Por Miguel Cañadas, Head of Public Cloud de Aire. Este análisis parte de su ponencia «Cuatro preguntas que tu nube tendrá que contestar en 2027», presentada en el Tour Tecnológico @aslan de Sevilla el 22 de octubre de 2026.
El 20 de octubre de 2025, un incidente en la región us-east-1 de AWS se prolongó durante 14 horas y 30 minutos. En horario peninsular español, el fallo comenzó a las 08:48 y el periodo de afectación analizado se extendió hasta las 23:20, abarcando de principio a fin toda la jornada laboral en tres fases. Este evento expone una vulnerabilidad habitual en las arquitecturas corporativas: asumir que contratar un hiperescalar con presencia local equivale a tener control operativo, aislamiento regional y resiliencia garantizada.
En 2027, la entrada en vigor de nuevas exigencias regulatorias europeas, la tensión en la cadena de suministro de hardware y la auditoría sobre modelos de inteligencia artificial obligarán a los CTOs, arquitectos de sistemas y comités de dirección a responder cuatro preguntas fundamentales sobre su propia nube: ¿dónde está?, ¿de quién es?, ¿cuánto cuesta de verdad? y ¿podemos irnos?
¿Qué debe revisar una empresa en su arquitectura cloud antes de 2027? Una estrategia preparada para 2027 debe permitir conocer dónde se almacenan y procesan los datos, identificar quién ejerce el control jurídico y operativo, calcular el coste total de propiedad (TCO) y comprobar que es posible migrar a otro proveedor sin dependencias técnicas inasumibles.
¿Dónde se almacenan y procesan los datos? Residencia y resiliencia cloud
Entre 2022 y 2025, los principales proveedores globales abrieron regiones de nube pública en España: Google Cloud en Madrid (mayo de 2022), Oracle en Madrid (septiembre de 2022 y octubre de 2025), AWS en Aragón (noviembre de 2022) y Microsoft Azure en Madrid (junio de 2024). Sin embargo, desplegar cargas en una región nacional no implica que toda la pila tecnológica opere dentro del país.
- Asimetría de catálogo por región: de los 199 servicios disponibles en la región más completa de AWS, 47 no están presentes en la región de España (que cuenta con 152 servicios a octubre de 2026). Cuando una arquitectura requiere capacidades avanzadas no desplegadas localmente, el tráfico y las dependencias se enrutan fuera del territorio.
- El cuello de botella de la IA generativa: según la documentación de Amazon Bedrock (octubre de 2026), 15 modelos de inteligencia artificial invocados desde la región de España solo funcionan en modo global. Únicamente un modelo se procesa íntegramente en España, y no es generativo.
A nivel de arquitectura, el criterio de evaluación deja de ser dónde reside el almacenamiento primario para centrarse en qué servicios sobreviven si cae la región principal, dónde se ejecuta el failover y por qué jurisdicciones viajan los prompts enviados a las APIs de IA.
¿Qué es la soberanía cloud y quién controla realmente los datos?
El debate sobre la soberanía del dato suele reducirse al cumplimiento normativo o a contar con el Esquema Nacional de Seguridad (ENS). No obstante, aunque el ENS es obligatorio para trabajar con la Administración pública española, evalúa medidas de seguridad, no la soberanía jurisdiccional ni la dependencia tecnológica.
Esta diferencia entre seguridad y soberanía también se refleja en otros países europeos. El 10 de junio de 2025, ante la comisión de investigación sobre contratación pública del Senado de Francia, el director de asuntos públicos y jurídicos de Microsoft Francia declaró bajo juramento que «no puede garantizar» que los datos de ciudadanos franceses confiados por el sector público no se entreguen nunca ante un requerimiento del Gobierno de EE. UU. sin el acuerdo de las autoridades francesas, aunque matizó que no había ocurrido hasta ese momento.
El Cloud Sovereignty Framework (v1.2.1, octubre de 2025) de la Comisión Europea establece un marco de evaluación en el que la soberanía de los datos y la IA representa solo el 10 % de la puntuación. El resto se distribuye entre otros factores clave:
- Tecnología y cadena de suministro: 35 %.
- Operación y seguridad: 25 %.
- Propiedad y legislación aplicable: 25 %.
- Sostenibilidad ambiental: 5 %.
Para un decisor técnico, esto exige auditar qué leyes extracomunitarias alcanzan a la matriz del proveedor, desde qué país operan los equipos de soporte y quién tiene la custodia técnica de las claves de cifrado.
¿Cuánto cuesta realmente una infraestructura cloud? TCO, FinOps y hardware
La ecuación financiera entre infraestructura propia (on-premise / colocation) y nube pública ha cambiado por un factor físico: el encarecimiento de la memoria. Entre el segundo trimestre de 2025 y el segundo trimestre de 2026, los ingresos mundiales de los fabricantes de DRAM pasaron de 31.600 millones de dólares a 154.700 millones (un incremento de 4,9 veces en un año), impulsados por la subida de precios y no por el volumen de ventas.
Este incremento de los ingresos de los fabricantes de DRAM, impulsado principalmente por la subida de precios, refleja la creciente presión sobre los costes del hardware. En paralelo, el precio medio de venta de los servidores sin GPU ha aumentado un 33 % en el último ejercicio, mientras que fabricantes como Micron anticipan que 2027 y 2028 serán ejercicios especialmente tensos.
Al modelar un escenario de cómputo constante 24×7 a cinco años (máquinas virtuales de 4 vCPU y 16 GB de RAM) comparando una reserva a 3 años en AWS España (m7i Savings Plan sin pago inicial) frente a servidores propios nuevos en colocation con redundancia N+1 y virtualización de código abierto, el encarecimiento de la memoria retrasa el punto de retorno (break-even) de 9 a 18 meses:
| Escenario de carga constante (24×7) | 100 VMs (400 vCPU / 1,6 TB) |
125 VMs (500 vCPU / 2 TB) |
200 VMs (800 vCPU / 3,2 TB) |
500 VMs (2.000 vCPU / 8 TB) |
| Mes en que el servidor propio pasa a ser más barato (Precios 2024) | Mes 35 | Mes 31 | Mes 21 | Mes 17 |
| Mes en que el servidor propio pasa a ser más barato (Precios 2026) | Mes 53 | Mes 47 | Mes 31 | Mes 26 |
Nota técnica: Si en la infraestructura propia se añade el coste de licencias de virtualización propietarias por núcleo, la nube resulta más económica en casi todos los tramos.
En este contexto, la estrategia FinOps obliga a inventariar qué porcentaje del gasto corresponde a carga base 24×7, blindar en contrato las fórmulas de revisión de precios y plazos de preaviso, y desglosar mensualmente el gasto por proyecto incluyendo el consumo de IA.
¿Cómo cambiar de proveedor cloud? Costes de migración y vendor lock-in
El 12 de enero de 2027 entra en aplicación plena el artículo 29 del Reglamento europeo de Datos (Reglamento UE 2023/2854), que elimina los cargos por cambiar de proveedor de nube (egress fees por migración). Esta medida suprime los cargos asociados al proceso de cambio de proveedor, pero no elimina los costes técnicos derivados de adaptar aplicaciones, rediseñar servicios o reconstruir la arquitectura en otro entorno.
Eliminar la barrera tarifaria tampoco elimina la barrera física ni el vendor lock-in arquitectónico: según datos de Capgemini (septiembre de 2026), solo 1 de cada 7 grandes organizaciones conoce todas sus dependencias técnicas.
Sacar los datos de una nube no es pulsar un botón; está limitado por el caudal efectivo de red. Tomando la eficiencia real documentada por Google Cloud (cerca del 77 % del caudal nominal incluyendo gestión), los tiempos físicos de extracción son inasumibles sin planificación previa:
- 10 TB de datos: 29 horas a 1 Gbps | 3 horas a 10 Gbps.
- 100 TB de datos: 12 días a 1 Gbps | 29 horas a 10 Gbps.
- 1.000 TB (1 PB) de datos: 4 meses a 1 Gbps | 12 días a 10 Gbps (y el doble de tiempo si se utiliza una línea compartida a media velocidad).
Además, con los datos no viaja la arquitectura: los permisos IAM y roles deben rehacerse en destino; la red, DNS y certificados requieren reconfiguración; las colas, funciones serverless y bases de datos propietarias exigen rediseñar el código; y las claves generadas internamente en gestores como AWS KMS o Azure Key Vault no admiten operación de exportación.
Por eso, antes de cambiar de proveedor, es importante planificar la migración y evitar los errores habituales al migrar a la nube que pueden comprometer el resultado del proyecto.
Las 12 preguntas clave para evaluar un proveedor cloud
Esta lista de comprobación está dirigida a CTO, CIO, responsables de infraestructura y compras IT que necesiten evaluar proveedores cloud o preparar condiciones contractuales y pliegos.
Para trasladar estos criterios a un comité de dirección o a la renovación de un pliego sin perder agilidad, las cuatro grandes cuestiones se resumen en tres preguntas directas por bloque. Arquitecturas basadas en estándares abiertos (OpenStack), operadas desde España en dos centros de datos en Madrid bajo ENS Categoría Alta y sin cargos por tráfico de salida —como AireCloud— permiten responder de forma directa y contractual a cada punto:
| Bloque estratégico | Pregunta de auditoría técnica | Criterio contractual |
| 01. ¿Dónde está? | 1. ¿En qué país están mis datos y sus copias? 2. Si cae esa región, ¿qué sigue funcionando y dónde? 3. ¿En qué países se procesa lo que envío a la IA? |
• País y edificio exacto de datos y copias por escrito (art. 122.2 LCSP). • Plan probado de caída regional y ubicación de recuperación. • Región de procesamiento de IA fijada por contrato. |
| 02. ¿De quién es? | 4. ¿Qué leyes fuera de la UE alcanzan al proveedor o su matriz? 5. ¿Quién opera, da soporte y audita, y desde dónde? 6. ¿Quién custodia las claves de cifrado? |
• Declaración de la matriz y leyes extracomunitarias aplicables. • Identificación de personal, país de operación y auditorías. • Claves bajo control exclusivo del cliente o custodia documentada. |
| 03. ¿Cuánto cuesta? | 7. ¿Qué parte del gasto es carga constante y de qué tamaño? 8. ¿Qué protege mi precio: plazo, revisión y preaviso? 9. ¿Quién ve el gasto mensual por proyecto, incluida la IA? |
• Inventario de cargas 24×7 dimensionadas en vCPU. • Duración del precio, fórmula de revisión y preaviso en contrato. • Informe de consumo mensual desglosado por proyecto e IA. |
| 04. ¿Podemos irnos? | 10. ¿Puedo exportar mis datos completos en formato estándar? 11. ¿Qué es exclusivo del proveedor y qué no está como código? 12. ¿Qué plazo y coste tiene salir según el contrato? |
• Exportación íntegra en formatos estándar con plazo garantizado. • Inventario de servicios exclusivos y despliegue como código (IaC). • Plazo de preaviso, periodo transitorio y coste de salida fijados. |
La resiliencia y la soberanía tecnológica en 2027 no dependerán del logotipo del proveedor, sino de una única prueba de estrés que todo comité de dirección debería solicitar hoy mismo: ¿cuánto tardaríamos en sacar nuestra aplicación más crítica de la nube actual, y quién lo ha comprobado técnicamente antes de necesitarlo?
