Restricciones en las plataformas, clouds soberanos y un freno en la financiación

La Comisión Europea pasó la semana recordando a la industria que la Digital Services Act sigue teniendo fuerza. ChatGPT, Reddit y Roblox fueron designados como Very Large Online Platforms, con ChatGPT clasificado adicionalmente como un motor de búsqueda en línea de muy gran tamaño, una etiqueta que lo somete a las mismas obligaciones de riesgo sistémico que Google Search. Los tres servicios ahora tienen hasta enero de 2027 para cumplir. La designación coincidió en la misma semana con el discurso del Estado de la Unión de la presidenta de la Comisión, el momento anual en el que Bruselas establece sus prioridades digitales para el año próximo.

El resto del panorama regulatorio fue más complicado. La enmienda de la AI Act de la UE dentro del paquete Digital Omnibus avanzó, retrasando las fechas de cumplimiento para los sistemas de AI de alto riesgo, pero una propuesta paralela para redefinir qué se considera datos personales bajo el GDPR se topó con resistencia durante las conversaciones interinstitucionales. Bruselas está intentando simplificar el cumplimiento de la AI y flexibilizar una definición central de privacidad en el mismo paquete, y solo una mitad está avanzando sin problemas.

Simplificar un reglamento está poniendo a prueba los límites de otro.

La aplicación de las normas de competencia también tuvo resultados mixtos. Opera perdió su caso para que Microsoft Edge fuera etiquetado como "gatekeeper" bajo la Digital Markets Act, después de que el Tribunal General concluyera que el navegador no era una puerta de enlace lo suficientemente importante como para calificar, una sentencia que limita el alcance de la DMA en el software de escritorio. Mientras tanto, la Comisión abrió una investigación para recopilar información sobre las prácticas de licencias cloud de Oracle, tras una investigación similar sobre SAP, una señal de que el escrutinio de los proveedores de software empresarial se está volviendo rutinario en lugar de excepcional.

Las ambiciones de soberanía se toparon con sus propias contradicciones. Los Países Bajos publicaron un borrador de diseño para su cloud gubernamental soberano, un paso concreto hacia el tipo de independencia de infraestructura pública que Bruselas sigue pidiendo. En Italia, se está desarrollando la dinámica opuesta: las reglas de contratación redactadas para proteger a los proveedores locales favorecen en su lugar a los "hyperscalers" de EE. UU., ya que los requisitos de calificación premian las economías de escala que solo los grandes actores dominantes pueden alcanzar, dejando fuera a federaciones cloud locales como EduStorage, a pesar de que están técnicamente preparadas para competir. La intención y el resultado tiran en direcciones opuestas.

El capital privado contó una historia similar. La empresa xorlab, con sede en Zúrich, recaudó 5 millones de euros para expandir una plataforma soberana de seguridad de correo electrónico, construida explícitamente para reducir la dependencia de la infraestructura controlada por EE. UU. Días después, Nvidia confirmó su adquisición por 12.930 millones de dólares de Hugging Face, el repositorio de modelos de AI de origen francés que se ha convertido en uno de los centros neurálgicos de la AI de código abierto. Un campeón de la soberanía fundado en Francia acaba de pasar a manos del fabricante de chips dominante del mundo, un recordatorio de que construir empresas con mentalidad soberana y mantenerlas en manos europeas son dos retos distintos.

La aplicación de las normativas de protección de datos siguió avanzando independientemente del debate de definición en Bruselas. El Tribunal Supremo de Austria determinó que la agencia de crédito CRIF había recopilado datos ilegalmente en violación del principio de limitación de la finalidad del GDPR, una decisión que refuerza la demanda colectiva pendiente de noyb. La Data Protection Commission de Irlanda multó al Health Service Executive con 645.000 euros por registros médicos en papel no asegurados, y la CNIL de Francia multó al Hôpital Privé de la Loire con 500.000 euros después de que una brecha expusiera información de salud perteneciente a más de 524.000 pacientes. La autoridad holandesa de protección de datos tomó el enfoque opuesto, publicando plantillas de cumplimiento gratuitas para ayudar a las pequeñas empresas a cumplir con sus obligaciones del GDPR sin necesidad de un equipo legal. Y con el EUDI Wallet programado para lanzarse en diciembre de 2026, Agenda Digitale advirtió que su arquitectura aún plantea preguntas abiertas sobre el manejo de metadatos bajo las mismas reglas que los reguladores están aplicando activamente en otras partes.

Los mercados de capitales, por su parte, contaron dos historias dependiendo del punto de vista. El resumen semanal de Tech.eu contabilizó algo más de 475 millones de euros invertidos en más de 35 acuerdos al inicio de la semana. Días después, un informe independiente puso el panorama general en perspectiva: la financiación tecnológica europea cayó un 63 por ciento en agosto hasta los 3.200 millones de euros en 165 acuerdos, como parte de una desaceleración más amplia de las operaciones en todo el continente. Aun así, el dinero que se movió siguió fluyendo hacia sectores estratégicamente sensibles. La empresa alemana de spacetech HyImpulse consiguió más de 50 millones de euros para escalar la capacidad de lanzamiento soberano de cara a sus próximas misiones. INLEAP Photonics recaudó 20 millones de euros para expandir sus sistemas antidrones basados en láser para clientes de defensa e infraestructura crítica europea. La empresa finlandesa Creoir obtuvo financiación semilla para comercializar AI de voz desarrollada para sistemas de defensa. Y la española iPronics recaudó 107,6 millones de euros para redes ópticas de centros de datos de AI, en una ronda que incluyó a la propia Nvidia, un acuerdo que se sitúa a medio camino entre el éxito de la deep tech europea y la dependencia del mismo fabricante de chips que está remodelando el debate sobre la soberanía en otras partes esta semana.

Europa sigue escribiendo las reglas de la soberanía más rápido de lo que puede construir la propiedad que la sustenta.

En su conjunto, la semana refleja en qué punto se encuentra realmente el proyecto de soberanía digital de Europa. La maquinaria legal construida a partir de la DSA, la DMA, la AI Act y el GDPR está activa y se aplica, a veces contra plataformas dominantes de EE. UU. y otras veces contra hospitales y agencias europeas que incumplen sus propias obligaciones. Pero la soberanía sobre la infraestructura y la propiedad sigue siendo mucho más difícil de legislar que la soberanía sobre las reglas. Un diseño de cloud gubernamental holandés y una ronda de seguridad de correo electrónico con sede en Zúrich apuntan en una dirección; una estructura de licitación italiana y una adquisición por parte de Nvidia apuntan en la otra. Ninguna anula a la otra, y esa tensión parece destinada a definir los próximos meses.