7 noviembre 2026
Cloud, Noticias
5 minutos de lectura

CISPE pide a Europa no rebajar la ley de cloud e IA soberanos

Antonio

CISPE, la asociación de proveedores europeos de infraestructura cloud, ha pedido a las instituciones de la UE que no rebajen la Cloud and AI Development Act (CADA), la propuesta de reglamento con la que la Comisión quiere reducir la dependencia de proveedores cloud no europeos. En su respuesta a la consulta pública, difundida el 06/11/2026, la asociación respalda el objetivo de la norma, pero señala cinco problemas en la propuesta y critica que el texto de compromiso de la presidencia irlandesa del Consejo recorte, entre otras cosas, la obligación de contratar servicios soberanos en el sector público.

Las claves de la posición de CISPE sobre la ley europea de cloud e IA en 30 segundos

La Comisión presentó la CADA el 03/06/2026 para impulsar la capacidad de cómputo europea y la contratación de servicios cloud soberanos.
CISPE la apoya, pero cree que favorece a las empresas conjuntas respaldadas por hyperscalers y deja huecos para revender servicios extranjeros como soberanos.
El texto del Consejo elimina el nivel mínimo de soberanía en todas las licitaciones y el objetivo del 25 % para pymes.
Las posiciones deben cerrarse para los trílogos a principios de 2027.

La propuesta forma parte del Paquete de Soberanía Tecnológica que la Comisión adoptó a principios de junio, y parte de un diagnóstico que la propia Comisión recoge en su documentación: tres hyperscalers no europeos suman más del 70 % del mercado cloud en Europa, y la cuota de los proveedores de la UE cayó de alrededor del 29 % en 2017 a cerca del 15 % en 2022. Para cambiarlo, la CADA combina medidas de oferta, como facilitar el despliegue de centros de datos, con medidas de demanda centradas en la contratación pública.

Qué propone la Comisión

La pieza más relevante es un marco europeo de soberanía cloud con varios niveles, del primero al cuarto, que miden el grado de control que ofrece cada servicio. Los niveles se vinculan a evaluaciones de riesgo del sector público, de modo que los usos más sensibles exigirían los niveles más altos. La propuesta añade un registro de servicios de confianza, una auditoría de soberanía válida en toda la UE, un criterio de «valor añadido de la Unión» que las administraciones deben valorar en sus compras de cloud e IA, una federación voluntaria de capacidad cloud del sector público y la aspiración de que al menos el 25 % de la contratación pública de cloud e IA vaya a pymes innovadoras.

CISPE ya ha participado en este debate con propuestas propias, como su marco auditable para medir la nube soberana, y valora que el texto de la Comisión ofrezca a los proveedores dos vías igual de exigentes para demostrar que sus servicios cumplen las expectativas de control de los clientes. Su respuesta a la consulta se resume en una idea: obligar a contratar soluciones soberanas es, según la asociación, la forma correcta de reducir la dependencia.

Los cinco problemas que ve CISPE en la propuesta

La asociación sostiene que el listón técnico perjudica a los proveedores soberanos europeos y, en cambio, deja pasar a las empresas conjuntas respaldadas por hyperscalers. También critica que el registro de servicios de confianza no dé a los compradores públicos ningún motivo para consultarlo, y que existan resquicios para revender como soberanos servicios bajo control extranjero.

Las otras dos objeciones son más operativas. CISPE se queja de que los proveedores tendrían que volver a demostrar lo que ya han acreditado en auditorías independientes, y de que el concepto de «países de confianza», que permitiría excepciones para algunos Estados no miembros, queda sin definir. Según la asociación, esa indefinición genera incertidumbre para los países del Espacio Económico Europeo y otros socios afines.

El texto del Consejo, más permisivo

La parte más crítica del documento se refiere al texto de compromiso de la presidencia irlandesa del Consejo. Según CISPE, saca de la contratación soberana a la policía y la defensa, elimina el requisito de que todas las licitaciones del sector público cumplan al menos el nivel uno y suprime la posibilidad de que la Comisión extienda estas obligaciones al sector privado. También desaparece el objetivo del 25 % para pymes, se limitan los criterios de valor añadido europeo y se suavizan los requisitos de residencia de datos.

La asociación advierte además de que las reglas más laxas sobre telemetría podrían chocar con el RGPD y con la directiva NIS 2, y lamenta que el compromiso no resuelva la exigencia de auditar el código fuente, un obstáculo para los proveedores que no son dueños de todo el software de su pila tecnológica. Reconoce, en cambio, que los Estados miembros han cerrado algunos resquicios que permitían a subcontratistas de otros países escapar de las auditorías.

El calendario es corto. CISPE espera el informe del ponente en el Parlamento Europeo, se queja de que los plazos de enmiendas son muy ajustados y recuerda que las posiciones deberían quedar cerradas para empezar los trílogos a principios del próximo año. Conviene tener en cuenta que la asociación defiende los intereses de sus miembros, la mayoría proveedores europeos, aunque cuenta también con Amazon y Microsoft como miembros asociados. Su posición sobre otros frentes, como las licencias de Broadcom y SAP, sigue la misma línea de pedir a Bruselas una intervención más firme.

Preguntas frecuentes

¿Qué es la Cloud and AI Development Act?

Una propuesta de reglamento presentada por la Comisión Europea el 03/06/2026 para aumentar la capacidad de cómputo en la UE y reducir la dependencia de proveedores cloud no europeos, con un marco de soberanía y medidas de contratación pública.

¿Qué critica CISPE de la propuesta?

Que el listón técnico favorezca a empresas conjuntas con hyperscalers, que el registro de servicios de confianza no tenga utilidad práctica, que haya resquicios para servicios extranjeros, que se repitan auditorías ya hechas y que los «países de confianza» no estén definidos.

¿Qué cambia el texto del Consejo?

Según CISPE, excluye a policía y defensa, elimina el nivel mínimo de soberanía en todas las licitaciones públicas y el objetivo del 25 % para pymes, y suaviza la residencia de datos y la telemetría.