El gasto europeo en IaaS de nube soberana sube un 83 %, y la palabra «soberano» carga con mucho
La nube soberana ha pasado de los documentos de política a los presupuestos de compras. Gartner prevé que el gasto mundial en IaaS de nube soberana alcance los 80.000 millones de dólares en 2026, y que el gasto europeo crezca un 83 % interanual, de 6900 millones en 2025 a 12.600 millones en 2026. Mirando más lejos, Gartner espera que las empresas de todo el mundo trasladen para 2029 el 20 % de sus cargas actuales de los proveedores globales de nube a proveedores locales por cuestiones de soberanía. 1
Eso no es un error de redondeo. Es una reasignación estructural, y la empujan cosas que ya han pasado, no cosas que se teme que pasen.
Sanciones, testimonio y respuesta
Lo primero en llegar fue la aplicación de la ley. El informe de DLA Piper de enero de 2026 situó las multas acumuladas del RGPD en 7100 millones de euros desde la entrada en vigor del reglamento en 2018. 2 Las autoridades de protección de datos de Austria, Francia e Italia concluyeron que enviar datos analíticos a Estados Unidos incumplía las reglas de transferencia del RGPD. 3 La residencia de los datos dejó de ser una diapositiva en una presentación de cumplimiento y pasó a ser una partida con una cifra al lado.
Luego alguien dijo bajo juramento lo que no se suele decir. Cuando en junio de 2025 una comisión de investigación del Senado francés le preguntó si podía garantizar que los datos de los ciudadanos franceses nunca se entregarían a las autoridades estadounidenses sin consentimiento francés, el director de asuntos públicos y jurídicos de Microsoft en Francia respondió: «No. No puedo garantizarlo, aunque, insisto, nunca ha ocurrido». Preguntado por si una solicitud correctamente formulada obligaría a Microsoft a cumplirla, dijo que sí. 4
Ahí está todo el debate, en dos respuestas, y además del propio fabricante, no de un competidor.
Los hiperescala respondieron. En enero de 2026 AWS abrió al público general su European Sovereign Cloud, empezando por Brandeburgo, en Alemania. AWS lo describe como física y lógicamente separado de sus demás regiones y operado en exclusiva por residentes en la UE. La estructura pasa por una nueva sociedad matriz y tres filiales alemanas, y AWS sostiene que el control operativo se queda dentro de las fronteras de la UE. 5
La objeción del «lavado de soberanía»
Y ahí es donde empieza la discusión. CISPE, la patronal de los proveedores europeos de infraestructura en la nube, ha advertido públicamente a la Comisión sobre el «sovereignty washing», defendiendo que la soberanía debe definirse por el control y no por tener presencia en la UE. Una empresa con sede en Estados Unidos que opera una región soberana en la UE sigue estando al alcance de leyes extraterritoriales como la CLOUD Act, da igual dónde estén los racks o quién lleve la tarjeta de acceso. 6
No hace falta tomar partido para ver que las dos afirmaciones no son simétricas. «Nuestro centro de datos está en Fráncfort» es una afirmación sobre geografía. «Ningún gobierno de fuera de la UE puede obligar legalmente a revelar estos datos» es una afirmación sobre estructura societaria y jurisdicción. Solo la segunda es lo que la mayoría entiende por soberanía, y solo la segunda es difícil.
La pregunta útil no es dónde están los servidores. Es a quién se le puede entregar una orden, en qué país, y si puede cumplirla sin decírtelo.
Nuestra posición, sin adornos
Conviene decir claramente qué somos y qué no.
Somos un operador europeo que presta servicio desde cuatro países: Tirana, Skopie, Ámsterdam y Dublín. Dos están completamente fuera de la UE, lo que para algunos clientes es justo el motivo y para otros una complicación. En cualquier caso, es una elección real y no una región de marketing.
No somos un hiperescala con un programa de soberanía. Somos un proveedor pequeño e independiente, y eso significa que la respuesta a «a quién se puede obligar» es corta y comprobable, no un organigrama.
De esa estructura se siguen cosas concretas. No recogemos documentos de identidad para venderte un servidor, así que no tenemos una pila de ellos. Aceptamos criptomonedas, así que pagar no te obliga a pasar tu identidad por una red de tarjetas. No monitorizamos tu tráfico más allá de lo que exige operar el servicio, no usamos analítica web, y las direcciones IP de los visitantes las procesan nuestros sistemas antiabuso al vuelo, sin guardarlas: hay menos que entregar. Y la jurisdicción la eliges máquina por máquina en el momento del despliegue, así que un VPS de 5 €/mes basta para poner una carga bajo otro régimen legal. Eso no equivale a resolver la soberanía, pero es un experimento bastante más barato que un programa de migración.
Preguntas en vez de etiquetas
La soberanía no es un producto que se compra. Es una propiedad de un montaje concreto, y siempre es parcial. El tránsito cruza fronteras. Los proveedores de tránsito tienen sus propias obligaciones. Cualquier proveedor, nosotros incluidos, opera bajo leyes que no ha escrito.
Lo que sí puedes hacer es dejar de tratarlo como un interruptor y empezar a hacer preguntas concretas. Qué entidad tiene el contrato, bajo qué ley, qué puede obligarla, qué datos existen realmente para ser entregados y qué pasa si necesitas marcharte.
Un mercado de 80.000 millones de dólares va a producir bastante marketing seguro de sí mismo en los próximos dieciocho meses. Esas preguntas son la forma de distinguirlo del contenido.
Fuentes
- Gartner: European spending on sovereign cloud IaaS to nearly double in 2026, Computerworld, 10 de febrero de 2026
- GDPR Fines and Data Breach Survey: January 2026, DLA Piper
- UPDATE: Further EU DPA orders stop of Google Analytics, noyb
- Microsoft admits it cannot guarantee data sovereignty, The Register, 25 de julio de 2025
- AWS Launches AWS European Sovereign Cloud and Announces Expansion Across Europe, Amazon, 15 de enero de 2026
- Don't let hyperscalers hijack digital sovereignty, EC told, The Register, 18 de marzo de 2026