La residencia del dato no es soberanía del dato

Cuando un proveedor promete que tus datos se quedan en Europa, está respondiendo a una pregunta de geografía: la residencia. Es algo real y necesario. Pero no es la pregunta que decide si tus datos son de verdad tuyos. Esa pregunta es la soberanía: quién puede exigir acceso a ellos, qué ley los rige y quién controla la capacidad construida sobre ellos. Un centro de datos en Fráncfort operado por una empresa con sede en Estados Unidos cumple lo primero y, en silencio, suspende lo segundo.

La distinción suena a nota al pie de un abogado. En realidad es una de las decisiones estratégicas de más consecuencias que una empresa va a tomar en esta década, porque los datos y la capacidad de IA que construyes sobre ellos se están convirtiendo en tu activo más valioso, y estás decidiendo, muchas veces sin darte cuenta, si ese activo es tuyo o se lo alquilas a alguien que puede recuperarlo.

Bajo la CLOUD Act de Estados Unidos, las autoridades estadounidenses pueden obligar a un proveedor con sede en ese país a entregar los datos que tiene bajo su custodia, estén almacenados donde estén. Una región europea no cambia la nacionalidad del proveedor, y las cláusulas contractuales tipo, el consuelo contractual habitual, no pueden imponerse al requerimiento legal de un gobierno extranjero sobre una empresa sometida a su jurisdicción. No es una hipótesis: preguntado bajo juramento por el Senado francés si podía garantizar que los datos de los ciudadanos franceses estaban a salvo de las autoridades estadounidenses, un directivo de Microsoft Francia respondió, según se ha publicado, que no podía. Y el reflejo llega más hondo de lo que nadie admite: el caso premiado de Adobe en 2024 sobre experiencia de cliente en Europa, en la farmacéutica danesa Novo Nordisk, explica su protección de datos regulados a través de la HIPAA, una ley sanitaria estadounidense, sin que el RGPD aparezca en ningún momento. Los despliegues de referencia de Europa están respondiendo ante la ley del continente equivocado, y pasó toda una temporada de premios sin que nadie lo señalara.

Así que el control que una promesa de residencia parece darte es, en la dimensión que más importa, una ilusión. El gráfico hace concreta la gradación: pasar de una región estadounidense a una región europea del mismo proveedor estadounidense mejora muy poco. El control real solo llega con soberanía operativa, un proveedor al que un gobierno extranjero no puede obligar, y con soberanía de la cadena de suministro: un conjunto de modelo, datos y cómputo que de verdad posees o puedes auditar por completo.

Deja por un momento a un lado la lista de requisitos regulatorios; las reglas se están modificando mientras lees esto, y la mayoría de los consejos hacen bien en delegarlas. El argumento que debería llegar al consejo es más sencillo y más afilado. Tus datos de cliente, tus procesos propios y, cada vez más, los modelos de IA entrenados con ellos son los activos que te diferencian. Si un gobierno extranjero puede exigirlos, un proveedor extranjero puede cambiar las condiciones en las que accedes a ellos y una jurisdicción extranjera los rige, entonces no controlas tu propia ventaja. La estás alquilando.

Este es el núcleo estratégico de la soberanía europea en IA, y es lo contrario de una postura de confrontación. Es la lógica comercial ordinaria que cualquier directivo aplica ya a sus activos más valiosos: posee lo que te diferencia, controla lo que no puedes permitirte perder, y no construyas tu futuro sobre una dependencia cuyas llaves tiene otro. La soberanía no va de dónde está el servidor. Va de quién manda cuando importa.

La residencia es el peldaño de abajo: tus datos están en la UE, pero la jurisdicción de un proveedor extranjero sigue alcanzándolos. La soberanía operativa es el peldaño intermedio: la entidad que opera tus datos y tu IA no puede ser obligada por un gobierno extranjero, normalmente un proveedor europeo o una estructura que aísla legalmente la operación. La soberanía plena es el de arriba: controlas la cadena de suministro de punta a punta, modelos de pesos abiertos que puedes alojar, datos que no salen nunca de tu perímetro, cómputo que puedes señalar con el dedo, de modo que no hay ningún tercero que pueda obligar, observar o cortar la capacidad.

No toda carga de trabajo necesita el peldaño de arriba. El trabajo público y no sensible puede vivir tranquilamente más abajo, y los grandes prestadores son extraordinarios allí donde los datos no lo son. Pero tus joyas, los datos personales, la propiedad intelectual propia, las decisiones que definen el negocio, van arriba, sobre infraestructura que controlas. El error es tratar una promesa de residencia como si te comprara la escalera entera.

Clasifica tus cargas de trabajo de datos y de IA por lo que no puedes permitirte perder, no por dónde se ejecutan hoy. Los datos personales, la propiedad intelectual propia y las decisiones que definen el negocio son las joyas; todo lo demás es negociable.

Pon las joyas sobre una infraestructura soberana en lo operativo y en la cadena de suministro: modelos de pesos abiertos sobre cómputo europeo o autoalojado, donde ni la inferencia ni los datos salen de un perímetro que controlas. Usa plataformas estadounidenses como capa de datos y de activación si quieres, pero nunca como la casa del activo en sí.

Y después hazle a cada proveedor de "nube soberana" la única pregunta que lo zanja: ¿puede un gobierno de fuera de la UE obligar a ese proveedor, o a su matriz, a acceder a estos datos o a entregarlos, sí o no? Si la respuesta honesta es sí, tienes residencia, no soberanía. Diseña para la respuesta honesta y tu futuro será tuyo en vez de alquilado.