La Comisión Europea ha convertido la soberanía cloud en un criterio puntuable para contratar servicios tecnológicos, un cambio que obliga a empresas y organismos públicos a revisar dónde procesan sus datos, qué control conservan sobre ellos y hasta qué punto pueden cambiar o combinar proveedores. La discusión deja así el terreno de las declaraciones comerciales y pasa a afectar a la arquitectura, los contratos, la cadena de suministro y las capacidades internas de cada organización.
El precedente más concreto es un contrato de hasta 180 millones de euros adjudicado por la Comisión para que las entidades de la UE accedan a servicios cloud soberanos. La metodología europea utilizada para evaluar proveedores combina niveles de garantía SEAL y una puntuación basada en 48 criterios, agrupados en ocho categorías que incluyen soberanía jurídica, datos e inteligencia artificial, operaciones, cadena de suministro, tecnología y seguridad.
A este mecanismo de compra se suma la propuesta de Cloud and AI Development Act. El planteamiento presentado por la Comisión contempla cuatro niveles de soberanía, auditorías para reconocer a los proveedores y un marco común de contratación pública. Su alcance dependerá de la tramitación legislativa, pero anticipa una exigencia creciente: demostrar grados concretos de control en lugar de limitarse a presentar un servicio como europeo o soberano.
Cloud 3.0 como modelo distribuido
El análisis de la Universidad Internacional de Valencia (VIU) sitúa esta evolución dentro de Cloud 3.0, una denominación que reúne nube híbrida, multicloud, edge computing, interoperabilidad y soberanía del dato. Horacio Daniel Kuna, profesor e investigador en Cloud Computing, Big Data y Ciencia de Datos de VIU, advierte de que todavía no constituye una categoría cerrada. Sirve para describir el desplazamiento desde infraestructuras centralizadas hacia entornos donde las cargas se reparten según necesidades distintas.
En esa arquitectura, la información puede residir y procesarse en nubes públicas, centros privados, proveedores locales o en el borde de la red. La decisión depende de factores como la latencia, el coste, la normativa aplicable y la criticidad de cada carga. Para una empresa, este enfoque requiere clasificar los datos y aplicaciones antes de decidir su ubicación, en vez de trasladar toda la operación a un único entorno por defecto.
Una de sus aplicaciones es la analítica multi-localización, que ejecuta el procesamiento cerca del lugar donde se generan los datos. Sensores industriales, tiendas y hospitales pueden analizar información localmente y enviar al centro únicamente resultados o métricas agregadas. Este reparto reduce tráfico de red y consumo de ancho de banda, mejora los tiempos de respuesta y limita la circulación de información sensible.
La ventaja operativa tiene una contrapartida. Distribuir datos y aplicaciones entre varios entornos amplía la superficie de ataque, fragmenta los registros de actividad y complica la detección de incidentes. Kuna señala que los modelos de aprendizaje automático no supervisado pueden ayudar a identificar patrones anómalos, pero la tecnología debe integrarse con controles de acceso, cifrado, supervisión y una visión unificada de los distintos sistemas.
La localización del dato no basta
La soberanía cloud tampoco equivale únicamente a mantener la información dentro de una frontera. La ubicación puede reducir determinadas exposiciones jurídicas y operativas, aunque el control efectivo depende también de quién administra la infraestructura, las claves de cifrado y los accesos; qué legislación puede afectar al proveedor; y qué terceros intervienen en la prestación del servicio.
Horacio Daniel Kuna resume esa combinación de ubicación y controles técnicos: «Un diseño multi-localización permite que los datos sensibles de clientes o pacientes se almacenen y procesen estrictamente dentro de las fronteras jurisdiccionales permitidas. No obstante, la soberanía digital no se logra solo con leyes, sino con prácticas técnicas medibles: cifrado, gestión soberana de claves, control de accesos y auditoría continua».
La referencia al territorio requiere una precisión en materia de protección de datos. El RGPD no impone con carácter general que toda la información personal permanezca en la Unión Europea. Las reglas europeas sobre transferencias internacionales permiten movimientos fuera de la UE cuando existe una decisión de adecuación o se aplican garantías específicas. La localización puede formar parte de una estrategia para reducir riesgos, pero no sustituye el análisis jurídico ni los controles técnicos.
El cambio más relevante para los compradores consiste, por tanto, en traducir la soberanía a requisitos verificables. Entre ellos figuran la gestión de claves, la trazabilidad de accesos, la capacidad de auditar operaciones, la transparencia sobre subcontratistas y la posibilidad de ejecutar cargas en ubicaciones alternativas. Una etiqueta comercial aporta poca información si el cliente desconoce cómo recuperar sus datos o qué dependencias dificultarían una migración.
Portabilidad frente a dependencia tecnológica
La interoperabilidad ocupa otra parte central del modelo. Tecnologías como los contenedores y Kubernetes facilitan el despliegue de aplicaciones en infraestructuras diferentes, pero no eliminan automáticamente el vendor lock-in. Una aplicación puede ser portable en teoría y seguir vinculada a bases de datos, herramientas de seguridad, interfaces o servicios gestionados exclusivos de un proveedor.
Kuna sitúa esa dependencia en una combinación de decisiones técnicas y comerciales: «Kubernetes facilita la movilidad de las aplicaciones, pero la verdadera independencia se conquista desde el principio tomando decisiones de diseño, contrato y gobernanza que eviten atarse a servicios propietarios».
La regulación europea refuerza esta exigencia. El Data Act, aplicable desde septiembre de 2025, incorpora medidas para facilitar el cambio de proveedor cloud y el uso simultáneo de varios servicios. La portabilidad pasa así a combinar obligaciones regulatorias con decisiones sobre formatos, interfaces, costes de salida y compatibilidad entre plataformas.
Para las organizaciones, el efecto práctico consiste en incorporar la soberanía cloud desde el diseño y la contratación. Clasificar cargas, documentar dependencias, reservar el control de las claves, automatizar auditorías y fijar condiciones de salida permite repartir servicios entre proveedores sin perder trazabilidad. Esa preparación será determinante para responder a licitaciones y marcos europeos que ya empiezan a puntuar el control tecnológico con criterios concretos.
