14 de septiembre de 2026
Durante la última década, se ha producido un cambio palpable en el traslado de aplicaciones críticas a la nube. Gartner proyecta que el 70% de las empresas adoptará soluciones en la nube específicas para su sector antes de 2027, frente a menos del 15% en 2023. Este movimiento obedece en gran medida a factores de velocidad, escala y coste, ya que las organizaciones pueden ajustar sus recursos informáticos sin incurrir en costes fijos de infraestructura prohibitivos. Además, permite a las empresas modernizar sus aplicaciones concentrando las inversiones en resultados de negocio.
Al mismo tiempo, la extraordinaria dependencia de infraestructuras tecnológicas y cadenas de suministro de terceros que las empresas no controlan en última instancia ha generado riesgos de ciberseguridad crecientes y, con frecuencia, nuevos, que pueden comprometer la confidencialidad, la integridad y la accesibilidad de la información crítica para el negocio. Un análisis reciente de ENISA sobre 5,000 incidentes reveló un patrón consistente: los ciberdelincuentes explotan las cadenas de suministro digitales porque la interconexión permite que una brecha tenga un impacto descendente mucho mayor.
Aunque la regulación suele ir por detrás de la adopción tecnológica, está recuperando terreno, como lo demuestra el esfuerzo concertado y coordinado por construir una arquitectura integrada de ciberseguridad, resiliencia y soberanía digital, en lugar de depender de una única normativa de ciberseguridad.
El entorno regulatorio también empieza a ponerse a la altura. Las empresas se enfrentan cada vez más a la exigencia de demostrar de forma objetiva y transparente su ciberresiliencia. Los reguladores reclaman una notificación más ágil de incidentes, una gobernanza más sólida y una responsabilidad más demostrable.
El marco regulatorio de la Unión Europea (UE) abarca la ciberresiliencia (por ejemplo, NIS2, CRA1: ¿es el software de aplicación seguro a lo largo de todo su ciclo de vida?) y el propuesto Marco de Soberanía en la Nube (Cloud Sovereignty Framework), cuya ambición es garantizar el control sobre la tecnología y los datos. Todo ello está desplazando la ciberseguridad desde una disciplina predominantemente técnica hacia un modelo regulatorio integrado basado en un principio de seguridad por diseño.
Ir a:
La carga regulatoria se está convirtiendo en una carga probatoria
La próxima gran interrupción tecnológica puede que no comience en un centro de datos
La IA hace que la cuestión de la soberanía sea aún más compleja
Las empresas tienden a equiparar la existencia de políticas de ciberseguridad con la preparación para el cumplimiento normativo.
Aunque la implementación de una política de ciberseguridad es un pilar fundamental del cumplimiento normativo, no equivale a identificar, priorizar y remediar vulnerabilidades de forma sistemática. El marco de ciberseguridad emergente está evolucionando de la pregunta "¿Dispone del control?" a "Muéstreme la evidencia."
Para ilustrar la relevancia de esta distinción, el Marco de Soberanía en la Nube de la Comisión Europea de 2026 evalúa la soberanía a partir de 48 criterios agrupados en ocho categorías, entre las que se incluyen:
Los modelos tradicionales de recuperación ante desastres se articulan en torno a fallos técnicos, como interrupciones en centros de datos, ciberataques y fallos de red.
Sin embargo, el impacto potencial de los riesgos geopolíticos es cada vez más relevante. Esta distinción cambia de forma fundamental la manera en que las empresas se preparan para afrontar la regulación derivada de la extralimitación jurídica extranjera, el dominio estructural del mercado por parte de hiperescaladores no europeos y las vulnerabilidades operativas originadas por disputas comerciales. Por ejemplo, leyes extranjeras como la U.S. CLOUD Act permiten a gobiernos extranjeros exigir mediante citación judicial el acceso a datos almacenados por proveedores nacionales, incluso cuando los servidores físicos se encuentran dentro de las fronteras europeas.
En junio de 2026, la Comisión Europea propuso un paquete más amplio de soberanía tecnológica que abarca semiconductores, IA, computación en la nube y código abierto, así como un marco común a escala europea para evaluar la soberanía en la nube y en materia de IA. La propuesta representa un giro: se pasa de regular la tecnología principalmente en ámbitos de privacidad, seguridad y ciberseguridad, a reducir activamente la dependencia estratégica de Europa respecto a proveedores tecnológicos no europeos.2
Las organizaciones envían datos con rapidez a modelos y servicios de IA que pueden operar a través de complejas cadenas de infraestructura: desde proveedores de modelos, interfaces de programación de aplicaciones (API, Application Programming Interfaces), servicios en la nube y bases de datos vectoriales hasta entornos de procesamiento de datos de terceros.
El uso generalizado de modelos de IA y datos de entrenamiento introduce un nuevo problema de soberanía. Ya no basta con preguntar "¿Dónde está nuestra base de datos?". Las organizaciones necesitan plantearse cada vez más las siguientes preguntas:
La gobernanza de la IA, la ciberseguridad, la gobernanza en la nube y la soberanía digital están convergiendo. Tratarlos como programas de gobernanza independientes puede resultar cada vez más insostenible.
Las organizaciones mejor preparadas para la próxima generación de regulación no serán necesariamente las que cuenten con los departamentos de cumplimiento más grandes. Serán aquellas capaces de aportar evidencia verificable del control ejercido.
Esto implica que las organizaciones deben realizar una evaluación de impacto integral con especial atención a siete dimensiones del cumplimiento del marco de soberanía digital de la UE:
Las organizaciones que logran el éxito con la IA establecen una responsabilidad explícita adaptada a las realidades de los ecosistemas de nube modernos. Es decir, son capaces de demostrar de forma eficaz, transparente y responsable, a lo largo de toda su pila tecnológica, qué ocurrió, por qué ocurrió y que ocurrió dentro de un marco de confianza.
Descargue el informe completo de ABBYY “2026 Who Answers for AI: The Governance Gap” para acceder a todos los datos, los análisis mercado a mercado y un análisis en profundidad sobre cómo las organizaciones líderes están convirtiendo la gobernanza en una ventaja competitiva.
Las empresas miden habitualmente la deuda técnica. Deberían empezar a medir también la deuda de cumplimiento normativo y la deuda de soberanía.
La deuda de cumplimiento se acumula cuando los productos, los procesos y la infraestructura se desarrollan con mayor rapidez de la que la organización puede demostrar su conformidad regulatoria.
La deuda de soberanía se acumula cuando las organizaciones se vuelven progresivamente dependientes de tecnologías que no pueden operar, migrar, sustituir ni controlar de forma independiente.
Ambas pueden permanecer invisibles durante años. Hasta que algo sucede: un regulador solicita evidencias, aparece una vulnerabilidad crítica, un proveedor cambia su arquitectura, una relación geopolítica se deteriora, un proveedor crítico deja de estar disponible, un proveedor de IA modifica sus condiciones o un regulador cuestiona una transferencia de datos.
En ese momento, la conveniencia arquitectónica de ayer puede convertirse en la responsabilidad de nivel directivo de mañana.
Por tanto, la pregunta de ciberseguridad más importante de 2027 puede que no sea: "¿Hemos sufrido una brecha?" Podría ser: "¿En qué medida nuestra capacidad operativa depende de tecnología, datos, proveedores y jurisdicciones que no controlamos en última instancia, y podríamos demostrar a un regulador mañana que comprendemos y gestionamos ese riesgo?"
Si la dirección no puede responder a esa pregunta con evidencias, la organización puede tener un problema mayor que la ciberseguridad.
Únase a ABBYY y a nuestro socio SVA el 23 de septiembre para conocer qué significa BSI C5 para las organizaciones con requisitos estrictos de cumplimiento normativo y por qué la garantía en toda la cadena de procesamiento de Document AI es fundamental.
Referencias
Andrew Pery
Experto en transformación digital y evangelista de ética de IA en ABBYY
Andrew Pery es evangelista de ética de IA en ABBYY, empresa de automatización inteligente. Su área de especialización abarca las tecnologías de inteligencia artificial, el software de aplicaciones, la privacidad de datos y la ética de la IA. Ha redactado y presentado varios artículos sobre el uso ético de la IA y actualmente coescribe un libro para la American Bar Association. Es Máster en Derecho con Distinción por la Facultad de Derecho Pritzker de la Universidad Northwestern, Profesional Certificado en Privacidad de la Información (Certified Information Privacy Professional, CIPP/C y CIPP/E) y Profesional de la Información Certificado (Certified Information Professional, CIP/AIIM).
Conéctese con Andrew en LinkedIn.
