Soberanía digital: de la dependencia tecnológica a la gestión del riesgo

Ocurrió hace miles de años y la escena, según los científicos, fue así de sencilla: una persona chocó un trozo de pedernal y otro de pirita para sacar algunas chispas. Tras varios golpes, voilà, apareció el fuego. Con este gesto, el ser humano (en una de sus versiones más primitivas) aprendió a producir llamas y cambió radicalmente su relación con su entorno: salió de la oscuridad, lo utilizó para cocinar, darse calor y crear herramientas. Lo domesticó.  

Aprender a controlarlo significó entender sus riesgos y aprovechar lo que ofrecía. Miles de años después, Europa afronta un ejercicio parecido con la tecnología. Buena parte de su economía funciona gracias a un fuego, convertido hoy en sistemas digitales, cuya mecha se encendió fuera de sus fronteras y que necesita gestionar para no quemarse.  

Allí están la nube (donde se guarda nuestra información), las plataformas digitales (que usamos en el trabajo en los momentos de ocio), los semiconductores (que soportan los centros de datos) y los sistemas de inteligencia artificial (que prometen ser parte de nuestro día a día).  

Como ocurrió con ese primer fuego primigenio, el Viejo Continente necesita domesticar los riesgos que implica su dependencia tecnológica. Eso también es soberanía digital. Significa ser conscientes, en este mundo marcado por las tensiones geopolíticas, sobre dónde y quién crea los productos y servicios digitales en los que se apoya la economía moderna.   

Para las empresas, la cuestión está en saber de qué tecnologías dependen para operar, quién las controla, dónde se procesan sus datos y qué ocurriría si un servicio crítico dejara de estar disponible o cambiara sus condiciones de uso. A eso se le llama gestión del riesgo.  

“No se puede proteger lo que no se entiende. Hoy muchas organizaciones funcionan sobre una base tecnológica que no conocen, y ahí está el verdadero riesgo”, señala Javier Aznar, Global AI Security Leader en KPMG y socio de Ciberseguridad y Riesgo Tecnológico de KPMG en España.    

Sectores expuestos a la dependencia tecnológica: de la banca a las administraciones públicas  

Infraestructuras, bancos, hospitales, compañías industriales, retailers, aseguradoras o administraciones públicas utilizan servicios digitales que se apoyan en cadenas tecnológicas externas. Cualquier incidencia en un proveedor cloud, por ejemplo, una vulnerabilidad en un componente de software, una restricción sobre chips avanzados o un cambio en las reglas de acceso a determinados modelos de inteligencia artificial, puede trasladarse con rapidez a la actividad diaria.    

Para muchas organizaciones, la soberanía digital se está convirtiendo en una cuestión de continuidad operativa, cumplimiento normativo, ciberseguridad y gobierno corporativo. La UE tiene margen real para liderar en áreas donde la confianza y la privacidad son cruciales.  

“Nuestro valor diferencial está en controlar lo que de verdad importa, aunque la infraestructura no sea nuestra: tener las claves de cifrado en manos europeas, exigir que el software que compramos sea seguro desde su diseño, como ya obliga el Reglamento de Ciberresiliencia (CRA), garantizar que la IA que incorporamos a nuestros procesos sea segura y controlable, y proteger industrias como la energía, la salud o la automoción, donde Europa conoce el proceso mejor que nadie” resalta el experto de KPMG. “No vamos a recuperar la posición en grandes infraestructuras, pero sí podemos ser la región en la que se confía para gestionar datos críticos y procesos de negocio sensibles”, agrega Javier Aznar.   

Para el experto de KPMG, depender de sistemas extranjeros obliga a la UE a «confiar a ciegas» en componentes y programas que podrían contener fallos ocultos o accesos controlados desde fuera. Sin embargo, no se trata de sustituirlos, sino de entender cómo funcionan y cuáles son sus vulnerabilidades ante cualquier eventualidad. «Si estalla un conflicto comercial o político, esos proveedores podrían cortarnos el soporte o las actualizaciones de seguridad de un día para otro», arguye.  

La inteligencia artificial es ya una de las mayores revoluciones tecnológicas de nuestra era. Su poder transformador en la economía la ha catapultado como un motor de crecimiento. No hay sector económico que no la esté utilizando y su penetración será aún mayor en los próximos años. Las empresas e instituciones a escala global prevén inversiones más fuertes en los próximos años.    

Según el Global AI Pulse Q3 2026, una encuesta realizada a más de 2.100 expertos en IA en 20 países, las organizaciones del globo estiman invertir una media de 210 millones de dólares en IA durante los próximos 12 meses, frente a 186 millones en el primer trimestre, un aumento del 13%.   

En la región EMEA (Europa, Oriente Medio y África) el incremento es bastante mayor, del 29%, desde 157 hasta 203 millones de dólares. «A medida que la IA se integra en la operativa diaria y aumenta la dependencia de esta herramienta, las organizaciones se ven en la necesidad de reforzar su gobernanza y mantener el control sobre los modelos que emplean», explica David Sanz, socio responsable de IA, Análisis de Datos y Tecnologías Emergentes de KPMG en España. 

El desafío ahora está en avanzar desde iniciativas aisladas hacia una transformación de los procesos, incorporando la tecnología de forma escalable y segura y prestando especial atención a cuestiones como los datos, la seguridad, la privacidad y la regulación, áreas en las que la UE y sus empresas tienen mayor margen de maniobra para consolidar una IA soberana.  

“Esto supone conocer dónde se desarrollan y alojan, así como cuáles son las garantías para mantener el acceso”, agrega el experto de KPMG.  Y es allí hacia donde se está poniendo el foco. El informe Global AI Pulse Q3 2026 detalla que el 55% de las organizaciones ya cuenta con una capa formal de gestión y gobierno de la IA, porcentaje que alcanza el 86% entre aquellas que obtienen un retorno consolidado de sus inversiones.   

En este contexto, el liderazgo tecnológico adquiere una dimensión estratégica. Como señala David Sanz: “Aquellos que lideran la adopción de la inteligencia artificial tienen una visión transformadora de la tecnología, una visión que sitúa la IA no solo como una herramienta de eficiencia, sino como un elemento que exige repensar procesos y modelos de negocio, reforzar la gestión del cambio y garantizar la autonomía en la toma de decisiones”. 

El mundo está lleno de datos. Cada día se producen miles de millones más. En uno de los buscadores de internet más populares, por ejemplo, se realizan a diario más de 8.500 millones de búsquedas. En una de las redes sociales de mayor éxito se suben más de 16.000 vídeos por minuto. Cada segundo se hacen casi 30.000 solicitudes en uno de los sistemas de IA más famosos.  

Sin embargo, la infraestructura en la que se aloja y procesa toda esta información pertenece a empresas de fuera de Europa. Como muestra, algunos botones: 

La gestión de los datos es uno de los principales focos de atención para conocer y gestionar estos riesgos. Las empresas necesitan saber dónde se almacena su información, quién puede acceder a ella y bajo qué marco jurídico se encuentra protegida. La expansión de la inteligencia artificial añade complejidad a esta tarea, ya que muchas aplicaciones procesan ingentes volúmenes de datos corporativos y personales. 

Hay otro factor que preocupa a numerosas compañías. Cuanto más integrada se encuentra una tecnología en los procesos de negocio, más difícil suele resultar sustituirla. Migrar aplicaciones, mover datos o cambiar de proveedor puede implicar costes elevados, importantes esfuerzos operativos y riesgos para la continuidad de la actividad. 

Durante años, las organizaciones han concebido la soberanía digital como el control sobre sus datos y su tecnología. Sin embargo, para Rafael Tejedor, socio responsable de Governance, Risk and Compliance de KPMG en España, el análisis debe ir a un horizonte más amplio en el que las empresas deberían identificar sus dependencias críticas, definir qué capacidades son estratégicas y decidir conscientemente cuáles controlan y cuáles delegan. 

“La dependencia no es necesariamente un problema. La dependencia desconocida sí lo es”, dice el experto. Esta mirada exige a las organizaciones y a sus Consejos de Administración considerar este tema como una cuestión que está al mismo nivel que el control de la liquidez, la reputación o la cadena de suministro.  

Muchas compañías conocen mejor a sus clientes que a los proveedores que sostienen sus procesos críticos. Y en un entorno de creciente concentración tecnológica, no perder de vista ninguna arista del negocio es potenciar la resiliencia empresarial. No se trata solo de auditar contratos o exigir más cláusulas, sino de entender qué ocurriría si un proveedor dejara de prestar servicio, modificara sus condiciones o quedara afectado por una decisión geopolítica.  

“La pregunta que debería hacerse cualquier directivo es qué parte de su negocio dejaría de funcionar mañana si un proveedor concreto desapareciera. Si la respuesta es significativa, estamos ante un riesgo de gobierno corporativo, no operativo”, recalca el socio responsable de Governance, Risk and Compliance de KPMG en España.  

Gestionar el riesgo empieza cuando la dependencia influye en las decisiones. Eso implica asignar responsables, fijar niveles de tolerancia, incorporar indicadores de seguimiento y definir planes de contingencia reales. “La soberanía digital no se consigue eliminando dependencias, algo prácticamente imposible en la economía actual. Se consigue entendiéndolas, monitorizándolas y preparándose para cuando fallen”, subraya Rafael Tejedor. Y agrega: “En gestión de riesgos existe una regla sencilla y es que lo que no se mide, se ignora y no se controla. Y aquello que se ignora y no se controla acaba convirtiéndose en una sorpresa. Y las sorpresas nunca son una buena estrategia”.