La soberanía digital se está convirtiendo en un problema operativo para las grandes empresas a medida que aumenta su dependencia de proveedores tecnológicos, servicios cloud y modelos de inteligencia artificial. Aunque el 82% de los directivos asegura tener mucha o extrema confianza en su capacidad para demostrar que mantiene el control sobre estos recursos, solo el 26% de las organizaciones alcanza el nivel más alto del nuevo Índice de Soberanía Digital elaborado por IBM.
La distancia entre ambas cifras resulta especialmente significativa porque demostrar ese control ha dejado de ser un ejercicio hipotético. El 94% de las organizaciones encuestadas se enfrentó durante los últimos tres años a, al menos, un incidente relacionado con la soberanía. Entre las empresas afectadas, el 81% tuvo que presentar pruebas formales ante reguladores, clientes, auditores o responsables internos.
Los resultados forman parte de Proof, Not Promises: The Digital Sovereignty Index, el estudio completo de IBM, que analiza hasta qué punto las empresas pueden mantener y acreditar el control sobre cuatro ámbitos críticos: inteligencia artificial, tecnología, operaciones y datos.
El trabajo se apoya en una encuesta a 2.003 altos responsables de grandes compañías de Estados Unidos, Reino Unido, Alemania, Francia, Arabia Saudí, India y Japón. IBM desarrolló el índice mediante un programa de investigación que incluyó también la revisión de 27 fuentes, 25 entrevistas con responsables públicos, reguladores y expertos y las perspectivas de 17 directivos de empresas. España no figura entre los mercados incluidos en la encuesta, por lo que las cifras describen una muestra internacional y no permiten extraer resultados específicos para las compañías españolas.
La soberanía digital pasa de los controles a las pruebas
El índice trata de medir algo más concreto que la existencia de políticas internas. Examina si una organización puede producir evidencias de control cuando aparece una incidencia, un conflicto regulatorio o una dependencia tecnológica que pone en cuestión su capacidad de actuar.
Para ello, IBM utiliza seis dimensiones: responsabilidad, trazabilidad, restricciones, intervención, legitimidad y capacidad de salida. En términos operativos, esto implica poder identificar quién tomó una decisión, reconstruir qué ocurrió, acreditar que los controles estaban activos, explicar la respuesta adoptada y demostrar que existe una alternativa para cambiar de proveedor o recuperar las operaciones.
Ese último componente adquiere especial importancia en infraestructuras cada vez más dependientes de terceros. Una organización puede disponer de procedimientos de contingencia documentados y, al mismo tiempo, desconocer qué ocurriría si tuviera que migrar realmente una carga de trabajo, recuperar información o sustituir un servicio crítico.
El estudio encuentra precisamente una escasa frecuencia de esas comprobaciones. Solo el 33% de los encuestados prueba de forma continua o dentro de sus procesos habituales de gobierno y aseguramiento su capacidad para demostrar soberanía. Entre las empresas clasificadas en el nivel líder, el porcentaje asciende al 63%, frente al 29% de las compañías que todavía están consolidando sus evidencias y el 9% de las situadas en la fase inicial.
La diferencia también aparece cuando se produce un incidente. El 52% de las organizaciones del grupo líder afirma haber resuelto su desafío de soberanía más complejo sin sufrir una interrupción significativa, frente al 22% de las empresas en fase de consolidación.
La IA concentra el mayor número de incidentes
La inteligencia artificial aparece como la fuente más frecuente de problemas de soberanía entre las organizaciones consultadas. Un 44% declara haberse enfrentado a incidencias relacionadas con resultados incorrectos, problemas de explicabilidad, fallos de modelos o proveedores y cuestiones de gobernanza.
Le siguen las auditorías formales o acontecimientos regulatorios, citados por el 38%; los cambios importantes de proveedores, con un 35%; los problemas de acceso o transferencia de datos, con un 33%; y las restricciones gubernamentales, como sanciones, controles de exportación o conflictos jurisdiccionales, con un 30%.
La extensión de la IA empresarial amplía además el número de dependencias que una organización necesita conocer. Los datos pueden estar alojados en una plataforma, el modelo proceder de otro proveedor, las herramientas de desarrollo depender de un tercero y la aplicación final integrarse con sistemas internos. Reconstruir responsabilidades, trazabilidad y controles ante un incidente exige disponer de información distribuida entre varias capas técnicas y contractuales.
El propio estudio identifica esa fragmentación como uno de los obstáculos. El 56% de los encuestados que tuvo que demostrar control señala como barrera la recopilación manual o lenta de evidencias. Un 53% menciona la dispersión de esas pruebas entre equipos y sistemas, la dependencia de terceros para obtener registros y los sistemas heredados o estándares incoherentes. La mitad apunta también a controles, mecanismos de recuperación o procedimientos de salida que nunca se han puesto a prueba.
Europa refuerza la portabilidad y el control sobre los datos
Para las empresas europeas, estas cuestiones coinciden con un marco normativo que ha incorporado obligaciones relacionadas con datos, proveedores tecnológicos, resiliencia e inteligencia artificial.
La Ley de Datos de la UE es aplicable desde el 12 de septiembre de 2025 y establece, entre otras medidas, condiciones destinadas a facilitar que los clientes puedan cambiar de proveedor cloud o utilizar simultáneamente servicios de distintas compañías. También incorpora requisitos de interoperabilidad y salvaguardias frente a determinadas solicitudes de acceso a datos no personales procedentes de autoridades de terceros países.
El Reglamento europeo de IA añade otra capa para las organizaciones que desarrollan o utilizan sistemas sujetos a sus diferentes categorías de riesgo. La norma entró en vigor el 1 de agosto de 2024 y ha ido desplegando progresivamente sus obligaciones desde 2025, incluidas las aplicables a los modelos de IA de propósito general.
En sectores regulados, la capacidad de controlar proveedores externos tiene además consecuencias específicas. DORA, aplicable al sector financiero desde el 17 de enero de 2025, establece obligaciones sobre resiliencia operativa digital y gestión de riesgos tecnológicos, incluido el riesgo vinculado a terceros.
Estas normas no convierten el índice de IBM en una medida de cumplimiento regulatorio. Sí ayudan a explicar por qué aspectos como la trazabilidad, la portabilidad, el acceso a los datos o la recuperación de servicios están ganando peso en las decisiones de arquitectura y contratación tecnológica.
Probar la capacidad de salida entra en la gestión del riesgo
El estudio sitúa una parte importante del problema en la distancia entre los mecanismos que las organizaciones creen tener y las evidencias que podrían producir durante una crisis. Para los responsables de tecnología y negocio, esa diferencia afecta a decisiones que tradicionalmente se han gestionado por separado: arquitectura cloud, contratos con proveedores, gobierno de datos, continuidad de negocio, ciberseguridad y despliegue de IA.
La capacidad de salida constituye un ejemplo concreto. Cambiar un proveedor crítico implica conocer qué datos y aplicaciones dependen de él, en qué formatos pueden recuperarse, qué componentes pueden trasladarse, cuánto tiempo requiere la transición y qué servicios quedarían afectados. La existencia de una cláusula contractual o de una copia de seguridad aporta una garantía limitada si esos mecanismos nunca se han probado en condiciones cercanas a las reales.
Los resultados de IBM apuntan así hacia una evolución de la soberanía digital desde políticas generales de control hacia evidencias operativas verificables. Para las empresas europeas, donde la regulación ya impulsa la portabilidad, la trazabilidad y la gestión del riesgo tecnológico, la cuestión práctica pasa a ser cuánto de ese control puede demostrarse cuando falla un proveedor, se cuestiona una decisión de IA o resulta necesario trasladar datos y operaciones a otra plataforma.
Sigue el análisis de tecnología empresarial en Google
Añade La Ecuación Digital como fuente preferida y verás más análisis sobre inteligencia artificial, cloud, ciberseguridad, infraestructura de datos y transformación digital en tus resultados de Google.
Seguir La Ecuación Digital en GoogleAl hacer clic podrás seleccionar La Ecuación Digital como fuente preferida en Google.
