CLOUD Act

Passada en Estados Unidos en 2018, la CLOUD Act permite a la administración estadounidense exigir datos en poder de una empresa bajo jurisdicción estadounidense, sin importar dónde estén almacenados físicamente esos datos. La ubicación de almacenamiento, la tranquilidad habitual de un centro de datos europeo, no es la variable determinante. Lo que cuenta es la jurisdicción de la matriz.

Esa distinción decidió un contrato. El 16 de julio de 2026 Airbus seleccionó a Scaleway, la filial de nube e IA de iliad, como su "cloud de confiance" para el diseño, la ingeniería, la producción y la propiedad intelectual de aeronaves, cerrando un concurso abierto a principios de enero de 2026 que comparó diez candidatos. Las garantías legales y de gobernanza, incluida la inmunidad frente a legislación extraterritorial, fueron el más discriminante de los tres criterios. Microsoft, Google y AWS ofrecen una capacidad que ningún proveedor europeo iguala en todos los frentes, y ninguno de ellos puede eximir a un cliente de la CLOUD Act.

Vincent Strubel, director general de ANSSI, planteó el mismo punto desde el lado del regulador el 6 de enero de 2026. Los requisitos de SecNumCloud (un proveedor europeo por sede social y capitalización, datos inaccesibles a subcontratistas no europeos, autonomía operativa) existen para resistir requerimientos de la CLOUD Act o de FISA. El propio Strubel trazó el límite: "SecNumCloud ne signifie pas l'absence de dépendance."

La ley reapareció en la reacción europea a la AI Kill Switch Act, donde Virkkunen la invocó. El argumento de soberanía que ancla no se ha quedado en la capa de infraestructura: la dependencia recorre ahora el modelo y el agente, y todavía ningún esquema de calificación cubre ese terreno.