La sobirania del núvol ha passat de ser un debat geopolític a esdevenir una prioritat operativa per a empreses i administracions europees. La dependència d'un nombre reduït de proveïdors globals, l'avenç de la intel·ligència artificial i les exigències normatives han posat el focus en qüestions molt concretes: on es processen les dades, qui pot accedir als sistemes i quina jurisdicció s'opera. Ja no n'hi ha prou amb triar una regió cloud; el que hi ha en joc és el control efectiu sobre la infraestructura i els serveis crítics.
A Espanya, l'informe Sobirania digital: de l'ambició política a l'imperatiu executiu , del Capgemini Research Institute, reflecteix la magnitud del repte. El 92% de les organitzacions espanyoles presenten una exposició significativa en termes de sobirania digital, una xifra superior a la mitjana global del 86%. Per a Sergio Torres, director de Cloud Infrastructure Services de Capgemini, l'objectiu no és eliminar la dependència, sinó gestionar-la amb criteri . En un ecosistema hiperconnectat, afegeix, la sobirania consisteix a construir una interdependència resilient, no a aïllar-se. Tres de cada quatre companyies espanyoles comparteixen aquest enfocament pragmàtic, i el 58% entén la sobirania digital sobretot com una manera de mitigar riscos i reforçar la continuïtat del negoci.
La dependència tecnològica, sota la lupa
L'estudi situa la intel·ligència artificial i el núvol al centre de les noves dependències. El 75% de les organitzacions espanyoles considera la IA una prioritat dins de les estratègies de sobirania digital, mentre que el 65% assenyala el cloud computing. Alhora, el 69% reconeix dependre de proveïdors internacionals per als seus serveis cloud i el 61% per a capacitats d'intel·ligència artificial. Torres adverteix que el repte no està només a accedir a aquestes tecnologies, sinó a integrar-les de forma governable: un núvol sobirà permet que la IA sigui transparent, auditable i controlable , cosa que facilita passar dels pilots a desplegaments amb valor real.
La capacitat de reacció davant d'una hipotètica interrupció d'un proveïdor estratègic hi afegeix pressió. En àmbits crítics com dades o intel·ligència artificial, al 43% de les organitzacions espanyoles el portaria més de dotze mesos substituir el proveïdor principal. En maquinari el percentatge arriba al 38% i en ciberseguretat es queda al 36%. Per a Capgemini, aquestes xifres mostren que la resiliència tecnològica no es pot plantejar com un simple pla de contingència, sinó que s'ha de dissenyar des de l'inici amb portabilitat i estratègies de sortida clares dins de l'arquitectura.
Les dades apareixen com a actiu més sensible. Més de la meitat de les organitzacions espanyoles creu que la gestió i ubicació de la informació representa el risc més gran per a la continuïtat operativa, per davant de la ciberseguretat, la connectivitat o el maquinari. A més, el 55% percep una concentració elevada de proveïdors en aquest terreny. El problema s'agreuja per la manca de visibilitat: només el 14% disposa d'un mapatge complet i en temps real de la seva cadena de subministrament tecnològica, el 40% té visibilitat parcial dels proveïdors directes i una de cada quatre empreses reconeix no comptar amb una entesa formal dels seus riscos.
La preocupació ja es tradueix en decisions de govern corporatiu. El 59% de les companyies espanyoles consideren la sobirania digital una prioritat màxima per al consell d'administració , una proporció molt superior a la mitjana global. Pràcticament totes les grans organitzacions aborden l'assumpte als seus òrgans de govern i gairebé la meitat ha implantat una estratègia específica. La idea que guanya terreny és la d'una sobirania digital mínima viable : identificar quins actius són crítics, mapejar dependències i protegir allò essencial per garantir la continuïtat. De fet, el 76% veu més pràctic combinar tecnologies crítiques amb aliances estratègiques que intentar assolir una propietat total de totes les capacitats.
Brussel·les vol més capacitat i regles pròpies
A nivell europeu, la Comissió Europea vol almenys triplicar la capacitat dels centres de dades de la Unió en els propers cinc a set anys mitjançant la proposta Cloud and AI Development Act (CADA). El pla mouria la potència instal·lada des dels aproximadament 12 GW actuals fins a més de 27 GW, una expansió que, segons les estimacions recollides per CryptoBriefing, requeriria prop de 200.000 milions d'euros d'inversió, la majoria privada. Els centres de dades europeus van consumir 68 TWh d'electricitat el 2024 i la Comissió projecta 114 TWh el 2030, al voltant del 3,2% de la demanda elèctrica comunitària. L'objectiu declarat no és aïllar-se, sinó reduir una vulnerabilitat que travessa xips, servidors i cloud.
La fotografia de la dependència és cridanera. Segons dades citades per Xataka a partir d'informes de GEA i DECISION, només el 6% del valor dels semiconductors per a centres de dades queda a les mans d'empreses amb seu a la UE; en fabricació i assemblatge de servidors el percentatge és del 7%, i en infraestructura cloud es limita al 8%. En serveis cloud, la quota de proveïdors europeus va caure del 29% el 2017 al 15% el 2022 i s'ha mantingut estancada. AWS, Microsoft Azure i Google Cloud concentren més del 70% del mercat cloud europeu , mentre que a escala global el mercat d'infraestructura cloud va moure 143.000 milions de dòlars el segon trimestre del 2026, amb AWS al 28%, Microsoft al 20% i Google Cloud al 15%.
Europa manté, però, una posició excepcional a la cadena de valor dels xips. ASML, amb seu a Veldhoven, és l'únic fabricant mundial de sistemes de litografia EUV, màquines indispensables per produir els semiconductors més avançats. La companyia va reportar ingressos propers a 37.500 milions de dòlars el seu any fiscal 2025, amb un marge net del 29,4%, i la capitalització borsària ronda els 700.000 milions de dòlars. Tot i així, l'empresa va confirmar que els fabricants europeus de xips no han realitzat comandes de sistemes de litografia el 2026, un senyal de la manca de demanda domèstica que Brussel·les vol revertir amb el Chips Act 2.0.
La proposta CADA introdueix a més una definició de sobirania cloud en quatre nivells . El primer exigeix que les dades es processin i emmagatzemin en infraestructura ubicada a la UE. El segon reclama independència de tercers països i transparència sobre la cadena de programari. El tercer va més enllà i demana que el proveïdor sigui propietat i estigui controlat des de dins de la UE. La cambra exigeix transparència total sobre la cadena de programari i absència d'ingerència de tercers països. Sebastián Muriel, xief digital officer de Telefónica, va resumir el debat amb una frase que s'ha convertit en referència: «No importa si el servidor és a Madrid, Frankfurt o Dublín si la matriu és a Redmond o Mountain View». Va parlar fins i tot de sobirania llogada per descriure la situació actual.
L'escrutini sobre operacions corporatives també creix. La Comissió Europea va utilitzar el cas de Kyndryl, que intentava adquirir Solvinity, proveïdor neerlandès d'infraestructura per a l'administració que dóna servei a 16,5 milions de ciutadans, com a exemple de les operacions que requereixen anàlisis. El Govern dels Països Baixos va bloquejar la compra el maig del 2026 per motius d' interès públic, autonomia digital i protecció d'infraestructures crítiques . La decisió mostra que la sobirania no es limita a la ubicació dels servidors, sinó que afecta qui controla les empreses que sostenen serveis essencials.
El desplegament de més centres de dades no està exempt de resistències. CryptoBriefing documenta protestes creixents a Irlanda, els Països Baixos i França pel consum elèctric, l'ús d'aigua i l'impacte visual de les instal·lacions. A Alemanya, el Regne Unit i França, aconseguir una connexió a la xarxa elèctrica pot trigar anys. A Irlanda, el creixement dels data centers ja genera preocupació per possibles talls per a llars i negocis mentre els centres mantenen enceses les operacions de multinacionals tecnològiques. La Comissió va respondre el 21 de setembre del 2026 amb un sistema d'etiquetes de sostenibilitat automàtiques per a centres de dades de més de 500 kW. Cada instal·lació rebrà una qualificació d'eficiència energètica (PUE d'1,15 a més d'1,9) i d'eficiència hídrica (WUE de 0,1 a més d'1,0), que s'actualitzarà cada any des d'agost de 2027. Millorar el PUE d'1,6 a 1,2 redueix el consum elèctric un 25% calefacció de gairebé quatre milions de llars.
Per a startups i empreses proveïdores, el marc europeu canvia les regles de compra, l'allotjament i l'escalat d'infraestructura. La Comissió va adjudicar l'abril del 2026 contractes per fins a 180 milions d'euros per a serveis de cloud sobirà destinats a institucions de la UE. Els clients públics i els sectors regulats exigiran certificats de sobirania i procedència de dades, i la residència geogràfica deixarà de ser suficient: caldrà avaluar qui controla el proveïdor i la cadena de programari. El coll d'ampolla no només serà tecnològic, perquè el 60% de les empreses de la UE reporta dificultats per contractar perfils d'IA, ciberseguretat i tecnologies netes. CADA i el Chips Act 2.0 segueixen sent propostes legislatives, no lleis, i hauran de recórrer el procés europeu. La consulta pública sobre regles mínimes de rendiment per a centres de dades tanca el 14 de desembre del 2026 i la proposta final s'espera per al segon trimestre del 2027.
Certificacions i alternatives per a administracions
En paral·lel a la regulació, el mercat mou fitxa amb certificacions i aliances. Atos ha obtingut la certificació SAP Sovereign Cloud Partner per modernitzar i operar entorns crítics de SAP sota requisits de control de la dada, governança i compliment normatiu. La validació amplia les alternatives disponibles per a administracions i empreses regulades que necessiten traslladar càrregues de treball al núvol o incorporar intel·ligència artificial sense cedir completament el control operatiu, jurídic i tècnic dels seus sistemes. El reconeixement abasta inicialment Alemanya, França, Països Baixos i Regne Unit , i Atos manté obert el procés per estendre'l a altres ubicacions.
La certificació connecta els serveis gestionats i la infraestructura europea d'Atos amb l'estratègia de SAP per ampliar-ne l'oferta sobirana. La proposta s'adreça especialment a l'Administració pública i als serveis financers, on la localització de les dades, l'accés a la infraestructura i la jurisdicció aplicable condicionen les decisions de modernització. SAP estructura el seu plantejament al voltant de quatre dimensions de control: dades, operacions, tecnologia i marc jurídic . Atos combina infraestructura, allotjament, ciberseguretat i operació d'aplicacions. Segons la companyia, aquest model permet adoptar cloud i intel·ligència artificial mantenint la governança i el control operatiu.
Martin Merz, president de Sovereign Cloud de SAP, situa la incorporació d?Atos dins l?ampliació d?aquesta xarxa de proveïdors: «La sobirania digital es construeix a través d?ecosistemes de confiança. En treballar amb Atos com a soci validat, ampliem l'abast de SAP Sovereign Cloud i ajudem les organitzacions a modernitzar processos de negoci crítics mitjançant cloud i intel·ligència artificial, mantenint alhora el control, la governança i la resiliència operativa». SAP declara a més a més una inversió addicional superior a 20.000 milions d'euros per augmentar la cobertura geogràfica i funcional de SAP Sovereign Cloud. Atos acumula 20 anys consecutius de certificació com a Operations Partner de SAP i ha rebut el Golden Certificate associat a aquesta trajectòria, cosa que acredita experiència prolongada en la gestió d'entorns SAP.
A Alemanya, l?aposta per alternatives sobiranes té un altre front obert amb openDesk, la suite d?ofimàtica i col·laboració de l?Estat federal. Des de l'octubre del 2024 existia una versió impulsada des del sector públic, però amb nou mesos de retard el Centre per a la Sobirania Digital (ZenDiS) ha obert la seva distribució a proveïdors privats de núvol i empreses de sistemes . openDesk reuneix correu electrònic, calendari, emmagatzematge de fitxers, processador de textos, xat i videoconferències en una suite de components europeus de codi obert, plantejada com a alternativa a Microsoft 365 per a les administracions.
El programa de socis distingeix tres rols. Els distribuïdors oficials subministren subscripcions d'openDesk a proveïdors de núvol i de serveis de TI. Els integradors de sistemes autoritzats s'encarreguen de la implantació i l'operació a l'entorn del client i han d'acreditar experiència amb codi obert, Kubernetes i openDesk. El rol més exigent és el d' Approved Sovereign Service Provider , que opera openDesk com a programari com a servei al seu propi núvol. Per això exigeix una atestació segons el catàleg C5 del BSI i el nivell 3 de l'European Cloud Sovereignty Framework (SEAL), totes dues amb auditories externes. Qui no tingui aquestes acreditacions, pot revendre a través d'un distribuïdor oficial, però no operar directament.
ZenDiS havia anunciat el programa per a finals del 2025 i el gener del 2026 el va ajornar al primer trimestre del 2026. L'inici definitiu, el 23 de setembre, arriba aproximadament mig any després del segon compromís. La directora executiva de ZenDiS, Pamela Krosta-Hartl, va justificar el llançament per l'enorme demanda de la suite sobirana i la necessitat de coordinar les parts implicades. En paral·lel, ZenDiS amplia l'accés per a l'administració amb una oferta SaaS juntament amb la cooperativa govdigital, que es podrà contractar a través del Marktplatz Deutschland Digital i del cloud broker gd.Cloud. Així, els proveïdors privats també competiran amb una alternativa impulsada des del sector públic.
El mapa que dibuixen aquestes iniciatives combina pressió regulatòria, dependència tecnològica i respostes concretes. Espanya mostra una exposició elevada a cloud i IA, amb les dades com a principal preocupació i una implicació creixent dels consells d'administració. Brussel·les prepara més capacitat de centres de dades, nivells de sobirania i etiquetes energètiques, tot i que el marc encara no és llei. Al mercat, certificacions com la d'Atos per a SAP i projectes com openDesk busquen oferir alternatives per a administracions i sectors regulats. La discussió ja no gira només al voltant d'on és el servidor, sinó qui controla la infraestructura, la cadena de programari i les decisions sobre serveis crítics en un entorn cada vegada més condicionat per la geopolítica i la intel·ligència artificial.
