Mientras la Cloud and AI Development Act avanza en el Parlamento y el Consejo, la Comisión Europea no esperó: en su propia licitación de nube soberana aplicó una tabla de niveles de soberanía, excluyó a quien no alcanzaba el mínimo y adjudicó todo a proveedores europeos. El resultado muestra hasta dónde llegan las ofertas “soberanas” de los hiperescaladores, y qué puede exigir hoy un organismo público europeo.
Lo que ya ha ocurrido
En abril de 2026, la Comisión repartió un contrato marco de seis años y 180 millones de euros, abierto a todas las instituciones y agencias de la UE, entre cuatro consorcios: Post Telecom con OVHcloud y Clever Cloud, STACKIT (Grupo Schwarz), Scaleway (Grupo Iliad) y Proximus con S3NS, Clarence y Mistral. Los evaluó con su Cloud Sovereignty Framework, que traduce la soberanía en ocho objetivos medibles y asigna un nivel SEAL de 0 a 4: control societario, ubicación de los datos, cadena de suministro, apertura tecnológica, seguridad y cumplimiento del Derecho de la UE. Solo eran elegibles los licitadores que alcanzaran SEAL-2 (soberanía de los datos). OVHcloud, STACKIT y Scaleway alcanzaron SEAL-3 (resiliencia digital). El consorcio basado en S3NS, la empresa conjunta de Thales y Google, se quedó en SEAL-2, el mínimo. La Comisión aplicará los mismos criterios a sus propios servicios digitales y publicará una versión actualizada del marco.
Lo que viene
La Cloud and AI Development Act (CADA) hará obligatoria este tipo de tabla para el sector público de todos los Estados miembros, con cuatro niveles de garantía y la exigencia de nivel 2 o superior en los sectores críticos, ampliable a las empresas cubiertas por la NIS2. Explicamos los cuatro niveles en Bruselas propone cuatro niveles de soberanía digital en la contratación pública.
La Ley de Contratación Pública (Public Procurement Act), adoptada el 9 de septiembre, sustituye las directivas de contratación pública por un reglamento único con preferencia europea en todos los sectores: al menos un 30 % de la evaluación basado en criterios distintos del precio, donde puede contar el origen europeo, y la facultad de la Comisión de cerrar licitaciones a países sin reciprocidad. Las plataformas de contratación electrónica deberán estar establecidas en el EEE, conservar allí sus datos y estar libres de control externo.
Ninguna de las dos está todavía en vigor. La CADA no tendrá texto definitivo antes de 2027 y no se aplicará antes de 2028; la Ley de Contratación Pública no se aplicará antes de 2029. Pero un contrato de nube a cuatro años firmado hoy terminará bajo estas reglas.
Dónde deja esto a Microsoft, Google y Amazon
Los tres hiperescaladores pueden cumplir el nivel 1: tienen filiales europeas y regiones de datos en la UE. Pero eso no es lo que viene por defecto. La residencia de datos en la UE es una opción que hay que configurar y contratar aparte, con un coste adicional y con exclusiones, como la telemetría, el soporte y algunos servicios de IA, que siguen saliendo de Europa. Incluso para asegurar el nivel 1, el cliente tiene que saber qué pedir y pagar por ello. El problema empieza en el nivel 2. Mientras la empresa matriz esté sujeta a la CLOUD Act y a la FISA 702, un proveedor controlado desde Estados Unidos no puede garantizar que ningún actor extranjero acceda a los datos o suspenda el servicio. El caso de 2025 en que se suspendió la cuenta de correo de un fiscal de la Corte Penal Internacional a raíz de sanciones estadounidenses se cita en los trabajos preparatorios como el escenario exacto que el nivel 2 pretende evitar.
Su respuesta es el modelo de fideicomisario (trustee): tecnología estadounidense operada por una entidad europea que custodia las claves y emplea al personal. S3NS (Thales con Google), Bleu (Orange y Capgemini con Microsoft) y la European Sovereign Cloud de AWS siguen ese camino. La licitación de la Comisión mostró su límite: el consorcio que se apoyaba en S3NS se quedó en SEAL-2, el mínimo, mientras que los proveedores europeos nativos alcanzaron SEAL-3. El nivel 3 de la CADA solo admite proveedores controlados desde terceros países si la Comisión reconoce formalmente la jurisdicción y se demuestran las salvaguardias; el nivel 4 no admite excepciones.
Dónde deja esto a Sooma
Sooma es una empresa europea, con capital, dirección y equipo en la UE, que opera su propia infraestructura desde 2018: servidores exclusivamente en Europa, fuera del alcance de las leyes de terceros países. Los criterios estructurales de los niveles 2 y 3 de la CADA, establecimiento y datos en la UE, cadena de subcontratación europea, ausencia de control desde terceros países y equipo europeo, son sencillamente la forma en que Sooma ha operado siempre. Sooma Business, con correo, drive y chat construidos sobre software de código abierto, cumple el criterio de apertura tecnológica que el marco SEAL valora y que evita la dependencia del proveedor.
La tabla siguiente contrasta los criterios de la CADA y del marco SEAL con lo que cada tipo de proveedor puede demostrar hoy.
| Lo que exigirá el comprador | Microsoft, Google, Amazon | Sooma |
|---|---|---|
| Establecimiento y control en la UE | Filial europea, pero control último en EE. UU.; solo se resuelve mediante un modelo de fideicomisario (S3NS, Bleu, AWS European Sovereign Cloud) | Empresa europea, con capital y dirección en la UE |
| Datos, copias de seguridad y registros en la UE | Regiones europeas disponibles; la telemetría y el soporte no siempre se limitan a la UE | Servidores exclusivamente en Europa |
| Subcontratistas europeos | Cadena global de hardware, software y soporte | Centros de datos, conectividad y proveedores en la UE |
| Inmunidad frente a órdenes y sanciones de terceros países | No puede garantizarse mientras la empresa matriz esté sujeta a la CLOUD Act y a la FISA 702; el modelo de fideicomisario se quedó en SEAL-2 en la licitación de la Comisión | Sujeta únicamente al Derecho de la UE y de sus Estados miembros |
| Personal con acceso privilegiado con ciudadanía de la UE (nivel 3) | Solo en las ofertas de fideicomisario, dentro de un perímetro limitado | Equipo íntegramente en la UE |
| Datos de los clientes no utilizados para entrenar IA de terceros países | Depende de cláusulas contractuales; los modelos de IA se operan desde EE. UU. | Ningún entrenamiento de modelos con datos de los clientes |
| Apertura tecnológica y plan de salida de 12 meses | Formatos y API propietarios; migración compleja | Sooma Business es de código abierto; formatos abiertos y portabilidad |
El límite de los hiperescaladores no es técnico, es jurídico: por mucho que inviertan en regiones y socios europeos, el control último y la exposición al Derecho estadounidense no cambian. Ese es precisamente el criterio que el nivel 3 de la CADA y SEAL-3 ponen en el centro.
Para los organismos públicos y las empresas de sectores críticos de toda Europa, el mensaje es simple: los proveedores que serán elegibles en 2028 ya existen hoy, y los criterios para distinguirlos ya están publicados.