La Unión Europea empieza a trasladar el concepto de soberanía cloud desde el terreno político y comercial a un marco regulatorio común. La propuesta de Ley de Desarrollo de la Computación en la Nube y la Inteligencia Artificial (CADA), presentada por la Comisión Europea el pasado 3 de junio, establece por primera vez cuatro niveles de garantía para determinar hasta qué punto un servicio en la nube puede considerarse soberano y bajo qué condiciones debería utilizarlo el sector público.
El planteamiento intenta resolver una dificultad que lleva años condicionando la estrategia digital europea. Europa necesita aumentar rápidamente su capacidad de computación para desplegar inteligencia artificial y servicios digitales, pero una parte sustancial de esa infraestructura y de las tecnologías que la hacen funcionar procede de proveedores de fuera de la UE.
La propia Comisión calcula que tres grandes proveedores no europeos concentran más del 70% del mercado europeo de servicios cloud, mientras que la cuota de los operadores de la UE cayó del 29% en 2017 al 15% en 2022 y desde entonces permanece prácticamente estancada.
CADA trata de intervenir sobre ambos problemas a la vez: aumentar capacidad y reducir dependencias consideradas críticas. Su objetivo es, como mínimo, triplicar la capacidad de los centros de datos europeos durante los próximos cinco a siete años y cubrir plenamente las necesidades de empresas y administraciones públicas de la UE de aquí a 2035.
Cuatro niveles para medir la soberanía cloud
Uno de los cambios más relevantes de la propuesta es que la soberanía deja de plantearse como una condición binaria. El reglamento introduce cuatro niveles de garantía que permitirían adaptar las exigencias al riesgo de cada servicio público.
En los niveles inferiores, el foco recae principalmente sobre dónde se encuentran la infraestructura, los datos, el personal y las operaciones. A medida que aumenta el grado de garantía aparecen requisitos adicionales relacionados con la propiedad, el control empresarial, la cadena de suministro de software, las subcontrataciones y la capacidad de terceros países para intervenir sobre el proveedor.
La propuesta establece además que los Estados miembros deberán realizar evaluaciones de riesgo para determinar qué nivel resulta adecuado en cada ámbito. La Comisión reconoce expresamente que la mayor parte de los servicios públicos no necesitará el grado máximo de soberanía y reserva los niveles más exigentes para casos en los que existan riesgos específicos para el orden público o la continuidad operativa.
Esta gradación es relevante porque amplía el debate más allá de la ubicación física de los datos. Mantener información dentro de territorio europeo puede resolver una parte del problema, pero no elimina necesariamente la exposición a leyes extraterritoriales, dependencias de software, operaciones remotas o decisiones adoptadas desde jurisdicciones externas.
CADA intenta incorporar esas variables a un sistema auditable. Los proveedores podrán obtener reconocimiento para un determinado nivel de garantía y, una vez completado el procedimiento correspondiente, ese reconocimiento tendrá validez en el conjunto de la Unión.
La regulación abre espacio a modelos híbridos
La definición propuesta tampoco exige que todos los componentes tecnológicos utilizados por un proveedor hayan sido desarrollados en Europa.
Ese punto afecta directamente al modelo que defienden numerosos operadores regionales y fabricantes internacionales: infraestructura y operación bajo control europeo, combinadas con tecnología suministrada por empresas de terceros países.
Broadcom, propietaria de VMware, sostiene que esta arquitectura permite aumentar la capacidad soberana europea sin esperar a disponer de una pila tecnológica desarrollada íntegramente dentro de la UE. La compañía cita instalaciones en las que el proveedor europeo mantiene la infraestructura, las operaciones y la relación con el cliente, mientras VMware aporta únicamente la capa de software cloud.
La cuestión determinante para el regulador no sería entonces el origen de cada componente, sino cuánto control efectivo conserva el operador europeo y qué capacidad mantiene una entidad extranjera para acceder a los datos, alterar el servicio o condicionar su continuidad.
La propuesta de CADA contempla parcialmente este escenario. En determinados niveles permite servicios vinculados a entidades de terceros países siempre que existan salvaguardas jurídicas, técnicas y organizativas. Para niveles superiores, las condiciones se endurecen de forma progresiva, incluyendo requisitos sobre propiedad y control, ubicación de recursos y separación respecto de jurisdicciones externas.
El resultado podría favorecer una oferta más amplia que una definición basada exclusivamente en el domicilio social del fabricante, pero también obligará a demostrar de manera verificable que la autonomía prometida comercialmente existe en la arquitectura y en las operaciones.
El código abierto tampoco resuelve por sí solo la dependencia
El papel del software de código abierto constituye otro de los elementos de la estrategia europea. La Comisión lo considera una herramienta para reducir dependencias tecnológicas y lo ha incorporado a su paquete de soberanía tecnológica junto con CADA y la revisión de la política europea de semiconductores.
Su uso, sin embargo, no elimina automáticamente los demás factores de dependencia. Un servicio puede emplear software abierto y seguir dependiendo de infraestructura extranjera, mantenimiento externo, componentes de hardware específicos o proveedores sobre los que actúen legislaciones de terceros países.
CADA refleja precisamente esa visión más amplia. La propuesta analiza la soberanía mediante criterios que incluyen control operacional, localización, cadena de suministro, acceso a los datos y capacidad de mantener el servicio frente a interferencias externas.
Para las empresas, esto puede terminar convirtiendo la soberanía cloud en una característica susceptible de compararse y auditarse, en lugar de una denominación utilizada con criterios diferentes por cada proveedor.
La capacidad sigue siendo el problema industrial
El marco jurídico llegará mientras Europa afronta además una limitación física. La expansión de la IA está elevando la demanda de centros de datos, electricidad, suelo, refrigeración y financiación. La Comisión identifica precisamente la escasez y concentración geográfica de la capacidad computacional como una de las principales debilidades del mercado europeo.
CADA prevé agilizar permisos para determinados proyectos y facilitar el acceso a recursos, pero el crecimiento tendrá que convivir con las restricciones energéticas. En septiembre, Bruselas propuso también un sistema común para evaluar el consumo energético y de agua de los centros de datos, ante la presión que la expansión prevista puede ejercer sobre las redes eléctricas y otros recursos.
Esto explica por qué el debate sobre soberanía no puede separarse de la escala. Exigir la sustitución inmediata de todas las tecnologías extranjeras reduciría el número de proveedores capaces de cubrir determinados servicios, mientras que unos criterios demasiado flexibles podrían conservar las dependencias que la regulación pretende limitar.
La negociación de CADA deberá fijar dónde queda ese equilibrio. Para las administraciones públicas y las empresas que trabajan con sectores regulados, el resultado tendrá efectos directos sobre contratación, arquitectura cloud y selección de proveedores. La soberanía dejará de depender únicamente de dónde se alojan los datos y pasará a medirse por quién controla la infraestructura, quién puede intervenir sobre ella y qué garantías existen para mantener el servicio cuando las relaciones jurídicas o geopolíticas cambian.
