“Nube soberana” se ha convertido en una de las etiquetas más repetidas del sector. Microsoft, AWS y Google han reforzado en los últimos meses sus propuestas europeas a base de residencia de datos, operación local, controles reforzados, cifrado, regiones aisladas y cumplimiento regulatorio. El problema no es que mientan: es que todos usan la misma palabra para describir cosas que no se parecen.
Y la cuestión de fondo ya no es dónde está el centro de datos. Un servidor en Fráncfort, París, Madrid o Ámsterdam mejora la latencia, facilita el RGPD y reduce transferencias internacionales. Todo eso está bien. Pero no responde a la única pregunta que importa cuando el dato es sensible: bajo qué jurisdicción opera quien controla la infraestructura, el plano de administración, el soporte, las claves, el software y la continuidad del servicio.
Es la misma pregunta que ya planteamos al hablar de soberanía del dato y la CLOUD Act. La diferencia es que ahora Europa ha empezado a ponerla por escrito en forma de ley.
Durante años, buena parte del mercado ha vendido la residencia de datos como si fuera soberanía. La idea era cómoda: si los datos se almacenan y procesan dentro de la UE, el cliente europeo está cubierto. Esa afirmación se ha quedado corta.
El debate ha cambiado porque las leyes extraterritoriales pesan tanto como la ubicación física del hardware. La CLOUD Act estadounidense, de 2018, permite a las autoridades de EE. UU. requerir datos a empresas sujetas a su jurisdicción, aunque esos datos estén almacenados fuera del territorio estadounidense, siempre por los cauces legales previstos. AWS, Microsoft y otros insisten —con razón— en que no existe un acceso automático ni ilimitado, y en que las solicitudes deben cumplir requisitos legales. Pero la exposición jurídica sigue ahí, y para gobiernos, defensa, sanidad, energía, justicia, banca o servicios públicos críticos eso no es un matiz: es el centro del problema.
El caso de Microsoft ante el Senado francés lo dejó en términos incómodamente claros. Según informó The Register, representantes de Microsoft Francia reconocieron bajo juramento que no podían garantizar que datos de ciudadanos franceses no fueran transmitidos a las autoridades estadounidenses ante una orden legalmente válida. La compañía subrayó que revisa, limita y combate las solicitudes indebidas. Pero la frase que quedó grabada fue la otra: no podía ofrecer una garantía absoluta.
Ahí es donde la soberanía deja de ser un eslogan. Una nube puede tener centros de datos europeos, personal europeo, controles técnicos de primer nivel y compromisos contractuales sólidos. Pero si la matriz está sujeta a una jurisdicción extranjera con capacidad legal sobre el proveedor, la soberanía no es plena. Será mejor que una nube global convencional —probablemente mucho mejor—, pero no es lo mismo que control europeo.
El mercado había evitado esta conversación porque obliga a distinguir, y distinguir vende peor que prometer. Estos son los conceptos que se mezclan bajo la misma etiqueta:
| Concepto | Qué significa | Por qué importa |
|---|---|---|
| Residencia de datos | Los datos se almacenan en una región concreta | Ayuda al cumplimiento, pero no resuelve la jurisdicción |
| Soberanía operativa | El servicio puede operar sin dependencia externa crítica | Importa en crisis, sanciones o interrupciones geopolíticas |
| Soberanía jurídica | El proveedor queda bajo leyes y control europeos | Reduce la exposición a normas extraterritoriales |
| Soberanía del plano de control | Administración, soporte, claves y privilegios quedan bajo control local | Evita que un tercero pueda intervenir el servicio |
| Soberanía de cadena de suministro | Software, hardware y dependencias son auditables y controlables | Reduce riesgos ocultos en capas técnicas críticas |
| Soberanía real | Combina control jurídico, técnico, operativo y de gobierno | Exige bastante más que una etiqueta comercial |
Quédate con la última fila. Cuando alguien dice “soberana” sin precisar a cuál de estas capas se refiere, casi siempre está hablando solo de la primera.
La Comisión Europea ha empezado a poner negro sobre blanco esa diferencia. Su nuevo paquete de soberanía tecnológica, presentado el 3 de junio de 2026, incluye la propuesta de Cloud and AI Development Act, una norma que introduce un marco por niveles para evaluar servicios cloud y de IA en el sector público. Todavía tiene que pasar la negociación entre Comisión, Parlamento y Estados miembros, así que el texto cambiará. Pero la dirección política ya está marcada.
Según Tech Policy Press, el marco plantea cuatro niveles de confianza para los servicios cloud que usen las administraciones. Los criterios incluyen propiedad y control, dependencias de la cadena de suministro, tratamiento de datos, localización de la infraestructura y ciberseguridad. Todos los organismos públicos deberían usar al menos servicios de nivel 1; las funciones más sensibles —seguridad nacional, defensa, fuerzas de seguridad, gestión fronteriza— tendrían que recurrir a niveles superiores sometidos a auditorías independientes.
TechTimes lo resume de forma más directa:
La consecuencia es evidente. Un hiperescalar estadounidense puede cumplir la residencia de datos, e incluso montar regiones europeas aisladas, pero lo tendrá muy difícil para alcanzar los niveles altos mientras siga sometido a legislación estadounidense. Y conviene decirlo claro: no es que su tecnología sea peor. En escala, seguridad, disponibilidad, catálogo de servicios e innovación, muchas veces son los líderes mundiales. El problema es otro: quién tiene la última palabra legal sobre el proveedor.
La propia Comisión admite el tamaño de la dependencia. Según Tech Policy Press, las compañías cloud estadounidenses controlan más del 70 % del mercado cloud europeo, la UE produce menos del 10 % de los semiconductores mundiales y gasta unos 264.000 millones de euros anuales, en buena parte en productos y servicios de TI propietarios estadounidenses. Europa quiere corregir esa asimetría, y no lo va a conseguir solo cambiando etiquetas.
La mejor prueba de que la propuesta no es decorativa es la reacción del otro lado. La Computer and Communications Industry Association, que representa a las grandes tecnológicas estadounidenses, calificó los niveles superiores del marco como requisitos de “mercado cerrado” disfrazados de umbrales de política pública, según TechTimes. Su argumento: esos criterios podrían excluir por diseño a los proveedores internacionales de los contratos más sensibles.
Desde el punto de vista comercial, la crítica tiene su lógica. Si la UE exige control europeo para ciertas cargas críticas, los grandes proveedores estadounidenses perderán acceso a una parte del mercado público. Pero ese mismo enfado confirma lo importante: los niveles tienen efectos reales. Si todo fuera marketing, nadie se molestaría en pelearlo.
El debate no va de si AWS, Microsoft o Google son buenos o malos proveedores —técnicamente son excelentes—. Va de algo más incómodo: Europa lleva años delegando su infraestructura digital crítica en empresas no europeas, y ahora intenta recuperar margen de maniobra cuando la nube ya no es una herramienta más, sino la base de la administración, la IA, la defensa, la sanidad, las redes energéticas y la economía digital.
Los hiperescalares han reaccionado con sus propias fórmulas: AWS lanzó su European Sovereign Cloud como infraestructura independiente para Europa; Microsoft ha anunciado nuevas capacidades de soberanía y su Microsoft Sovereign Cloud; Google trabaja con Thales en S3NS y otras iniciativas. Son respuestas relevantes y cubren muchos casos de uso. Pero ninguna borra automáticamente la pregunta jurídica de fondo.
Por eso se empieza a imponer una distinción que el sector había esquivado: no es lo mismo una nube “más soberana” que una nube soberana. Hay grados, controles y riesgos residuales distintos. Para una web corporativa, una aplicación comercial o una carga no crítica, una región europea de un hiperescalar puede sobrar. Para secretos de Estado, datos judiciales, defensa, infraestructuras críticas o IA pública sensible, el listón es otro.
Europa tiene razón al exigir más control sobre sus datos críticos, pero esa exigencia solo será creíble si va acompañada de capacidad industrial real. No basta con excluir o limitar: hace falta construir alternativas europeas competitivas en cloud, software, ciberseguridad, chips, IA, redes, centros de datos, energía y talento.
La Comisión lo sabe. El paquete de soberanía incluye medidas para acelerar zonas de centros de datos, coordinar capacidad cloud entre Estados miembros mediante una futura EuroCloud Federation, impulsar estrategias nacionales de cloud e IA y revisar la política de semiconductores con un Chips Act 2.0. Las cifras que recoge Tech Policy Press dan el orden de magnitud: 120.000 millones de euros para semiconductores, 200.000 millones para centros de datos hasta 2036, 100.000 millones para cloud e IA y 2.000 millones para software open source en siete años.
La soberanía no se decreta de un día para otro. Requiere proveedores sólidos, interoperabilidad, estándares abiertos, financiación, contratación pública inteligente y clientes dispuestos a pagar por algo más que el precio por máquina virtual. Y exige sortear la trampa del “soberanía washing”: soluciones que parecen europeas en la capa comercial pero dependen, por debajo, de tecnología, soporte, control o propiedad extranjera.
El primer contrato cloud soberano de la propia Comisión, de 180 millones de euros, ya enseñó esa complejidad. Los adjudicatarios fueron grupos europeos —Post Telecom con CleverCloud, OVHcloud, StackIT, Scaleway, Proximus—, pero la presencia de S3NS, la joint venture de Thales con Google Cloud, provocó las críticas de CISPE por el riesgo de institucionalizar una soberanía incompleta. La Comisión defendió que tecnologías no europeas operadas bajo gobernanza estricta pueden cumplir ciertos umbrales. Traducción: el debate no será binario.
Para una empresa o una administración, la pregunta útil ha dejado de ser “¿mi nube está en Europa?” y ha pasado a ser “¿qué nivel de soberanía necesito para este dato concreto?”. No todo requiere el mismo tratamiento, y pagar nivel 4 para una web de marketing es tan absurdo como poner secretos de Estado en una región estándar.
| Si tu carga es… | El listón razonable es… |
|---|---|
| Web corporativa, marketing, aplicaciones internas no críticas | Residencia de datos en la UE suele bastar |
| SaaS con clientes regulados, datos de clientes europeos | Jurisdicción europea + control de claves (te lo exigirán tus clientes) |
| Sanidad, banca, seguros, datos especialmente protegidos | Soberanía jurídica + plano de control local |
| Sector público, defensa, justicia, infraestructuras críticas | Soberanía real, auditable, niveles altos del marco UE |
Si estás en las dos filas de abajo, conviene cruzar esto con tus obligaciones de ENS, RGPD y NIS2, porque ahí la jurisdicción deja de ser un debate filosófico y se convierte en algo que un auditor te pedirá demostrar. Y la prueba más limpia sigue siendo la misma de siempre: un cloud privado gestionado por una entidad europea, en datacenters europeos, con las claves bajo tu control, convierte la soberanía de una promesa contractual en una propiedad verificable. Para los casos en que necesites elasticidad de nube pública sin renunciar a la jurisdicción, existe además la vía de la nube pública soberana.
La nube soberana ha dejado de ser una etiqueta cómoda. Europa está empezando a convertirla en una clasificación jurídica y operativa, con niveles, criterios y auditorías. Eso va a molestar a quienes vendían soberanía como residencia de datos con otra marca, pero también va a obligar a los compradores a ser más rigurosos. Y eso es sano.
Al final, la cuestión nunca fue si el servidor está en Fráncfort. Es quién puede apagarlo, administrarlo, auditarlo, obligarlo legalmente o acceder a sus datos cuando las cosas se complican. Si no sabes responder a eso de tu proveedor, todavía no sabes cuánta soberanía tienes. Si quieres ponerle números a tu caso, hablamos sin compromiso.
¿Qué diferencia hay entre nube soberana y residencia de datos?
La residencia de datos indica dónde se almacenan o procesan los datos. La nube soberana añade todo lo demás: jurisdicción del proveedor, control operativo, claves, soporte, cadena de suministro, continuidad del servicio y capacidad de resistir interferencias externas. Residencia es dónde; soberanía es quién manda.
¿Una nube de AWS, Microsoft o Google en Europa es soberana?
Puede cumplir requisitos de residencia, seguridad y operación local, pero no alcanza necesariamente soberanía plena si el proveedor sigue sometido a leyes extraterritoriales de terceros países. Depende del caso de uso, la arquitectura y el nivel de control que exijas.
¿Qué plantea la nueva propuesta europea sobre cloud e IA?
La propuesta de Cloud and AI Development Act introduce niveles de confianza para los servicios cloud y de IA del sector público. Las cargas más sensibles requerirían niveles superiores, con más exigencias sobre propiedad, control, cadena de suministro y jurisdicción. Aún debe negociarse entre Comisión, Parlamento y Estados miembros.
¿Por qué importa la CLOUD Act en este debate?
Porque puede obligar a proveedores bajo jurisdicción estadounidense a entregar datos ante determinadas órdenes legales, aunque esos datos estén almacenados fuera de EE. UU. Los proveedores insisten en que no hay acceso automático, y es cierto, pero la exposición jurídica existe y es la que el marco europeo intenta acotar.
IPv4 se ha vuelto un recurso caro y escaso que alguien te alquila. IPv6 devuelve algo que dábamos por perdido: direccionamiento propio, suficiente y sin NAT. Repasamos cómo montar dual-stack en un cloud privado sobre Proxmox, qué gana la operación y qué mitos conviene enterrar antes de migrar.
Un estudio en arXiv mide, vía satélite, un aumento medio de 2,07 ºC en la temperatura de superficie alrededor de los centros de datos. El dato es llamativo, pero conviene leerlo sin convertirlo en eslogan: qué mide realmente, qué no, y por qué el problema de fondo no es el edificio, sino el software poco frugal que ejecutamos dentro.
El streaming del Mundial de la FIFA llevó el tráfico global de interconexión de DE-CIX a un máximo histórico de 28,4 Tbit/s durante el partido Portugal–España. Qué significa ese pico, por qué la demanda de un partido es tan brutal y qué papel juegan los puntos neutros de Internet —Madrid, Lisboa y Barcelona incluidos— en que la retransmisión no se caiga.