Qué es la IA soberana y por qué tener los datos en Europa no bastaQué significa de verdad, qué es la CLOUD Act y cómo decidir dónde poner la IA de tu empresa según el dato que le vayas a dar.
El 10 de junio de 2025, en el Senado francés, preguntaron bajo juramento al director jurídico de Microsoft Francia si podía garantizar que los datos que el Estado francés le confía nunca acabarían en manos del Gobierno de Estados Unidos sin permiso de Francia. «No, no puedo garantizarlo», respondió, y añadió que eso no había pasado nunca.
Si tu empresa usa Copilot, ChatGPT o cualquier nube americana, la respuesta vale igual para tus datos.
Microsoft tiene centros de datos en Europa y, como se explicó en esa misma sesión, se compromete por contrato a que los datos de sus clientes europeos se queden en la Unión. Lo que no puede prometer es que nadie de fuera vaya a pedirlos, porque eso no depende de dónde esté el edificio, sino del país al que responde la empresa que lo gestiona.
Qué es la IA soberana (y qué se vende como tal)
La definición corta. Una IA es soberana cuando ninguna empresa ni ningún gobierno extranjero puede leer lo que le cuentas ni dejarte sin servicio. Suena sencillo, pero obliga a mirar cuatro cosas a la vez: dónde están los servidores, quién los maneja, a qué leyes responde la empresa propietaria y de quién es el modelo que usas.
Lo que suele venderse. Casi todos los proveedores ofrecen ya que los datos se queden en Europa, y muchos lo llaman soberanía cuando en realidad es residencia. La diferencia importa el día en que un tribunal de otro país pide esos datos.
La CLOUD Act, en cristiano
Es una ley estadounidense de 2018 que obliga a las empresas de ese país a entregar los datos que controlan cuando se lo ordena su justicia, estén donde estén los servidores. En la práctica, un centro de datos de una empresa americana en Madrid o en Fráncfort queda a su alcance, y lo máximo que puede hacer el proveedor es recurrir la petición si la considera infundada. Es exactamente lo que defendió Microsoft ante los senadores franceses.
Ojo, porque esto no convierte en ilegal usar ChatGPT, Copilot o Gemini con datos personales. El Marco de Privacidad de Datos entre la UE y Estados Unidos permite esas transferencias desde 2023 a las empresas adheridas, para las demás existen las cláusulas contractuales tipo, y el Tribunal General de la UE avaló el marco en septiembre de 2025, aunque el recurso sigue pendiente en el Tribunal de Justicia. Lo que una empresa tiene que preguntarse es qué pasaría si esos datos acabaran fuera, o si un día se quedara sin servicio.
Lo de quedarse sin servicio ya ha pasado. En mayo de 2025, después de que Estados Unidos sancionara a la Corte Penal Internacional, su fiscal jefe se quedó sin acceso al correo de Microsoft que usaba. Microsoft niega haber suspendido sus servicios a la Corte y no ha explicado qué pasó con esa cuenta, pero la Corte tomó nota: en octubre de 2025 anunció que dejaba Office por una alternativa europea de código abierto, precisamente para depender menos de Estados Unidos.
Tres caminos con la misma etiqueta
Hoy se vende como «IA soberana» casi cualquier cosa que tenga un servidor en Europa, y debajo de esa etiqueta conviven tres opciones que se parecen poco.
El gigante americano con región europea. Azure, AWS o Google Cloud con centros de datos aquí, e incluso sus versiones «soberanas», como la nube europea que AWS abrió en enero de 2026 en Alemania, operada solo por personal residente en la UE y con más de 7.800 millones de euros de inversión detrás. Es lo más cómodo y lo que da acceso a los modelos más potentes, pero la empresa matriz sigue siendo estadounidense.
La nube de una empresa europea. OVHcloud, Scaleway o IONOS, donde además funcionan modelos europeos como los de Mistral. Si la empresa no tiene matriz en Estados Unidos, la CLOUD Act no la alcanza de forma directa, aunque conviene preguntar si tiene filiales allí. Francia ha ido un paso más allá con un sello oficial, SecNumCloud, que exige blindar el servicio frente a leyes de fuera de Europa, y lo tiene incluso una nube de Thales que funciona con tecnología de Google.
Tus propios servidores. Un modelo de pesos abiertos (los que se pueden descargar e instalar) funcionando en máquinas de tu centro de datos, solas o dentro de una nube privada. Los hay muy buenos: Mistral, Llama, Qwen e incluso OpenAI, que publicó uno que cabe en una sola GPU de 80 GB. Nadie de fuera puede obligarte a entregar lo que pasa por ellos, apagarlos a distancia ni retirarte el modelo, porque una vez descargado es tuyo. A cambio, mantenerlos es cosa tuya.
| Pregunta | Gigante americano con región europea | Nube de empresa europea | Tus servidores |
|---|---|---|---|
| ¿Los datos se quedan en Europa? | Sí, si eliges la región y lo firma el contrato. | Sí. | Sí, en tu edificio. |
| ¿Le alcanza la CLOUD Act? | Sí, porque la empresa matriz es estadounidense. | En principio no, salvo filiales en EE. UU. | No. |
| ¿Pueden cortarte el servicio desde fuera? | Depende de las decisiones de la empresa y de su gobierno. | Solo por motivos europeos o contractuales. | No. |
| ¿Quién lo mantiene? | El proveedor. | El proveedor. | Tú o quien contrates. |
Qué camino necesita cada dato
Montar servidores propios para que la IA traduzca la web es tirar el dinero, y mandar a un servicio americano los planos de un producto que aún no has lanzado es un riesgo que nadie en la empresa ha decidido asumir. Se falla en los dos sentidos, y lo sensato es clasificar antes los datos, y la clasificación suele salir bastante clara:
- Textos de marketing, traducciones de la web o código sin nada sensible pueden ir a cualquier servicio de la nube, que suele ser el más capaz y el más barato.
- Con los datos personales de clientes y empleados, la nube americana es legal con un buen contrato. Aun así, en sanidad, banca o administración pública compensa llevarlos a una nube europea, porque el riesgo de una petición de fuera baja mucho.
- Y lo que no puede salir nunca (secretos industriales, I+D, contratos, datos clínicos, defensa) va en servidores propios o en una nube con el sello SecNumCloud o equivalente.
La mayoría de las empresas acaba combinando: un modelo en casa para lo delicado y la nube para todo lo demás, el mismo reparto que contamos en por qué las empresas montan sus propios servidores de IA.
Si eliges tus propios servidores
Lo que decide el tamaño de la máquina es la memoria de las tarjetas gráficas (GPU): el modelo entero tiene que caber en ella y todavía sobrar sitio para atender a varias personas a la vez. Cuánto cuesta depende de tres cosas: cuánta gente la va a usar a la vez, qué tamaño de modelo necesitas y quién lo va a mantener. Para hacerse una idea con máquinas reales:
- Para un departamento, un servidor de 2U con dos NVIDIA RTX PRO 6000 como el SYS-212GB-FNR suma 192 GB de memoria de GPU, más del doble de lo que pide el modelo abierto de OpenAI.
- Para varios equipos a la vez o modelos más grandes, el SYS-422GA-NRT lleva cuatro tarjetas (384 GB) y su versión de ocho llega a 768 GB en 4U.
- Y si antes quieres probar con un modelo pequeño, una workstation en torre como la SYS-C542i, preparada para una RTX de la serie 50, cabe debajo de una mesa.
Es lo que montamos en nuestros proyectos de inferencia de IA en local, y la parte menos vistosa suele ser quién lo mantiene. Un servidor de IA necesita actualizaciones, copias de seguridad y alguien que vigile su consumo, y sin un equipo que lo haga, tener la IA en casa sale más caro de lo que parece. Con ese equipo, o con alguien que lo opere por ti, es el único camino en el que la soberanía no depende de lo que diga un contrato. Eso sí, tener el modelo en casa no lo protege de los ataques propios de la IA, que contamos en los diez riesgos de OWASP para LLM.
Preguntas frecuentes
¿Qué es la IA soberana?
Es una IA que funciona sin que ninguna empresa ni gobierno extranjero pueda acceder a los datos que le das ni cortarte el servicio. Exige controlar dónde están los servidores, quién los maneja y a qué leyes está sometida la empresa que los opera.
¿Es ilegal usar ChatGPT o Copilot con datos de clientes?
No necesariamente. Enviar datos personales a Estados Unidos es legal con las garantías adecuadas, como el Marco de Privacidad de Datos de 2023 o las cláusulas contractuales tipo. Lo que conviene revisar es el contrato, el sector en el que trabajas y qué pasaría si esos datos acabaran en manos de una autoridad extranjera.
¿Una nube con servidores en Europa ya es soberana?
Solo si la empresa que la opera no está sometida a leyes de fuera de Europa, como la CLOUD Act estadounidense. Tener los datos en Europa garantiza la residencia, pero no la soberanía.
¿Estás decidiendo dónde poner tu IA?
Dinos qué datos quieres darle a la IA y cuánta gente la va a usar, y te decimos si te basta la nube o qué servidor de IA necesitarías.
Infraestructura y servicios de IA · sixe.esBlog!
Nuestra mision
SIXE garantiza que tus infraestructuras basadas en tecnologías IBM®, Red Hat®, Canonical® y SUSE® permanezcan estables, seguras y optimizadas durante todo el tiempo que las necesites.
En SIXE, nos comprometemos con la sostenibilidad. Por eso te ayudamos a diseñar, implementar y mantener soluciones tecnológicas duraderas y eficientes.
