Cuando una empresa adopta una herramienta de inteligencia artificial externa, rara vez se pregunta quién tiene acceso a los datos que procesa, bajo qué legislación operan sus servidores o qué ocurre si el proveedor cambia sus condiciones de uso. Estas preguntas no son técnicas, son preguntas de gobierno corporativo. No es un concepto abstracto ni exclusivo de administraciones públicas, es el marco que determina si una organización controla realmente su inteligencia artificial o si delega ese control a terceros sin saberlo del todo.
Por qué la soberanía tecnológica se ha convertido en una prioridad estratégica
Durante años, la adopción de soluciones de IA externas se justificó por su rapidez de implantación y su bajo coste aparente. Lo que no siempre se contabilizó fue el coste de la dependencia: la dificultad de cambiar de proveedor, la exposición de datos confidenciales a jurisdicciones extranjeras o la imposibilidad de demostrar ante un regulador que el sistema funciona como se espera.
El contexto geopolítico ha acelerado esta reflexión. La dependencia tecnológica ha dejado de ser solo un problema de privacidad para convertirse en un problema de seguridad y de continuidad de negocio. Según reconoce la propia Comisión Europea, más del 80% de los productos, servicios, infraestructuras y propiedad intelectual digital que consume la Unión Europea procede de proveedores externos a sus fronteras, un desequilibrio que ha situado la soberanía tecnológica en el centro de la agenda política y empresarial del continente.
Para una empresa, esto se traduce en algo muy concreto: la continuidad operativa. Si un proveedor cloud modifica sus condiciones de servicio, si una decisión regulatoria en otro país afecta al acceso a determinados modelos o si se interrumpe el servicio, las organizaciones sin soberanía tecnológica se quedan sin alternativas reales. La soberanía, en este sentido, es también resiliencia.
El marco regulatorio europeo como catalizador
Dos marcos normativos han redefinido lo que significa operar con IA de forma legal en Europa: el Reglamento General de Protección de Datos (RGPD) y el Reglamento de Inteligencia Artificial (AI Act).
La Agencia Española de Protección de Datos señala que el artículo 25 del RGPD, sobre protección de datos desde el diseño y por defecto, obliga a incorporar garantías técnicas (como la posibilidad de eliminar historiales o cifrar la información) desde la propia arquitectura de las herramientas de IA, y no como un añadido posterior. Esto tiene una consecuencia que muchas organizaciones pasan por alto: contratar un servicio de IA no traspasa la responsabilidad del tratamiento de datos al proveedor. Si un empleado usa una herramienta de IA externa en el ejercicio de sus funciones y comparte información de clientes o de la propia empresa, quien sigue respondiendo ante la AEPD por ese tratamiento es la organización, no la persona que pulsó el botón.
El Reglamento (UE) 2024/1689, conocido como AI Act, es el primer marco jurídico integral del mundo en materia de IA. Entró en vigor el 1 de agosto de 2024 y, según el calendario vigente publicado en el portal de estrategia digital de la Comisión Europea, las obligaciones para los sistemas de alto riesgo (como scoring crediticio, detección de fraude o diagnóstico médico) deberían ser plenamente aplicables desde el 2 de agosto de 2026. Conviene matizar este punto porque está en movimiento: a mediados de 2026 la Comisión negocia dentro del paquete Digital Omnibus un posible aplazamiento de ese calendario hasta diciembre de 2027, sin que exista todavía una adopción formal. En cualquier caso, para los proyectos que trabajan con datos sensibles, el cumplimiento no es una capa legal que se añade al final, tiene que estar integrado en cómo se diseña y despliega el sistema desde el principio.
La combinación de ambos marcos crea un escenario en el que operar con IA sin soberanía real es, a la vez, un riesgo operativo, legal y reputacional.
Las cinco dimensiones de la soberanía tecnológica en IA
Entender la soberanía tecnológica como un atributo binario (o se tiene o no se tiene) es un error frecuente. En la práctica es un conjunto de capacidades que se pueden tener en mayor o menor medida en distintos planos. En LurNova trabajamos con un modelo que distingue cinco dimensiones.
Soberanía de datos
Saber exactamente dónde residen los datos que alimentan el sistema de IA, bajo qué jurisdicción operan y quién tiene acceso a ellos. Sin esta dimensión, cualquier otra es incompleta.
Soberanía de modelo
La capacidad de conocer cómo funciona el modelo que se usa, poder auditarlo, adaptarlo o sustituirlo sin quedar atrapado en un proveedor. Los modelos privados desplegados en infraestructura propia o dedicada son la respuesta más directa a esta necesidad.
Soberanía de infraestructura
Tener el control sobre el entorno de ejecución, ya sea en instalaciones propias, en nube privada o en entornos de nube soberana con garantías jurídicas verificables.
Soberanía operativa
La independencia para operar el sistema sin depender de la disponibilidad ni de las decisiones comerciales del proveedor, incluyendo la portabilidad de configuraciones, modelos entrenados y datos históricos.
Soberanía de auditoría
La capacidad de trazar, revisar y explicar las decisiones que toma el sistema, tanto para uso interno como para demostrar cumplimiento ante reguladores, clientes o partes interesadas.
Ninguna organización necesita el máximo en las cinco dimensiones a la vez. Lo que sí necesita es tener claro en cuáles acepta dependencia y en cuáles no puede permitírsela. Un primer paso realista para cualquier empresa es auditar en qué dimensión existe hoy una dependencia que no se había identificado como tal.
Lo que no es soberanía tecnológica
El término se usa a veces de forma laxa, y eso lleva a decisiones equivocadas. Comprar una herramienta de un proveedor europeo no garantiza soberanía si los servidores están fuera de la UE o si los datos se procesan en infraestructura de terceros sin garantías verificables. Tampoco lo es alojar un modelo en la nube de un proveedor local si el contrato no incluye cláusulas de encargado del tratamiento adecuadas.
Usar tecnología de código abierto puede ser una palanca importante hacia la soberanía, pero no la garantiza por sí sola. Un modelo de código abierto desplegado sin capacidad de auditoría ni control de acceso sigue teniendo vulnerabilidades que comprometen la independencia operativa. La propia Estrategia de Código Abierto de la UE, presentada en junio de 2026 dentro del Paquete de Soberanía Tecnológica, sitúa el código abierto como pieza central de la política industrial europea precisamente porque permite auditar y mantener una solución sin depender de un único proveedor, pero esa auditoría tiene que ocurrir realmente, no ser solo posible en teoría.
Soberanía tecnológica y ventaja competitiva
Existe una narrativa que presenta la soberanía tecnológica como un coste: la organización renuncia a la comodidad de las soluciones genéricas para ganar control. Es una simplificación que merece matizarse.
Las empresas que implementan IA con criterios de soberanía no solo evitan riesgos regulatorios, también construyen activos diferenciados. Un modelo privado que trabaja con los datos propios de la empresa, ajustado a sus procesos y alojado en infraestructura controlada, produce resultados más precisos y más alineados con el negocio que cualquier solución genérica. Ese conocimiento no está disponible ni para competidores ni para el proveedor, es un activo exclusivo de la organización. En un mercado donde cada vez más clientes, socios e inversores preguntan por la trazabilidad y la seguridad de los sistemas de IA, quien ya tiene estas capacidades implementadas parte con ventaja.
Conclusión
La soberanía tecnológica en IA no es un debate filosófico ni una preferencia ideológica. Es una decisión estratégica con consecuencias concretas sobre el cumplimiento normativo, la continuidad operativa, la protección de activos de conocimiento y la capacidad de competir a largo plazo. En LurNova partimos de la premisa de que la inteligencia artificial, si no es segura, no es inteligente. Si estás evaluando cómo implementar IA en tu organización con el nivel de control que tu negocio requiere, podemos acompañarte desde el diagnóstico hasta el despliegue.
CEO de LurNova, con una amplia trayectoria en tecnología y transformación digital. Vinculado al desarrollo de proyectos tecnológicos y a la aplicación de inteligencia artificial en las organizaciones, combina conocimiento técnico y visión empresarial.
