Nube soberana: ¿prescindir de los gigantes estadounidenses?

La cuestión de la soberanía digital surge a menudo cuando se habla de IA en la empresa, y de forma binaria: o se acepta confiarlo todo a los grandes proveedores estadounidenses, o se rechaza la IA. Las dos opciones son malas. Creemos que la soberanía total está fuera del alcance de Europa, y todavía más de una pyme. La soberanía selectiva, en cambio, es accesible: saber qué debe quedarse en casa, qué puede irse a otra parte y cómo se recuperaría el control si las condiciones cambiaran. La nube soberana es una de sus herramientas, útil para los datos que la justifican, no para todo.

En resumen

• Los proveedores europeos ya solo tienen alrededor del 15 % del mercado europeo de la nube; Amazon, Microsoft y Google tienen el 70 %, según una medición de julio de 2025.
• En IA, la inversión privada estadounidense representaba en 2024 casi doce veces la de China, y Europa produjo 3 de los modelos considerados notables ese año, frente a 40 en Estados Unidos.
• El derecho estadounidense puede obligar a un proveedor a entregar datos almacenados fuera de Estados Unidos; el derecho europeo suprimirá los costes de cambio de proveedor de nube el 12 de enero de 2027.
• Una nube soberana se juzga por el derecho que se aplica a su proveedor, no solo por el lugar donde están sus servidores: en Francia, la referencia es la cualificación SecNumCloud de la ANSSI, que, según la propia agencia, solo responde a ciertas amenazas.
• Nuestra posición: una soberanía selectiva, que clasifica sus datos, prefiere lo que se puede exportar y prevé la salida desde la entrada.

Antes de detallar nuestra opinión, veamos las cifras y los dos bandos.

Lo que dicen las cifras

Sobre la nube, la firma de análisis Synergy Research Group publicó el 24 de julio de 2025 una medición de la cuota de mercado de los proveedores europeos en Europa. Los proveedores europeos han más que triplicado su facturación entre 2017 y 2024; pero el mercado se ha multiplicado por seis, hasta 61 000 millones de euros en 2024, y han sido sobre todo Amazon, Microsoft y Google quienes se han beneficiado de ese crecimiento.

En IA, la diferencia es aún más clara. El informe AI Index 2025 de la Universidad de Stanford cifra la inversión privada en IA país por país: la de Estados Unidos representa casi doce veces la de China y veinticuatro veces la del Reino Unido.

Ese mismo año, siempre según este informe, instituciones estadounidenses produjeron 40 modelos de IA considerados notables, frente a 15 en China y 3 en Europa.

Estas dos constataciones fijan el marco: la dependencia no es una hipótesis, es el estado del mercado tal como lo miden estas dos fuentes.

Posición 1: la dependencia es un riesgo estratégico

El primer bando presenta tres argumentos.

El derecho. Un proveedor sometido al derecho de otro país puede verse obligado por ese derecho, incluso para datos almacenados en Europa. En Estados Unidos, ese es el sentido de la CLOUD Act de marzo de 2018.

Para una empresa que gestiona datos de salud, datos financieros o secretos industriales, la ubicación física del servidor no basta pues para resolver la cuestión.

El precio. Cuando tres actores tienen lo esencial de un mercado, fijan las reglas del juego: tarifas, condiciones de salida, costes para recuperar los propios datos. Cuanto más se apoya una empresa en servicios propios de un proveedor, más caro le resulta irse. El reglamento europeo de datos ataca una parte del problema: según la Comisión Europea, suprimirá por completo los costes de cambio de proveedor de nube, incluidos los costes de salida de datos, a partir del 12 de enero de 2027. Hasta entonces, los proveedores todavía pueden facturar esos costes, y el trabajo de migración no desaparecerá con ellos.

La continuidad. Un servicio puede cambiar sus condiciones, desaparecer o verse restringido por razones comerciales o políticas. Una empresa cuya actividad depende de un único proveedor de IA no tiene ninguna palanca si ese proveedor modifica su modelo o sus tarifas de la noche a la mañana.

Posición 2: ponerse al día es ilusorio, y la mejor herramienta sigue siendo la mejor herramienta

El segundo bando responde con realismo.

La diferencia de inversión no se colma por decreto. Con tales diferencias entre los importes invertidos, pretender igualar a corto plazo a los grandes laboratorios estadounidenses es una ilusión.

Las empresas quieren lo que funciona. Un directivo de pyme no elige una herramienta por razones geopolíticas: quiere que sea fiable, documentada e integrada con sus demás programas. Imponer una herramienta peor en nombre de la soberanía es penalizar a los propios equipos.

La soberanía tiene un coste. Alojar por cuenta propia exige competencias, mantenimiento, copias de seguridad. Una pyme que no tiene esos recursos puede estar menos segura en su propio servidor que en un gran proveedor.

Estos argumentos son sólidos. Solo tienen un defecto: razonan en términos de todo o nada.

Lo que pensamos

Nosotros mismos operamos un servidor que ejecuta una docena de servicios: el CRM (Twenty, que usamos desde hace más de año y medio), la automatización (n8n), la medición de audiencia (Matomo), la firma electrónica, la facturación y modelos de IA locales (Ollama). No lo hacemos por ideología: estas herramientas, cuyo código es público, caben en una sola máquina, y mantenemos el control sobre sus datos, sus actualizaciones y sus copias de seguridad. En cambio, confiamos a proveedores estadounidenses lo que no tiene nada de sensible. El pipeline de traducción de Palmora Property, un portal de anuncios inmobiliarios en Tailandia que operamos, pasó así de DeepL, un servicio alemán, a Gemini, de Google: su coste se dividió por 60. Para los datos sensibles (RR. HH., jurídico, salud), nuestra tabla de enrutamiento prevé lo contrario: un modelo que se ejecuta en nuestro propio servidor con Ollama, ya en producción en nuestra empresa.

Las dos cosas no son contradictorias. Nuestra posición cabe en tres reglas:

1. Clasificar los datos antes de elegir las herramientas. Nuestra propia escala tiene tres niveles. Lo que es público (fichas de producto, artículos, descripciones de inmuebles) puede pasar por cualquier buen proveedor, al mejor precio. Lo interno no personal (procedimientos, bases de conocimiento) va a un proveedor que se compromete a no conservar los datos ni a usarlos para entrenar sus modelos, compromiso que hay que comprobar en el momento de elegir. Lo personal o regulado (RR. HH., salud, jurídico, datos nominativos de clientes) se queda en un servidor que uno administra, o en un proveedor europeo enmarcado por contrato.
2. Preferir lo que se puede exportar. Un software abierto, un formato estándar, una base de datos que se puede copiar: son puertas de salida. Un servicio cerrado del que no se puede extraer nada es una dependencia, aunque sea excelente.
3. Prever la salida desde la entrada. La pregunta «¿cómo nos vamos si los precios se duplican?» debe plantearse el día en que se firma, no el día en que los precios se duplican.

Lo que nos haría cambiar de opinión: la llegada de ofertas europeas de nube y de modelos de IA de nivel equivalente, a precio comparable, con el mismo ecosistema de integraciones. Ese día, la soberanía selectiva podría ampliarse. En octubre de 2026, no hemos llegado ahí.

Nube soberana: lo que garantiza realmente SecNumCloud

Detrás de la expresión «nube soberana», la cuestión es ante todo jurídica. Un servidor instalado en Francia no basta: si su proveedor está sometido al derecho estadounidense, la CLOUD Act presentada más arriba se le aplica. En Francia, la referencia es la cualificación SecNumCloud de la ANSSI, la Agencia nacional francesa de seguridad de los sistemas de información. Según su página dedicada a la nube, permite reconocer ofertas de nube «de confianza», cuyo uso se recomienda para proteger los datos sensibles, tanto frente a la amenaza cibercriminal como frente a la aplicación de leyes extraterritoriales.

Lo que la distingue de un simple alojamiento en Europa son sus criterios de inmunidad frente a las leyes no europeas. Elaborado en 2016, el referencial se actualizó tras una circular del 5 de julio de 2021: esta actualización añadió criterios técnicos y jurídicos de inmunidad frente a las leyes extraeuropeas. Cubre tanto el software en línea como las infraestructuras, y la cualificación es válida durante tres años, con auditorías de seguimiento cada año.

Las preguntas frecuentes de la ANSSI sobre SecNumCloud detallan lo que la cualificación exige al proveedor. La agencia fija también sus límites, y cuentan tanto como las garantías.

Para sus propios servicios digitales, el Estado francés ha decidido. Su doctrina «Cloud au centre» impone, para cada producto digital que maneje datos de una sensibilidad particular, una oferta comercial cualificada SecNumCloud, o dotada de una cualificación europea de un nivel al menos equivalente, e «inmunizada contra todo acceso no autorizado por autoridades públicas de Estados terceros». Se trata de los datos cuya violación podría atentar contra el orden público, la seguridad pública, la salud y la vida de las personas o la protección de la propiedad intelectual.

A escala europea, el esquema de certificación de ciberseguridad de los servicios en la nube, llamado EUCS, «no está finalizado a día de hoy», según las preguntas frecuentes de la ANSSI consultadas en octubre de 2026. El 17 de noviembre de 2025, la ANSSI y su homóloga alemana, la BSI, publicaron una declaración conjunta sobre los criterios de soberanía digital de la nube: subraya la necesidad de que la Unión Europea refuerce su soberanía digital frente a las dependencias tecnológicas no europeas.

Nuestra lectura: SecNumCloud trata el riesgo jurídico que plantea la CLOUD Act, algo que un simple alojamiento en Europa no hace; no resuelve todo lo demás. No sustituye ni las copias de seguridad probadas ni la puerta de salida de la que hablábamos más arriba. Tiene su lugar en el tercer nivel de nuestra escala: cuando unos datos personales o regulados no pueden quedarse en un servidor que uno administra, es la referencia para comprobar que un proveedor europeo también lo es en derecho, y la primera opción que mirar cuando un contrato o una normativa lo exige. Antes de elegir, compruebe que la oferta concreta que busca figura, con sus fechas de validez, en el catálogo de soluciones cualificadas por la ANSSI, actualizado al menos una vez al mes: es la oferta la que está cualificada, no el proveedor.

Lo que cambia en concreto para una empresa

Para una empresa de 20 a 500 personas, la soberanía no empieza con un gran proyecto. Empieza con un inventario:

• ¿Dónde están mis datos? Hacer la lista de las herramientas que almacenan datos de clientes o empleados, y en qué proveedor. Es también el primer criterio para decidir dónde instalar su infraestructura en la nube.
• ¿Qué pasa si un proveedor desaparece mañana? Para cada herramienta crítica, comprobar que existe una exportación completa y que ya se ha probado.
• ¿Qué tareas de IA tocan datos sensibles? Son las que merecen un modelo abierto alojado en Europa o internamente, como detallan los cuatro niveles de una IA privada en la empresa. Para una parte de ellas, un modelo más pequeño basta y cuesta menos: es el tema de nuestra sección sobre la IA de empresa privada y al coste justo.
• ¿Qué herramientas pueden sustituirse por una versión abierta? Un CRM, una herramienta de automatización o una medición de audiencia caben en un solo servidor, como los nuestros, siempre que se asegure su explotación. Por dónde empezar: las herramientas que conviene sacar primero del SaaS; las demás elecciones están en nuestra sección de infraestructura y nube.

La misma lógica vale para el sitio web: un sitio estático se sirve desde cualquier alojamiento, porque solo está hecho de archivos. Es una forma sencilla de puerta de salida.

Y si quiere saber qué ganaría volviendo a su casa, la auditoría de nuestra oferta de salida del SaaS compara lo que paga hoy y lo que pagará en tres años; si la migración no merece la pena, se lo decimos.

Preguntas frecuentes

Fuentes

1. Medición de la cuota de mercado de los proveedores europeos en Europa (nueva pestaña)srgresearch.com
2. Informe AI Index 2025 de la Universidad de Stanford (nueva pestaña)hai.stanford.edu
3. CLOUD Act de marzo de 2018 (nueva pestaña)law.cornell.edu
4. La Comisión Europea (nueva pestaña)digital-strategy.ec.europa.eu
5. Su página dedicada a la nube (nueva pestaña)cyber.gouv.fr
6. Las preguntas frecuentes de la ANSSI sobre SecNumCloud (nueva pestaña)cyber.gouv.fr
7. Doctrina «Cloud au centre» (nueva pestaña)numerique.gouv.fr
8. Una declaración conjunta sobre los criterios de soberanía digital de la nube (nueva pestaña)cyber.gouv.fr
9. El catálogo de soluciones cualificadas por la ANSSI (nueva pestaña)cyber.gouv.fr