En junio de 2025, Microsoft anunció un paquete de soluciones de soberanía para clientes europeos. Una de ellas, llamada Data Guardian, restringe el acceso remoto a los sistemas que guardan datos europeos a empleados de la propia empresa radicados en Europa, con aprobación en tiempo real y un registro a prueba de manipulación para cada acceso.
Siete meses después, en enero de 2026, AWS anunció que su propia nube soberana europea ya estaba operativa: más de 7.800 millones de euros invertidos, la primera región funcionando en el estado alemán de Brandeburgo, y una frase que resume la intención — "cero control operativo fuera de las fronteras de la Unión Europea". En noviembre de 2025, Google Cloud ya había abierto en Múnich su primer centro dedicado a soluciones de soberanía de datos, bajo el argumento, en palabras de un vicepresidente de la empresa, de que "las organizaciones europeas deberían tener control sobre su propio destino digital".
Tres de las mayores proveedoras de nube del mundo, en poco más de un año, construyeron estructuras jurídicas y operativas enteramente nuevas para un único propósito: convencer a los clientes europeos de que sus datos —y, cada vez más, el funcionamiento de los agentes de IA que los usan— quedan bajo reglas que la empresa cliente entiende y puede verificar. Esto no es un movimiento de marketing regional. Es una señal de hacia dónde va la conversación de compra en cualquier lugar del mundo, incluido este.
La pregunta que cambió de lugar
Durante años, la pregunta de un comité de compras sobre la nube de un proveedor era geográfica: en qué país está el servidor. Las tres empresas trataron esa pregunta como insuficiente. Microsoft describe Sovereign Public Cloud como un entorno donde "los datos del cliente permanecen en Europa, bajo la ley europea, con operación y acceso controlados por personal europeo, y el cifrado bajo control total del cliente" — cuatro condiciones, no una.
AWS fue en la misma dirección con otro énfasis: su nube soberana europea se describe como "física y lógicamente separada" de las demás regiones de la empresa, "operada exclusivamente por residentes de la Unión Europea", sin dependencias críticas de infraestructura fuera del bloque, y diseñada para seguir funcionando "incluso ante una interrupción de comunicación con el resto del mundo". La gobernanza incluye una controladora y subsidiarias en Alemania lideradas por ciudadanos europeos, además de un consejo asesor con integrantes independientes.
El patrón en las tres empresas es el mismo: la residencia física del dato dejó de ser una respuesta suficiente. Lo que pasó a importar es quién tiene acceso operativo, bajo qué ley, con qué registro y con qué posibilidad de auditoría — dicho con esa precisión, y de preferencia escrito en el contrato.
Esto explica por qué Google Cloud describe el propio movimiento como una cuestión de "control sobre el destino digital" de la empresa cliente, y no solo de ubicación del dato. Y explica también por qué la estructura de gobernanza de AWS en Europa incluye un consejo asesor con integrantes independientes de la propia dirección de Amazon: la idea es que la supervisión no dependa solo de la palabra del proveedor.
Dónde la promesa de soberanía todavía choca con la práctica
Ninguna de estas tres estructuras nació de un capricho de ingeniería. Nació de una pregunta que reguladores, auditores y consejos europeos vienen haciendo desde hace años y que se volvió imposible de ignorar cuando la IA generativa empezó a manejar contratos, políticas internas y datos de clientes: si una ley de otro país obliga a divulgar información almacenada en la nube, ¿quién decide, bajo qué proceso, qué se entrega?
La respuesta de cada proveedora combina arquitectura técnica y estructura jurídica local — no una etiqueta de "servidor en Europa" pegada sobre un producto que se sigue operando desde otro lugar. Y ahí es exactamente donde falla la mayoría de los contratos de IA firmados por empresas fuera de Europa: se menciona la residencia del dato, pero el acceso operativo, la cadena de aprobación y la trazabilidad de auditoría no quedan especificados en ninguna cláusula verificable. Un servidor "en el país correcto" no resuelve nada si el proveedor puede acceder, mover o usar ese dato sin ningún registro que la empresa contratante pueda revisar después.
Lo que tiene que existir en la práctica
El movimiento de las tres proveedoras señala cuatro elementos que cualquier empresa —europea o no— ya puede exigir antes de firmar un contrato de IA corporativa.
Residencia y arquitectura definidas por contrato, no por una promesa verbal. Dónde se procesa y almacena el dato tiene que estar por escrito, con posibilidad real de auditoría — no solo afirmado en una página de ventas.
Cada empresa con datos y reglas separados. El entorno de un cliente no puede mezclarse con el de otro, ni técnicamente ni en la política de acceso. Es la misma lógica detrás de que AWS describa su nube soberana como físicamente separada de sus otras regiones.
Retención configurable con expurgo automático. Cuánto tiempo se guarda un dato, y qué pasa con él después, tienen que ser parámetros que define la empresa contratante — no una política genérica del proveedor.
Trazabilidad de auditoría de quién accedió a qué, cuándo y por qué. Sin ese registro, "soberanía" es una palabra en un material de marketing, no una garantía verificable.
Así fue diseñada Skyller: residencia y arquitectura conforme al plan y al contrato de cada cliente, cada empresa con datos y reglas separados, y retención configurable con expurgo automático desde el primer día.
Qué cambia para quien compra IA hoy
Para una empresa brasileña o latinoamericana, nada de esto es un tema solo europeo. La misma pregunta que llevó a Microsoft, AWS y Google a construir estructuras dedicadas —qué reglas exactamente aplican a este dato, y quién puede probarlo— vale para cualquier proveedor de IA corporativa contratado aquí, sin importar dónde haya nacido.
La ganancia práctica de tratar esto como criterio de compra, y no como detalle técnico, es doble. Del lado del riesgo, la empresa deja de depender de la palabra del proveedor y pasa a tener una cláusula que puede invocar en una auditoría o en una investigación de incidente. Del lado de la negociación, un consejo que sabe exactamente qué preguntas hacer llega a la mesa en una posición más fuerte que uno que solo pregunta "¿los datos están seguros?" — una pregunta demasiado amplia como para producir una respuesta útil.
Hay además un efecto que suele pasar desapercibido: una vez que la empresa escribe estas cuatro exigencias en un proceso interno de compras, valen para cualquier proveedor nuevo, de IA o no. El criterio deja de ser un capricho de un contrato puntual y pasa a formar parte de cómo la empresa evalúa cualquier servicio que maneje datos sensibles.
La infraestructura enteramente controlada por el cliente, en nube propia o en un entorno local, sigue siendo una posibilidad adicional para quien tenga esa exigencia específica — pero para la mayoría de las empresas, lo que resuelve el problema real no es dónde está físicamente el servidor, es la arquitectura y el contrato que definen quién manda sobre ese dato.
Cuatro preguntas para llevar a la próxima reunión de compras
Antes de firmar el próximo contrato de IA, sea con un proveedor local o internacional, vale la pena llevar estas preguntas a la mesa:
- ¿Dónde exactamente se procesa y almacena el dato, y eso está escrito en el contrato o solo en una página del sitio? Una afirmación de marketing no vale como cláusula.
- ¿Quién, en la práctica, tiene acceso operativo al entorno que guarda nuestro dato, y bajo qué aprobación? Si la respuesta es vaga, probablemente el proveedor no lo sabe, o no quiere decirlo.
- ¿Existe una trazabilidad de auditoría que nuestro propio equipo pueda consultar, o solo el proveedor tiene acceso a ese registro? Un registro que solo ve el proveedor no sirve para una investigación interna.
- ¿Qué pasa con el dato cuando termina el contrato, y eso es automático o depende de que alguien recuerde pedirlo? Retención sin plazo definido es riesgo que se acumula en silencio.
