- Airbus migra 70 aplicaciones críticas a Scaleway para evitar la extraterritorialidad del Cloud Act estadounidense.
- El informe de Forrester revela que España y Europa mantienen una baja soberanía tecnológica, con puntuaciones en torno al 34-36%.
- La UE impulsa el Cloud and AI Development Act para endurecer los requisitos a proveedores cloud extranjeros.
- El conflicto entre el RGPD y la Cloud Act obliga a las empresas a replantearse quién controla sus datos.
La nube ya no es solo una cuestión de almacenamiento o velocidad. En los últimos meses, la soberanía cloud se ha colado en las decisiones estratégicas de las grandes corporaciones europeas, empujada por leyes que chocan entre sí y por un contexto geopolítico que no da tregua. Mientras Bruselas intenta blindar los datos de sus ciudadanos, Washington mantiene herramientas legales para acceder a ellos, y las empresas se ven atrapadas en medio de una partida de ajedrez normativa.
El caso más sonado es el de Airbus, que ha decidido mover 70 aplicaciones críticas desde Amazon Web Services hacia el proveedor francés Scaleway. No se trata de un simple cambio técnico: detrás hay una decisión jurídica y de control operativo que busca evitar que los datos sensibles de ingeniería, defensa y producción queden expuestos a la legislación extraterritorial estadounidense, en particular al Cloud Act. Y no es el único movimiento: el informe Global Sovereignty Forecast de Forrester acaba de poner cifras a la dependencia europea, y la UE ha respondido con un paquete legislativo que promete cambiar las reglas del juego.
Airbus y Scaleway: un precedente industrial
El gigante aeroespacial europeo ha anunciado la migración de sistemas que son el corazón de su operativa: ERP, CRM, sistemas de fabricación y gestión del ciclo de vida del producto. La primera fase, con 70 aplicaciones, debe completarse antes de finales de 2028, pero el plan a largo plazo contempla trasladar hasta 900 aplicaciones en un horizonte de cinco o seis años. Scaleway, filial del grupo Iliad, superó un proceso de selección con más de 150 requisitos técnicos y legales, según fuentes del sector.
La razón de fondo es el Cloud Act, una ley estadounidense de 2018 que permite a las autoridades de ese país solicitar datos a cualquier proveedor sujeto a su jurisdicción, independientemente de dónde estén físicamente los servidores. Para Airbus, que maneja propiedad intelectual, contratos de defensa y documentación técnica crítica, ese riesgo es inasumible. La compañía ha dejado claro que no abandona por completo a AWS —seguirá usando Skywise y otras herramientas—, pero segmenta sus cargas según la criticidad y el valor del dato. La estrategia es multicloud, pero con un criterio de soberanía de datos que antes no existía.
Forrester: Europa sigue muy por detrás en soberanía tecnológica
El informe Global Sovereignty Forecast, elaborado por la consultora Forrester, analiza 14 países en nueve áreas clave, desde semiconductores hasta inteligencia artificial. La puntuación media mundial apenas pasará del 39% en 2025 al 40% en 2030, lo que indica que la concentración de capacidades sigue en manos de unos pocos. China lidera con un 82%, seguida de Estados Unidos con un 79%. En Europa, las cifras son mucho más modestas: Alemania y España pasarán del 34% al 36%, Francia del 33% al 35%, Reino Unido del 30% al 32% e Italia del 27% al 29%.
El estudio señala que la dependencia de proveedores extranjeros en cloud, software y semiconductores seguirá siendo elevada en el continente. Para cerrar la brecha, los países europeos tendrán que forjar alianzas estratégicas, ya que la independencia tecnológica completa se antoja poco realista. Dario Maisto, analista de Forrester, subraya que la inestabilidad geopolítica y la competencia en IA han puesto la soberanía tecnológica en el centro del debate, y que las naciones deben comprender sus dependencias para proteger su autonomía a largo plazo.
La UE contraataca con el Cloud and AI Development Act
Bruselas no se ha quedado de brazos cruzados. En abril de 2026, la Comisión Europea adjudicó un contrato de 180 millones de euros para servicios de cloud soberano a varios proveedores europeos, entre ellos Scaleway, StackIT, Post Telecom y Proximus. Pero la medida más ambiciosa es la propuesta del Cloud and AI Development Act (CADA), una norma que establecerá criterios estrictos para seleccionar proveedores en licitaciones públicas de alta criticidad.
Entre los requisitos, se exigirá que el software y el hardware hayan sido desarrollados dentro de la UE, que el proveedor esté bajo control europeo en materia de datos y que el país de origen permita el acceso al mercado para servicios cloud europeos. En sectores como banca, energía, sanidad y defensa, estos criterios podrían poner en jaque el dominio de Amazon y Microsoft de los contratos más relevantes. El incumplimiento conllevaría multas de hasta 35 millones de euros o el 7% de la facturación global.
El paquete de soberanía tecnológica europeo incluye también el Reglamento de Chips 2.0, que otorga a la Comisión el poder de anular contratos de suministro en emergencias, y una Estrategia de Ecosistemas Digitales Abiertos para impulsar el software de código abierto en las administraciones públicas. Todo ello con el objetivo de reducir la dependencia de tecnologías no europeas y garantizar que los datos críticos permanezcan bajo control continental.
El conflicto entre el RGPD y el Cloud Act no es nuevo, pero ahora se materializa en decisiones empresariales concretas. Las empresas españolas, en particular, se enfrentan a riesgos reputacionales, de pérdida de control sobre información sensible y de incertidumbre en auditorías si no gestionan adecuadamente la jurisdicción de sus proveedores. La recomendación de los expertos pasa por adoptar arquitecturas híbridas, cifrado fuerte y una clasificación rigurosa de los datos, combinando nube pública con repositorios de control local.
El movimiento de Airbus demuestra que la soberanía cloud ya no es un concepto abstracto ni una promesa política. Se decide en la arquitectura tecnológica, en los contratos con los proveedores y en la capacidad de las empresas para demostrar quién accede a sus datos y bajo qué ley. Mientras Europa avanza con sus propias normas y los hyperscalers intentan adaptarse con ofertas soberanas, la pregunta que resuena en los consejos de administración es la misma: ¿quién puede acceder a mis documentos y bajo qué marco legal?
