La Ley de Desarrollo de la Nube y la IA pone el foco en la gobernanza de la nube para las empresas de la UE, mientras la Comisión propone nuevas medidas sobre capacidad, contratación pública y soberanía para las infraestructuras digitales europeas.
La propuesta de la Comisión Europea de una Ley de Desarrollo de la Nube y la IA (Cloud and AI Development Act, CADA) tiene como objetivo ampliar la capacidad informática europea e introducir un marco común para evaluar la soberanía en materia de nube e inteligencia artificial. La iniciativa pretende apoyar la inversión y reducir las dependencias estratégicas a medida que se acelera la demanda de inteligencia artificial. Para los DPO y los responsables empresariales, su relevancia va más allá de la política de infraestructuras: situará con mayor claridad cuestiones como el control sobre los proveedores, la ubicación de los datos, la exposición a terceros países, la transparencia de la cadena de suministro y la resiliencia de los servicios en el centro de la contratación de servicios en la nube y de la gobernanza digital.
La propuesta responde a la creciente demanda de capacidad de computación en la nube y para IA
El despliegue de IA requiere un acceso considerable a centros de datos, servicios en la nube e infraestructuras informáticas especializadas. La Comisión señala que la capacidad de Europa para ampliar estas infraestructuras se ve limitada por procedimientos de autorización prolongados y por un acceso restringido a la energía, el suelo y la financiación. Por ello, CADA pretende crear condiciones más favorables para la inversión sostenible, garantizando al mismo tiempo recursos informáticos suficientes para empresas y administraciones públicas.
Uno de los principales objetivos de la propuesta es, como mínimo, triplicar la capacidad de los centros de datos de la UE durante los próximos cinco a siete años. La iniciativa simplificaría los procedimientos de autorización y mejoraría el acceso a recursos esenciales, al tiempo que apoyaría infraestructuras energéticamente eficientes y tecnologías destinadas a la IA de vanguardia, la IA industrial y la IA física. La propuesta también pretende fomentar la adopción de servicios en la nube e IA en sectores industriales estratégicos y en el sector público.
Un marco común de soberanía influiría en la forma de evaluar los servicios en la nube
CADA propone un marco único para toda la UE destinado a evaluar la soberanía en materia de nube e IA. Los organismos del sector público podrían utilizar cuatro niveles de garantía en función de los riesgos asociados a cada caso de uso, y los proveedores de servicios en la nube podrían obtener reconocimiento conforme al marco tras superar una auditoría.
Los niveles abarcan desde el tratamiento y almacenamiento de datos en infraestructuras ubicadas en la UE hasta requisitos progresivamente más estrictos relativos a la independencia frente a terceros países, la propiedad y el control de los proveedores, el personal, la transparencia de la cadena de suministro de software y la protección frente a injerencias de terceros países. Según la Comisión, el marco permitiría dar soporte a casos de uso altamente críticos del sector público, manteniendo al mismo tiempo la mayor parte del mercado abierto a proveedores internacionales.
Las evaluaciones de soberanía y el cumplimiento del RGPD abordan riesgos relacionados, pero distintos
Es probable que el marco propuesto proporcione evidencias útiles para las organizaciones que evalúan los riesgos de sus infraestructuras, pero una clasificación de soberanía no acreditaría por sí sola el cumplimiento del RGPD. La ubicación de los datos es únicamente uno de los factores a considerar. Los responsables del tratamiento seguirán necesitando comprender qué entidades pueden acceder a los datos personales, qué legislación resulta aplicable a los proveedores y subencargados, cómo se protegen las transferencias internacionales y si los controles contractuales y técnicos son eficaces en la práctica.
Por tanto, los DPO deberían evitar considerar expresiones como «alojado en la UE» o «nube soberana» como una conclusión completa desde el punto de vista del cumplimiento. Las revisiones durante los procesos de contratación deberían analizar la estructura societaria del proveedor, las modalidades de soporte remoto, el cifrado y la gestión de claves, la cadena de subencargados, la exposición a solicitudes de acceso por parte de autoridades públicas, los compromisos en materia de respuesta a incidentes y las opciones para devolver o eliminar los datos cuando finalice el servicio.
Las normas de contratación pública podrían influir en las expectativas del mercado de la nube en su conjunto
Aunque el mecanismo de adopción propuesto se dirige principalmente a las administraciones públicas, su influencia podría extenderse más allá del sector público. La existencia de niveles de garantía y criterios de auditoría comunes puede influir en las evidencias que recopilan los proveedores, en la forma en que describen sus servicios y en las garantías contractuales que terminan convirtiéndose en estándares de mercado.
Las organizaciones privadas que operan en sectores regulados o críticos también podrían utilizar el marco como uno de los elementos de sus procesos de diligencia debida sobre proveedores. No obstante, las empresas deberían relacionar cualquier nivel de garantía con su propio perfil de riesgo, en lugar de aplicarlo de forma automática. El resultado adecuado dependerá de la sensibilidad de la información, la importancia del servicio, las dependencias jurídicas y operativas y las consecuencias de una interrupción o de un acceso no autorizado.
La concentración de servicios en la nube y la dependencia de un único proveedor siguen siendo cuestiones de gobernanza para las organizaciones
La Comisión identifica la dependencia de proveedores no pertenecientes a la UE como un riesgo para la autonomía y resiliencia digitales de Europa. A nivel organizativo, también puede generarse dependencia cuando las cargas de trabajo, los datos y los procesos empresariales esenciales resultan difíciles de migrar desde un único proveedor. Esto puede debilitar la capacidad de negociación y complicar la respuesta ante incidentes, los cambios regulatorios y la continuidad del negocio.
Por ello, la gobernanza de la nube debería incluir una planificación de salida realista. Las organizaciones deberían documentar los formatos de datos, los requisitos de interoperabilidad, las responsabilidades en materia de migración, los procesos de eliminación y el tiempo y los costes que supondría cambiar de proveedor. Los estándares abiertos, las arquitecturas portables y una gestión cuidadosa de los servicios propietarios pueden ayudar a reducir dependencias evitables sin renunciar a beneficios operativos legítimos.
Las conclusiones de la Década Digital explican por qué la Comisión está priorizando las infraestructuras
El Informe sobre el Estado de la Década Digital de 2026 concluyó que el 46,7 % de las empresas de la UE utilizan servicios de computación en la nube y cerca del 20 % emplean IA, después de que la adopción de la IA aumentara un 48 % en 2025. Al mismo tiempo, el informe destacó la persistencia de dependencias respecto de proveedores de servicios en la nube de fuera de la UE y la creciente presión sobre la capacidad informática como consecuencia del aumento de la demanda asociada a la IA.
Este contexto ayuda a explicar el énfasis de CADA en la capacidad y la autonomía. El objetivo de la política no consiste únicamente en crear más centros de datos, sino en garantizar que las empresas y autoridades públicas europeas dispongan de alternativas de infraestructura resilientes a medida que la nube y la IA adquieren mayor importancia para las operaciones esenciales. Para las organizaciones, una mayor capacidad de elección solo generará valor si viene acompañada de procesos eficaces de diligencia debida y gobernanza.
CADA sigue siendo una propuesta, pero las empresas pueden prepararse mejorando la gobernanza de sus procesos de contratación
La Comisión adoptó la propuesta legislativa en junio de 2026 y sus requisitos definitivos pueden cambiar durante el proceso legislativo de la UE. Las organizaciones no necesitan rediseñar sus sistemas en la nube únicamente en previsión de la propuesta. No obstante, sí deberían utilizar la orientación política que refleja como incentivo para mejorar la información disponible sobre sus infraestructuras y dependencias actuales.
Los DPO pueden contribuir garantizando que los inventarios de servicios en la nube e IA identifiquen las ubicaciones de los datos, los proveedores, los subencargados, los mecanismos de transferencia, los servicios críticos y los tratamientos de alto riesgo. Los procedimientos de contratación deberían involucrar a especialistas en privacidad, seguridad, resiliencia y gobernanza de la IA con suficiente antelación como para poder influir en la arquitectura y en las condiciones contractuales. Las evaluaciones de impacto relativas a la protección de datos y las evaluaciones de transferencias internacionales también deberían mantenerse actualizadas cuando cambien los servicios, los flujos de datos o los proveedores.
La gobernanza de la nube está pasando a formar parte de una responsabilidad digital más amplia
CADA refleja un cambio más amplio en la política digital de la UE: de regular usos individuales de la tecnología a reforzar las infraestructuras de las que dependen esos usos. Para las empresas, una adopción responsable de la nube y la IA requiere cada vez más un enfoque integrado de protección de datos, ciberseguridad, resiliencia operativa, contratación y gobernanza de la IA.
Las organizaciones que sean capaces de explicar dónde se encuentran sus datos y sus dependencias informáticas, qué partes ejercen control y cómo responderían ante una interrupción jurídica u operativa estarán mejor posicionadas para adoptar la IA de manera sostenible. Los DPO desempeñan un papel importante a la hora de conectar estas decisiones sobre infraestructuras con la licitud del tratamiento, la responsabilidad proactiva y los derechos de las personas.
Descubre cómo Aphaia ayuda a las organizaciones a desarrollar una gobernanza responsable de la nube y la IA
Aphaia ayuda a las organizaciones a evaluar servicios en la nube y de IA mediante programas prácticos de privacidad, seguridad y gobernanza digital. A través de evaluaciones de impacto relativas a la protección de datos (DPIA), evaluaciones de transferencias internacionales, revisiones de proveedores y apoyo en materia de gobernanza de la IA, Aphaia permite a las empresas comprender sus dependencias tecnológicas, documentar decisiones basadas en el riesgo y prepararse para un entorno regulatorio europeo cada vez más interconectado.
