La Unión Europea quiere utilizar su capacidad de compra para reducir una de sus dependencias tecnológicas más persistentes: el dominio de proveedores no europeos en el mercado de servicios cloud. Los coponentes del Parlamento Europeo para la Ley de Desarrollo de la Nube y la Inteligencia Artificial (CADA), Diego Solier (ECR, España) y Reinier van Lanschot (Verdes/ALE, Países Bajos), han presentado este miércoles un borrador conjunto que refuerza el papel de la contratación pública, endurece la armonización de los requisitos de soberanía y amplía el alcance del futuro marco sobre determinados servicios críticos.
El planteamiento parte de una debilidad estructural conocida. Los proveedores europeos han multiplicado sus ingresos cloud durante los últimos años, pero han perdido peso relativo porque el mercado ha crecido mucho más deprisa. Synergy Research Group calcula que su cuota pasó del 29% en 2017 a alrededor del 15% en 2022 y se ha mantenido cerca de ese nivel desde entonces. Amazon, Microsoft y Google concentran conjuntamente alrededor del 70% del mercado europeo.
CADA, presentada por la Comisión Europea el pasado 3 de junio, intenta responder simultáneamente a esa dependencia, al déficit de capacidad de computación y a la fragmentación de las políticas nacionales. El Reglamento forma parte del paquete europeo de soberanía tecnológica junto con la Ley de Chips 2.0, la estrategia europea de código abierto y la hoja de ruta de digitalización e inteligencia artificial para la energía.
El Parlamento entra ahora en una de las primeras fases de negociación. Solier, por la comisión de Industria, Investigación y Energía (ITRE), y Van Lanschot, por Mercado Interior y Protección del Consumidor (IMCO), son los dos ponentes responsables del expediente. El texto presentado este miércoles es su propuesta inicial y todavía deberá negociarse con el resto de grupos políticos antes de convertirse en la posición del Parlamento.
La contratación pública como cliente del cloud europeo
Uno de los principales cambios de enfoque propuestos por los coponentes consiste en utilizar la demanda pública para favorecer la aparición de proveedores europeos con mayor escala.
«Uno de los principales problemas de nuestros proveedores de servicios en la nube no es necesariamente la falta de innovación, es la dificultad para alcanzar la dimensión necesaria para competir internacionalmente», explicó Solier durante la presentación. A su juicio, las administraciones pueden desempeñar un papel decisivo porque se encuentran entre los mayores compradores de servicios digitales.
La lógica es industrial además de regulatoria. Un mercado público más previsible permitiría a los proveedores invertir, ampliar infraestructura y desarrollar servicios con una base recurrente de clientes. Van Lanschot resumió el planteamiento comparándolo con el desarrollo del sector estadounidense: «Mucho antes de convertirse en gigantes, las empresas estadounidenses de nube tuvieron un cliente ancla: el Gobierno de Estados Unidos».
El borrador pretende que determinados contratos públicos, especialmente cuando afecten a información o funciones sensibles, incorporen requisitos de soberanía que generen demanda para proveedores europeos. Van Lanschot defendió que «cuando los contribuyentes europeos compren sus servicios cloud más sensibles, ese dinero debería contribuir a construir capacidad europea».
La propuesta de la Comisión ya contempla un marco común de contratación pública y un mecanismo para impulsar el uso de servicios soberanos por parte del sector público. El Parlamento quiere reforzar esa dimensión sin convertirla en un cierre generalizado del mercado.
Solier insistió en que el objetivo «no es desincentivar la inversión extranjera», sino lograr que la inversión internacional que llegue a Europa contribuya también al desarrollo de capacidades locales. «Las administraciones necesitan servicios fiables, soluciones competitivas y una buena relación calidad-precio», añadió.
Cuatro niveles para definir cuándo una nube es soberana
La otra gran pieza del modelo europeo será determinar qué significa exactamente que un servicio cloud sea soberano.
La propuesta de CADA establece cuatro niveles de garantía, vinculados a distintos grados de sensibilidad. El nivel 1 exige fundamentalmente que los datos sean tratados y almacenados en infraestructura situada en la UE. Los siguientes introducen progresivamente condiciones sobre independencia frente a terceros países, control de la cadena de software, propiedad de las compañías, personal y posibles interferencias de jurisdicciones extranjeras.
En los niveles 3 y 4, las exigencias son considerablemente mayores. La evaluación de impacto de la Comisión contempla que los servicios de nivel 3 estén controlados por entidades europeas y que el nivel 4 añada requisitos más estrictos sobre infraestructura, personal y control de la cadena de suministro de software.
El planteamiento responde a una premisa que Solier repitió durante la rueda de prensa: «No todas las actividades necesitan el mismo nivel de protección». Un servicio administrativo ordinario, explicó, no presenta el mismo riesgo que una función gubernamental altamente sensible o una infraestructura crítica.
Ese enfoque también introduce cierta flexibilidad para proveedores de terceros países. El mercado europeo seguiría abierto en gran medida a operadores internacionales, mientras los requisitos aumentarían conforme lo hiciese la sensibilidad del servicio.
Van Lanschot sostuvo, por ejemplo, que empresas británicas podrían seguir accediendo a determinados niveles si cumplen las condiciones correspondientes. Para los servicios con las exigencias máximas, sin embargo, el margen sería mucho más reducido.
Una única definición para los 27 Estados miembros
Los coponentes también quieren evitar que el futuro sistema genere 27 interpretaciones diferentes de la soberanía cloud.
La propuesta original de la Comisión ya plantea un marco europeo armonizado y auditable, pero Solier y Van Lanschot quieren aumentar las garantías frente a posibles diferencias nacionales en la aplicación.
«Cuando una nube sea certificada como soberana, esa palabra debe significar lo mismo en Lisboa que en Helsinki», señaló Van Lanschot. El eurodiputado considera que un sistema con criterios o auditores desiguales podría generar «label shopping», es decir, que un proveedor intentase obtener la certificación en el Estado miembro con una interpretación menos exigente para utilizar después esa acreditación en otros mercados.
Su propuesta pasa por auditores acreditados, criterios comunes y una aplicación equivalente para actividades con el mismo nivel de riesgo.
Solier situó la cuestión también en términos de mercado único. «El principal objetivo es no tener 27 interpretaciones diferentes y contar con reglas claras para todos, para proporcionar certidumbre al mercado y seguridad a las compañías que tienen que prestar esos servicios», afirmó.
La armonización será previsiblemente uno de los puntos relevantes de la negociación con los Estados miembros, dado que la aplicación de los niveles de soberanía afecta tanto a competencias nacionales como a políticas de contratación y seguridad.
Los servicios críticos amplían el alcance de la soberanía cloud
El borrador parlamentario también plantea extender algunos requisitos más allá de las administraciones.
La razón es que buena parte de las infraestructuras consideradas esenciales en Europa está gestionada por empresas privadas. Energía, sanidad, transporte, aeropuertos o determinados sistemas financieros pueden tener consecuencias sistémicas con independencia de quién sea su propietario.
«Una central eléctrica, un hospital privado o un aeropuerto no son menos críticos porque sean de propiedad privada», defendió Van Lanschot. Su propuesta pretende que las actividades más sensibles de esos operadores tengan también que recurrir, en determinados casos, a servicios cloud con niveles elevados de soberanía.
Solier planteó una cautela adicional: esas obligaciones deberían concentrarse en actividades verdaderamente críticas y coordinarse con las normas de ciberseguridad ya existentes para evitar duplicidades regulatorias.
El propio diseño de CADA se basa en evaluaciones de riesgo. La Comisión estima en su análisis previo que aproximadamente el 70% de los casos de uso del sector público podría encajar en el nivel 1, mientras que solo alrededor del 1% requeriría el nivel máximo de soberanía. La intención, al menos en el diseño inicial, es reservar las condiciones más estrictas para una parte limitada de las cargas de trabajo.
Más centros de datos para sostener la demanda de IA
La creación de demanda europea tendrá poco efecto si no existe infraestructura suficiente para atenderla. CADA también pretende acelerar el despliegue de centros de datos y ampliar la capacidad de computación disponible en la UE, una necesidad que ha aumentado con el desarrollo de sistemas de inteligencia artificial.
La Comisión considera que la disponibilidad actual es insuficiente y está geográficamente concentrada. La propuesta introduce la posibilidad de identificar zonas de aceleración para simplificar el desarrollo de nueva capacidad.
Solier defendió procedimientos de autorización más rápidos y previsibles, menor fragmentación administrativa y más claridad sobre la conexión a las redes eléctricas. El eurodiputado vinculó esas medidas directamente a la capacidad europea para atraer inversión.
Van Lanschot quiere acompañarlas con mayores exigencias hacia los territorios que albergan esas instalaciones. El borrador plantea participación de las comunidades antes de seleccionar las zonas y beneficios locales que podrían adoptar distintas formas, desde reutilización del calor residual hasta inversiones en infraestructura pública.
La combinación de estas medidas revela el alcance industrial que el Parlamento quiere dar al Reglamento. El expediente ya no se limita a definir cómo deben protegerse determinados datos. Intenta intervenir sobre la infraestructura física, la demanda pública y las condiciones que permiten a los proveedores ganar escala.
El recorrido legislativo todavía será largo. El expediente figura actualmente a la espera de decisión en comisión en el Parlamento Europeo. Según el calendario anunciado por los coponentes, el borrador se publicará el 12 de noviembre y se debatirá conjuntamente en ITRE e IMCO el 1 de diciembre, con una votación en comisión prevista para mediados de marzo y el pleno, si se mantiene el calendario, en abril.
Para empresas y administraciones, el resultado determinará algo más inmediato que el concepto político de soberanía tecnológica: qué características tendrá que acreditar un proveedor para acceder a determinadas cargas de trabajo, contratos públicos y servicios críticos europeos. La propiedad, el control corporativo, la localización de los datos y la dependencia de tecnología extranjera pueden convertirse así en criterios comerciales con un efecto directo sobre el reparto del mercado cloud europeo.
Sigue el análisis de tecnología empresarial en Google
Añade La Ecuación Digital como fuente preferida y verás más análisis sobre inteligencia artificial, cloud, ciberseguridad, infraestructura de datos y transformación digital en tus resultados de Google.
Seguir La Ecuación Digital en GoogleAl hacer clic podrás seleccionar La Ecuación Digital como fuente preferida en Google.
