Dos promesas distintas se venden como una sola palabra
Nube soberana se usa para describir al menos dos garantías sin relación entre sí, y la ambigüedad vende mucho a favor del proveedor: dónde reside físicamente su dato y qué tribunales de qué país pueden obligar a un proveedor a entregarlo. No son la misma pregunta, y un producto puede responder bien a la primera mientras deja la segunda completamente abierta.
La residencia de datos es un hecho de ubicación. La jurisdicción legal es una cuestión sobre qué tribunales y agencias de qué gobierno tienen poder sobre la empresa que opera los servidores, sin importar dónde se encuentren esos servidores. Una región de nube ubicada físicamente en Fráncfort o París no responde, por sí sola, a la cuestión de la jurisdicción en absoluto.
Lo que realmente dice la CLOUD Act
La CLOUD Act estadounidense de 2018 zanjó la cuestión de la jurisdicción para cualquier proveedor con sede o con actividad suficiente en Estados Unidos. Su texto operativo, codificado en 18 U.S.C. 2713, exige que un proveedor sujeto a la norma cumpla con una orden legal de conservar, respaldar o divulgar datos 'independientemente de si dicha comunicación, registro u otra información se encuentra dentro o fuera de los Estados Unidos'.
La propia descripción de Microsoft de sus compromisos de EU Data Boundary detalla la residencia de datos y la ubicación del procesamiento, pero no aborda en ningún momento la exposición a la CLOUD Act. La grieta quedó expuesta directamente bajo juramento: en junio de 2025, el director jurídico de Microsoft Francia, Anton Carniaux, declaró ante una comisión del Senado francés que examinaba la soberanía en la contratación pública que no podía garantizar que los datos de clientes alojados en la UE nunca llegaran a las autoridades de EE. UU., y añadió únicamente que hasta entonces no había ocurrido.
Solo algunos esquemas de soberanía tocan la cuestión real de la jurisdicción
Tres nombres de certificación europeos se usan casi indistintamente, y solo uno de ellos restringe realmente quién puede ser obligado legalmente a entregar sus datos.
El SecNumCloud francés, gestionado por la agencia de ciberseguridad ANSSI, exige que los accionistas de fuera de la UE mantengan una participación minoritaria en la empresa operadora y declara su propósito explícitamente: proteger al operador de una orden emitida por un Estado ajeno a la UE, de modo que la empresa solo responda ante el derecho de la UE. El catálogo C5 alemán, gestionado por el BSI (Oficina Federal de Seguridad de la Información), es un esquema de naturaleza completamente distinta: una certificación de controles de seguridad, y el propio BSI declara abiertamente que ni siquiera verifica a los auditores que emiten los informes C5, sin ningún requisito de propiedad o jurisdicción en sus criterios. El esquema paneuropeo pensado para situarse por encima de ambos, EUCS, sigue sin adoptarse formalmente en agosto de 2026. Las autoridades nacionales de certificación, incluida la NCCA neerlandesa, confirman que todavía no se emite ningún certificado bajo ese esquema.
| Esquema | Garantía de jurisdicción | Estado, agosto de 2026 |
|---|---|---|
| SecNumCloud (Francia, ANSSI) | Sí, accionistas de fuera de la UE limitados, órdenes legales de fuera de la UE bloqueadas | Activo, emite calificaciones |
| C5 (Alemania, BSI) | No, solo certificación de controles de seguridad | Activo, emite informes |
| EUCS (toda la UE) | Disputada, dependería del nivel de garantía final | Todavía no adoptado |
Qué significa esto para usted
Una respuesta de cumplimiento que dice 'usamos una nube soberana' no es una respuesta completa hasta que sepa cuál de las dos garantías le está comprando realmente.
Pregunte directamente al proveedor si la entidad operadora goza de inmunidad legal frente a la jurisdicción de fuera de la UE, el modelo SecNumCloud, o si simplemente se audita en controles de seguridad con los datos almacenados en la región, el modelo C5 al que se parecen la mayoría de las ofertas de 'región de la UE' de los proveedores globales. Si su requisito real es mantener los datos fuera del alcance de un gobierno extranjero y no solo cumplir una línea de residencia de datos, solo una estructura inmune a la jurisdicción lo satisface.
No acepte el lenguaje de 'frontera de datos de la UE' por sí solo como prueba de inmunidad jurisdiccional. Haga a la propia asesoría jurídica del proveedor la misma pregunta que el Senado francés planteó a la de Microsoft, y espere la misma respuesta honesta si la estructura no ha cambiado.
Leer a continuación: Europa construyó la nube del euro digital sin EEUU | Francia saca su base de datos sanitaria de Azure
