En Europa, muchas empresas no han valorado todavía plenamente las implicaciones de normas como Cloud Act o RGPD. En este marco, aparte de tener que valorar dónde almacenan la información y la soberanía del dato, el foco ya lo tienen en quién controla el acceso a ella y bajo qué marco legal opera dicho control.
Esto ha cobrado importancia con leyes de la UE, como el RGPD, y leyes extraterritoriales, como la estadounidense Cloud Act, que pueden tensionar las obligaciones legales de las empresas europeas. Según Eurostat, en 2025 más de la mitad de empresas europeas contrataron servicios de cloud computine, aunque en España la adopción de servicios cloud sigue por debajo de la media de la región, aproximadamente entre el 30% y el 32% de empresas. En cualquier caso, el nivel está por debajo el objetivo europeo de conseguir el 75% de adopción para 2030.
Pero las leyes pueden dificultar este objetivo. La Cloud Act, aprobada en EEUU en 2018, clarifica que las autoridades estadounidenses pueden pedir datos a proveedores de servicios sujetos a su jurisdicción, independientemente de la ubicación física de los servidores. Esto sucede en el marco de investigaciones penales y bajo procedimientos judiciales, pero desde el punto de visto europeo lo principal es su posiuble colisión con el RGPS, que exige que los datos transferidos fuera del Espacio Económico Europeo mantengan un nivel de protección «esencialmente equivalente».
El RGPD obliga a las empresas a garantizar base legal, límites de finalidad, minimización y transparencia en el tratamiento de datos, con foco especial en las transferencias internacionales. El Commité Europeo de Protección de datos (EDPB) ha recomendado también medidas adicionales, como cifrado y ciertos controles técnicos, cuando los marcos legales de terceros países no ofrezcan garantías equivalentes.
En el caso de las empresas españolas, el impacto supera el marco regulatorio, porque trasciende lo técnico para abarcar reputación, gobernanza y cumplimiento. Según OpenKM, hay cuatro riesgos concretos en este sentido: el conflicto con el RGPD, cuando un acceso pedido por un tercero puede entrar en colisión con las obligaciones europeas; la pérdida de control sobre información sensible, que no se limita a datos personales, sino que incluye propiedad intelectual, contratos o documentación crítica; el riesgo reputacional, ya que clientes y socios demandan más transparencia sobre quién puede acceder a su información; y la incertidumbre en auditorías y trazabilidad, que dificulta demostrar cumplimiento ante autoridades o terceros.
Muchas empresas están adoptando un enfoque por capas para mitigar estos riesgos. Dicho enfoque combina análisis de proveedores, controles técnicos y arquitecturas híbridas. Esto incluye mapear qué servicios críticos usan, valorar bajo qué leyes operan, aplicar cifrado fuerte y gestión de claves propias, clasificar información por criticidad y reforzar cláusulas contractuales sobre notificación y subprocesadores.
Además, las arquitecturas híbridas o soberanas, que combinan nube pública con repositorios con control local, permiten a las empresas proteger su información más sensible. En este marco, la gestión documental tiene una dimensión estratégica, y hay que controlar todo su ciclo de vida: accesos, permisos, versiones y auditoría.
El debate sobre el acceso a datos también tiene cada vez más implicaciones geopolíticas. La UE aprobó un reglamento conocido como Instrumento contra la Coerción Económica, que permite poner en marcha medidas de respuesta a presiones de terceros países que afecten a decisiones soberanas en comercio o tecnología, y este tipo de tensiones normativas ya influyen en la estrategia de adopción tecnológica.
Todo esto hace que la gestión responsable de los datos necesite más que una ubicación geográfica favorable. Exige comprensión del marco legal al que están sujetos los proveedores, controles técnicos, clasificación de información y arquitecturas que refuercen el control operativo.
Gaspar Palmer, CEO de OpenKM, señala que «el riesgo silencioso no está en el dato físico, sino en quién puede acceder a él. Muchas organizaciones entienden que, si sus datos están en servidores en España o en la Unión Europea, están protegidos. Pero leyes como la Cloud Act demuestran que la jurisdicción operativa del proveedor puede imponer obligaciones de entrega de datos que tensionan el cumplimiento europeo. La soberanía del dato deja de ser un concepto si no puedes demostrar con evidencias quién accedió a qué y bajo qué política de seguridad, y la pregunta estratégica para las empresas es: ¿quién puede acceder a mis documentos y bajo qué ley?».