Índice6
El 3 de junio de 2026, la Comisión Europea presentó la Cloud and AI Development Act, una propuesta de reglamento que quiere al menos triplicar la capacidad de los centros de datos de la Unión en cinco a siete años. A 20 de octubre de 2026, el texto se examina artículo por artículo en el Consejo, y no se ha adoptado nada. Al mismo tiempo, dos anuncios franceses de octubre recuerdan que la cuestión de la nube «soberana» ya se decide en los contratos.
Este artículo de nuestra sección Infraestructura y nube resume la propuesta a partir de las páginas de la Comisión y de la ficha de procedimiento del Parlamento Europeo. No es un asesoramiento jurídico: el texto todavía puede cambiar profundamente durante la negociación.
En resumen
- La Cloud and AI Development Act es una propuesta de reglamento del 3 de junio de 2026: no se ha adoptado y todavía no crea ninguna obligación.
- Pretende al menos triplicar la capacidad de los centros de datos europeos en cinco a siete años, acelerando las autorizaciones.
- Propone una escala de soberanía en cuatro niveles, desde la simple localización de los datos hasta la ausencia de toda dependencia exterior, primero para las compras públicas.
- Para elegir un proveedor de alojamiento hoy, la referencia en Francia sigue siendo la cualificación SecNumCloud de la ANSSI, la agencia francesa de ciberseguridad, oferta por oferta.
¿Qué propone la Cloud and AI Development Act?
El texto, con la referencia COM(2026) 502, forma parte del paquete sobre soberanía tecnológica presentado junto con una nueva versión del reglamento sobre los chips. Según la página de la Comisión dedicada al texto, se apoya en tres pilares: la investigación y la innovación en la nube y la IA, la capacidad de los centros de datos y la autonomía de la Unión. Los órdenes de magnitud son los siguientes:
como mínimo: la capacidad de los centros de datos de la Unión prevista en cinco a siete años
el horizonte en el que debe alcanzarse la capacidad necesaria
de garantía para evaluar la soberanía de una oferta de nube
Para lograrlo, la propuesta simplifica y armoniza las autorizaciones de los centros de datos, con procedimientos facilitados en «zonas de aceleración», y quiere facilitar el acceso a la energía, al suelo, al agua y a la financiación. También crea un marco común de compra de nube para las administraciones, para que pongan en común su poder de compra, y apoya las soluciones de código abierto.
Los cuatro niveles de soberanía propuestos
Es la parte que más interesará a un comprador de nube. La propuesta define cuatro niveles de garantía, que los organismos públicos elegirían según su propio análisis de riesgos. Según la página de la Comisión:
- Nivel 1: los datos se tratan y se almacenan en una infraestructura situada en la Unión.
- Nivel 2: el proveedor demuestra su independencia respecto de terceros países y la transparencia de su cadena de software.
- Nivel 3: el proveedor es propiedad y está controlado desde la Unión, con criterios adicionales, como la nacionalidad del personal; la Comisión puede reconocer a proveedores de terceros países.
- Nivel 4: el proveedor tiene una transparencia y un control completos sobre su cadena de software, sin ninguna interferencia de un tercer país.
Los Estados miembros podrían reconocer a un proveedor en un nivel determinado, tras una auditoría. La escala se dirige primero al sector público; nada obliga a una empresa privada a remitirse a ella, pero ofrece un vocabulario común para plantear la pregunta a un proveedor de alojamiento.
Lo esencial
El nivel 1, la localización de los datos en la Unión, no protege de las leyes extraterritoriales de otro país si el proveedor está sujeto a ellas. Es toda la diferencia entre un servidor en Europa y un proveedor europeo, que detallamos en ¿se puede prescindir de los gigantes estadounidenses de la nube?.
¿En qué punto está la negociación?
El texto sigue el procedimiento legislativo ordinario: el Parlamento Europeo y el Consejo deben adoptarlo ambos.
- 3 de junio de 2026
La Comisión presenta la propuesta y su evaluación de impacto.
- 16 de junio de 2026
Primer examen en el grupo de trabajo «telecomunicaciones y sociedad de la información» del Consejo.
- 8, 22 y 29 de septiembre de 2026
Examen artículo por artículo en el Consejo, de las compras públicas a cada uno de los tres pilares.
- 6 de octubre de 2026
El grupo de trabajo escucha al servicio jurídico del Consejo sobre el texto.
Las fechas del Consejo proceden de los órdenes del día provisionales publicados por el Consejo de la Unión Europea; el procedimiento lleva la referencia 2026/0138(COD) en el Observatorio Legislativo del Parlamento. A 20 de octubre de 2026 no se había adoptado ninguna posición del Parlamento ni del Consejo, por lo que no hay fijada ninguna fecha de aplicación.
Lo que recuerda la actualidad de octubre
Dos anuncios franceses del mes muestran que las empresas no esperan al texto europeo:
- La compañía de taxis G7 oficializó el 8 de octubre de 2026 una asociación con S3NS, la empresa conjunta controlada por Thales que se apoya en la tecnología de Google Cloud, para alojar parte de sus datos en la oferta PREMI3NS, cualificada SecNumCloud 3.2 en diciembre de 2025, según Le Monde Informatique. El resto de sus datos permanece en sus propios centros en Francia.
- Un consorcio liderado por Cloud Temple, con Thales, Bull, Vates y el CEA, recibió 20 millones de euros del Estado francés, en el marco de France 2030, para un proyecto de 47 millones de euros que debe desembocar a finales de 2028 en una oferta francesa de nube y de IA para datos sensibles, según Clubic.
La primera elección es híbrida, la segunda es una oferta futura: la soberanía se construye hoy mediante los contratos y la arquitectura, no mediante una etiqueta única.
Lo que sigue siendo válido para elegir un proveedor de alojamiento hoy
Mientras el texto no se adopte, tres referencias siguen valiendo para un equipo de 20 a 500 personas:
- Clasificar los datos antes de elegir. No todos requieren el mismo nivel: los datos sensibles o regulados justifican una oferta cualificada, el resto puede quedarse en un gran proveedor. El método está en nuestra guía de la base de infraestructura en la nube, y su equivalente para los modelos de IA en los cuatro niveles de la IA privada.
- Comprobar la oferta, no el proveedor. En Francia, la cualificación SecNumCloud de la ANSSI se refiere a una oferta concreta: es esa la que se comprueba en el catálogo de la agencia, con sus fechas de validez.
- Mantener una puerta de salida. La Data Act suprime los costes de cambio de proveedor de nube a partir del 12 de enero de 2027, como recuerda nuestro calendario de la regulación digital; queda el trabajo de migración, que describe la migración a la nube sin romperlo todo.
Si sus datos pasan por herramientas de IA, a ello se suman las obligaciones de la AI Act, sea cual sea el proveedor de alojamiento: están reunidas en nuestra guía de la AI Act y el RGPD para pymes.
Sobre el terreno
Aplicamos esta escala a nuestras propias decisiones. Nuestro CRM Twenty funciona desde principios de 2025 (constatación interna a 20 de octubre de 2026, sobre nuestras propias herramientas) en un servidor que administramos nosotros mismos, junto a nuestra automatización n8n y nuestra medición de audiencia. Este sitio, en cambio, lo sirve desde el 18 de octubre de 2026 un proveedor estadounidense, y las solicitudes de contacto se almacenan en un espacio cuya jurisdicción está fijada en la Unión Europea: es el nivel 1 de la escala, una elección de localización asumida para datos poco sensibles, con un procedimiento de vuelta atrás por escrito.
Fecha que conviene recordar: ninguna por ahora; la próxima etapa es la adopción de una posición por el Consejo y después por el Parlamento. Para establecer su propia base, con los datos clasificados y la puerta de salida incluida, consulte nuestra oferta stack autoalojado.
Preguntas frecuentes
¿Qué es la Cloud and AI Development Act?
Una propuesta de reglamento europeo presentada el 3 de junio de 2026 por la Comisión. Pretende al menos triplicar la capacidad de los centros de datos de la Unión en cinco a siete años, acelerar sus autorizaciones, crear un marco común de compra de nube para las administraciones y una escala de soberanía en cuatro niveles.
¿Se aplica ya la Cloud and AI Development Act?
No. Es una propuesta, examinada en el Consejo desde junio de 2026, que el Parlamento Europeo y el Consejo todavía deben adoptar, cada uno por su lado y después juntos. No hay fijada ninguna fecha de aplicación, y el contenido puede cambiar durante la negociación, incluidas la escala de soberanía y el objetivo de capacidad.
¿Se impondrán los cuatro niveles de soberanía a las empresas privadas?
La propuesta los destina primero a los organismos públicos, que elegirían un nivel según su análisis de riesgos. Una empresa privada no tendría que ajustarse a ellos, pero la escala le da criterios claros para interrogar a un proveedor de alojamiento: localización, independencia, control y cadena de software.
¿Hay que esperar a este texto para elegir una nube soberana?
No. En Francia, la cualificación SecNumCloud de la ANSSI ya sirve de referencia para los datos sensibles, oferta por oferta; otros países tienen sus propios marcos nacionales. El futuro texto europeo podrá sumarse una vez adoptado, pero la clasificación de sus datos, la elección de la oferta y su puerta de salida se deciden desde hoy.
Fuentes
- La página de la Comisión dedicada al texto (nueva pestaña)digital-strategy.ec.europa.eu
- Órdenes del día provisionales publicados por el Consejo de la Unión Europea (nueva pestaña)data.consilium.europa.eu
- Observatorio Legislativo del Parlamento (nueva pestaña)oeil.europarl.europa.eu
- Le Monde Informatique (nueva pestaña)lemondeinformatique.fr
- Clubic (nueva pestaña)clubic.com
La página de la Comisión dedicada al texto
Leer en digital-strategy.ec.europa.eu(nueva pestaña)Órdenes del día provisionales publicados por el Consejo de la Unión Europea
Leer en data.consilium.europa.eu(nueva pestaña)Jim · fundador de Brain Plus AI
Más artículos sobre infraestructura y nube
Tomar perspectiva12 min
Nube soberana: ¿prescindir de los gigantes estadounidenses?
Los proveedores europeos ya solo tienen el 15 % de su propio mercado de la nube. La soberanía total está fuera de alcance; la soberanía selectiva, en cambio, empieza por clasificar los datos y prever una puerta de salida.
Guía práctica14 min La guía del tema
Infraestructura en la nube: la base común de todos sus proyectos
Antes del primer proyecto, una base de infraestructura en la nube resuelve de una vez por todas las cuentas, los accesos, las copias de seguridad y el presupuesto, y cada proyecto siguiente la hereda. Qué contiene, dónde montarla, cuánto cuesta y por qué su explotación cuenta más que su instalación.
Entender11 min
Calendario del AI Act y del ámbito digital: plazos de 2026 a 2028
AI Act, Data Act, Cyber Resilience Act, NIS2, facturación electrónica y primeras leyes estadounidenses: todas las fechas que cuentan para una empresa, del otoño de 2026 a agosto de 2028, en una sola página actualizada. Para cada plazo, a quién afecta y qué hay que preparar.