La soberanía de la nube ha pasado de ser un debate geopolítico a convertirse en una prioridad operativa para empresas y administraciones europeas. La dependencia de un número reducido de proveedores globales, el avance de la inteligencia artificial y las exigencias normativas han puesto el foco en cuestiones muy concretas: dónde se procesan los datos, quién puede acceder a los sistemas y bajo qué jurisdicción se opera. Ya no basta con elegir una región cloud; lo que está en juego es el control efectivo sobre la infraestructura y los servicios críticos.
En España, el informe Soberanía digital: de la ambición política al imperativo ejecutivo, del Capgemini Research Institute, refleja la magnitud del reto. El 92% de las organizaciones españolas presenta una exposición significativa en términos de soberanía digital, una cifra superior a la media global del 86%. Para Sergio Torres, managing director de Cloud Infrastructure Services de Capgemini, el objetivo no es eliminar la dependencia, sino gestionarla con criterio. En un ecosistema hiperconectado, añade, la soberanía consiste en construir una interdependencia resiliente, no en aislarse. Tres de cada cuatro compañías españolas comparten ese enfoque pragmático, y el 58% entiende la soberanía digital sobre todo como una forma de mitigar riesgos y reforzar la continuidad del negocio.
La dependencia tecnológica, bajo la lupa
El estudio sitúa la inteligencia artificial y la nube en el centro de las nuevas dependencias. El 75% de las organizaciones españolas considera la IA una prioridad dentro de sus estrategias de soberanía digital, mientras que el 65% señala el cloud computing. Al mismo tiempo, el 69% reconoce depender de proveedores internacionales para sus servicios cloud y el 61% para capacidades de inteligencia artificial. Torres advierte de que el reto no está solo en acceder a esas tecnologías, sino en integrarlas de forma gobernable: una nube soberana permite que la IA sea transparente, auditable y controlable, lo que facilita pasar de los pilotos a despliegues con valor real.
La capacidad de reacción ante una hipotética interrupción de un proveedor estratégico añade presión. En ámbitos críticos como datos o inteligencia artificial, al 43% de las organizaciones españolas le llevaría más de doce meses sustituir a su proveedor principal. En hardware el porcentaje alcanza el 38% y en ciberseguridad se queda en el 36%. Para Capgemini, estas cifras muestran que la resiliencia tecnológica no puede plantearse como un simple plan de contingencia, sino que debe diseñarse desde el inicio con portabilidad y estrategias de salida claras dentro de la arquitectura.
Los datos aparecen como el activo más sensible. Más de la mitad de las organizaciones españolas cree que la gestión y ubicación de la información representa el mayor riesgo para la continuidad operativa, por delante de la ciberseguridad, la conectividad o el hardware. Además, el 55% percibe una elevada concentración de proveedores en este terreno. El problema se agrava por la falta de visibilidad: solo el 14% dispone de un mapeo completo y en tiempo real de su cadena de suministro tecnológica, el 40% tiene visibilidad parcial de sus proveedores directos y una de cada cuatro empresas reconoce no contar con un entendimiento formal de sus riesgos.
La preocupación ya se traduce en decisiones de gobierno corporativo. El 59% de las compañías españolas considera la soberanía digital una prioridad máxima para el consejo de administración, una proporción muy superior a la media global. Prácticamente todas las grandes organizaciones abordan el asunto en sus órganos de gobierno y casi la mitad ha implantado una estrategia específica. La idea que gana terreno es la de una soberanía digital mínima viable: identificar qué activos son críticos, mapear dependencias y proteger lo esencial para garantizar la continuidad. De hecho, el 76% ve más práctico combinar tecnologías críticas con alianzas estratégicas que intentar alcanzar una propiedad total de todas las capacidades.
Bruselas quiere más capacidad y reglas propias
En el plano europeo, la Comisión Europea quiere al menos triplicar la capacidad de los centros de datos de la Unión en los próximos cinco a siete años mediante la propuesta Cloud and AI Development Act (CADA). El plan movería la potencia instalada desde los aproximadamente 12 GW actuales hasta más de 27 GW, una expansión que, según las estimaciones recogidas por CryptoBriefing, requeriría cerca de 200.000 millones de euros de inversión, en su mayoría privada. Los centros de datos europeos consumieron 68 TWh de electricidad en 2024 y la Comisión proyecta 114 TWh en 2030, alrededor del 3,2% de la demanda eléctrica comunitaria. El objetivo declarado no es aislarse, sino reducir una vulnerabilidad que atraviesa chips, servidores y cloud.
La fotografía de la dependencia es llamativa. Según datos citados por Xataka a partir de informes de GEA y DECISION, solo el 6% del valor de los semiconductores para centros de datos queda en manos de empresas con sede en la UE; en fabricación y ensamblaje de servidores el porcentaje es del 7%, y en infraestructura cloud se limita al 8%. En servicios cloud, la cuota de proveedores europeos cayó del 29% en 2017 al 15% en 2022 y se ha mantenido estancada. AWS, Microsoft Azure y Google Cloud concentran más del 70% del mercado cloud europeo, mientras que a escala global el mercado de infraestructura cloud movió 143.000 millones de dólares en el segundo trimestre de 2026, con AWS en el 28%, Microsoft en el 20% y Google Cloud en el 15%.
Europa mantiene, sin embargo, una posición excepcional en la cadena de valor de los chips. ASML, con sede en Veldhoven, es el único fabricante mundial de sistemas de litografía EUV, máquinas indispensables para producir los semiconductores más avanzados. La compañía reportó ingresos cercanos a 37.500 millones de dólares en su año fiscal 2025, con un margen neto del 29,4%, y su capitalización bursátil ronda los 700.000 millones de dólares. Aun así, la empresa confirmó que los fabricantes europeos de chips no han realizado pedidos de sistemas de litografía en 2026, una señal de la falta de demanda doméstica que Bruselas quiere revertir con el Chips Act 2.0.
La propuesta CADA introduce además una definición de soberanía cloud en cuatro niveles. El primero exige que los datos se procesen y almacenen en infraestructura ubicada en la UE. El segundo reclama independencia de terceros países y transparencia sobre la cadena de software. El tercero va más allá y pide que el proveedor sea propiedad y esté controlado desde dentro de la UE. El cuarto exige transparencia total sobre la cadena de software y ausencia de injerencia de terceros países. Sebastián Muriel, chief digital officer de Telefónica, resumió el debate con una frase que se ha convertido en referencia: «No importa si el servidor está en Madrid, Fráncfort o Dublín si la matriz está en Redmond o Mountain View». Habló incluso de soberanía alquilada para describir la situación actual.
El escrutinio sobre operaciones corporativas también crece. La Comisión Europea utilizó el caso de Kyndryl, que intentaba adquirir a Solvinity, proveedor neerlandés de infraestructura para la administración que da servicio a 16,5 millones de ciudadanos, como ejemplo de las operaciones que requieren análisis. El Gobierno de Países Bajos bloqueó la compra en mayo de 2026 por motivos de interés público, autonomía digital y protección de infraestructuras críticas. La decisión muestra que la soberanía no se limita a la ubicación de los servidores, sino que afecta a quién controla las empresas que sostienen servicios esenciales.
El despliegue de más centros de datos no está exento de resistencias. CryptoBriefing documenta protestas crecientes en Irlanda, Países Bajos y Francia por el consumo eléctrico, el uso de agua y el impacto visual de las instalaciones. En Alemania, Reino Unido y Francia, conseguir una conexión a la red eléctrica puede tardar años. En Irlanda, el crecimiento de los data centers ya genera preocupación por posibles cortes para hogares y negocios mientras los centros mantienen encendidas las operaciones de multinacionales tecnológicas. La Comisión respondió el 21 de septiembre de 2026 con un sistema de etiquetas de sostenibilidad automáticas para centros de datos de más de 500 kW. Cada instalación recibirá una calificación de eficiencia energética (PUE de 1,15 a más de 1,9) y de eficiencia hídrica (WUE de 0,1 a más de 1,0), que se actualizará cada año desde agosto de 2027. Mejorar el PUE de 1,6 a 1,2 reduce el consumo eléctrico un 25%, y recuperar la mitad del calor residual de los centros europeos podría cubrir la demanda de calefacción de casi cuatro millones de hogares.
Para startups y empresas proveedoras, el marco europeo cambia las reglas de compra, alojamiento y escalado de infraestructura. La Comisión adjudicó en abril de 2026 contratos por hasta 180 millones de euros para servicios de cloud soberano destinados a instituciones de la UE. Los clientes públicos y los sectores regulados exigirán certificados de soberanía y procedencia de datos, y la residencia geográfica dejará de ser suficiente: habrá que evaluar quién controla al proveedor y su cadena de software. El cuello de botella no será solo tecnológico, porque el 60% de las empresas de la UE reporta dificultades para contratar perfiles de IA, ciberseguridad y tecnologías limpias. CADA y el Chips Act 2.0 siguen siendo propuestas legislativas, no leyes, y deberán recorrer el proceso europeo. La consulta pública sobre reglas mínimas de rendimiento para centros de datos cierra el 14 de diciembre de 2026 y la propuesta final se espera para el segundo trimestre de 2027.
Certificaciones y alternativas para administraciones
En paralelo a la regulación, el mercado mueve ficha con certificaciones y alianzas. Atos ha obtenido la certificación SAP Sovereign Cloud Partner para modernizar y operar entornos críticos de SAP bajo requisitos de control del dato, gobernanza y cumplimiento normativo. La validación amplía las alternativas disponibles para administraciones y empresas reguladas que necesitan trasladar cargas de trabajo a la nube o incorporar inteligencia artificial sin ceder por completo el control operativo, jurídico y técnico de sus sistemas. El reconocimiento abarca inicialmente Alemania, Francia, Países Bajos y Reino Unido, y Atos mantiene abierto el proceso para extenderlo a otras ubicaciones.
La certificación conecta los servicios gestionados y la infraestructura europea de Atos con la estrategia de SAP para ampliar su oferta soberana. La propuesta se dirige especialmente a la Administración Pública y a los servicios financieros, donde la localización de los datos, el acceso a la infraestructura y la jurisdicción aplicable condicionan las decisiones de modernización. SAP estructura su planteamiento alrededor de cuatro dimensiones de control: datos, operaciones, tecnología y marco jurídico. Atos combina infraestructura, alojamiento, ciberseguridad y operación de aplicaciones. Según la compañía, este modelo permite adoptar cloud e inteligencia artificial manteniendo la gobernanza y el control operativo.
Martin Merz, presidente de Sovereign Cloud de SAP, sitúa la incorporación de Atos dentro de la ampliación de esa red de proveedores: «La soberanía digital se construye a través de ecosistemas de confianza. Al trabajar con Atos como socio validado, ampliamos el alcance de SAP Sovereign Cloud y ayudamos a las organizaciones a modernizar procesos de negocio críticos mediante cloud e inteligencia artificial, manteniendo al mismo tiempo el control, la gobernanza y la resiliencia operativa». SAP declara además una inversión adicional superior a 20.000 millones de euros para aumentar la cobertura geográfica y funcional de SAP Sovereign Cloud. Atos acumula 20 años consecutivos de certificación como Operations Partner de SAP y ha recibido el Golden Certificate asociado a esa trayectoria, lo que acredita experiencia prolongada en la gestión de entornos SAP.
En Alemania, la apuesta por alternativas soberanas tiene otro frente abierto con openDesk, la suite de ofimática y colaboración del Estado federal. Desde octubre de 2024 existía una versión impulsada desde el sector público, pero con nueve meses de retraso el Centro para la Soberanía Digital (ZenDiS) ha abierto su distribución a proveedores privados de nube y empresas de sistemas. openDesk reúne correo electrónico, calendario, almacenamiento de archivos, procesador de textos, chat y videoconferencias en una suite de componentes europeos de código abierto, planteada como alternativa a Microsoft 365 para las administraciones.
El programa de socios distingue tres roles. Los distribuidores oficiales suministran suscripciones de openDesk a proveedores de nube y de servicios de TI. Los integradores de sistemas autorizados se encargan de la implantación y la operación en el entorno del cliente y deben acreditar experiencia con código abierto, Kubernetes y openDesk. El rol más exigente es el de Approved Sovereign Service Provider, que opera openDesk como software como servicio en su propia nube. Para ello exige una atestación según el catálogo C5 del BSI y el nivel 3 del European Cloud Sovereignty Framework (SEAL), ambas con auditorías externas. Quien no tenga esas acreditaciones puede revender a través de un distribuidor oficial, pero no operar directamente.
ZenDiS había anunciado el programa para finales de 2025 y en enero de 2026 lo aplazó al primer trimestre de 2026. El inicio definitivo, el 23 de septiembre, llega aproximadamente medio año después del segundo compromiso. La directora ejecutiva de ZenDiS, Pamela Krosta-Hartl, justificó el lanzamiento por la enorme demanda de la suite soberana y la necesidad de coordinar a las partes implicadas. En paralelo, ZenDiS amplía el acceso para la administración con una oferta SaaS junto a la cooperativa govdigital, que podrá contratarse a través del Marktplatz Deutschland Digital y del cloud broker gd.Cloud. Así, los proveedores privados también competirán con una alternativa impulsada desde el sector público.
El mapa que dibujan estas iniciativas combina presión regulatoria, dependencia tecnológica y respuestas concretas. España muestra una exposición elevada en cloud e IA, con los datos como principal preocupación y una creciente implicación de los consejos de administración. Bruselas prepara más capacidad de centros de datos, niveles de soberanía y etiquetas energéticas, aunque el marco todavía no es ley. En el mercado, certificaciones como la de Atos para SAP y proyectos como openDesk buscan ofrecer alternativas para administraciones y sectores regulados. La discusión ya no gira solo en torno a dónde está el servidor, sino a quién controla la infraestructura, la cadena de software y las decisiones sobre servicios críticos en un entorno cada vez más condicionado por la geopolítica y la inteligencia artificial.
