ASML-tik Mistral-era: Europa bere teknologia borroka irabazten duten enpresak

La estrategia de la UE para construir un ecosistema tecnológico completo está en una fase de consolidación: el marco general ya existe (Década Digital/“Brújula Digital 2030” y gran parte de la legislación horizontal), pero en 2026 se ha abierto una “segunda ola” centrada en soberanía tecnológica (chips, nube, IA, software abierto y energía) y en ejecutar a escala lo aprobado. Los próximos pasos combinan nuevas normas específicas (Chips 2.0, ley de nube e IA), ajustes de calendarios regulatorios y una fuerte movilización de inversión público‑privada.

Situación actual del ecosistema digital europeo

El marco vertebrador sigue siendo el Programa de la Década Digital 2030, que fija objetivos para conectividad, digitalización empresarial, capacidades digitales y servicios públicos. El cuarto informe sobre su estado, publicado en junio de 2026 por la Comisión Europea (informe 2026 de la Década Digital), constata avances importantes:

• Infraestructuras: el 96,8 % de los hogares tiene ya cobertura básica 5G y el despliegue de nodos de borde va encaminado a cumplir antes de lo previsto el objetivo 2030 de computación en el “edge”.
• Empresas: el 46,7 % usa computación en la nube, el 39,9 % análisis de datos y casi el 20 % aplica IA, con un crecimiento de la adopción de IA del 48 % en 2025.
• Capital humano: más del 60 % de los europeos tiene al menos competencias digitales básicas.

A la vez, el informe señala brechas estructurales: la UE sólo representa el 9 % del mercado mundial de semiconductores (objetivo: 20 % en 2030) y sigue por detrás en capacidad de computación y en liderazgo empresarial en ciberseguridad y nube. Faltan especialistas en TIC (5 % del empleo frente al 10 % objetivo) y las pymes encuentran barreras de datos, talento y financiación para adoptar tecnologías avanzadas.

Sobre la capa normativa horizontal, destacan:

• AI Act: la Ley Europea de Inteligencia Artificial está en vigor desde agosto de 2024 (nota de la Comisión). Las prohibiciones de sistemas de “riesgo inaceptable” ya se aplican y las obligaciones para modelos de propósito general empezaron en 2025; el grueso de obligaciones se desplegará entre 2026 y 2028, tras una reforma que ha dilatado plazos para sistemas de alto riesgo.
• Marco de datos y ciberseguridad: el llamado “Ómnibus digital” y las revisiones asociadas están ajustando el Data Act, la gobernanza de datos y la ciberseguridad para facilitar la aplicación coherente del AI Act y reducir cargas, especialmente a pymes.
• Conectividad: la propuesta de Ley de Redes Digitales configura el futuro mercado único de telecomunicaciones y la transición del cobre a redes avanzadas entre 2030 y 2035, alineada con los objetivos de la Década Digital.

La “segunda ola”: Paquete de Soberanía Tecnológica

En junio de 2026 la Comisión lanzó el Paquete de Soberanía Tecnológica para reforzar la autonomía digital de la UE en semiconductores, IA, nube y código abierto (nota oficial). Incluye cuatro piezas clave:

• Reglamento de Chips 2.0: amplía la primera Ley de Chips (en vigor desde 2023) para crear capacidad en semiconductores avanzados para IA, acelerar permisos, introducir un sello de excelencia regional y, sobre todo, estimular la demanda interna de chips europeos mediante acuerdos de compra preferente y plataformas de contratación conjunta.
• Ley de Desarrollo de la Nube y la IA (CADA): busca triplicar en 5‑7 años la capacidad de centros de datos en Europa, definir niveles de “nube soberana”, simplificar despliegues y proteger datos críticos, vinculando este esfuerzo con la estrategia “Apply AI” y con futuras gigafactorías de IA.
• Estrategia Europea de Código Abierto: pretende reforzar un ecosistema de software abierto “made in Europe”, apoyar startups de código abierto y promover su uso en administraciones públicas e infraestructuras críticas.
• Hoja de ruta digitalización e IA en energía: orientada a integrar centros de datos en el sistema energético, desplegar IA en redes eléctricas y acelerar contadores inteligentes, equilibrando ambición digital y objetivos climáticos.

Próximos pasos previstos

A partir de la documentación oficial y del propio informe de la Década Digital 2026, los siguientes hitos pueden resumirse así:

• Tramitación legislativa de los nuevos instrumentos: Chips 2.0 y la ley de nube e IA deben ahora ser negociadas por Parlamento Europeo y Consejo antes de su adopción y entrada en vigor. En paralelo, se ultiman propuestas complementarias como la “Ley Cuántica Europea” y ajustes en el marco de datos y ciberseguridad.
• Despliegue progresivo del AI Act: entre 2026 y 2028 se activarán la mayoría de obligaciones para sistemas de alto riesgo, con el apoyo de la Oficina Europea de IA y sandboxes regulatorios, como el piloto concluido por España en 2026.
• Actualización de hojas de ruta nacionales: la Comisión ha pedido a los Estados miembros que revisen sus planes de la Década Digital con medidas concretas y los alineen con el próximo Marco Financiero Plurianual y el futuro Fondo de Competitividad de la UE, para garantizar financiación continuada más allá de 2026.
• Gigafactorías de IA y fondos de escalado: se prevé lanzar convocatorias para gigafactorías de IA (superordenadores dedicados al entrenamiento de modelos) y poner en marcha el “Scaleup Europe Fund” de 5.000 millones bajo el paraguas del European Innovation Council, con primeras operaciones previstas para otoño de 2026.
• Revisión en 2027 de los objetivos de la Década Digital: la Comisión revisará metas y métricas para ajustarlas al nuevo contexto tecnológico y a la legislación ya aprobada.

En conjunto, la UE ha pasado de definir un marco regulatorio y unos objetivos a desplegar una política industrial digital explícita, con el foco en reducir dependencias externas y construir una “pila tecnológica europea” que abarque desde los chips hasta la nube, la IA y el software abierto. El éxito dependerá de que los Estados miembros actualicen sus hojas de ruta, movilicen inversión y ejecuten los proyectos a la velocidad que exige 2030.

La Comisión Europea desempeña un papel central en la regulación tecnológica y la innovación digital en la Unión Europea. Actúa a la vez como “gobierno” de la UE, motor legislativo y regulador, con competencias que abarcan desde la propuesta de normas hasta la supervisión de su cumplimiento y la gestión de programas de financiación.

1. Iniciativa legislativa y regulación

La competencia más relevante de la Comisión es el monopolio casi exclusivo de la iniciativa legislativa a nivel de la UE. En el ámbito digital esto se traduce en que:

• Detecta problemas y riesgos (por ejemplo, poder de mercado de grandes plataformas, uso de datos personales, riesgos de la IA, ciberseguridad, desinformación, etc.).
• Elabora propuestas de reglamentos y directivas que después negocian y aprueban Parlamento Europeo y Consejo (codecisión). De ahí han surgido normas clave como el Reglamento General de Protección de Datos (RGPD), la Ley de Servicios Digitales (DSA), la Ley de Mercados Digitales (DMA) o las propuestas sobre inteligencia artificial.
• Revisa y actualiza la normativa existente para ajustarla a la evolución tecnológica (por ejemplo, reformas de la normativa de telecomunicaciones, ciberseguridad o propiedad intelectual en el entorno digital).

En este terreno, la Comisión actúa como arquitecta del marco regulatorio digital europeo, buscando equilibrar innovación, competencia leal, protección de derechos fundamentales y seguridad.

2. Ejecución, supervisión y control del cumplimiento

Además de proponer normas, la Comisión es guardiana de los Tratados y del cumplimiento del derecho de la UE. En materia digital, esto implica:

• Supervisar la transposición de las directivas en los Estados miembros cuando la norma digital sea de este tipo (por ejemplo, directivas sobre comercio electrónico, ciberseguridad o servicios de medios audiovisuales).
• Aplicar y hacer cumplir directamente ciertos reglamentos, especialmente en sectores donde tiene funciones de autoridad reguladora, como en competencia (abuso de posición dominante de plataformas digitales) o, crecientemente, en la supervisión de “gatekeepers” digitales.
• Iniciar procedimientos de infracción contra Estados miembros que no apliquen correctamente la normativa digital o contra empresas que vulneren las reglas bajo los instrumentos donde la Comisión es autoridad competente.
• Emitir orientaciones e interpretaciones (comunicaciones, directrices, guías) para clarificar cómo debe aplicarse el derecho de la UE en ámbitos tecnológicamente complejos.

3. Fomento de la innovación y financiación

La Comisión no solo regula, sino que promueve activamente la innovación digital a través de programas y fondos europeos:

• Diseña y gestiona programas de I+D e innovación como Horizonte Europa, que financian proyectos de investigación en tecnologías digitales, inteligencia artificial, datos, ciberseguridad o computación cuántica.
• Impulsa programas específicos digitales (como el programa Europa Digital) para desplegar infraestructuras, capacidades de supercomputación, centros de innovación digital y formación en competencias digitales avanzadas.
• Coordina el uso de los fondos estructurales y de inversión y del Mecanismo de Recuperación y Resiliencia para proyectos de digitalización de la economía, la administración y los servicios públicos.
• Apoya ecosistemas de innovación (pymes tecnológicas, start-ups, hubs de innovación digital, partenariados público-privados) y promueve estándares abiertos e interoperabilidad.

4. Coordinación de políticas y agendas estratégicas

La Comisión también tiene una función estratégica clave como coordinadora de la política digital europea:

• Define estrategias-marco (por ejemplo, estrategias para el mercado único digital, la década digital, datos, ciberseguridad o inteligencia artificial) que orientan el trabajo normativo y las inversiones.
• Elabora hojas de ruta y objetivos comunes en materia de conectividad, digitalización empresarial, servicios públicos digitales, competencias digitales de la ciudadanía, etc.
• Coordina a los Estados miembros mediante planes nacionales, mecanismos de seguimiento y grupos de expertos, para evitar la fragmentación del mercado interior en materia tecnológica.
• Representa a la UE en foros y organismos internacionales sobre gobernanza de internet, ciberseguridad, estándares tecnológicos o regulación de la IA, contribuyendo a exportar el modelo regulatorio europeo.

5. Protección de derechos y valores en el entorno digital

Finalmente, la Comisión vela porque la transformación digital respete los derechos fundamentales y los valores de la UE:

• Integra sistemáticamente el análisis de impacto en derechos fundamentales en las propuestas normativas digitales.
• Promueve un enfoque de “human-centric digitalisation”, esto es, que las tecnologías estén al servicio de las personas y no al revés.
• Impulsa medidas para proteger a consumidores, menores y colectivos vulnerables frente a riesgos en línea (publicidad dirigida, contenidos dañinos, prácticas comerciales desleales).

En conjunto, la Comisión Europea combina funciones normativas, ejecutivas, de supervisión y de fomento para construir un marco digital europeo que aspire a ser competitivo, innovador y, al mismo tiempo, seguro y respetuoso con los derechos.

Los contratos públicos de “nube soberana” en la UE no se rigen por un único reglamento específico, sino por la combinación de las directivas de contratación pública, el marco de protección de datos, las normas de ciberseguridad y, cada vez más, por requisitos de soberanía tecnológica y control jurisdiccional. Para una empresa europea, esto se traduce en cuatro bloques de requisitos.

1. Requisitos generales de elegibilidad en contratación pública

• Directivas 2014/23/UE, 2014/24/UE y 2014/25/UE: fijan los principios de publicidad, concurrencia, igualdad y no discriminación. En principio, no se puede excluir a un licitador solo por su nacionalidad dentro del mercado interior, pero sí exigir:
  • Solvencia técnica y financiera adecuada al contrato.
  • Ausencia de prohibiciones de contratar (sanciones de competencia, corrupción, etc.). En España, por ejemplo, sanciones como la impuesta a Repsol conllevan veto para concurrir a contratos públicos.
  • Cumplimiento de normas sectoriales (ciberseguridad, protección de datos, etc.).
• Se refuerza el control sobre empresas con subvenciones o control de terceros países: la Comisión ya ha excluido a una empresa china subvencionada en una licitación del metro de Lisboa por distorsión del mercado único.

2. Localización y control de datos: RGPD, Schrems II y soberanía

• Para servicios cloud que tratan datos personales, el RGPD se aplica plenamente. En contratos sensibles se exigen cada vez más:
  • Residencia de datos y metadatos en el EEE y tratamiento solo en infraestructuras situadas físicamente en la UE. Ejemplo: en una licitación del Congreso de los Diputados se exige almacenar y tratar todos los datos “únicamente en una infraestructura situada dentro del EEE” y detallar proveedor y ubicación.
  • Evitar depender de decisiones de adecuación frágiles tras Schrems II; muchos pliegos optan por limitar o directamente prohibir transferencias a terceros países.
• En proyectos de nube soberana, el estándar va más allá:
  • La Nube Soberana Europea de AWS se diseña como infraestructura separada, con todos los recursos (personal, centros de datos, órganos de decisión) dentro de la UE y residencia completa de datos y metadatos en Europa, para alinearse con los requisitos de soberanía del dato.
  • Acuerdos como el de BT con la nube soberana de Stackit enfatizan que los centros de datos se ubican exclusivamente en Europa y cumplen íntegramente el RGPD, de modo que el cliente “conserva el control total de su información”.

3. Ciberseguridad y esquemas de certificación (NIS2, EUCS y marcos nacionales)

• La directiva NIS2 amplía las obligaciones de ciberseguridad para infraestructuras digitales y servicios tecnológicos (incluyendo centros de datos y servicios cloud). Para licitar, las empresas deben acreditar:
  • Gobernanza de riesgos, capacidad de monitorización y respuesta a incidentes.
  • Cumplimiento de estándares (ISO 27001/27017, ENS Alto en España, etc.), como hacen proveedores como Gigas.
• En el plano europeo se está cerrando el Esquema Europeo de Certificación para Servicios Cloud (EUCS), bajo el marco general de certificación de ENISA. La industria reclama que sea:
  • Basado en requisitos técnicos de seguridad y no discriminatorio.
  • Reconocido en toda la UE para evitar la fragmentación regulatoria.
• Paralelamente emergen marcos de soberanía de la nube:
  • En Catalunya, la licitación de nube pública soberana exige el nivel de soberanía más alto (Seal3), que garantiza que los datos permanecen bajo control europeo y que el servicio puede operar de forma autónoma ante interrupciones externas. El proveedor debe someterse exclusivamente a la legislación europea y a su futura evolución.

4. Gobernanza societaria y restricciones frente a jurisdicciones extra UE

• La preocupación por leyes extraterritoriales como el Cloud Act o la legislación china motiva requisitos adicionales:
  • Evitar que el proveedor o su matriz estén controlados por países de riesgo o sujetos a normas que permitan acceso unilateral a los datos.
  • En la reforma de la Ley de Ciberseguridad y la política 5G, la UE ya plantea exclusiones de contratación pública para proveedores considerados de alto riesgo (como Huawei) y vetos al acceso a fondos europeos.
• En la práctica, muchos proyectos de nube soberana exigen:
  • Sociedades establecidas en la UE y, a menudo, controladas por nacionales o entidades de Estados miembros. Una licitación de ENISA limitaba expresamente la participación a personas jurídicas establecidas y controladas por Estados miembros o sus nacionales.
  • Modelos de gobernanza en los que las decisiones sobre la nube soberana se toman desde una empresa matriz y un consejo radicados en Europa, como en el diseño de la Nube Soberana Europea de AWS, gestionada exclusivamente por residentes de la UE con autonomía operativa incluso si se cortan comunicaciones con el resto del mundo.

En resumen, una empresa europea que quiera acceder a contratos de nube soberana debe cumplir los requisitos clásicos de contratación pública y acreditar, además, un alto grado de control europeo sobre la infraestructura, los datos, la cadena de suministro, la ciberseguridad y la propia estructura societaria, reduciendo al mínimo cualquier dependencia jurídica u operativa de jurisdicciones extra UE.