El 96 % de las empresas españolas quiere una IA «soberana». Traducido: quiere saber dónde acaban sus datos

Esta semana NTT DATA publicó su Informe global de IA 2026, y el dato de España llama la atención: el 96 % de las empresas españolas valora tener una inteligencia artificial privada y soberana, un punto por encima de la media mundial. Casi unanimidad. El problema aparece dos líneas más abajo: solo el 29 % lo ha convertido en algo concreto a corto plazo. Es decir, casi todo el mundo lo quiere y casi nadie lo ha hecho.

«IA soberana» suena a titular de congreso, así que vamos a bajarlo a suelo: significa saber en qué país se guardan tus datos, quién puede leerlos y qué pasa con ellos cuando los metes en una herramienta de IA. Nada más. Y esa pregunta no es solo de bancos y multinacionales: si tienes una clínica, una asesoría o una empresa de reformas y tu equipo pega presupuestos, historiales o nóminas en un chat de IA, la pregunta ya es tuya.

Qué dice el informe, en corto

• circle 96 % de las empresas españolas valora una IA privada y soberana (95 % en el resto del mundo).
• circle 97 % está estudiando mover su infraestructura de IA a ubicaciones geográficas concretas por motivos geopolíticos.
• circle Solo el 29 % prioriza la IA soberana a corto plazo con medidas reales.
• circle Las barreras que se citan en España: regulación (28 %), inversión (27 %) y complejidad técnica (24 %).
• circle Y las motivaciones para invertir: seguridad (33 %), ventaja competitiva (en torno al 30 %) y simplificar el ecosistema tecnológico (23 %).

La frase que mejor resume el informe es que la jurisdicción de los datos se ha convertido en un parámetro de diseño. Traducido: dónde vive el dato ya no es una nota a pie de página del contrato, es una decisión de arquitectura que se toma antes de escribir la primera línea de código.

Por qué esto te toca aunque no seas una gran empresa

Hay una idea cómoda que circula mucho: «esto de la soberanía del dato es cosa de empresas grandes». Es falsa por una razón muy práctica. Las grandes tienen departamento legal, contratos negociados y arquitectos que revisan dónde se procesa cada cosa. Una pyme no tiene nada de eso, y sin embargo mete exactamente el mismo tipo de información sensible en las mismas herramientas. La exposición es la misma; lo que cambia es que nadie está mirando.

A eso se suma el calendario europeo. Desde el 2 de agosto de 2026 están en aplicación las obligaciones de transparencia del artículo 50 del Reglamento Europeo de IA: si un cliente habla con un chatbot, tiene que saber que es un chatbot; si publicas contenido generado con IA en determinados contextos, hay que etiquetarlo. Eso no depende de tu tamaño. Y el momento de responder «¿dónde se procesan estos datos?» es antes de que te lo pregunte un cliente, un cliente potencial que te está auditando como proveedor, o alguien con capacidad sancionadora.

El 71 % que no ha hecho nada: por qué se queda parado

Nuestra lectura, después de mucho proyecto real, es que la mayoría no se para por falta de ganas, sino porque la palabra «soberanía» arrastra una imagen carísima: montar tu propio centro de datos, tu propio modelo, tu propio todo. Y eso, para una empresa de veinte personas, no tiene ningún sentido económico.

La buena noticia es que ese no es el único camino, ni el que recomendamos casi nunca. Entre «lo pego todo en una herramienta gratuita y que sea lo que Dios quiera» y «me monto una infraestructura propia» hay un espacio enorme y perfectamente asequible: usar servicios en la nube con la región europea configurada explícitamente, con acuerdos de tratamiento de datos firmados, sin que tus conversaciones alimenten el entrenamiento de nadie, y con tus documentos internos en un almacenamiento que controlas tú. Eso ya es soberanía suficiente para el 95 % de las pymes, y cuesta lo que cuesta cualquier suscripción de software normal.

Qué hacer esta semana (sin proyecto ni presupuesto)

1. 1 Haz la lista real de herramientas de IA que usa tu equipo. No la oficial: la real, la que incluye las cuentas personales que alguien se abrió porque le venía bien.
2. 2 Por cada una, responde a tres preguntas: qué datos entran, en qué país se procesan y si el proveedor usa esos datos para entrenar sus modelos.
3. 3 Separa lo que es información pública o inocua (redactar un texto de marketing) de lo que no lo es (datos de clientes, nóminas, historiales, contratos).
4. 4 Para lo segundo, exige región europea y acuerdo de tratamiento de datos. Si el proveedor no te lo puede dar por escrito, tienes un problema y ya lo sabes.
5. 5 Escribe una página. Una sola. Qué se puede meter en la IA, qué no, y a quién se pregunta en caso de duda. Sin eso, cada persona decide por su cuenta.

La parte incómoda de la noticia

Que el 96 % lo valore y solo el 29 % actúe significa que la mayoría de las empresas están dando una respuesta socialmente correcta en una encuesta mientras siguen haciendo lo de siempre. Es humano y es comprensible. Pero también significa que hacer los deberes te distingue enseguida: en un sector donde casi nadie puede responder a «¿dónde están mis datos?», el que responde con claridad gana una conversación comercial completa.

No hace falta que te obsesiones con la soberanía tecnológica ni que montes nada épico. Hace falta que sepas lo que entra, dónde va y quién lo puede leer. Eso es un trabajo de una tarde, no un proyecto de un año.

¿Quieres saber dónde estás tú?

En nuestra auditoría 360 revisamos exactamente esto: qué herramientas de IA usa tu equipo de verdad, qué datos les estás dando sin darte cuenta, qué obligaciones del Reglamento Europeo te aplican ya y qué se puede automatizar sin sacar información sensible de donde debe estar. Sales con un documento concreto, no con un susto.

Puedes pedirla en /diagnostico. Es gratuita y te decimos con franqueza si merece la pena hacer algo o si tu situación está bien como está.