Llega el presupuesto y el debate cambia de naturaleza. Mientras se trataba de «recuperar el control de los datos», todo el mundo estaba de acuerdo. En cuanto aparecen las partidas de migración, reescritura de aplicaciones y funcionamiento en paralelo, la soberanía se convierte en una decisión presupuestaria. Para las empresas europeas, la cuestión ya no es solo dónde alojar su información, sino cuánto pagar por conservar la libertad de acción. De cara a septiembre de 2026, las tendencias consolidadas dibujan un mercado en el que esa libertad debería negociarse aplicación por aplicación, lejos de una sustitución generalizada de las nubes estadounidenses.
Una bandera europea no basta
El primer malentendido tiene que ver con el vocabulario. Un centro de datos situado en Francia no garantiza, por sí solo, la independencia jurídica u operativa. Hay que examinar quién es el propietario del proveedor, quién administra las infraestructuras, qué entidades pueden acceder a los datos y qué leyes les son aplicables. La ubicación importa, pero no agota la cuestión.
La CLOUD Act estadounidense concentra esta preocupación: bajo determinadas condiciones, las autoridades estadounidenses pueden solicitar a un proveedor sometido a su jurisdicción datos que estén bajo su control, aunque se almacenen en el extranjero. Esto no significa que el acceso sea automático ni que desaparezcan las garantías procesales. Pero, para una empresa que maneja secretos industriales, esta exposición puede pesar en el análisis de riesgos.
En Francia, la certificación SecNumCloud de la ANSSI ofrece una referencia exigente, que combina seguridad y condiciones orientadas, entre otros fines, a proteger frente a determinadas injerencias extraterritoriales. Abarca ofertas y un ámbito concretos, no todas las actividades de un proveedor de forma indiscriminada. Sobre todo, no exime al cliente de proteger sus propias aplicaciones: un alojamiento certificado no corrige una mala gestión de los accesos.
La regulación impulsa el cambio, sin imponer un modelo único
El RGPD no prohíbe por principio recurrir a una nube estadounidense. Exige, entre otras cosas, regular los tratamientos y, cuando existan, las transferencias internacionales de datos personales. Confundir cumplimiento normativo, ubicación y soberanía conduce, por tanto, a decisiones costosas, a veces mal justificadas. Las obligaciones varían según los datos, el sector, los contratos y los riesgos.
En el sector financiero, el reglamento DORA, aplicable desde enero de 2025, refuerza las exigencias de resiliencia digital y de control de los proveedores informáticos. Sitúa las dependencias, los contratos y las estrategias de salida en el centro de la gestión. No prescribe una transición generalizada hacia proveedores europeos. Su mensaje es más operativo: una función crítica externalizada debe seguir siendo controlable.
Otra norma fundamental, el Reglamento de Datos, es aplicable desde septiembre de 2025. Regula, en particular, el cambio de proveedor de servicios de tratamiento de datos y prevé la eliminación de los cargos por cambio a partir de enero de 2027. Esta evolución debe facilitar la movilidad. Sin embargo, no elimina ni el trabajo de migración ni las incompatibilidades técnicas: marcharse sin penalización no significa marcharse sin costes.
La verdadera dependencia se esconde en las aplicaciones
Trasladar máquinas virtuales estandarizadas puede ser relativamente sencillo. Sustituir una base de datos propietaria, una cadena de análisis o funciones ejecutadas bajo demanda lo es mucho menos. Los grandes proveedores de nube venden precisamente esa integración: servicios disponibles con rapidez, conectados entre sí y acompañados de herramientas de supervisión y seguridad.
Tomemos como ejemplo una empresa industrial europea. Sus archivos documentales pueden trasladarse a un proveedor de alojamiento local con pocas modificaciones. Su aplicación de mantenimiento predictivo, construida en torno a varios servicios gestionados específicos, quizá exija una nueva arquitectura. El coste ya no es entonces el del almacenamiento: son meses de desarrollo, pruebas y equipos apartados de otros proyectos.
Los contenedores, Kubernetes y los formatos abiertos reducen ciertas dependencias, sin hacer que todos los entornos sean intercambiables. Las identidades, las redes, los registros de seguridad o los mecanismos de copia de seguridad siguen siendo puntos de anclaje. En cuanto a la multinube, puede mejorar la distribución de los riesgos, pero también multiplicar las competencias necesarias. Dos proveedores mal controlados no son necesariamente mejores que uno solo bien gestionado.
¿Quién aceptará el sobrecoste?
Los primeros candidatos son las organizaciones para las que la pérdida de control tendría consecuencias desproporcionadas: defensa, administraciones que manejan información sensible, infraestructuras críticas e investigación estratégica. En estos casos, pagar más puede responder a una lógica de aseguramiento. Aun así, la oferta debe cubrir las necesidades reales y permitir alcanzar los niveles de disponibilidad esperados.
Después vienen las empresas cuyos clientes exigen garantías específicas. Una empresa de software que trabaje para entidades financieras u organismos públicos puede convertir su elección de alojamiento en una ventaja comercial. La soberanía se convierte entonces en un medio para acceder a determinados mercados. Sin embargo, ese beneficio debe comprobarse en las licitaciones, no darse por supuesto desde el marketing.
Para una pyme que vende por internet, la decisión será a menudo distinta. La rapidez de lanzamiento, las competencias disponibles y la calidad de las herramientas tendrán mucho peso. Podría mantener razonablemente su nube actual y, al mismo tiempo, reforzar sus copias de seguridad, sus cláusulas contractuales y su capacidad de exportación. Una independencia útil no siempre exige una migración inmediata.
Calcular el coste completo, no solo la suscripción
No basta con comparar dos tarifas mensuales. Un proyecto serio debe contemplar varias partidas:
- La transformación: auditoría de dependencias, adaptación del código, transferencia de datos y validación del rendimiento.
- La transición: funcionamiento en paralelo de los entornos, formación y posibles refuerzos externos.
- La operación: soporte, guardias y tareas que antes asumían los servicios gestionados.
- El riesgo evitado: interrupción, bloqueo contractual, exposición jurídica o subida de tarifas difícil de sortear.
Además, el sobrecoste de la soberanía no es sistemático. Para usos sencillos y previsibles, un proveedor europeo puede ser competitivo. Por el contrario, una oferta aparentemente barata puede resultar cara si la empresa tiene que reconstruir sus herramientas. Una comparación adecuada abarca varios años, con hipótesis explícitas sobre el crecimiento y las necesidades de personal.
Europa debe vender algo más que protección
Los proveedores europeos no lograrán imponerse de forma duradera solo con el argumento regulatorio. Deben ofrecer interfaces sólidas, documentación útil, soporte ágil y servicios adaptados a los equipos de desarrollo. Por su parte, las ofertas que combinan tecnologías estadounidenses y gobernanza europea buscan conciliar amplitud funcional y control local. Su credibilidad depende de garantías concretas y de las certificaciones efectivamente obtenidas, no de los anuncios.
El auge de la inteligencia artificial podría acentuar esta tensión: controlar los datos sensibles importa, pero también acceder a la capacidad de cómputo y a las herramientas más potentes. Una respuesta plausible sería una soberanía selectiva, concentrada en los activos estratégicos, con conexiones supervisadas hacia otros entornos.
¿Y ahora qué? De cara a las próximas decisiones presupuestarias, a las empresas les convendría elaborar un mapa de sus dependencias antes de elegir bando. Identificar los datos críticos, probar una exportación y calcular el coste de una salida aportará más que un compromiso abstracto de independencia. El escenario más creíble no es el de una nube europea única que sustituya a todas las demás, sino el de una segmentación asumida. Estarán dispuestos a pagar quienes puedan explicar qué libertad compran y demostrar que funciona el día en que la necesiten.
