La ilusión de Sovereign Cloud: por qué el verdadero control en la era de la IA está en la gobernanza de la identidad

Antecedentes del evento: El costo y las lecciones del experimento de la nube soberana europea

En enero de 2025, DORA (Reglamento de Resiliencia Operativa Digital) entró en vigor en toda la UE; la directiva NIS2 se implementó en los estados miembros; las cláusulas de sistemas de alto riesgo de la EU AI Act entrarán en vigor en agosto de 2026. Ante la triple presión regulatoria, las empresas europeas —especialmente las de finanzas, infraestructuras críticas y fabricación— han migrado grandes cargas de trabajo, renegociado contratos e incluido la nube soberana en los marcos de riesgo a nivel de consejo de administración durante los últimos dos años.

Los hiperescaladores de nube respondieron rápidamente. AWS lanzó su nube soberana europea en enero de 2026, seguido de productos similares de Microsoft y Google. El mercado parecía maduro.

Sin embargo, en la Conferencia Europea de Identidad y Nube (EIC) celebrada en Berlín en mayo de 2026, el estado de ánimo de los profesionales cambió notablemente. Los vítores por el concepto de nube soberana ya habían pasado. En su lugar, se realizó un análisis cauteloso, incluso incómodo, de la brecha entre las diapositivas de marketing y la realidad operativa.

Martin Kuppinger, cofundador y analista principal de KuppingerCole, observó: "La soberanía de la nube ocupó un espacio aún mayor en la EIC de este año, pero el debate se ha dividido en si es necesaria y dónde se necesita. El consenso es: la soberanía no es un valor en sí mismo; el nivel requerido depende del caso de uso y la evaluación de riesgos. No existe un modelo binario de soberanía".

Análisis técnico: Por qué la nube soberana no resuelve el problema del control

Cuando las empresas hablan de nube soberana, suelen pensar en la residencia de datos: dónde se almacenan los datos. Centros de datos europeos, jurisdicción europea. Pero la residencia de datos es solo el comienzo de la conversación, no el final.

La cuestión más espinosa se refiere al control: ¿quién posee las claves de cifrado? ¿Quién puede forzar el acceso según qué ley? ¿Quién puede ver los metadatos, los registros de acceso y la telemetría de las cargas de trabajo? Cuando ejecutas inferencias de IA o entrenamiento de modelos en una plataforma de nube soberana, ¿quién controla el registro de modelos, los pipelines de datos de entrenamiento y los registros de salida? Cuando un agente de IA actúa de forma autónoma —programando cargas de trabajo, configurando recursos, tomando decisiones de acceso—, ¿en qué arquitectura se ejecuta ese agente? ¿Quién puede observar su comportamiento?

Estas no son preocupaciones hipotéticas. La Ley CLOUD de 2018 otorga a las autoridades estadounidenses el poder de exigir a las empresas estadounidenses que entreguen datos almacenados en el extranjero, independientemente de dónde estén los servidores. Los productos de nube soberana europea de los hiperescaladores estadounidenses abordan este problema mediante la separación operativa, entidades legales europeas y claves administradas por el cliente, pero estas estructuras son nuevas, solo parcialmente probadas y varían significativamente entre proveedores.

El BSI alemán ha elevado aún más el listón.El BSI alemán elevó aún más el estándar. En abril de 2026, la agencia publicó el "Estándar de Autonomía en la Computación en la Nube (C3A)": el primer marco que operacionaliza la soberanía en la nube a nivel técnico, incluyendo escenarios de desconexión, requisitos de residencia del personal, y cláusulas especiales para que el gobierno federal asuma la operación de la nube en escenarios de defensa. Aunque formalmente no es vinculante, se espera ampliamente que se convierta en el estándar de facto para las adquisiciones federales alemanas, y podría ser un modelo para marcos a nivel de la UE en proceso legislativo. Para los CISO estadounidenses, la dirección es clara: la definición regulatoria de soberanía en la nube se está endureciendo, y la brecha entre "datos en Europa" y "soberanía operativa" solo se ampliará.

La identidad es donde la soberanía reside realmente

El tema más claro de EIC 2026 es: la identidad —no el perímetro de red ni la residencia de datos— es donde la soberanía en la nube se sostiene o colapsa.

Jason Keenaghan, director de estrategia de gestión de identidades de Thales, señaló directamente: "La identidad está pasando de ser una función de TI a una infraestructura regulada. La pregunta más importante de la próxima década es: ¿quién controla?"

Para los CISO estadounidenses, esta transformación es muy real: la gobernanza de identidades está pasando de ser una tubería de TI pura a un plano de control regulado, que será cada vez más examinado por auditores, reguladores e incluso clientes corporativos en las RfP. "Quién controla" ya no es una pregunta filosófica, sino contractual.

El problema es: puedes colocar tus datos en un centro de datos en Fráncfort y usar claves gestionadas por el cliente, pero si la gobernanza de identidades es débil —no sabes qué usuarios humanos, cuentas de servicio y agentes de IA tienen qué accesos y bajo qué condiciones— tu postura de soberanía depende solo de la identidad más débil. Una cuenta privilegiada comprometida no se preocupa por la residencia de datos.

Esto es especialmente grave para las cargas de trabajo de IA. Los sistemas de IA autónomos —modelos que actúan de forma autónoma, invocan APIs, aprovisionan recursos, acceden a datos— están creando una nueva clase de identidades no humanas que los sistemas de IAM de la mayoría de las empresas nunca fueron diseñados para gestionar. Considera un ejemplo específico que he visto en el entorno de un cliente: un agente de despliegue basado en LLM que tiene acceso permanente al clúster de Kubernetes que produce. Programa cargas de trabajo de forma autónoma, configura recursos y toma decisiones de acceso. Si ese agente se ejecuta en una infraestructura de nube soberana, pero su identidad —credenciales, permisos, rastro de auditoría— no está adecuadamente gobernada, tu postura de soberanía es tan fuerte como el eslabón más débil en la cadena de acceso de ese agente. Si hoy ejecutas agentes similares en regiones de nube estadounidenses, existen los mismos puntos ciegos de identidad —incluso si nunca has tocado regiones de nube soberana.Sebastian Rohr, consultor de IAM y miembro de IDPro, con veinte años de experiencia en arquitectura de gobierno de identidades, destila los requisitos prácticos para gobernar agentes de IA: "Cada agente necesita una identidad no humana asignada. Debe establecerse un modelo de delegación sólido de 'representante'. Se necesita proporcionar un rastro de auditoría mediante integración SIEM. No se permiten credenciales a largo plazo ni claves API, solo credenciales temporales. Autenticación basada en contexto y control de acceso detallado. Los agentes deben gestionarse como identidades reales. Y una vez que esta base existe: reautenticación continua basada en riesgos, combinada con capacidad de revocación en tiempo real. ¿Tenemos ahora estas capacidades en todas partes? No necesariamente, pero ¿diseñar una arquitectura que las soporte? Es completamente posible."

Para los agentes de IA, el problema real es simple: ¿puedes enumerar cada agente que se ejecuta en tu entorno, gestionar sus permisos y revocar el acceso en tiempo real? Si no puedes, no tienes control real sobre la carga de trabajo, sin importar en qué región de nube se ejecute.

Análisis de impacto empresarial: Evaluación de coste-beneficio de la nube soberana

Para los CISO estadounidenses que gestionan operaciones, filiales o clientes de la UE, el problema real no es si la nube soberana es filosóficamente correcta, sino si el coste y la complejidad adicionales proporcionan suficiente reducción de riesgo para cargas de trabajo específicas. La mayoría de las organizaciones con las que he trabajado aplican en exceso la nube soberana a cargas de trabajo que no la necesitan, mientras que no la aplican lo suficiente a las que sí la necesitan.

A continuación se presenta un marco de trabajo extraído de dos años de práctica de despliegue en Europa, que puede servir como herramienta de clasificación rápida:

| Tipo de carga de trabajo | ¿Necesita nube soberana? | Razón | |------------------------------|------------------------------|-----------| | Datos financieros regulados, PII de clientes (residentes de la UE) | Sí | Requisito legal de residencia de datos, la nube soberana proporciona protección jurisdiccional clara | | Datos de entrenamiento de IA (que contienen información personal sensible) | Depende | Si los datos están anonimizados y el gobierno de identidades es sólido, se puede considerar nube no soberana; la nube soberana proporciona un colchón legal adicional | | Entornos de desarrollo y pruebas internos (no productivos) | No | Riesgo bajo, la prima de la nube soberana no vale la pena | | Agentes de IA que ejecutan decisiones autónomas (que implican control de acceso) | No, pero necesita un fuerte gobierno de identidades | La nube soberana no puede controlar el comportamiento del agente; el gobierno de identidades es clave | | Recuperación ante desastres/copias de seguridad (regiones no sensibles) | No | Relación coste-beneficio baja, a menos que haya requisitos de cumplimiento claros |

Como dice Kuppinger: "Dentro de una organización, es la norma, no la excepción, que diferentes casos de uso tengan diferentes necesidades de nivel de soberanía."

Análisis de competencia del mercado: Respuesta de los proveedores de nube y de gobierno de identidadesAnálisis del Mercado Competitivo: Respuestas de los Proveedores de Cloud y de Gobernanza de Identidades

En el panorama actual del mercado, los proveedores de cloud como AWS, Azure y Google Cloud están lanzando productos de cloud soberano para intentar cumplir con los requisitos regulatorios. Sin embargo, estos productos principalmente abordan la residencia de datos y el aislamiento operativo, sin resolver completamente los problemas profundos de la gobernanza de identidades.

Al mismo tiempo, el mercado de gobernanza de identidades se está calentando. Fabricantes de IAM como Thales, SailPoint y CyberArk están comenzando a incluir la gestión de identidades de agentes de IA en sus hojas de ruta de productos. Soluciones nativas de Kubernetes como Spiffe/Spire también están ganando atención.

Para las empresas, la estrategia correcta no es elegir entre uno u otro: el cloud soberano y la gobernanza de identidades son complementarios. El cloud soberano proporciona garantías legales de residencia de datos, mientras que la gobernanza de identidades ofrece control operativo a nivel práctico. Invertir solo en uno de ellos puede generar brechas de riesgo.

Observación de Tendencias de la Industria: La Gobernanza de Identidades se Convierte en el Nuevo Plano de Control para Cargas de Trabajo de IA

A juzgar por la agenda de EIC 2026, la tendencia es clara: la seguridad de IA, la tela de identidades, la gestión de identidades de cargas de trabajo y la agilidad criptográfica son temas candentes. El cloud soberano ya se ha convertido en la infraestructura predeterminada, y las conversaciones de los profesionales se han desplazado a qué construir sobre él y quién controla esa capa.

Para las empresas estadounidenses, la regla de divulgación de ciberseguridad de la SEC (diciembre de 2023), las guías de seguridad de IA de CISA y las propuestas de regulación de IA a nivel estatal están creando una presión similar a la de Europa. Si ejecuta cargas de trabajo de IA para clientes de la UE, opera filiales en la UE, o simplemente se enfrenta a la pregunta de dónde deben almacenarse los datos de entrenamiento de IA sensibles y las salidas de modelos, ya está en esta conversación. La experiencia europea es su vista previa.

CloudTechDaily Insight

El experimento de cloud soberano europeo ha revelado una lección clave: la residencia de datos no equivale al control operativo. Cuando los agentes de IA, las cuentas de servicio y las cargas de trabajo automatizadas se convierten en el núcleo de la infraestructura de TI empresarial, la gobernanza de identidades es el verdadero plano de control.

Para los CISO y CIO, esto significa: no vea el cloud soberano como una bala mágica de gobernanza. Es una herramienta legal, no operativa. La inversión real debe estar en la arquitectura de gobernanza de identidades, capaz de gestionar identidades humanas y no humanas, soportar revocaciones en tiempo real y autenticación continua basada en riesgos. De lo contrario, sus cargas de trabajo de IA estarán expuestas al mismo riesgo, sin importar en qué región de cloud se ejecuten.

Mirando hacia el futuro, la gobernanza de identidades se convertirá en un pilar central de la estrategia de TI empresarial, a la par de la seguridad de IA, el cumplimiento normativo y la arquitectura de cloud. Aquellas empresas que eleven la gobernanza de identidades a un tema de nivel de junta directiva obtendrán el control real en la era de la IA.