Lo vigente, lo propuesto y lo que todavía puede cambiar.
Seguimos CADA, Data Act, AI Act y los principales marcos europeos de soberanía para convertirlos en decisiones empresariales sin presentar como obligación lo que aún no lo es.
Una norma puede obligar. Un marco puede orientar. Una propuesta puede anticipar. Son cosas distintas.
PROPUESTA
CADA puede cambiar el mercado. Hoy todavía no es una norma vigente.
La Comisión Europea presentó COM(2026) 502 el 3 de junio de 2026. El expediente 2026/0138(COD) sigue en procedimiento legislativo ordinario y, a fecha de esta revisión, el Parlamento Europeo lo sitúa en fase preparatoria.
Qué propone
Un marco europeo para reforzar el ecosistema cloud e IA y un sistema único de la Unión para evaluar la soberanía de determinados servicios cloud y de IA, incluyendo niveles de garantía y evidencias.
Qué puede afectar al mercado
Contratación pública, requisitos de soberanía, evidencias de proveedores, auditorías para determinados niveles y posibles efectos de arrastre hacia mercados privados regulados.
Propuesta oficial en EUR-Lex →
Procedimiento en el Parlamento Europeo →
VIGENTE
El cambio de proveedor ya no es solo una buena práctica.
El Data Act es aplicable desde el 12 de septiembre de 2025. Su capítulo VI establece reglas para facilitar el cambio entre servicios de tratamiento de datos y reducir obstáculos técnicos, contractuales y comerciales.
Switching
Los proveedores deben eliminar obstáculos que dificulten que el cliente cambie a otro servicio o utilice varios proveedores.
Portabilidad
Los datos relevantes para el cambio incluyen datos de entrada y salida y determinados metadatos generados por el uso del servicio, con límites previstos por la norma.
Interoperabilidad
Para determinados servicios, la norma exige interfaces abiertas y exportación en formatos comunes y legibles por máquina.
Reglamento oficial en EUR-Lex →
Explicación oficial de la Comisión →
VIGENTE
La gobernanza de IA ya forma parte del mapa de dependencia tecnológica.
El AI Act entró en vigor el 1 de agosto de 2024 y es aplicable desde el 2 de agosto de 2026, con excepciones y calendarios específicos. Algunas reglas ya se aplicaban desde 2025 y determinadas obligaciones para sistemas de alto riesgo tienen fechas posteriores. No todas las empresas tienen las mismas obligaciones: dependen del papel que desempeñen y del tipo de sistema o uso.
Para una empresa usuaria
Conviene saber qué herramientas de IA utilizan los equipos, con qué datos, para qué decisiones y bajo qué cuentas, políticas y proveedores.
Para un proveedor
Es necesario identificar si actúa como proveedor, desplegador u otro operador y qué obligaciones son aplicables a cada sistema o modelo.
MARCO
Un marco europeo para convertir «soberanía» en criterios observables.
La Comisión Europea desarrolló el Cloud Sovereignty Framework en el contexto de contratación cloud para las instituciones de la Unión. El marco organiza la soberanía en ocho objetivos y dispone de guía de implementación y cálculo de niveles SEAL y puntuaciones complementarias.
Qué aporta
Un lenguaje estructurado para analizar control estratégico, jurisdicción, datos, operaciones, cadena de suministro, tecnología, seguridad y sostenibilidad.
Qué no es
No es una ley general para empresas privadas ni convierte automáticamente cualquier evaluación propia en un nivel SEAL oficial.
REFERENCIA TÉCNICA
Autonomía cloud: saber si puedes utilizar un servicio de forma autodeterminada.
La Oficina Federal alemana de Seguridad de la Información (BSI) publicó en abril de 2026 los Criteria enabling Cloud Computing Autonomy (C3A), un conjunto de criterios para evaluar si determinados servicios cloud permiten un uso autónomo dentro de su contexto de riesgo.
No vendemos una lista de leyes. Buscamos qué cambia una decisión empresarial.
No toda norma tecnológica debe terminar en una auditoría.
RGPD, NIS2, Cyber Resilience Act, ENS y otras normas pueden ser relevantes según el sector, el producto, los clientes y la actividad. Solo las incorporamos al diagnóstico cuando cambian de verdad el riesgo, la evidencia o la decisión que estamos analizando.
