Leexi firma un acuerdo de tratamiento de datos (DPA)?

Sí. El DPA se proporciona. Es un documento que todo comprador profesional pide para supervisar el tratamiento.

¿Qué documentos ofrece Leexi para compra o licitación?

DPA, lista de subcontratistas, certificado ISO 27001 y ubicación del hosting. Son las pruebas que un comprador exige en 2026: DPA, derecho a auditoría o informes de terceros, ubicación, lista de subcontratistas. Sin estas pruebas, un proveedor es descartado.

5. Consentimiento e información a participantes

¿Hay que avisar que una reunión se graba?

Sí. RGPD y EU AI Act exigen informar que la reunión se graba y que un asistente IA toma notas. Decir solo « esta reunión se graba » no basta: el uso de IA debe mencionarse en la invitación, recordarse oralmente al inicio y mostrarse durante la reunión.

¿Cuál es la base legal para grabar una reunión?

Depende del contexto. Internamente, el empleador puede basarse en interés legítimo, con prueba de balance y aviso previo: el consentimiento del empleado rara vez se considera « libre » por subordinación. Para llamadas con clientes o externos, se requiere consentimiento explícito. Grabar y transcribir sin base legal, aviso ni control de conservación es ilegal.

6. Transferencias fuera de UE y Cloud Act

¿Puede el Cloud Act estadounidense aplicarse a mis datos en Leexi?

Es la pregunta clave. Tus datos están en Francia, pero AWS es empresa bajo ley estadounidense, expuesta al Cloud Act. Para soberanía estricta e inmunidad a leyes extraterritoriales, la opción Scaleway (francesa) es la respuesta. Leexi no afirma que hosting AWS París esté inmunizado a ley estadounidense, ofrece alternativa para quien la exige.

¿En qué se diferencia de herramientas americanas como Otter o Fireflies?

Una herramienta que hospeda y procesa todo en EE.UU. está bajo reglas post-Schrems II y debe usar Data Privacy Framework. El consentimiento de varios americanos, donde un solo participante activa grabación para todos, es débil según artículos 6 y 7 RGPD. Leexi almacena y procesa en Francia y exige consentimiento por defecto. La comparación es solo frente a herramientas americanas, como las alternativas de herramienta de notas IA para Teams.

7. Seguridad técnica

¿Mis datos están cifrados?

Sí, en tránsito y en reposo.

8. EU AI Act

¿Qué cambia EU AI Act para elegir herramienta IA en 2026?

Elegir IA es decisión legal. Empresas deben mapear herramientas IA, hacer análisis de impacto para usos sensibles y verificar cumplimiento de proveedores. Proveedor debe probar cumplimiento y ofrecer derecho a auditoría o informes de terceros. Es doble control junto a RGPD.

¿Leexi cumple EU AI Act?

Leexi se alinea con EU AI Act, especialmente transparencia (asistente visible, info a participantes) y prepara ISO 42001 para gestión IA. Herramientas americanas no tienen estas obligaciones, es diferenciador real.

9. Soberanía: demanda y discurso

¿Por qué la soberanía de datos es criterio de compra?

Por la gran dependencia inicial y conciencia de decisores. Un 70 % del mercado cloud europeo está en AWS, Azure y Google; casi 80 % del gasto cloud europeo va a proveedores americanos; y un 70 % de datos franceses se aloja fuera UE. Esta dependencia genera demanda para alternativa europea, y mercados públicos favorecen soluciones europeas certificadas.

¿Leexi es alternativa soberana creíble a herramientas americanas?

Leexi es una empresa belga, almacena y procesa en Francia, exige consentimiento por defecto, tiene ISO 27001 y opción de hosting soberano con Scaleway. Para comprador que descartó herramienta americana por transferencia de datos, suele ser puerta de entrada.

10. Por sector

Trabajo en sector público o con él. ¿Qué debo verificar?

Sector público sigue trayectoria SecNumCloud para datos sensibles, regulada por ley SREN, con territorialidad y cláusulas contractuales reforzadas. Leexi no está calificado SecNumCloud aún: para datos sensibles públicos es crucial. Para uso administrativo común sin datos sensibles, hosting en Francia e ISO 27001 cubren la mayoría de exigencias.

Soy abogado, consultor, RRHH o contable. ¿Me afecta?

Sí, por confidencialidad de datos: clientes, candidatos, finanzas. Obligación RGPD (base legal, info, conservación) aplica plenamente, y tus clientes pueden exigir garantías de ubicación y no entrenamiento. Hosting en Francia, no entrenamiento y DPA de Leexi responden directamente a tu necesidad.

11. Documentos para tu DPO

¿Qué entrego a mi DPO para validar Leexi?

Seis documentos que Leexi provee: ubicación hosting (Francia, AWS París, opción Scaleway), certificado de no entrenamiento, certificado ISO 27001, DPA, lista de subcontratistas y política de conservación. Es el dossier para tu DPO. Mientras validación interna avanza, puedes probar Leexi en reunión real.