En el mapa de regiones de Amazon Web Services (AWS) en Europa ha aparecido una nueva etiqueta que suena a promesa de tranquilidad para gobiernos y empresas reguladas: “AWS European Sovereign Cloud – coming soon”, con la primera región anunciada en Alemania. La propuesta parece sencilla de entender: la misma tecnología de AWS de siempre, pero alojada en territorio de la Unión Europea, operada por personal europeo y pensada para cumplir RGPD, NIS2 y el resto de normas comunitarias.
El mensaje implícito es incluso más ambicioso:
“no renuncies a la potencia del mayor proveedor de cloud del mundo, te damos además soberanía europea”.
La pregunta incómoda es otra, mucho más simple:
¿puede una infraestructura controlada por una empresa estadounidense ser realmente soberana para Europa?
La respuesta corta, si se habla de soberanía en sentido fuerte, es no.
La promesa: datos en la UE, manos europeas, misma tecnología
AWS presenta su nube soberana europea con tres pilares principales:
- Residencia de datos en la Unión Europea: las regiones estarán físicamente en territorio comunitario y aisladas de otras regiones globales.
- Operación por personal europeo: la gestión, administración y soporte se realizarán exclusivamente desde la UE.
- Compatibilidad tecnológica: las mismas APIs, servicios y herramientas que en el resto de AWS, para que los clientes no tengan que reescribir sus aplicaciones.
Se trata de un movimiento en la misma línea de otros competidores: Microsoft impulsa su propia oferta “soberana” a través de proyectos como Bleu en Francia, y Google hace lo propio con S3NS junto a Thales. La idea de fondo es idéntica: ofrecer una capa adicional de garantías a administraciones públicas, bancos, aseguradoras, operadores críticos y otros sectores sometidos a regulaciones estrictas.
Sobre el papel, todo esto suena razonable. Pero el problema de la soberanía no se resuelve con geografía ni con organigramas internos.
El límite jurídico: cuando el CLOUD Act entra en escena
El verdadero choque con la idea de “cloud soberano” no está en los bits, sino en las leyes.
Empresas como AWS, Microsoft o Google están sometidas al derecho de Estados Unidos. Entre otras normas, al CLOUD Act, que permite a las autoridades estadounidenses requerir datos a compañías bajo su jurisdicción aunque esos datos estén almacenados fuera del país, siempre que la empresa tenga “posesión, custodia o control” sobre ellos.
Dicho de manera llana:
si la matriz está en EE. UU. y mantiene control último sobre la tecnología, la gestión de claves o los procesos internos, ningún centro de datos en Alemania, Francia o España es plenamente inmune a una orden de acceso dictada al otro lado del Atlántico.
En paralelo, el marco europeo (RGPD, NIS2, DORA, Data Act, futura regulación de IA…) se construye precisamente sobre la idea contraria: que los datos de ciudadanos, empresas y administraciones de la UE estén protegidos frente a injerencias de terceros países y sometidos en última instancia a los tribunales europeos.
Entre ambas lógicas se abre una grieta que ningún eslogan de sovereign-by-design puede tapar del todo.
Soberanía no es solo “dónde están los servidores”
Cuando en Bruselas, Berlín o Madrid se habla de soberanía digital, no se está pensando únicamente en poner centros de datos dentro de las fronteras.
Hay, al menos, tres capas:
- Jurisdicción
Que la infraestructura, los datos y quienes los operan estén bajo el paraguas exclusivo del derecho europeo, sin interferencias legales exteriores. - Control tecnológico
Poder auditar el código, migrar cargas de trabajo, cambiar de proveedor o replicar servicios sin quedar atrapado en un único actor global. - Gobernanza y resiliencia geopolítica
Decidir qué ocurre en caso de conflicto diplomático, sanciones, cambios bruscos de política comercial o ciberataques de gran escala.
Las nubes “soberanas” que ofrecen los hiperescalares mejoran la situación actual en algunos de estos frentes (más controles de acceso, mayor separación física, modelos de gobierno locales), pero no cambian el hecho fundamental de que el timón corporativo y jurídico sigue en Estados Unidos.
Es una soberanía “por configuración”, no por naturaleza.
El riesgo del autoengaño: confundir cumplimiento con independencia
Para muchas organizaciones, la prioridad inmediata no es la soberanía en mayúsculas, sino algo más práctico: cumplir normativa, evitar sanciones y poder demostrar a los reguladores que han tomado medidas razonables.
Desde ese punto de vista, una nube “europea” de AWS, Microsoft o Google puede ser un paso adelante:
- facilita auditorías y certificaciones,
- reduce riesgos en transferencias internacionales de datos,
- ofrece controles adicionales de acceso y cifrado,
- y mantiene un ecosistema de servicios al que ya están acostumbradas miles de empresas.
El problema aparece cuando se vende esa solución como soberanía plena y se utiliza como coartada para no ir más allá.
Cumplir hoy una checklist regulatoria no garantiza independencia mañana si cambian las condiciones políticas, comerciales o legales.
Europa corre el riesgo de caer en una zona de confort:
“ya tenemos nubes soberanas de los grandes, no hace falta complicarse la vida con alternativas”.
Mientras tanto, el ecosistema europeo sigue a la sombra
Lo paradójico es que la UE sí cuenta con un tejido relevante de empresas de infraestructura, centros de datos y proveedores de cloud que son 100 % europeos en capital, ubicación y jurisdicción.
Hay grandes nombres paneuropeos, operadores históricos de telecomunicaciones con divisiones cloud, proveedores de bare metal y housing, y un número creciente de especialistas en cloud privado, plataformas de contenedores, servicios gestionados y edge computing repartidos por todo el continente.
Estas compañías tienen una ventaja clave:
- sus matrices están en territorio de la UE,
- responden solo ante reguladores europeos,
- y pueden diseñar sus servicios sin la sombra del CLOUD Act o del Patriot Act.
Sin embargo, rara vez se las coloca en el centro del debate. Se las ve como “complemento”, como opción de nicho para cargas muy concretas, mientras el grueso del gasto en nube pública sigue concentrándose en los hiperescalares estadounidenses.
La pregunta es si eso es compatible, a largo plazo, con el discurso de autonomía estratégica que se repite desde las instituciones comunitarias.
¿Qué podría hacer Europa si se toma la soberanía en serio?
Plantear que un “cloud soberano europeo” no puede ser plenamente americano no implica cerrar la puerta a los proveedores de EE. UU. ni demonizar su tecnología. Significa, sencillamente, reconocer límites y actuar en consecuencia.
Algunas líneas de acción evidentes serían:
- Diferenciar niveles de criticidad
No todas las cargas son iguales. Para ciertos datos ultra sensibles (defensa, seguridad nacional, inteligencia, infraestructuras críticas, registros sanitarios, justicia) la exigencia de soberanía debería ser máxima: solo proveedores bajo jurisdicción exclusivamente europea. Para otros usos, un modelo mixto puede tener sentido. - Condicionar la contratación pública
La administración, que mueve miles de millones en licitaciones TIC, podría marcar el rumbo exigiendo, en determinados proyectos, operadores no sometidos a leyes extraterritoriales. Eso enviaría una señal clara al mercado. - Apoyar el desarrollo de nubes europeas competitivas
No basta con proclamar la importancia de la soberanía. Hacen falta programas de inversión, compra pública innovadora, estándares abiertos y marcos de certificación que permitan a proveedores europeos crecer, interconectarse y competir. - Fomentar la arquitectura multi-cloud de verdad
Animar a las organizaciones a repartir cargas entre varios proveedores, combinando hiperescalares globales y clouds europeos, de forma que una eventual ruptura con un actor no paralice por completo los servicios esenciales.
¿Soberanía como feature o como decisión estratégica?
El anuncio del AWS European Sovereign Cloud y las iniciativas equivalentes de otros gigantes prueban que Europa ya pesa lo suficiente como para obligar a adaptar la oferta global. Es, en sí mismo, un pequeño éxito político y regulatorio.
Pero si la UE confunde esa adaptación con la conquista de la soberanía, estará aceptando que “soberanía” es solo una casilla de producto en una ficha comercial, una feature más en el catálogo de servicios.
La soberanía, en cambio, es otra cosa:
- es poder decir que los datos críticos de un continente no dependen de las decisiones de un parlamento extranjero;
- es tener alternativas reales si un conflicto geopolítico cambia las reglas de juego;
- es disponer de un tejido de empresas propias capaz de sostener, con garantías, la infraestructura digital sobre la que descansan la economía, la seguridad y los derechos de la ciudadanía.
Para esa tarea, los centros de datos “soberanos” operados por filiales europeas de grupos estadounidenses pueden ser parte de la solución…
pero nunca el sustituto de un auténtico ecosistema de infraestructura y cloud construido, gobernado y protegido desde Europa.
Y esa es, en el fondo, la elección que el continente no podrá esquivar durante mucho más tiempo.
