Vender en la UE sin estar en la UE: el marco legal
El mercado europeo es atractivo para cualquier empresa SaaS: 450 millones de consumidores, alta penetración digital y disposición a pagar por software de calidad. Pero la pregunta que frena a muchas empresas es: ¿puedo vender legalmente en la UE sin tener oficina allí?
La respuesta corta es sí. La respuesta larga es: sí, pero necesitas cumplir con un conjunto de regulaciones que no puedes ignorar.
Las tres regulaciones clave para SaaS en la UE
1. GDPR — Si procesas datos de europeos, te afecta
El GDPR se aplica a cualquier empresa que procese datos personales de residentes en el EEE, independientemente de dónde esté establecida. Para un SaaS típico, esto significa:
- Designar un representante en la UE (artículo 27) si no tienes establecimiento en el EEE
- Firmar Data Processing Agreements (DPAs) con todos tus clientes europeos
- Implementar mecanismos de transferencia internacional de datos (SCCs + TIA)
- Mantener un registro de actividades de tratamiento
- Responder a solicitudes de derechos de los interesados en plazo (máximo 1 mes)
- Notificar brechas de seguridad a la autoridad competente en 72 horas
2. AI Act — Si tu SaaS usa IA, necesitas evaluación
El AI Act tiene alcance extraterritorial. Si tu SaaS incorpora funcionalidades de IA (recomendaciones, clasificación automática, generación de contenido, scoring) y se utiliza en la UE:
- Debes clasificar tu sistema según el nivel de riesgo (mínimo, limitado, alto, inaceptable)
- Para riesgo limitado: obligaciones de transparencia (informar al usuario que interactúa con IA)
- Para alto riesgo: documentación técnica, sistema de gestión de riesgos, supervisión humana
- Designar un representante autorizado en la UE si eres proveedor fuera de la Unión
3. Normativa de consumo y fiscalidad digital
- Derecho de desistimiento de 14 días para ventas B2C
- Garantías legales sobre el funcionamiento del servicio
- IVA digital: registro en OSS para ventas B2C, o inversión del sujeto pasivo para B2B
- Obligaciones de información precontractual
El stack de compliance remoto
Implementar compliance europeo de forma remota requiere una estructura organizada. Este es el stack mínimo viable:
Capa legal:
- Representante GDPR artículo 27 designado en la UE
- Términos de servicio adaptados al derecho europeo
- DPA estándar para clientes europeos
- Política de privacidad conforme GDPR con cláusulas de transferencia
Capa técnica:
- Mecanismos de consentimiento conformes (cookie banner, opt-in)
- Panel de ejercicio de derechos para usuarios europeos
- Logging de actividades de tratamiento
- Procedimiento de notificación de brechas
Capa fiscal:
- Registro OSS si vendes B2C en la UE
- Sistema de facturación con IVA europeo
- Mecanismo de verificación de localización del cliente
Capa contractual:
- DPAs con subprocesadores (AWS, Google Cloud, etc.)
- Contratos con clientes que reflejen obligaciones GDPR
- Acuerdos de nivel de servicio (SLA) conformes
Errores frecuentes del compliance remoto
Ignorar el artículo 27. Muchas empresas SaaS fuera del EEE no designan representante GDPR porque desconocen la obligación. Es uno de los primeros puntos que revisan las autoridades de protección de datos.
DPAs genéricos. Usar un DPA descargado de internet sin adaptarlo a tu procesamiento específico es un riesgo. Cada DPA debe reflejar las categorías de datos, finalidades y subprocesadores reales.
No evaluar el AI Act. Asumir que el AI Act “no te afecta” porque tu empresa está fuera de la UE es un error. El alcance extraterritorial se activa cuando los outputs de tu IA se utilizan en territorio europeo.
Olvidar la fiscalidad. Vender servicios digitales B2C en la UE sin cobrar IVA local ni estar registrado en OSS puede generar deudas fiscales retroactivas.
Cuándo el modelo remoto deja de ser suficiente
El compliance remoto tiene límites. Señales de que necesitas considerar una presencia física:
- Facturación UE superior a €500,000/año
- Clientes enterprise que exigen facturación desde entidad europea
- Necesidad de contratar empleados en Europa
- Operaciones que requieren licencias sectoriales europeas
- Disputas legales frecuentes que requieren representación procesal
El modelo remoto es ideal para validación de mercado y crecimiento inicial. Cuando alcanzas cierta escala, una filial europea complementa (no reemplaza) la estructura remota.
En A2 ayudamos a empresas SaaS a diseñar e implementar su stack de compliance europeo de forma completamente remota. Agenda una consulta para evaluar tu situación.