Soberanía en la nube se convierte en asunto de la junta directiva:
Tobias Massow
6 Min. Tiempo de lectura La UE presentó el 27 de mayo su paquete sobre soberanía tecnológica. Este ...
Leer artículo
6 Min. Tiempo de lectura
La UE presentó el 27 de mayo su paquete sobre soberanía tecnológica. Este propone restringir la utilización de proveedores de nube estadounidenses para datos sensibles de las autoridades en todos los 27 estados miembros. Tres empresas estadounidenses controlan alrededor del 70% del mercado europeo de nubes. De este modo, una cuestión que ha estado en el centro de las compras de TI durante años se convierte en una cuestión de gestión directiva: ¿cuál es el derecho que se aplica a nuestros datos, y qué sucede cuando la geopolítica cambia?
Lo más importante en resumen
- La UE establece límites al sourcing. El paquete sobre soberanía tecnológica busca limitar el uso de nubes estadounidenses para datos sensibles de las autoridades.
- Tres proveedores, 70% del mercado. La concentración en AWS, Azure y Google Cloud ya se ha convertido en un riesgo.
- El CLOUD Act superpone los contratos. El derecho estadounidense puede exigir la entrega de datos, independientemente de la ubicación del servidor.
Relacionado:Por qué los consejos exigen capacidad de defensa / Cómo el mercado de capitales evalúa la gobernanza
Por qué ahora es asunto de la junta directiva
¿Qué es el CLOUD Act? El CLOUD Act es una ley estadounidense que puede obligar a las empresas estadounidenses a entregar datos que almacenan, independientemente de dónde estén los servidores. Un proveedor propiedad de Estados Unidos no puede eximirse de esta obligación mediante una cláusula contractual que establezca la residencia de los datos, porque la ley superpone dicha cláusula.
Hace mucho tiempo, la elección de un proveedor de nube se consideraba una decisión de adquisición: ¿qué proveedor ofrece qué servicio a qué precio? Esta forma de ver las cosas ya está obsoleta. Con el paquete de la UE y la creciente atención al CLOUD Act, la cuestión se convierte en una evaluación estratégica de riesgos que debe abordar conjuntamente la junta directiva, el departamento jurídico y la división de cumplimiento. Se trata de la resiliencia operativa, la dependencia geopolítica y la pregunta de qué sucede cuando el acceso se restringe por razones políticas.
Los acontecimientos recientes lo han hecho tangible. Hubo informes sobre un servicio soberano de Microsoft en Fráncfort que dejó de funcionar temporalmente, así como sobre claves de nube expuestas de una autoridad estadounidense. Estos incidentes ya no son preocupaciones abstractas, sino pruebas concretas de que la dependencia de unos pocos proveedores constituye una clase de riesgo propia. Un consejo directivo que no ha evaluado esto ha creado una brecha en su balance de riesgos.
70 %
del mercado europeo de nubes están en manos de tres proveedores estadounidenses. Esta concentración ya se ha convertido en un riesgo estratégico.
Fuente: análisis de mercado de la UE sobre el paquete sobre soberanía tecnológica, mayo de 2026
Qué significa la soberanía en la práctica
Soberanía no es sinónimo de residencia de datos. Un centro de datos en Frankfurt cumple con la residencia, pero si el operador está en propiedad estadounidense, persiste la exposición ante la CLOUD Act. La verdadera soberanía exige que ni la operación ni el acceso legal dependan de una jurisdicción extranjera. Esta distinción debe formar parte de todo debate directivo, ya que decide entre apariencia y sustancia.
La propia UE ha enviado una señal clara. En abril, la Comisión adjudicó un contrato por hasta 180 millones de euros durante seis años a cuatro proveedores europeos, e incluyó por primera vez criterios explícitos de soberanía en la licitación. Esto va más allá del simbolismo. Establece la soberanía como estándar de adquisición y crea un mercado para los proveedores que cumplan estos requisitos.
Soberanía aparente
- Servidores en la UE, operador en propiedad estadounidense
- Residencia de datos garantizada contractualmente
- La exposición a la CLOUD Act sigue vigente
Soberanía sólida
- Operación y propiedad bajo jurisdicción de la UE
- Sin palancas de acceso de derecho extranjero
- Soberanía consolidada como criterio de licitación
Qué deberían hacer ahora las direcciones DACH
El primer paso es un inventario honesto de la dependencia. Qué procesos críticos funcionan con qué proveedor, dónde residen los datos y bajo qué jurisdicción opera realmente el proveedor. Este mapa falta en muchas empresas porque la elección de la nube se hizo históricamente de forma descentralizada y por función, no por riesgo geopolítico.
El segundo paso no es una migración precipitada. A nadie beneficia retirar todo de la nube estadounidense de la noche a la mañana. Lo sensato es una graduación: qué cargas de trabajo son no críticas y permanecen donde están, cuáles son lo suficientemente sensibles como para que la cuestión de la soberanía sea imperativa. Esta priorización es una decisión directiva, porque sopesa el riesgo frente al coste y el esfuerzo, y no es una mera cuestión de TI.
Un servidor en Frankfurt no demuestra nada si una ley extranjera puede acceder a sus datos. La soberanía se decide por la jurisdicción, no por el código postal.
Lo que queda es encuadrarlo como una tarea obligatoria, no opcional. La dirección de la regulación está marcada, la concentración del mercado es real, y los incidentes de las últimas semanas muestran que el riesgo no es teórico. Una dirección no tiene que cerrar esta evaluación hoy. Pero debe poder demostrar que la ha iniciado. Quien, en la próxima auditoría o en la próxima convulsión geopolítica, no tenga respuesta, ha dejado la pregunta demasiado tiempo pendiente en compras.
Preguntas frecuentes
¿Basta con un centro de datos en la UE para garantizar la soberanía de los datos?
No. Una ubicación en la UE cumple con la residencia de los datos, pero si el operador es propiedad estadounidense, persiste la exposición al CLOUD Act. La soberanía exige que también el acceso legal esté vinculado a la jurisdicción de la UE.
¿Qué propone el paquete de soberanía tecnológica de la UE?
Propone restringir el uso de proveedores de nube estadounidenses para datos sensibles de las autoridades en los Estados miembros. El trasfondo es la alta concentración del mercado: tres proveedores estadounidenses controlan alrededor del 70 por ciento del mercado europeo de la nube.
¿Deberían las empresas migrar ahora desde la nube estadounidense?
No de forma generalizada. Lo sensato es una graduación según la sensibilidad: las cargas de trabajo no críticas permanecen, mientras que las sensibles se someten a una evaluación de soberanía. Una migración precipitada crea más riesgos de los que resuelve.
¿Por qué es un asunto para el consejo de administración?
Porque se trata de resiliencia operativa, dependencia geopolítica y continuidad regulatoria, no de rendimiento y precio. Esta ponderación corresponde conjuntamente al consejo de administración, al departamento jurídico y a cumplimiento normativo, no solo al área de compras.
¿Existen alternativas fiables?
El mercado está emergiendo. La Comisión Europea adjudicó en abril por primera vez un contrato de nube con criterios explícitos de soberanía a proveedores europeos. Esto establece un estándar y genera demanda para ofertas soberanas.
Más del redactor MBF Media
mybusinessfuture
Ya no se trata de posicionar, sino de ser citado: GEO en B2B
securitytoday
Fuente de la imagen: generada por IA (mayo de 2026), certificado C2PA incrustado en la imagen