Funcionarios de defensa resisten el impulso de Bruselas hacia una nube solo nacional
Funcionarios de defensa europeos y contratistas de la industria armamentística se resisten públicamente a la Cloud and AI Development Act de la Comisión Europea, una ley presentada en junio de 2026 que clasificaría los servicios públicos según su sensibilidad. El objetivo declarado de la ley es reducir la dependencia estructural de la Unión Europea de los grandes proveedores estadounidenses, pero funcionarios de varios Estados miembros sostienen que el calendario avanza más rápido de lo que pueden madurar las alternativas nacionales.
Solo el nivel de sensibilidad más alto exigiría tecnología "totalmente nacional", y la propia estimación de la Comisión sitúa ese nivel en apenas un uno por ciento de los servicios públicos. Funcionarios y contratistas de defensa advierten que un giro rápido lejos de Amazon Web Services, Microsoft Azure y Google Cloud, que juntos controlan alrededor del 70 por ciento del mercado de nube de la UE, arriesga dejar a las fuerzas armadas con sistemas inferiores, mayores brechas cibernéticas y más dificultad para coordinarse con los aliados de la OTAN. El caza F-35 es el ejemplo al que los funcionarios vuelven una y otra vez: su infraestructura digital funciona integrada en servicios de nube estadounidenses en lugar de comprarse como una suscripción intercambiable, exactamente el tipo de dependencia que el nivel más alto pretende terminar.
Dos altos funcionarios de defensa de la UE y varias empresas europeas de defensa calculan la ventaja estadounidense en plataformas de nube e inteligencia artificial para defensa entre ocho y diez años, una brecha que, según afirman, no puede cerrarse en el calendario de la propia ley. No todos los contratistas esperan a comprobarlo: Airbus anunció en julio de 2026 que trasladaría algunas aplicaciones críticas de AWS al proveedor francés Scaleway, antes de que existiera obligación legal alguna de hacerlo.
Cuatro etapas, un nivel máximo: lo que realmente exige ser 'totalmente nacional'
La Cloud and AI Development Act establece cuatro etapas crecientes de soberanía, y solo la última exige una infraestructura totalmente nacional. La etapa uno exige que los datos se ubiquen físicamente dentro de la UE, un requisito que la mayoría de los contratos actuales con grandes proveedores ya cumple. La etapa dos añade independencia de leyes de terceros países y cadenas de suministro transparentes, cerrando el paso a situaciones en las que un gobierno extranjero pudiera obligar al acceso a los datos. La etapa tres exige propiedad y control europeos del propio proveedor, no solo de sus centros de datos. La etapa cuatro, reservada al aproximadamente uno por ciento de los servicios considerados más sensibles, exige transparencia total del software y ninguna influencia de terceros países.
| Etapa | Requisito | Alcance |
|---|---|---|
| Etapa 1 | Ubicación física de los datos dentro de la UE | Amplio, la mayoría de las cargas del sector público |
| Etapa 2 | Independencia de leyes de terceros países, cadenas transparentes | Servicios sensibles pero no del nivel máximo |
| Etapa 3 | Propiedad y control europeos del proveedor | Servicios de alta sensibilidad |
| Etapa 4 | Transparencia total del software, sin influencia extranjera ("totalmente nacional") | Alrededor del 1 por ciento de los servicios públicos |
La ministra de Asuntos Exteriores finlandesa, Elina Valtonen, planteó la preocupación de fondo sin rodeos: dijo que Helsinki se prepara ante el riesgo de que un proveedor extranjero active un "kill switch" contra el país. James Appathurai, subsecretario general adjunto de la OTAN, respondió desde la perspectiva de la interoperabilidad, subrayando que los ejércitos aliados necesitan intercambiar datos del campo de batalla de forma fluida y veloz, una exigencia que se vuelve más difícil cada vez que la infraestructura de nube de un Estado miembro diverge de la de sus vecinos.
Más allá de la disputa: un problema de cumplimiento a dos velocidades
La disputa que acapara los titulares gira en torno a la rapidez con la que la Unión Europea debería reducir su dependencia de la nube, pero la pregunta más útil para un empresario es qué ocurre una vez que la etapa cuatro se aplique realmente a solo el uno por ciento de los servicios. En el debate se trata la soberanía como objetivo político y la soberanía como riesgo operativo como si fueran el mismo problema; no lo son. El objetivo político consiste en reducir la palanca estructural que un gobierno extranjero podría ejercer sobre los servicios públicos europeos en una crisis. El riesgo operativo es que forzar el cambio con un calendario fijo, antes de que las alternativas nacionales hayan cerrado una brecha de ocho a diez años, podría crear precisamente los fallos cibernéticos y de interoperabilidad que la ley pretende evitar.
Esa división genera un problema de cumplimiento a dos velocidades que apenas ha recibido atención junto a los titulares sobre soberanía. El noventa y nueve por ciento de los servicios cubiertos permanece bajo acuerdos con grandes proveedores en gran medida sin cambios, según las etapas uno y dos, que sobre todo formalizan prácticas que AWS, Azure y Google Cloud ya admiten. El uno por ciento restante necesita una cadena de suministro totalmente distinta y mucho más pequeña de proveedores nacionales, y no está claro que esa cadena exista ya con la escala o madurez que la ley presupone. Los contratistas que atienden ese nivel máximo, desde empresas como Scaleway hasta proveedores de nube específicos para defensa que hoy apenas existen, deben crecer contra un plazo fijado por la política y no por su propia capacidad. Los contratistas que atienden a todos los demás afrontan una carga de cumplimiento mucho más ligera, envuelta en el mismo lenguaje de "soberanía", lo que facilita que ambos grupos, y sus clientes del sector público, calculen mal qué reglas se les aplican realmente.
Qué debería vigilar un empresario cercano a la defensa en la UE
Un empresario que venda a organismos públicos de la UE o a clientes cercanos a la defensa debería averiguar primero a cuál de las cuatro etapas quedarán sujetos sus propios contratos, ya que las obligaciones de las etapas uno y dos están cerca de la práctica actual, mientras que la etapa cuatro es un negocio completamente distinto. Pregunte si sus proveedores actuales de nube o software tienen una vía creíble hacia la certificación de etapa tres o cuatro, o si ese trabajo aún no ha comenzado, porque un proveedor que llegue tarde a un contrato del nivel máximo también se convierte en problema del comprador.
Observe cómo transpone la ley cada Estado miembro, ya que los países del este y nórdicos, los más centrados en la interoperabilidad con la OTAN, son también los más propensos a buscar excepciones o calendarios más lentos para servicios ligados a la defensa, lo que podría abrir un segundo patrón de dos velocidades a nivel nacional, además del que existe a escala de la UE. Por último, vigile si en los próximos dos o tres años llega a formarse una cadena de suministro de nube e inteligencia artificial realmente totalmente nacional; si no ocurre, el nivel del uno por ciento corre el riesgo de convertirse en una categoría de cumplimiento sin proveedores capaces de ocuparla, lo que es en sí mismo un riesgo operativo.
Leer a continuación: La UE Vincula los Centros de Datos de IA a la Red | La Comisión usó IA de EEUU para elegir a su personal
