La mayoría de las empresas brasileñas que migraron a la nube en los últimos diez años tomaron una decisión implícita que nunca fue presentada como decisión: que los datos de sus clientes, contratos, operaciones y estrategia vivan en servidores estadounidenses, bajo las leyes estadounidenses, sujetos a las órdenes de un tribunal que sus expertos legales desconocen. Esta decisión se tomó en la lista de verificación de una RFP de infraestructura, entre costo por gigabyte y SLA de disponibilidad. Nadie lo llamó geopolítica.
El problema es que ella es exactamente eso. Y el entorno ha cambiado lo suficiente como para que ignorar esta dimensión sea, en muchos sectores, un riesgo del que la junta directiva debería ser consciente.
¿Qué significa realmente la soberanía digital?
La soberanía digital no es un concepto único: es un espectro de control sobre los datos, la infraestructura y la capacidad tecnológica. En el nivel más básico, se trata de saber dónde están físicamente los datos y qué leyes se les aplican. En el nivel más avanzado, se trata de garantizar que un Estado-nación o una empresa tenga la capacidad de operar sus sistemas tecnológicos críticos independientemente de las decisiones de terceros, ya sean otros gobiernos, proveedores privados o reguladores extranjeros.
Para las empresas privadas, el terreno real se encuentra entre estos extremos. No se trata de construir su propia infraestructura como un banco central, sino de comprender que contratar a un proveedor de nube estadounidense pone los datos al alcance de la Ley CLOUD, una ley estadounidense que permite al gobierno de EE. UU. exigir acceso a los datos almacenados por proveedores estadounidenses, incluso en servidores fuera de EE. UU. Esta no es una hipótesis teórica; ya ha sido ejercido. Y ninguna cláusula de su contrato SaaS cambia ese hecho.
LGPD, GDPR y regulación como vector de soberanía
La Ley General de Protección de Datos fue el punto de inflexión más visible en la discusión sobre la soberanía digital en Brasil. Estableció que los datos personales de los brasileños tienen reglas de tratamiento que deben ser respetadas independientemente de dónde tenga la sede la empresa o dónde estén los servidores. Las transferencias internacionales de datos requieren ahora garantías adecuadas.
El RGPD europeo fue más lejos y antes. Lo que Europa ha construido con el Reglamento General de Protección de Datos es, en efecto, una afirmación de que los datos de los ciudadanos europeos no están sujetos a la jurisdicción estadounidense, y que las empresas que pensaban que estaban usando el Escudo de Privacidad como un atajo se sorprendieron cuando el Tribunal de Justicia de la Unión Europea anuló ese acuerdo dos veces. Cada eliminación obligó a las empresas a revisar sus arquitecturas de datos.
El estándar que surge de estas regulaciones no es sólo la protección de la privacidad individual. Es la construcción de una infraestructura regulatoria que define dónde pueden ir los datos y bajo qué condiciones. Esto afecta directamente las decisiones sobre la arquitectura del sistema.
La respuesta de la industria: la nube soberana
El mercado de la nube respondió con una nueva categoría: la nube soberana. La premisa es simple: ofrecer la misma elasticidad y servicios que una nube pública, pero con garantías de que los datos permanezcan dentro de una jurisdicción específica, operada por entidades locales, sin acceso de gobiernos extranjeros.
En Europa, el proyecto Gaia-X es el intento más ambicioso: una federación de proveedores europeos que construyen una infraestructura de datos con estándares abiertos de interoperabilidad y gobernanza compartida entre los países miembros. OVHcloud es el ejemplo más visible de un proveedor europeo de nube que se ha posicionado explícitamente como una alternativa soberana a la gran tecnología estadounidense.
En Brasil, el escenario aún está fragmentado. Hay proveedores locales como Ascenty, Localweb y braziliancloud.com; existe la presencia de proveedores internacionales con regiones locales (AWS São Paulo, Google Cloud São Paulo, Azure Brasil Sul), que ofrecen localidad geográfica de datos pero no eliminan la jurisdicción estadounidense. La diferencia entre "datos en Brasil" y "datos bajo ley brasileña con operación nacional" es real y subestimada.
Cómo debería ver esto un líder
El primer paso es dejar de tratar la soberanía digital como una cuestión de cumplimiento y colocarla en la agenda estratégica de riesgos. El cumplimiento de la LGPD es el suelo, no el techo. Lo importante es responder: si mañana se complica la relación comercial o diplomática con el país de nuestro principal proveedor de nube, ¿cuál es nuestra exposición?
Para las empresas de industrias reguladas (salud, finanzas, defensa, infraestructura crítica) esta pregunta tiene respuestas con consecuencias concretas. Para empresas de otros sectores, la respuesta informa decisiones arquitectónicas que cambian el nivel de riesgo del negocio. La distinción entre datos que pueden estar en una nube internacional y datos que necesitan protección jurisdiccional adicional debería existir en toda estrategia de datos seria.
El segundo movimiento es comprender que la soberanía digital tiene gradaciones y que la decisión no tiene por qué ser binaria entre "todo en la AWS estadounidense" y "todo en su propio centro de datos en Brasil". Existen arquitecturas híbridas en las que los datos más confidenciales residen en proveedores con garantías de jurisdicción local y las cargas de trabajo menos críticas utilizan la elasticidad de las nubes internacionales. Esta segmentación intencional es más honesta (y más defendible) que una arquitectura única que trate todos los datos como equivalentes.
La tercera dimensión, rara vez discutida en las empresas brasileñas, es la dependencia tecnológica como riesgo operacional. Cuando toda su pila de datos, inteligencia artificial, comunicación y colaboración pasa por cinco empresas estadounidenses, su capacidad para operar depende de la continuidad de esas relaciones comerciales. Es una posición que merece ser conocida por la junta directiva, no solo por el CTO.
Lea también
- Residencia de datos: qué significa en la práctica garantizar que los datos permanezcan en Brasil
- LGPD dos años después: lo que realmente cambió en las empresas brasileñas
- Cifrado de datos
- Datos sintéticos y privacidad: entrene y pruebe sin exponer datos personales
- ¿Qué son los datos sintéticos y por qué son importantes para los líderes?
- Protección contra fuga de datos: Guía de seguridad