Escucha este artículo
Audio generado con IA de Google
/
En la columna anterior hablé sobre cómo la política pública colombiana aborda los centros de datos a hiperescala. La discusión se ha concentrado en su consumo de energía y agua, el ruido y la consulta a las comunidades. Sin embargo, desde una perspectiva de soberanía hay otra dimensión menos visible: instalar un centro de datos en el territorio nacional no garantiza el control sobre los datos almacenados. También importa quién lo opera, quién controla esa empresa y qué jurisdicciones pueden exigirle acceso a la información.
La soberanía digital es más sobre conservar la capacidad de decisión sobre los datos, la infraestructura y las reglas del desarrollo digital, que sobre producir toda la tecnología localmente. Dos casos recientes ilustran los límites de confiar solo en la ubicación de los servidores.
El primero involucra a OVHcloud, proveedor francés que destaca las garantías de soberanía de su infraestructura europea. En abril de 2024, la Policía canadiense solicitó información de suscriptores almacenada en Francia, Reino Unido y Australia. OVH impugnó la orden, cuestionando la jurisdicción canadiense sobre su matriz francesa y el control de su filial sobre los datos. El tribunal consideró que existía una conexión suficiente con Canadá y que la filial tenía control sobre la información, entre otras razones porque había atendido solicitudes anteriores sobre datos almacenados en el extranjero. Su ubicación física no era determinante.
Por otra parte, durante una comparecencia ante el Senado francés, el responsable jurídico de Microsoft France reconoció que no podía garantizar que los datos de los ciudadanos franceses estuvieran fuera del alcance de las autoridades estadounidenses. El CLOUD Act de 2018 permite exigir a determinados proveedores sujetos a la jurisdicción estadounidense datos bajo su posesión, custodia o control, aunque estén almacenados fuera de ese país.
Las iniciativas para ofrecer una nube soberana o mantener los datos en Europa pueden mejorar ciertas garantías, pero no eliminan automáticamente las obligaciones legales del proveedor. No significa que cualquier autoridad pueda acceder libremente a cualquier dato; significa que la residencia de los datos y las promesas contractuales no bastan para excluir la intervención de otras jurisdicciones.
¿Qué significa esto para Colombia?
El país cuenta con un marco de protección de datos personales y ha avanzado en instrumentos para regular las transferencias y transmisiones internacionales, incluidas las cláusulas contractuales y las normas corporativas vinculantes tipo de la Red Iberoamericana de Protección de Datos. Sin embargo, estos mecanismos no pueden impedir por sí solos que un proveedor cumpla una orden extranjera que le resulte jurídicamente aplicable. Al mismo tiempo, Colombia suscribe acuerdos comerciales internacionales en los que garantiza la libre transferencia de datos y obliga a no discriminar a las empresas del socio comercial, por ejemplo. La política pública debe considerar ambas dimensiones.
Por eso, no basta con exigir que los datos se almacenen en Colombia, ni con que la empresa operadora sea colombiana. La infraestructura puede depender de proveedores, software y servicios sujetos a otras jurisdicciones. La soberanía requiere identificar esas dependencias y evaluar los riesgos jurídicos que producen.
Esto no significa rechazar la inversión extranjera, sino evitar asumir que atraer infraestructura equivale a construir soberanía. Si Colombia asume los costos territoriales de los centros de datos –consumo de recursos e impactos sobre las comunidades–, debe establecer en todos los niveles qué capacidades obtiene a cambio y cuánto control conserva.
La política digital necesita, por ejemplo, una estrategia de transparencia jurisdiccional. Los proveedores que operen en Colombia, especialmente quienes presten servicios al Estado, deberían revelar su estructura de propiedad y control, las jurisdicciones relevantes para su operación y las obligaciones legales que podrían exigirles entregar datos. También deberían informar sobre sus mecanismos de notificación a los clientes, cuando la ley lo permita, y las posibilidades de impugnar esas solicitudes.
Para sistemas críticos como la justicia, la salud pública y la seguridad, el Estado debería evaluar estos riesgos antes de contratar servicios de nube o migrar información. La contratación pública tendría que distinguir entre la residencia de los datos en Colombia y las garantías efectivas de control, acceso y protección jurídica. No se trata de asumir que un proveedor nacional siempre es más seguro, sino de exigir garantías verificables, proporcionales a la sensibilidad de los datos.
Estas medidas también requieren examinar los compromisos comerciales internacionales para identificar el margen regulatorio disponible, así como considerarlos en futuras negociaciones. No se trata de aislarse de otras jurisdicciones, sino de preservar la capacidad de decisión en un entorno tecnológico interdependiente.
Colombia debe definir qué capacidades quiere construir, qué garantías exigirá y qué beneficios espera obtener de sus centros de datos. De lo contrario, puede terminar asumiendo sus costos ambientales y sociales sin aumentar su capacidad de decidir sobre la infraestructura ni sobre los datos que almacena.
Conoce más
