Por qué Europa.

Una abogada belga abre su portátil un martes por la mañana, pulsa un atajo y dicta un memorando sobre la adquisición pendiente de un cliente. Mantiene el botón, habla durante cuarenta segundos, suelta. El texto pulido aparece en su borrador de correo. Lo envía.

Acaba de exportar datos confidenciales de un cliente a una jurisdicción extranjera. No lo sabía. Su despacho no lo autorizó. Su colegio de abogados no lo aprobó. La herramienta de dictado que usó no la advirtió, porque desde la perspectiva de la herramienta nada salió mal.

Este es el ajuste por defecto no marcado del software de IA moderno. El audio viajó por una empresa constituida en EE. UU., se procesó en infraestructura operada en EE. UU. y ahora está sujeto a la ley estadounidense. La intención de la abogada no importa. La política de cumplimiento de su despacho no importa. La ubicación física del servidor no importa. Una vez que su voz cruza al pipeline de un proveedor estadounidense, la postura legal de los datos de su cliente ha cambiado.

La mayoría de quienes construyen estas herramientas, y la mayoría de quienes las usan, encuentran este hecho lo bastante incómodo como para preferir no mirarlo de frente. Así que nadie lo marca. Así que sigue siendo el valor por defecto.

Hay una ley estadounidense de 2018 llamada Clarifying Lawful Overseas Use of Data Act, usualmente abreviada como CLOUD Act. Hace una cosa que los usuarios europeos deberían conocer: obliga a las empresas constituidas en EE. UU. a entregar datos a las autoridades estadounidenses ante una solicitud válida, independientemente de dónde se encuentren físicamente esos datos.

Relee esa frase. El servidor puede estar en Fráncfort. La empresa puede tener una filial neerlandesa, un DPO francés, una oficina comercial belga. Nada de eso importa. Si la matriz está constituida en Delaware, los datos son alcanzables por la autoridad estadounidense. La CLOUD Act también incluye disposiciones que pueden impedir que el proveedor informe al cliente de que se ha hecho la solicitud.

En 2020, el Tribunal de Justicia de la Unión Europea dictaminó, en el caso conocido como Schrems II, que las transferencias de datos UE-EE. UU. bajo el anterior marco Privacy Shield no eran adecuadas. El razonamiento del tribunal se basó, en parte, en que los usuarios europeos no contaban con un recurso jurídico efectivo frente a los poderes de vigilancia estadounidenses. El tribunal no inventó esta preocupación. Describió una realidad estructural que la CLOUD Act ya había confirmado en la ley dos años antes.

El RGPD añade su propia presión. El artículo 32 obliga a todo responsable del tratamiento a garantizar la seguridad del tratamiento, también contra divulgaciones no autorizadas. Si eres responsable del tratamiento y tu encargado del tratamiento está constituido en EE. UU., tienes entre manos una pregunta que ningunos términos de servicio pueden responder del todo.

Se puede discutir la gravedad de cada caso particular. No se puede discutir la arquitectura. El dictado enrutado por EE. UU. no es un problema de política que un mejor contrato pueda resolver. Es un problema jurisdiccional que exige que los datos no crucen la frontera en primer lugar.

Escribo código para vivir y dicto todo lo que escribo. Durante la mayor parte del año pasado usé Wispr Flow. Funciona muy bien. El equipo detrás es talentoso y el producto es genuinamente bueno.

Entonces una noche leí la parte de su documentación que explica adónde va realmente el audio. La leí dos veces. Cerré el portátil. Me quedé un rato en el balcón.

La ruta de los datos era exactamente la que debería haber esperado: una empresa constituida en EE. UU., procesamiento en un proveedor de modelos alojado en EE. UU., decisiones sobre el audio tomadas por ingenieros estadounidenses bajo ley estadounidense. No había nada malo con la ingeniería. No había nada malo con el equipo. Había algo malo con los valores por defecto, y esos valores se aplicaban a mí, y se aplicaban a cada consultor belga, neerlandés y alemán al que alguna vez había reenviado el enlace.

Llevaba meses dictando correos de clientes ahí. Ellos también.

Lo reconstruí.

Olinra corre sobre modelos Mistral alojados en la UE. La API es un servidor Fastify en un centro de datos de Hetzner en Núremberg. La autenticación es Supabase en Fráncfort. Los bytes de audio fluyen directamente al cuerpo de la petición de Voxtral y se descartan en cuanto llega la respuesta. No hay bucket de S3, ni caché caliente, ni transcripción que viva en un disco fuera de tu propia máquina. La arquitectura es la marca y la marca es la arquitectura.

Si algo de eso deja de ser cierto, la marca termina. Tan en serio lo digo.

Olinra es la respuesta de una sola empresa para una sola categoría de producto. El dictado es una superficie estrecha. El objetivo de esta página no es argumentar que los usuarios europeos deban cambiar de herramienta de dictado. El objetivo es argumentar que los usuarios europeos deben dejar de tratar el enrutado por defecto a EE. UU. como inevitable, en cada categoría de producto que toquen.

La industria del software europea, en su mayor parte, no ha construido en torno a esta suposición. La industria del software estadounidense, por razones comprensibles, tampoco. Así que alguien tiene que empezar, y el punto de partida son productos pequeños y útiles que adopten una postura y demuestren que esa postura se puede sostener.

Olinra es el mío. Habrá otros. Exígelos al software que usas.