27 de mayo: Reflexión sobre la soberanía tecnológica de la UE: GCC High en Frankfurt dejó de funcionar

Durante casi una década, la soberanía de los datos europeos se ha debatido en tribunales, conferencias y cláusulas contractuales. El 27 de mayo de 2026, se espera que entre en vigor en la ley de adquisiciones de la UE.

Aspectos clave

1. Bruselas pasa de la retórica a la aplicación. El 27 de mayo de 2026, se espera que la Comisión Europea presente un Paquete de Soberanía Tecnológica que restringirá a los gobiernos de los Estados miembros de la UE el uso de proveedores de nube estadounidenses para datos públicos sensibles en los sectores de salud, finanzas y sistemas judiciales.
2. El CLOUD Act es la causa señalada. Las autoridades estadounidenses pueden obligar a los proveedores con sede en EE. UU. a divulgar datos sin importar dónde estén almacenados bajo el CLOUD Act de 2018. La residencia de datos europea no puede resolver ese problema estructural.
3. Las organizaciones europeas ya lo veían venir. El 44% señala preocupaciones sobre las garantías de soberanía de los proveedores como una barrera, y el 32% reportó un incidente de soberanía en los últimos 12 meses, siendo las transferencias transfronterizas no autorizadas el tipo más común.
4. La arquitectura supera a los contratos. Schrems II estableció hace nueve años que los contratos no pueden anular las leyes de acceso de gobiernos extranjeros. El paquete de la Comisión operacionaliza ese principio por primera vez a nivel de adquisiciones de la UE.
5. «Soberanía demostrable» se convierte en el mínimo de contratación. Los reguladores esperarán tres cosas: aplicación de la residencia a nivel de arquitectura, artefactos de evidencia exportables y preparación probada de respuesta ante solicitudes de acceso gubernamental.

Según informes de CNBC, la Comisión Europea está preparando un «Paquete de Soberanía Tecnológica» que restringirá el uso de proveedores de nube estadounidenses por parte de los gobiernos de los Estados miembros para datos públicos sensibles, junto con la Ley de Desarrollo de Nube e IA y la Chips Act 2.0. Las medidas no prohibirían por completo a los proveedores estadounidenses, pero limitarían su uso en salud, finanzas y sistemas judiciales, precisamente los entornos que han estado en el centro de la tensión entre el GDPR y el CLOUD Act desde 2018.

Funcionarios europeos dijeron a los periodistas que la idea central es definir sectores que deben alojarse en capacidad de nube europea. Una vez presentado, el paquete necesita la aprobación de los 27 Estados miembros. Es la primera vez que la Comisión traslada el debate sobre soberanía de un riesgo teórico a una restricción de adquisiciones.

Lo que cambia el 27 de mayo no es la ley subyacente. El CLOUD Act de EE. UU. sigue vigente. El GDPR sigue vigente. Schrems II sigue vigente. Lo que cambia es que las organizaciones europeas ya no podrán argumentar que una nube controlada por EE. UU. que opera en Frankfurt es funcionalmente equivalente a una soberana. La Comisión está a punto de hacer esa distinción vinculante para el sector público. El sector privado seguirá, porque los estándares de adquisición son gravitacionales.

A qué responde realmente la Comisión

El Paquete de Soberanía Tecnológica no llega en el vacío. Es la respuesta institucional a una serie de revelaciones que han cambiado silenciosamente la percepción europea sobre los proveedores de nube estadounidenses en los últimos 18 meses.

Una audiencia del Senado francés en 2025 produjo una admisión que ha resonado en los círculos políticos europeos: incluso con residencia de datos europea, un proveedor con sede en EE. UU. no puede garantizar que los datos de la UE nunca serán solicitados por autoridades estadounidenses. Como señala el análisis de Databalance sobre la posición de soberanía de Microsoft en 2026, la realidad legal no ha cambiado: aún no existe una ley que derogue el efecto extraterritorial del CLOUD Act de EE. UU.

Luego llegó la investigación de ProPublica sobre la autorización FedRAMP de Microsoft GCC High, publicada en marzo de 2026. La investigación reveló que los revisores de FedRAMP concluyeron que GCC High carecía de confianza para evaluar la postura general de seguridad del sistema antes de autorizarlo de todos modos, citando el hecho de que las agencias federales ya lo estaban usando. Como informó ProPublica, el equipo encontró problemas fundamentales para la administración de riesgos, incluyendo la remediación oportuna de vulnerabilidades y el escaneo de vulnerabilidades.

Los reguladores europeos leyeron esa investigación. También observaron la Cumbre de Soberanía Digital de Microsoft en Bruselas en abril de 2026, donde la empresa redefinió la soberanía como una disciplina continua de administración de riesgos en lugar de un destino fijo, reconociendo de hecho que las garantías basadas en la ubicación ya no son suficientes.

La Comisión ahora está codificando lo que las organizaciones europeas ya habían concluido a nivel operativo.

Los datos que anticiparon este momento

Las organizaciones europeas llevan dos años diciendo a los investigadores que los contratos no podían resolver su problema de soberanía. Kiteworks 2026 Data Security and Compliance Risk: Data Sovereignty in Europe encuestó a 286 profesionales de TI y seguridad en Canadá, Oriente Medio y Europa y expuso la brecha con cifras concretas.

El 80% de los encuestados europeos se describe como bien o muy bien informado sobre los requisitos de soberanía. Sin embargo, el 32% experimentó un incidente de soberanía en los últimos 12 meses. El tipo de incidente más común fueron las transferencias transfronterizas no autorizadas, seguidas de investigaciones regulatorias, filtraciones de datos con implicaciones de soberanía y fallos de cumplimiento de terceros.

El Europe Sovereignty Report lo concluyó explícitamente: la madurez regulatoria reduce pero no elimina los incidentes. La brecha restante es operativa, no informativa, y cerrarla requiere arquitectura, no más formación en concienciación. El 44% de los encuestados señaló las garantías de soberanía de los proveedores como su principal barrera, el porcentaje más alto de todas las regiones encuestadas y un desafío directo a la suposición de que los centros de datos de la UE por sí solos resuelven el problema.

El 28% de los encuestados europeos ya reporta presupuestos anuales de soberanía superiores a 5 millones de euros. Entre las organizaciones con más de 10.000 empleados, más del 70% se sitúa en los niveles de mayor gasto. Las inversiones se concentran en áreas que permiten control demostrable: aplicación de residencia de datos, custodia de claves de cifrado, automatización de políticas de acceso y registros de auditoría exportables. Las organizaciones ya habían comenzado a invertir para cubrir la brecha que la Comisión está a punto de formalizar.

Por qué «GCC High en Frankfurt» nunca iba a superar esta prueba

La defensa más común que ofrecen los proveedores estadounidenses para las cargas de trabajo europeas es alguna versión de un enclave soberano: un producto de nube estadounidense, operado en centros de datos europeos, gestionado por personal europeo y regido por entidades europeas. Microsoft GCC High es el ejemplo principal para cargas de trabajo del gobierno de EE. UU., y sus equivalentes comerciales —Microsoft Cloud for Sovereignty, AWS European Sovereign Cloud, Google Cloud Sovereign Solutions— siguen el mismo patrón arquitectónico en Europa.

El Paquete de Soberanía Tecnológica parte del reconocimiento de que este patrón no resuelve el problema estructural. La geografía no es jurisdicción, y un enclave operado por una entidad controlada por EE. UU. sigue estando al alcance del CLOUD Act sin importar en qué país estén sus servidores.

La versión técnica del problema es la custodia de claves. Mientras un proveedor con sede en EE. UU. posea, administre o pueda ser obligado a recuperar las claves de cifrado del cliente, la ubicación de los datos es irrelevante a nivel operativo. La función Customer Key de Microsoft ilustra la brecha: los clientes pueden aportar sus propias claves, pero Microsoft conserva vías operativas para desbloquear datos en operaciones de servicio. Eso basta para cumplir una solicitud del CLOUD Act y no es suficiente para satisfacer a un regulador que lea detenidamente Schrems II.

La Comisión avanza hacia una definición de soberanía que exige tres elementos que el modelo de enclave no puede ofrecer simultáneamente: separación criptográfica del acceso del proveedor, inmunidad jurisdiccional frente a la ley extraterritorial y evidencia exportable de que la residencia se aplicó realmente.

Cómo se ve la «soberanía demostrable» cuando la aplicación es real

El Europe Sovereignty Report plantea la respuesta operativa en tres pilares arquitectónicos. El Paquete de Soberanía Tecnológica convertirá cada uno en un requisito de adquisición.

Controles. Aplicación de residencia, custodia de claves de cifrado y políticas de acceso que impidan el movimiento transfronterizo no autorizado a nivel de arquitectura, no solo contractual. Las organizaciones deben poder demostrar que los datos físicamente no pueden salir de una jurisdicción definida sin un evento explícito, registrado y evaluado por políticas.

Artefactos de evidencia. Registros de auditoría exportables, registros de residencia de datos e informes de cumplimiento que satisfagan a los reguladores bajo demanda. El 55% de los encuestados europeos planea invertir en automatización del cumplimiento en los próximos dos años, y el 51% en controles técnicos. El motivo común es que la recopilación manual de evidencia no escala a través de DORA, NIS 2, la Data Act y la Ley de IA de la UE al mismo tiempo.

Preparación de respuesta. Manuales probados para solicitudes de acceso a datos gubernamentales, fallos de proveedores terceros, Transfer Impact Assessments y escenarios de cumplimiento de Schrems II. El 36% de los encuestados europeos ya cita los cambios geopolíticos —especialmente los cambios en la política de EE. UU.— como una de sus principales preocupaciones. Las organizaciones que hayan ensayado estos manuales avanzarán por la ventana de aplicación de la Comisión con sus posiciones de adquisición intactas. Las que no lo hayan hecho descubrirán la brecha en el momento de la auditoría.

El enfoque de Kiteworks: arquitectura que resiste cuando los contratos no pueden

Este es el momento arquitectónico para el que se diseñó la gobernanza a nivel de datos. Kiteworks opera un plano de control seguro basado en la premisa de que la soberanía no puede delegarse en la promesa contractual de un proveedor. Las opciones de implementación —en las instalaciones, nube privada, híbrida y tenencia única alojada— permiten a las organizaciones mantener contenido confidencial exclusivamente dentro de la infraestructura de la UE, independiente de proveedores con sede en EE. UU. sujetos al CLOUD Act.

La plataforma aplica tres controles que el paquete de la Comisión recompensará. La custodia de claves de cifrado puede ser retenida por el cliente en la jurisdicción, con módulos criptográficos validados FIPS 140-3 y cifrado doble en reposo —a nivel de archivo y de disco con claves separadas. Las políticas de acceso se aplican en la capa de infraestructura mediante ABAC y RBAC, cada solicitud autenticada y autorizada según reglas basadas en atributos antes de acceder a cualquier dato. Los registros de auditoría a prueba de manipulaciones se entregan a SIEM en tiempo real sin limitaciones ni demoras, generando la evidencia exportable que los reguladores exigirán cada vez más.

El Secure MCP Server y la puerta de enlace de datos IA extienden la misma gobernanza a las interacciones de agentes de IA, de modo que la postura de soberanía de una organización no se derrumba cuando los flujos de trabajo de IA acceden a los mismos datos regulados. Cada solicitud de IA se autentica, autoriza, cifra y registra con los mismos controles a nivel de datos aplicados a los usuarios humanos: las obligaciones GPAI de la Ley de IA de la UE y los requisitos de residencia del Paquete de Soberanía Tecnológica se cumplen a través de la misma arquitectura.

Qué deben hacer las organizaciones antes del 27 de mayo

Primero, mapea cada carga de trabajo que maneje datos personales sensibles al alcance jurisdiccional real de su proveedor de nube, no solo a la ubicación del centro de datos. Si la entidad controladora tiene sede en EE. UU., la carga de trabajo está expuesta al CLOUD Act sin importar la geografía. Según el Europe Sovereignty Report de Kiteworks, el hallazgo de que el 32% de las organizaciones europeas tuvo un incidente de soberanía en el último año es el mínimo, no el máximo, de lo que la Comisión examinará.

Segundo, establece la custodia de claves de cifrado fuera del alcance del proveedor para las cargas de trabajo identificadas en el primer paso. Las claves gestionadas por el cliente pero retenidas por el proveedor de nube no son custodia real. Custodia real significa que el material criptográfico está en manos del cliente o de un tercero aislado jurisdiccionalmente, y el proveedor no puede recuperarlo por ninguna vía operativa, técnica o legal.

Tercero, automatiza la generación de evidencia de auditoría. Según el Europe Sovereignty Report de Kiteworks, el 55% de los encuestados europeos planea invertir en automatización del cumplimiento. La razón es simple: la conciliación manual de evidencia a través de DORA, NIS 2, GDPR, la Ley de Datos de la UE y la Ley de IA no es viable a gran escala, y el Paquete de Soberanía Tecnológica añadirá un sexto conjunto de obligaciones que los proveedores del sector público heredarán.

Cuarto, ensaya los manuales de Schrems II y de acceso gubernamental. Ten un procedimiento documentado para lo que ocurre cuando una agencia de EE. UU. emite una orden del CLOUD Act contra tu proveedor, cuando un regulador solicita evidencia de movimiento transfronterizo y cuando un proveedor tercero en tu cadena de suministro experimenta un incidente de soberanía. El Europe Sovereignty Report de Kiteworks muestra que el 36% de los encuestados europeos ya cita los cambios geopolíticos como una preocupación. Las organizaciones que hayan probado sus manuales absorberán el próximo ciclo de revelaciones sin interrupciones.

Quinto, convierte la soberanía en un activo de adquisición. El Europe Sovereignty Report de Kiteworks indica que el 51% de los encuestados europeos ya cita la mayor confianza como un beneficio de soberanía y el 33% cita la ventaja competitiva. El Paquete de Soberanía Tecnológica convertirá esa señal en un mínimo de contratación para la contratación pública y, cada vez más, para la adquisición privada regulada. Las organizaciones que puedan demostrar residencia, custodia de claves y evidencia exportable bajo demanda ganarán los contratos que perderán quienes no puedan hacerlo.

La Comisión ha fijado la fecha. La respuesta arquitectónica es visible desde hace nueve años. El 27 de mayo es cuando el resto del mercado tendrá que decidir si estaba prestando atención.