La soberanía digital ha dejado de ser una discusión concentrada en gobiernos, regulación y política industrial para incorporarse a las decisiones sobre arquitectura tecnológica, proveedores y continuidad de negocio de las grandes organizaciones. El 93% de las empresas y organismos analizados por el Capgemini Research Institute afirma que el asunto ya se ha debatido en su consejo de administración y el 44% lo sitúa entre sus máximas prioridades. Sin embargo, ese interés no está llevando a las compañías hacia una estrategia de independencia tecnológica completa: el 59% considera que alcanzar una soberanía digital plena resulta poco realista.
La conclusión central del estudio « Digital Sovereignty: From Policy Ambition to Executive Imperative «, elaborado a partir de una encuesta a 1.300 directivos empresariales y tecnológicos, refleja un cambio en la forma de abordar el problema. Dos tercios de las organizaciones definen ahora la soberanía digital mediante el concepto de «interdependencia resiliente»: conservar bajo control aquellas capacidades que resultan críticas, disponer de alternativas y reducir dependencias difíciles de sustituir, mientras se mantienen proveedores y alianzas externas allí donde aportan escala, tecnología o velocidad de innovación.
Ese enfoque tiene una consecuencia directa para los responsables de tecnología. El grado de soberanía de una organización empieza a depender menos del origen geográfico de cada proveedor y más de su capacidad para conocer sus dependencias, controlar activos esenciales y sustituir componentes cuando una interrupción técnica, comercial, jurídica o geopolítica lo exija.
El problema es que gran parte de las compañías todavía desconoce con precisión hasta dónde llegan esas dependencias.
Una transformación digital que ha concentrado el riesgo
Durante la última década, la migración hacia servicios cloud, software como servicio, plataformas de datos y, más recientemente, inteligencia artificial ha permitido desplegar capacidades tecnológicas con una velocidad difícil de reproducir mediante infraestructura propia. Esa evolución también ha concentrado funciones empresariales esenciales en un número reducido de proveedores globales.
Capgemini calcula mediante su Índice de Soberanía Digital que el 86% de las 866 organizaciones analizadas presenta una exposición significativa a cadenas de suministro extranjeras o sometidas a control externo. La dependencia aparece en prácticamente todas las capas de la infraestructura digital.
Alrededor del 62% identifica como extranjero a su principal proveedor de hardware, mientras que el porcentaje alcanza el 59% en ciberseguridad, el 58% en conectividad y el 57% en software. En cloud, el 51% depende principalmente de un proveedor ubicado fuera de su país. Los datos constituyen una excepción relativa: el 57% utiliza como proveedor principal uno situado en su propio mercado.
La localización, sin embargo, explica solo una parte del riesgo. Una infraestructura alojada físicamente en Europa puede seguir incorporando software, componentes, propiedad intelectual, soporte técnico o estructuras societarias sometidas a jurisdicciones externas. Del mismo modo, utilizar tecnología extranjera no implica automáticamente perder capacidad operativa si existen garantías de portabilidad, control de datos, separación jurídica y alternativas de sustitución.
Esta diferencia ayuda a entender por qué el informe se aleja de una interpretación binaria de la soberanía. El 69% de las organizaciones vincula el concepto con la capacidad de escoger conscientemente sus dependencias. El objetivo operativo se aproxima así a una «soberanía digital mínima viable»: identificar qué activos, capacidades y controles deben permanecer bajo dominio directo o garantizado para mantener las operaciones críticas aunque falle una parte del ecosistema tecnológico.
Saber quién puede sustituir a un proveedor se vuelve crítico
La posibilidad de cambiar de proveedor ofrece una medida más tangible de esa resiliencia. Los resultados muestran que muchas organizaciones disponen de pocas salidas rápidas.
Un 13% estima que podría abandonar un proveedor tecnológico crítico en menos de tres meses. Para el 31%, el proceso requeriría entre tres y doce meses, mientras que el 36% necesitaría más de un año. Una de cada diez organizaciones asegura directamente que carece de una alternativa viable.
En términos empresariales, el dato convierte el denominado vendor lock-in en un riesgo de continuidad. Una interrupción contractual, una restricción de exportación, un cambio regulatorio o la pérdida de acceso a una tecnología determinada pueden afectar a una organización mucho antes de que esta consiga completar una migración.
La capacidad de sustitución se está convirtiendo por ello en una variable comparable a otros indicadores tradicionales de resiliencia. Charles-Pierre Astolfi, responsable tecnológico del Instituto Nacional de Información Geográfica y Forestal de Francia, describía precisamente la soberanía como una cuestión de «substitutability»: poder reemplazar tecnologías críticas cuando sea necesario. Reuters señala que las empresas están trasladando progresivamente esa lógica a datos propietarios, modelos de IA, propiedad intelectual y cargas de trabajo estratégicas.
El informe detecta, además, que los mayores riesgos para la continuidad operativa se concentran en ciberseguridad, señalada por el 45% de los encuestados, seguida de conectividad e inteligencia artificial, ambas con un 43%, y datos, con un 42%.
Esto obliga a mirar más allá de la disponibilidad técnica habitual. Mantener varias regiones cloud dentro del mismo proveedor, por ejemplo, protege frente a determinados fallos de infraestructura, pero ofrece menos garantías frente a un conflicto contractual o regulatorio que afecte simultáneamente a todo el proveedor. La resiliencia asociada a soberanía exige estudiar también la posibilidad real de trasladar cargas de trabajo, recuperar datos, sustituir modelos o cambiar componentes tecnológicos.
Europa está más preocupada, pero su preparación sigue rezagada
Las diferencias geográficas son especialmente visibles. En Asia-Pacífico, el 41% de las organizaciones vincula principalmente la soberanía con mitigación de riesgos y resiliencia; en Europa continental el porcentaje asciende al 52% y en Reino Unido al 56%. Estados Unidos presenta otra lectura: el 52% la relaciona principalmente con cumplimiento normativo y el 40% con resiliencia.
La distancia aumenta al preguntar por el significado del concepto. El 75% de las organizaciones europeas considera que la soberanía debe construirse mediante interdependencia resiliente, frente al 50% de las estadounidenses.
También existe mayor inquietud entre las compañías europeas. Un 84% teme que el entorno geopolítico pueda afectar al mantenimiento de procesos empresariales críticos y el 66% identifica la excesiva dependencia de proveedores extranjeros como una amenaza para su resiliencia digital.
La preparación práctica ofrece una imagen menos favorable. Solo el 37% de las organizaciones europeas que han afrontado recientemente interrupciones dispone de planes de contingencia, frente al 64% en Estados Unidos. Globalmente, apenas el 42% de las organizaciones afectadas por este tipo de incidentes cuenta con mecanismos de contingencia.
El contraste resulta significativo: Europa presenta una percepción del riesgo superior, pero parte de sus organizaciones todavía no ha convertido esa preocupación en alternativas técnicas y operativas suficientemente maduras.
A escala institucional, la UE afronta un problema similar. La Comisión Europea estima que el bloque mantiene una dependencia estructural de proveedores no europeos en más del 80% de sus productos, servicios, infraestructuras y propiedad intelectual digitales. Reducir esa exposición requiere capacidad industrial, inversión y demanda, además de regulación.
La IA lleva la soberanía a otra capa del negocio
La inteligencia artificial aparece como uno de los factores que más está acelerando esta agenda. Tres cuartas partes de las organizaciones la consideran un ámbito clave para reforzar su soberanía digital.
La razón va más allá de dónde se ejecuta un modelo. Las empresas pueden depender simultáneamente del proveedor del modelo fundacional, de sus API, del cloud utilizado para entrenarlo o ejecutarlo, de aceleradores especializados, de determinados conjuntos de datos y de herramientas propietarias que forman parte de todo el ciclo de desarrollo.
Una restricción en cualquiera de esas capas puede comprometer aplicaciones que ya formen parte de procesos productivos.
Esa dependencia resulta especialmente delicada conforme los modelos de IA se incorporan a sistemas empresariales, automatización industrial, desarrollo de software, ciberseguridad o toma de decisiones. El acceso a modelos avanzados se ha convertido en una variable estratégica sujeta también a controles de exportación, condiciones comerciales y disponibilidad de capacidad informática. El informe relaciona directamente el interés por la soberanía de la IA con la concentración existente entre un reducido grupo de proveedores de modelos de frontera.
La respuesta empresarial puede adoptar distintas formas: conservar bajo control los datos de entrenamiento y el conocimiento propietario, garantizar que los modelos puedan desplegarse en varias infraestructuras, disponer de modelos alternativos o separar las aplicaciones de negocio de las API específicas de un proveedor.
Ese planteamiento tampoco elimina las dependencias. Las redistribuye y permite decidir cuáles resultan aceptables.
El interés es especialmente elevado en aeroespacial, defensa, transporte y otros sectores que gestionan infraestructuras, información u operaciones críticas, donde la pérdida temporal de una capacidad tecnológica puede tener consecuencias físicas o afectar a servicios esenciales.
La soberanía entra en el organigrama y en los presupuestos
El paso desde el debate político hasta la gestión empresarial también se observa en la gobernanza. Cerca de cuatro de cada cinco organizaciones ya ejecutan o desarrollan una estrategia de soberanía, mientras que aproximadamente otro 20% prevé hacerlo durante los próximos doce meses.
Un 65% ha asignado presupuesto específico a estas iniciativas. En el 35% de los casos, la financiación procede de programas generales de modernización tecnológica; alrededor de una cuarta parte la integra en presupuestos de riesgo y cumplimiento, mientras que el 23% cuenta con programas de inversión dedicados.
La aparición de nuevas responsabilidades organizativas refuerza esa tendencia. El 10% de las organizaciones ya dispone de un «Chief Sovereignty Officer» o figura equivalente y otro 40% estudia crear ese puesto. Europa presenta cifras próximas al promedio: aproximadamente una de cada diez organizaciones ya ha creado el cargo y un 41% considera hacerlo.
Su función potencial atraviesa áreas que tradicionalmente han estado repartidas entre CIO, CISO, responsables de riesgos, compras, datos y departamentos jurídicos. Identificar jurisdicciones aplicables, evaluar proveedores, asegurar derechos de salida, analizar cadenas de suministro o definir qué información debe permanecer bajo determinados controles requiere decisiones que difícilmente pueden resolverse desde una única función tecnológica.
Karine Brunet, directora de Operaciones y Ejecución de Capgemini, plantea que las organizaciones deben «comprender claramente sus dependencias tecnológicas, con el fin de recuperar el control y la flexibilidad necesarios para gestionar los riesgos».
La capacidad para traducir ese conocimiento en arquitectura y contratación será más relevante que la creación de un cargo concreto. Una organización puede disponer formalmente de una estrategia de soberanía y continuar atada durante años a plataformas que carecen de mecanismos razonables de salida.
Solo el 14% conoce todas sus dependencias
Precisamente ahí aparece uno de los datos más problemáticos del estudio. Solo el 14% de las organizaciones asegura disponer de visibilidad integral sobre las dependencias existentes en todo su ecosistema tecnológico.
La cifra implica que la mayoría tiene dificultades para determinar con precisión qué componentes sustentan una aplicación crítica, dónde se encuentran, qué proveedor los controla, qué jurisdicción se aplica o cuánto tiempo necesitaría para reemplazarlos.
La complejidad se ha multiplicado con las arquitecturas cloud y las cadenas de suministro de software. Una aplicación empresarial puede depender de servicios de identidad, librerías de código abierto, API externas, herramientas de seguridad, redes de distribución de contenido, bases de datos gestionadas, modelos de IA y proveedores secundarios que rara vez aparecen en el primer nivel de una relación contractual.
Un inventario tradicional de proveedores ofrece, por tanto, una visión incompleta. La soberanía introduce la necesidad de cartografiar dependencias técnicas y jurídicas a varios niveles y relacionarlas con los procesos empresariales que podrían verse afectados.
El problema resulta especialmente relevante porque entre las 741 organizaciones clasificadas con una exposición significativa, alrededor de dos tercios realizan evaluaciones periódicas de dependencia digital. Un tercio continúa sin hacerlo. La variación por países es amplia: Japón alcanza el 87%, Italia el 83%, Países Bajos el 80% y Francia el 77%, mientras Reino Unido registra un 52% y Estados Unidos un 46%.
El coste delimita cuánto control están dispuestas a comprar las empresas
La soberanía también tiene una dimensión económica. El 49% de las organizaciones aceptaría pagar una prima por soluciones que ofrezcan mayores garantías y, entre ellas, el sobrecoste medio considerado asumible alcanza el 23%.
Al mismo tiempo, las condiciones comerciales que esperan las empresas dejan poco margen a los proveedores: el 71% considera indispensable mantener suficientes alternativas, el 62% rechaza una pérdida de rendimiento y el 47% no acepta que una estrategia soberana reduzca el ritmo de innovación.
El equilibrio resulta especialmente difícil en mercados donde las economías de escala favorecen a grandes plataformas globales. Replicar servicios, mantener proveedores alternativos, duplicar infraestructuras o incorporar capas de abstracción genera costes directos y complejidad operativa.
Pese a ello, el 54% cree que puede aumentar su soberanía sin perder competitividad y el 67% considera que estas medidas pueden favorecer la innovación. Entre las organizaciones europeas, el 51% espera incluso que la soberanía digital llegue a constituir un elemento diferenciador.
La viabilidad dependerá en buena medida de dónde se aplique ese gasto. Intentar reproducir internamente toda la cadena tecnológica resultaría prohibitivo para la mayoría de empresas. Concentrar recursos en capacidades cuya interrupción tendría mayor impacto permite construir alternativas con un coste más controlado.
Bruselas empieza a convertir la soberanía en criterios de compra
La evolución empresarial que recoge Capgemini coincide con un cambio en la política tecnológica europea. La Comisión está trasladando el concepto desde las declaraciones de autonomía estratégica hacia mecanismos de contratación y evaluación.
En abril de 2026 adjudicó contratos de cloud soberano por un máximo de 180 millones de euros durante seis años a cuatro proveedores o consorcios diferentes. La diversificación formaba parte expresamente del diseño de la contratación para evitar una nueva dependencia de un único suministrador.
El Cloud Sovereignty Framework utilizado en ese proceso evalúa 48 criterios agrupados en ocho categorías: estrategia, aspectos legales y jurisdiccionales, datos e IA, operaciones, cadena de suministro, tecnología, seguridad y cumplimiento, y sostenibilidad ambiental.
El sistema introduce además niveles de garantía. El SEAL-2 se centra en soberanía de datos; el SEAL-3 añade autonomía tecnológica; y el SEAL-4 exige el nivel máximo, incluida una cadena de suministro íntegramente europea. La adjudicación de abril demuestra otro elemento relevante: tecnologías no europeas pueden participar en determinadas configuraciones siempre que funcionen dentro de mecanismos capaces de limitar el control externo.
Ese diseño se aproxima a la interdependencia resiliente que describen las empresas del estudio. La procedencia sigue siendo relevante, especialmente en infraestructuras críticas, pero el nivel requerido puede ajustarse al riesgo de cada carga de trabajo.
La propuesta de Reglamento de Desarrollo de Cloud e IA, presentada por la Comisión el 3 de junio, pretende llevar esta lógica a un marco europeo común. El proyecto establece cuatro niveles de soberanía para cloud e IA y combina el objetivo de ampliar la capacidad de centros de datos de la UE con criterios de autonomía para los casos de uso más sensibles. También plantea triplicar la capacidad europea de centros de datos durante los próximos cinco a siete años.
Europa intenta así resolver dos objetivos que pueden entrar en conflicto cuando se gestionan por separado: reducir dependencias estratégicas y disponer de suficiente infraestructura para competir en una economía cada vez más intensiva en computación.
La contratación tecnológica tendrá que incorporar la salida
Para las empresas, la principal derivada del estudio aparece antes incluso de decidir si un proveedor puede calificarse como soberano. Las compras tecnológicas deberán valorar con mayor precisión qué ocurre cuando la relación termina.
Los contratos de cloud, software e IA pueden necesitar garantías sobre portabilidad de datos, formatos abiertos, acceso a modelos y pesos cuando sea posible, conservación de claves de cifrado, ubicación del personal operativo, jurisdicción, proveedores secundarios, continuidad del servicio y mecanismos de transición.
La arquitectura tiene una función igualmente importante. Diseñar aplicaciones excesivamente vinculadas a servicios propietarios puede aumentar el coste de salida aunque contractualmente exista libertad para cambiar de proveedor. Utilizar estándares interoperables o separar determinadas capas reduce ese riesgo, aunque en ocasiones implique renunciar a optimizaciones específicas de una plataforma.
El multicloud tampoco constituye automáticamente una solución. Mantener contratos con varios proveedores aporta poco si cada proceso crítico continúa dependiendo exclusivamente de uno de ellos o si las aplicaciones resultan demasiado costosas de trasladar.
La pregunta relevante para una organización pasa a ser qué ocurriría con cada proceso esencial si mañana perdiera durante semanas o meses el acceso a una tecnología concreta.
Un estudio centrado en grandes organizaciones
Los resultados requieren una última precisión metodológica. La encuesta se realizó en abril de 2026 entre 1.300 ejecutivos empresariales y tecnológicos de Estados Unidos, Reino Unido, Francia, Alemania, Italia, Países Bajos, España, Suecia, Australia, China, India y Japón. Las empresas participantes tienen ingresos anuales superiores a 1.000 millones de dólares y los organismos públicos incluidos manejan presupuestos superiores a esa misma cantidad. El trabajo cuantitativo se complementó con entrevistas a 13 altos directivos.
Por diseño, las conclusiones reflejan la situación de grandes corporaciones y administraciones con infraestructuras tecnológicas complejas. No permiten extrapolar directamente los mismos porcentajes a pymes, aunque muchas de las dependencias analizadas, especialmente cloud, software, ciberseguridad e IA, también afectan a organizaciones de menor tamaño y, en su caso, con menos recursos para mantener proveedores alternativos.
Para las grandes empresas españolas incluidas en el universo analizado, la evolución europea añade una presión adicional. La soberanía empieza a incorporarse a la regulación, la contratación pública, los requisitos sectoriales y las decisiones de arquitectura al mismo tiempo que la IA aumenta la dependencia de infraestructuras y proveedores muy concentrados.
El 59% que descarta una soberanía digital completa no está abandonando el problema. Está delimitando qué partes de su tecnología necesitan mayor control. La diferencia operativa estará en disponer de un mapa fiable de dependencias, identificar las que pueden paralizar el negocio y financiar alternativas antes de que una interrupción obligue a buscarlas. Con un 36% de organizaciones necesitando más de un año para sustituir a un proveedor crítico y otro 10% sin alternativa viable, ese margen de maniobra se está convirtiendo en una variable de continuidad empresarial.
