Los dilemas de la soberanía digital
En la economía digital, la libre circulación de datos es un catalizador de la innovación. Para las naciones y los sectores regulados, también supone una fuente de enormes riesgos estratégicos.
El flujo constante de datos impulsa los negocios y la comunicación globales, pero plantea un reto crítico: ¿cómo pueden las distintas jurisdicciones mantener el control, la seguridad y el cumplimiento normativo sobre los datos cuando estos se encuentran en una nube global?
Muchos están optando por la «nube soberana» como respuesta definitiva. El término evoca imágenes de datos encerrados dentro de las fronteras físicas de un país. Sin embargo, en nuestro mundo digitalmente conectado (y cada vez más impulsado por la IA), conseguir una verdadera soberanía digital es mucho más complejo y profundo que la simple geografía. Lo que la mayoría de la gente piensa que es la nube soberana y lo que realmente implica son dos cosas muy diferentes.
Lo importante es el control, no solo la ubicación
El error más común sobre la soberanía digital es pensar que es sinónimo de residencia de datos (la práctica de mantener los datos físicamente ubicados dentro de las fronteras de un país). Aunque la ubicación es un elemento importante, no es el principio básico.
La nube soberana es un entorno de nube diseñado para cumplir los requisitos legales, normativos, de seguridad y de residencia de datos de un país o región concretos. Se trata de un objetivo polifacético basado en cuatro requisitos fundamentales: la soberanía de los datos (control sobre el procesamiento y almacenamiento de los mismos), la soberanía operativa (control sobre los sistemas que los gestionan), el cumplimiento normativo (adhesión a las leyes de cada jurisdicción) y la resiliencia (capacidad para soportar interrupciones). También existe un quinto aspecto que está empezando a surgir en el discurso sobre el cumplimiento normativo: la soberanía de la IA (propiedad y gobernanza de los modelos construidos sobre un conjunto de datos).
No se trata de una tendencia informática, es una estrategia geopolítica
El impulso hacia la nube soberana no es una iniciativa que haya surgido de los departamentos de TI, sino un imperativo impuesto desde arriba, impulsado por preocupaciones nacionales de alto nivel. Los gobiernos están adoptando estrategias de nube soberana principalmente para mantener el control sobre sus datos y servicios nacionales en un panorama global cada vez más complejo y competitivo, en el que el aumento de las tensiones geopolíticas, la fragmentación normativa y la preocupación por las influencias extranjeras están obligando a los gobiernos a replantearse quién controla sus datos, dónde residen y qué legislación les resulta de aplicación.
Los motores de este imperativo son explícitamente estratégicos: las naciones tratan de proteger sus activos digitales de la injerencia extranjera y de afirmar el control sobre su futuro tecnológico. Esto está provocando la adopción de leyes nacionales y supranacionales de protección de datos que obligan a las organizaciones a demostrar que los datos se gestionan conforme a las normas jurisdiccionales. Los controles localizados de este tipo se consideran una forma de reforzar la postura general de ciberseguridad de una nación, así como su resistencia frente a las amenazas externas emergentes de carácter geopolítico.
Para cualquier organización que opere a nivel internacional, cumplir con estos requisitos ya no es una mera tarea de cumplimiento normativo, sino un componente básico de la gestión de riesgos corporativos y de la conciencia geopolítica.
La complejidad de la IA
Algunos creen que la cuestión de la soberanía digital era evidente desde la aparición de la nube y el SaaS, pero la IA está añadiendo una nueva dosis de complejidad a un problema ya de por sí complicado, justo cuando la situación se está volviendo cada vez más crítica. La cuestión no es simplemente de almacenamiento y procesamiento de datos, sino que plantea cuestiones como: ¿quién posee y gobierna lo que un modelo ya ha aprendido? Desde este punto de vista, la ubicación en la que se entrenan estos sistemas puede llegar a ser tan importante como la ubicación en la que se almacenan los datos, y ya estamos viendo cómo los gobiernos consideran explícitamente que los procesos de entrenamiento de la IA forman parte de la imagen del cumplimiento de la residencia de los datos.
La IA está demostrando ser una fuente de presión compleja para la forma en que los Estados y las organizaciones conciben la soberanía digital, por lo que las discusiones deberán incluir no solo la soberanía del tratamiento de los datos, sino también la propiedad y el control del valor de estos sistemas.
Una decisión difícil: mayor control puede suponer menor resiliencia
Es importante reconocer que alcanzar la soberanía digital no es algo que se pueda aplicar de manera universal, debido a las contrapartidas y sacrificios que requiere. A lo largo del proceso, se pueden utilizar varios modelos de arquitectura para alcanzar muchos de los objetivos de la soberanía digital sin incurrir en costes que una organización pueda considerar inaceptables.
En el extremo opuesto, se encuentra la nube privada completamente autogestionada, una solución que se encuentra dentro del país o en las propias instalaciones. Este modelo proporciona la mayor soberanía de datos y operativa, pero hay que tener en cuenta que las tecnologías locales pueden seguir siendo dispositivos conectados que llaman a consolas de gestión en el extranjero o a las que accede el personal de asistencia global. El principal inconveniente de este enfoque es que, a menos que los gastos operativos aumenten exponencialmente, este modelo proporciona una redundancia y una resiliencia problemáticamente bajas.
Estos inconvenientes económicos y de resistencia son la razón por la que pueden resultar atractivos algunos modelos de arquitectura, como los modelos soberanos basados en zonas, que se centran en el control de políticas, o los servicios en la nube gestionados por socios locales. Estos modelos aprovechan la escala y la distribución geográfica de las plataformas en la nube más grandes y no soberanas, y consiguen muchos de los elementos más críticos de la soberanía operativa y de datos. Sin embargo, para algunos, estas arquitecturas pueden seguir quedándose cortas en cuanto al control que se le da al cliente. Por ejemplo, es poco probable que el cliente tenga la capacidad contractual (o física) de «desconectar» un servicio si cree que podría estar siendo intervenido por un tercero extranjero.
En este caso, la opción más evidente es aceptar un mayor riesgo operativo para conseguir un control legal absoluto o adoptar una arquitectura más resiliente que requiera un enfoque diferente y más sofisticado para demostrar el cumplimiento. La respuesta correcta variará en función de cada organización.
Decisiones personales y ajustes a medida
Al reconocer que, para la mayoría de las organizaciones y los estados, la soberanía digital es una combinación de ideología y sentido práctico, los actuales proveedores de servicios en la nube están empezando a ofrecer una variedad de modelos de prestación de servicios. Han quedado atrás los días del modelo operativo único y de las arquitecturas poco flexibles. Para una gran organización, el mejor enfoque suele implicar un debate detallado con sus proveedores estratégicos. Con creciente frecuencia, estas discusiones desembocan en la creación de enfoques personalizados para los clientes más grandes, diseñados para satisfacer las necesidades de una organización y luego comercializados más ampliamente, ya que rápidamente surge un interés más generalizado.
Un nuevo modelo para un mundo sin fronteras
La soberanía digital es un imperativo estratégico y complejo que va mucho más allá de la simple elección de la ubicación de un centro de datos. Supone un complejo equilibrio entre control jurisdiccional, arquitectura técnica y realidad geopolítica. En última instancia, las empresas y sus equipos de gobierno de datos deberán decidir qué características soberanas no son negociables y qué costes y compensaciones están dispuestos a aceptar. Por su parte, los proveedores deberán considerar seriamente cualquier petición de innovación en el servicio. Los mejores resultados se obtendrán si las distintas organizaciones y proveedores se asocian para alcanzar estos objetivos y encontrar soluciones que minimicen el impacto negativo de las limitaciones de diseño.
A medida que nuestro mundo se vuelve más interconectado, el reto central sigue siendo: ¿cómo lograrán las organizaciones y las naciones conciliar la necesidad de innovación global con la exigencia irrenunciable de control digital?
Neil Thacker, responsable global de privacidad y protección de datos de Netskope
