La Ley CADA del cloud entra en su fase decisiva: la Eurocámara quiere usar la contratación pública para romper el dominio de los hiperescaladores estadounidenses sobre la infraestructura digital europea.
Los eurodiputados presentaron este miércoles en el Parlamento Europeo un informe preliminar conjunto sobre la propuesta de una Ley de Desarrollo de la Nube y la IA, conocida por sus siglas inglesas, CADA, que encaja en la estrategia digital de la Comisión Europea. El texto pide normas comunes para la infraestructura de nube e inteligencia artificial, más apoyo a las tecnológicas europeas y menos dependencia de proveedores de fuera. El borrador se publica este jueves y abre un recorrido legislativo que no se cerrará antes de 2027.
El dato que sobrevuela el debate lo puso la propia Comisión: tres proveedores no europeos de hiperescala —las plataformas que concentran cómputo y almacenamiento a escala global— controlan más del 70% del mercado comunitario de la nube. Soberanía de los datos, seguridad y autonomía operativa, en ese orden. El diagnóstico no es nuevo.
El ponente conservador español Diego Solier lo formuló así: ‘no se trata solo de una cuestión de competitividad económica, sino de la capacidad de tomar decisiones propias’. Y añadió el matiz que separa la soberanía del cierre comercial: ‘la soberanía tecnológica no consiste en cerrar Europa al resto del mundo, sino en garantizar que Europa tenga la capacidad de actuar, competir y elegir.
Su colega verde neerlandés Reinier Van Lanschot fue más crudo: ‘nuestros sistemas críticos funcionan con tecnología de otros y alguien más puede apagarla. ¿Hoy un tribunal, mañana un ministerio, un hospital, un operador de redes?’. Ahí está el sustrato real de la ley: no es una norma industrial con lenguaje de mercado, es una norma de seguridad nacional con forma de reglamento.
El informe entra además en un terreno que Bruselas suele evitar: la compra pública. Los legisladores quieren que las administraciones contraten más servicios de nube con proveedores europeos. ‘Europa tiene empresas brillantes y no están pidiendo subvenciones, están pidiendo clientes. Ese es el núcleo de nuestra propuesta’, zanjó Van Lanschot.
Quien fija el catálogo de proveedores de la administración no legisla sobre software: decide quién cobra la factura digital de la próxima década.
Qué cambia de verdad: estándares comunes y permisos de centros de datos
El borrador reclama normas comunes de la UE para los servicios de computación en la nube, inversión en infraestructura propia y un escudo reforzado para sectores críticos: sanidad, energía y transporte. Traducido a la vida real: el historial clínico de un hospital o el sistema de control de una red eléctrica no deberían depender de una cláusula contractual regida por una ley extranjera.
En paralelo, los eurodiputados piden procedimientos de aprobación más rápidos para nuevos centros de datos, con la condición de que los proyectos cumplan los requisitos medioambientales y dejen algo en las comunidades locales. La Comisión calcula que la UE necesita triplicar su capacidad de centros de datos en cinco a siete años. Aquí aparece el primer desajuste: un permiso urbanístico en cualquier capital europea tarda más que una votación en el hemiciclo.
La base jurídica previsible es el artículo 114 del TFUE, la cláusula de armonización del mercado interior. No es un detalle menor. Si el texto se apoya solo en el mercado único, el Consejo podrá recortarlo con más facilidad; si Bruselas lo blinda con argumentos de seguridad, entra en un terreno donde los Estados no ceden competencias de buen grado.
El detonante político tiene fecha. En junio de este año, la Administración estadounidense ordenó a Anthropic bloquear desde fuera de EEUU el acceso a dos de sus modelos de uso generalizado, alegando seguridad nacional. El acceso se restableció semanas después, pero la conversación sobre los kill switch —los interruptores que un Gobierno o una tecnológica pueden accionar sobre infraestructuras civiles y militares— ya no se ha vuelto a cerrar.
No es la primera vez que la UE intenta algo parecido. GAIA-X, lanzado en 2020 con gran despliegue de comunicados, no movió un punto las cuotas de mercado. Y la sentencia Schrems II del TJUE, ese mismo año, obligó a revisar transferencias de datos sin que cambiara la arquitectura del sector. El precedente dice mucho: sin contratos públicos detrás, la soberanía se queda en el papel.
El aterrizaje español: quien más compra y quien aún no vende
España es uno de los mercados donde la compra pública de nube pesa más, por pura estructura administrativa: comunidades autónomas, ayuntamientos, hospitales y servicios de empleo contratan cómputo y almacenamiento a escala. Si el criterio europeo se impone en los pliegos, la factura tecnológica de esas administraciones cambia de destinatario y, probablemente, de precio.
Eso obliga a revisar la Ley de Contratos del Sector Público (Ley 9/2017), que hoy no contempla una preferencia europea explícita en servicios digitales. Bruselas ya tiene un precedente: el instrumento de contratación internacional en vigor desde 2022, diseñado para penalizar a países que cierran sus mercados. La diferencia es que ahora el criterio no sería la reciprocidad, sino el origen del proveedor.
Del lado de la oferta, las candidatas españolas a capitalizar el giro son Telefónica Tech, Indra a través de Minsait e Izertis, además de una capa de integradores medianos que operan en en el sector público desde hace años. Su problema no es la tecnología: es la escala. Ninguna puede replicar la velocidad de despliegue de un hiperescalador. Puro pragmatismo.
Y hay una contradicción que Moncloa tendrá que gestionar. España ha cortejado inversiones de centros de datos —Aragón es el ejemplo más visible— precisamente de las grandes tecnológicas extranjeras que esta ley pretende contener. Lo que observamos es un equilibrio fino: defender la soberanía en Bruselas y la inversión estadounidense en Zaragoza exige dos discursos simultáneos y bien separados.
El Eje del Poder Europeo
El eje franco-alemán llega dividido en el instrumento, no en el objetivo. París empuja con OVHcloud, Scaleway y Thales, y ya aplica su propia doctrina de nube de confianza para el Estado. Berlín tiene campeones industriales —SAP, Deutsche Telekom— pero una coalición incómoda: su lobby industrial quiere clientes y sus liberales temen que el proteccionismo encarezca la digitalización de las pymes. Ambos coinciden en la meta; discrepan en si el instrumento es cuota o certificación.
Los frugales y nórdicos son el freno real. Países Bajos, Irlanda, Suecia, Dinamarca y Finlandia albergan sedes europeas de las grandes plataformas, dependen de ellas para su sector público y temen tanto la fragmentación del mercado único como una respuesta de Washington. El este juega a otra cosa: Polonia mira la carrera de centros de datos y Hungría sigue coqueteando con proveedores chinos. A unos y a otros les interesa más el dinero que la doctrina.
El sur, con España e Italia a la cabeza, pide dos cosas a la vez: fondos para no quedarse atrás y criterios que no encarezcan la digitalización de autónomos y administraciones pequeñas. La lectura a cinco años es clara. Si la ley sale fuerte, el mercado europeo se reorganizará en torno a dos o tres campeones y el resto será capa de servicios; si sale diluida en el trílogo —la negociación a tres entre Comisión, Consejo y Parlamento que fija la versión final de cada norma—, habremos asistido a un GAIA-X con reglamento y sin clientes.
Hay un riesgo que nadie quiere poner por escrito: comprar europeo la capa de nube no resuelve la dependencia de chips, software y modelos de IA entrenados fuera. La soberanía de fachada sale más cara que la dependencia reconocida. Los próximos hitos lo dirán: el debate en comisiones el 1 de diciembre, la votación en comisión a mediados de marzo de 2027 y el pleno de abril de 2027. Hasta entonces, el texto es una intención bien redactada.
