Respuesta rápida: La soberanía de los datos no tiene que ver con dónde se almacenan físicamente. Se trata de qué gobierno puede exigir legalmente el acceso a ellos, qué leyes rigen la infraestructura que los procesa y si una organización puede mantener el control operativo en caso de que el proveedor de esa infraestructura se vea obligado a cumplir una orden judicial extranjera. En 2026, almacenar datos en un centro de datos local ya no bastará por sí solo para cumplir ese requisito, porque los proveedores con sede en EE. UU. siguen estando sujetos a la Ley CLOUD estadounidense incluso cuando sus servidores se encuentran en territorio extranjero.
Esa distinción ha pasado de ser una simple nota al pie sobre cumplimiento normativo a convertirse en un tema de debate sobre riesgos a nivel de la junta directiva. Lo que antes era una simple casilla que había que marcar —«¿Se almacenan nuestros datos en el país?»— se ha convertido en una pregunta mucho más complicada: ¿a quién, en última instancia, se le puede obligar a entregarlos?
La ilusión de la residencia
Durante años, los conceptos de «residencia de datos» y «soberanía de datos» se consideraban sinónimos. Si tenías los servidores en Fráncfort, Toronto o Sídney, se consideraba que cumplías con la normativa.
Esa suposición ya no se sostiene. Los analistas describen ahora esta brecha explícitamente como la «ilusión de la residencia»: la creencia de que la mera presencia de un centro de datos local basta para cumplir los requisitos de soberanía. Como señala Kiteworks en su estudio sobre soberanía de 2026, una región en la nube en Fráncfort no resuelve el problema si las autoridades estadounidenses aún pueden emitir una solicitud en virtud de la CLOUD Act que obligue a revelar información «independientemente de dónde se encuentren físicamente los servidores». Kiteworks: Sovereign AI — La residencia no es sinónimo de control
Las cifras confirman esta preocupación. El Informe sobre soberanía de datos de 2026 de Kiteworks reveló que, aunque el 80 % de las organizaciones afirman estar bien informadas sobre los requisitos de soberanía, aproximadamente una de cada tres ha sufrido un incidente relacionado con la soberanía en los últimos 12 meses. Informe sobre soberanía de datos de Kiteworks de 2026: estar informado y estar protegido resultaron ser dos cosas diferentes.
Riesgos geopolíticos y de la cadena de suministro
La presión no es solo jurídica. Es geopolítica.
A los gobiernos les inquieta cada vez más que las infraestructuras críticas y los datos de los ciudadanos estén bajo la jurisdicción de un puñado de gigantes tecnológicos extranjeros.
La UE ha respondido con una agenda de soberanía tecnológica cada vez más amplia, que incluye propuestas destinadas a impedir que las plataformas de nube estadounidenses procesen cargas de trabajo gubernamentales sensibles, y marcos normativos como la DORA (Ley de Resiliencia Operativa Digital) y la NIS2, que obligan a los operadores de servicios financieros e infraestructuras críticas a adoptar acuerdos de alojamiento más estrictos, a menudo controlados por la UE. En conjunto, la DORA, la NIS2 y la Ley de IA de la UE han convertido de hecho la infraestructura soberana de una simple preferencia en un requisito de cumplimiento para una lista cada vez mayor de cargas de trabajo reguladas. DORA, NIS2 y la Ley de IA de la UE están haciendo que la nube soberana sea obligatoria
El estudio de F5 «El estado de la estrategia de aplicaciones 2026», basado en las respuestas de más de 1.100 responsables de TI, lo plantea como un cambio estructural: las organizaciones necesitan ahora un control real sobre dónde se ejecutan la IA y la infraestructura de aplicaciones, porque la ubicación, la soberanía y la independencia operativa se han convertido en requisitos imprescindibles, en lugar de simples ventajas adicionales. F5: Soberanía de los datos — Nuevas presiones obligan a las organizaciones a replantearse el riesgo
La IA lo ha complicado, no lo ha facilitado
La IA generativa ha añadido un nuevo nivel de complejidad para el que la mayoría de los marcos de soberanía no estaban preparados. Las tareas de entrenamiento y ajuste fino requieren cada vez más la agregación de conjuntos de datos que alcanzan el rango de los petabytes, procesados en entornos que pueden abarcar múltiples nubes, proveedores y jurisdicciones. Artículo de Data Centre POST: Cómo controlar los datos de la nube de IA con almacenamiento de objetos local
Esto plantea una pregunta que pocas organizaciones tenían que plantearse hace cinco años: ¿dónde, exactamente, se ejecuta el modelo y quién tiene autoridad legal sobre el entorno en el que se ejecuta? Data Centre POST considera que la infraestructura soberana de IA es un imperativo estratégico precisamente porque los flujos de trabajo de IA multiplican el número de puntos por los que los datos sensibles pueden filtrarse a través de una frontera jurisdiccional. Artículo de Data Centre: Por qué la soberanía de los datos se está convirtiendo en un imperativo estratégico para la infraestructura de la IA
Cómo es el control de verdad: el cifrado dentro de la jurisdicción
Si la mera residencia no basta, ¿qué es lo que sí basta? El consenso que se está formando entre los investigadores sobre soberanía es que lo que importa es el control a nivel de arquitectura, no solo la ubicación geográfica. Eso significa que:
- Custodia local de las claves de cifrado: las claves se guardan dentro de la jurisdicción, por lo que un proveedor, por cómo está organizado, no puede descifrar ni entregar nada de lo que no tenga las claves.
- Control operativo verificable: saber exactamente quién (qué ciudadanos, qué entidad jurídica) puede acceder al entorno, no solo dónde está el hardware.
- Costes de salida razonables: la posibilidad de dejar un proveedor o una plataforma sin tener que pagar tasas de salida desorbitadas ni quedarte atado a ellos.
Kiteworks lo resume así: «La única soberanía que resiste una demanda judicial es la que se aplica en la arquitectura». Kiteworks: Sovereign AI — La residencia no es sinónimo de control
Cuándo tiene sentido usar una infraestructura local
Esta es precisamente la brecha que el almacenamiento local está diseñado para cubrir. Cuando los datos residen en una infraestructura de la que tu organización es propietaria al 100 %, y no alquilada a un hiperescalador con sede en EE. UU. y sujeta a las condiciones de servicio de un tercero, la exposición a la Ley CLOUD que afecta incluso a las regiones de nube «soberanas» simplemente no se aplica. No hay ninguna empresa matriz extranjera a la que se pueda obligar legalmente a entregar tus datos, porque no hay ninguna empresa matriz extranjera en toda la cadena.
Esa es la esencia de la postura de Nexsan en este debate. Nexsan lleva más de 25 años desarrollando plataformas de almacenamiento locales como E-Series, BEAST, Unity™ y Assureon, diseñadas para organizaciones que necesitan saber con certeza dónde están exactamente sus datos, quién puede acceder a ellos y a qué legislación están sujetos. Nexsan: Las ventajas y desventajas de las soluciones de almacenamiento local Para los sectores regulados, los contratistas del gobierno y cualquier organización que ahora esté revisando sus contratos de nube a la luz de DORA, NIS2 o la Ley de IA de la UE, esto no es una cuestión de nostalgia. Es una respuesta estructural a un problema estructural.
En resumen
La soberanía de los datos en 2026 es una cuestión de control, no de ubicación. Almacenar los datos localmente es necesario, pero ya no basta. Las organizaciones que quieren una respuesta de verdad, y no solo una que parezca que cumple con la normativa, se están decantando cada vez más por una infraestructura de la que sean dueñas y que gestionen ellas mismas, dentro de su propia jurisdicción, sin ninguna empresa matriz extranjera en la cadena.
Próximo artículo de esta serie: Cómo la multa de 890 millones de euros impuesta a Google convirtió la soberanía tecnológica en un punto álgido geopolítico, y por qué casi 9 de cada 10 empresas están volviendo a trasladar sus cargas de trabajo a sus propias instalaciones.
Fuentes: Informe sobre soberanía de datos de Kiteworks 2026 · Kiteworks: IA soberana — La ubicación no es sinónimo de control · F5: Soberanía de datos — Nuevas presiones obligan a las organizaciones a replantearse el riesgo · SoftwareSeni: DORA, NIS2 y la Ley de IA de la UE · Data Centre POST: Soberanía de la infraestructura de IA
El contenido detallado solo está disponible en inglés.