Cuando se aprobó la CLOUD Act en 2018, la mayoría de los CTOs europeos la trataron como una abstracción legal - algo de lo que debía preocuparse el equipo de compliance, en algún punto entre los banners de cookies y la compra de impresoras. Ocho años después, con la sentencia Schrems II, NIS2 ya transpuesta a la legislación nacional en toda la UE, DORA en vigor para el sector financiero, y las disposiciones sobre tarifas de salida de datos de la Data Act a punto de llegar, es una preocupación que llega al consejo de administración. No porque los abogados hayan ganado un argumento, sino porque el riesgo dejó de ser teórico.

Definamos los términos, porque "cloud soberano" se ha convertido en papilla de marketing. La soberanía real significa tres cosas distintas: residencia de los datos en jurisdicciones de la UE, control operativo por parte de empresas con sede en la UE, y protección legal frente a requerimientos judiciales extraterritoriales. Los departamentos de marketing de los hyperscalers estadounidenses te dirán que sus regiones europeas marcan la primera casilla. Y tienen razón. Las otras dos son más difíciles - y son las dos que importan cuando las cosas salen mal.

Así se ve esto en la práctica: un hospital de Múnich ejecuta su sistema de imágenes PACS sobre AWS Frankfurt. Los datos nunca salen de Alemania. Cifrado en reposo, personal de soporte en la UE, todo el paquete de compliance. Pero la empresa operadora es una corporación de Delaware, Estados Unidos, sujeta a la ley estadounidense. Una orden judicial de un tribunal de EE. UU. puede obligar a revelar esos datos, sin importar dónde estén físicamente los bytes. Los abogados del hospital lo saben. El consejo del hospital, cada vez más, también lo sabe. Esta es la brecha que NIS2 y la Data Act están cerrando - lentamente, de forma imperfecta, pero en una dirección clara.

La cronología regulatoria cuenta la historia. Schrems II (2020) invalidó el Privacy Shield y puso cada transferencia de datos de la UE a EE. UU. sobre una base legal inestable. NIS2 (con transposiciones nacionales llegando en 2024-2025) convirtió la responsabilidad sobre la cadena de suministro en una obligación del consejo con responsabilidad personal - ahora respondes no solo por tu propia seguridad, sino también por la de tus proveedores. DORA (enero de 2025) hizo lo mismo para el sector financiero, y con dientes de verdad. La Data Act (con disposiciones sobre tarifas de salida a partir de 2027) ataca el lock-in directamente: los costes de salida que convertían "ya migraremos más adelante" en una fantasía están siendo regulados hasta desaparecer.

Nada de esto significa "deja de usar AWS". Esa es la versión de hombre de paja del argumento de la soberanía, y no sobrevive al contacto con la realidad - los hyperscalers son excelentes en lo que hacen, y la mayoría de las empresas europeas mantendrán cargas de trabajo en ellos durante años. La versión seria trata sobre la opcionalidad: saber exactamente cuáles de tus cargas de trabajo podrían moverse, a dónde podrían moverse, y cuánto costaría - antes de que un regulador, el equipo de compras de un cliente, o una sorpresa geopolítica te fuercen a responder esa pregunta según el calendario de otro.

Aquí es donde el panorama de proveedores europeos se vuelve interesante, porque hoy es genuinamente bueno y en gran parte desconocido. Hetzner ofrece una relación precio-rendimiento que hace que las facturas del cloud estadounidense parezcan una broma. OVHcloud opera una de las mayores infraestructuras de Europa, con fibra y centros de datos propios. Scaleway ofrece una pila moderna y amigable para desarrolladores desde Francia. UpCloud entrega cómputo fiable desde Finlandia. Ninguno de ellos es un sustituto directo de AWS en todos los servicios - pero para las capas de cómputo, almacenamiento y red, que es donde realmente vive la mayor parte del gasto en infraestructura, son creíbles, a menudo más baratos, y responden únicamente ante la ley de la UE.

El obstáculo real no es la capacidad. Es la operativa. Cada proveedor implica otra consola, otra API, otra exportación de facturación, otro conjunto de peculiaridades de seguridad que aprender. Una empresa de 30 personas no puede tener un equipo de plataforma por cada nube - así que se consolidan en un único hyperscaler, y la soberanía se convierte silenciosamente en algo que se revisará "el año que viene", cada año.

Este es el problema real que Sencai existe para resolver. Una estrategia multi-cloud - incluida una estrategia de soberanía - solo es real si un equipo pequeño puede operarla sin ahogarse. Un único plano de control sobre hyperscalers y proveedores nativos de la UE, un único lugar para ver cada recurso y cada euro, un único registro de auditoría que aguanta cuando se solicitan evidencias NIS2: eso es lo que convierte "deberíamos mirar a proveedores europeos" de una diapositiva en un plan de migración.

Así que aquí tienes la lista práctica que le daríamos a cualquier CTO europeo para 2026. Uno: mapea cuáles de tus cargas de trabajo son sensibles a la jurisdicción - datos personales, salud, finanzas, cercanas al sector público - y cuáles son cómputo commodity que podría ejecutarse en cualquier sitio. Dos: pregunta a tus proveedores quién opera legalmente cada servicio, no dónde están los servidores; las respuestas te sorprenderán. Tres: calcula el coste de salida de tus tres cargas de trabajo principales, porque la Data Act está a punto de convertir esa cifra en negociable. Cuatro: ejecuta una carga de trabajo real en un proveedor de la UE este año - no como declaración de intenciones, sino como una opción que de verdad has ejercido, con monitorización, copias de seguridad y todo lo que exigirías en cualquier otro sitio.

La postura de Sencai es simple: entregamos un plano de control que funciona tanto con los hyperscalers como con proveedores nativos de la UE (Hetzner, OVHcloud, Scaleway, UpCloud), y te dejamos decidir dónde vive cada carga de trabajo. El propio plano de control se ejecuta en la UE, operado por una empresa europea, sin dependencias estadounidenses en la ruta crítica. Así es como se ve la soberanía por defecto: no una insignia en una diapositiva, sino la libertad de poner cada carga de trabajo exactamente donde le corresponde - y de demostrarlo.