Soberanía digital en riesgo en el sector público

La soberanía digital en el sector público está cada vez más en riesgo. La dependencia de proveedores externos, la adopción acelerada de la IA generativa y la creciente complejidad de la infraestructura erosionan el control de las Administraciones Públicas sobre sus datos, su seguridad y sus operaciones. Las agencias gubernamentales y las instituciones educativas se encuentran en una encrucijada digital, lidiando con un panorama de TI en rápida evolución lleno de proveedores de tecnología, soluciones de nube y capacidades emergentes de IA. El informe Nutanix Enterprise Cloud Index para el sector público de 2025 revela avances significativos en el uso de IA y contenedores, pero también pone de manifiesto preocupaciones sobre vulnerabilidades críticas que pueden amenazar las operaciones de TI del sector público.

Fragmentación y dependencia de proveedores

El estado actual de TI del sector público se caracteriza por la fragmentación interna y la dependencia de una oferta cada vez mayor de proveedores externos. Los silos organizativos históricos siguen afectando a las agencias gubernamentales y las instituciones educativas, con equipos de sistemas, grupos de aplicaciones y áreas funcionales que operan de forma aislada. 

La búsqueda de la modernización mediante servicios de nube, soluciones SaaS y capacidades de IA ha creado una paradoja: la misma tecnología destinada a mejorar la eficiencia y la experiencia de la ciudadanía está reemplazando las capacidades internas, creando dependencias de proveedores y aumentando las vulnerabilidades de seguridad. 

En general, la compartimentación ha creado políticas de gobernanza inconsistentes y repositorios de datos aislados que socavan fundamentalmente la capacidad de extraer información significativa de las cargas de trabajo de IA que, de otro modo, podrían ayudar a tomar mejores decisiones sobre políticas y una asignación más eficaz de los recursos limitados.

IA generativa en el sector público: riesgos y soberanía digital

La IA generativa en el sector público plantea dos riesgos principales para la soberanía digital: la seguridad de los modelos y aplicaciones de IA, y la privacidad de los datos de los ciudadanos. La revolución de la IA generativa (GenAI) ha llegado al sector público, y el Informe ECI 2025 revela que el 94% de las organizaciones del sector público ya están aprovechando las aplicaciones de IA generativa. 

Sin embargo, esta adopción ha expuesto preocupaciones sobre vulnerabilidades de seguridad y privacidad. Un porcentaje elevado de los encuestados del sector público (92%) reconoce que podría estar haciendo más para proteger sus modelos y aplicaciones de IA, mientras que el 67% considera que la privacidad de los datos es un desafío, a pesar de que el 98% está de acuerdo en que la privacidad de los datos es una prioridad a la hora de implementar IA generativa. 

Esta contradicción pone de manifiesto una desconexión fundamental entre la intención y la capacidad, que puede poner en riesgo los datos sensibles del gobierno y de los ciudadanos.

Falta de talento e infraestructura: riesgos para la soberanía digital

La falta de personal cualificado y la infraestructura insuficiente son dos de los mayores riesgos para la soberanía digital del sector público, ya que impiden a las organizaciones controlar internamente sus iniciativas de IA y proteger sus datos. La escasez de personal de TI cualificado tal vez represente la amenaza más crítica para la soberanía digital del sector público. El informe revela que tan solo el 51% de las organizaciones del sector público creen que cuentan con el personal necesario para apoyar las iniciativas de IA generativa. 

Cuando se les preguntó sobre los principales desafíos que encuentran en la IA generativa, los encuestados del sector público señalaron como su principal desafío las preocupaciones de privacidad y seguridad del uso de grandes modelos de lenguaje con datos confidenciales. Esta opción fue citada por el 38%, frente al 26% de la siguiente preocupación más señalada.

Esto no es simplemente una brecha de competencias, sino un abismo cada vez mayor entre las necesidades de las organizaciones y las capacidades internas.

La insuficiencia de infraestructura agrava estos desafíos, ya que el 81% de las organizaciones del sector público informan de que su infraestructura de TI actual requiere al menos una mejora moderada para garantizar completamente la seguridad de los datos. 

El hecho de que la infraestructura de TI, la capacitación en TI y la ciberseguridad sean las tres principales prioridades de inversión para apoyar la IA generativa indica que los sistemas fundamentales no parecen estar preparados para las oportunidades actuales, y mucho menos para las exigencias del futuro.

Gestión de Kubernetes y complejidad tecnológica: un reto para la soberanía digital

La creciente complejidad tecnológica, y en particular la gestión de múltiples entornos de Kubernetes, erosiona la capacidad interna del sector público y constituye un reto directo para la soberanía digital. La carga de complejidad sigue aumentando, a medida que el informe revela que el 83% de las organizaciones del sector público ahora gestionan múltiples entornos de Kubernetes®. Si le añadimos las aplicaciones subcontratadas (cada una de las cuales requiere protocolos de seguridad distintos, requisitos de cumplimiento, desafíos de integración, modelos de precios y gestión de relaciones con proveedores), lo que empieza como una solución para reducir la complejidad podría convertirse en una pesadilla de gestión que aumenta las vulnerabilidades de seguridad.

Los equipos de TI pasan de ser creadores e innovadores a ser coordinadores de proveedores y administradores de contratos, mientras que los costes aumentan debido a modelos de precios controlados por proveedores diseñados para maximizar los beneficios en lugar del valor público.

Esta erosión de la capacidad interna representa una amenaza fundamental para la soberanía digital, que abarca cinco dimensiones: la independencia de la infraestructura, el control de datos, la autoridad reguladora, el control económico y la autonomía en materia de seguridad. Para las organizaciones del sector público, la soberanía digital implica cinco objetivos clave:

• Mantener la continuidad operativa sin depender de proveedores externos
• Conservar la confianza pública mediante la protección de datos
• Reforzar la seguridad nacional evitando accesos no autorizados a los sistemas críticos
• Mantener la capacidad de innovación para las necesidades específicas del sector público
• Lograr el control de costes eliminando la dependencia de un solo proveedor

Estrategia híbrida de soberanía digital: un caso de éxito en el Reino Unido

Una estrategia híbrida es el enfoque más eficaz para proteger la soberanía digital del sector público: consiste en mantener internamente las capacidades críticas de gestión, gobernanza y supervisión de TI, y recurrir a la experiencia externa solo donde aporta valor sin crear dependencia. El camino a seguir requiere una reconsideración estratégica de la arquitectura de TI que priorice la soberanía y adopte la modernización. Trabajando con nuestros clientes del sector gubernamental y educativo, hemos visto que el enfoque más efectivo para la soberanía digital no es la autosuficiencia completa ni la subcontratación total, sino un pensamiento híbrido estratégico que mantiene las capacidades internas centrales a la vez que aprovecha adecuadamente la experiencia externa. Esto implica desarrollar sólidas capacidades internas de gestión, gobernanza y supervisión de TI que nunca deberían subcontratarse, a la vez que se mantienen la arquitectura técnica y la experiencia en integración para evitar la dependencia de un solo proveedor y asegurar la interoperabilidad del sistema.

El Departamento de Trabajo y Pensiones del Reino Unido es un ejemplo claro de éxito, después de haber revertido más de 20 años de subcontratación que lo había dejado con una infraestructura de TI fragmentada. Al implementar el enfoque de plataforma de nube unificada de Nutanix, volvió a gestionar directamente las aplicaciones subcontratadas, logró una escalabilidad parecida a la de la nube a partir de soluciones locales seguras y capacitó al personal mediante capacidades de autoservicio asistidas por IA, a la vez que mantenía un control total sobre su destino digital.

Los casos reales demuestran que las agencias con bases internas sólidas pueden aprovechar de manera efectiva a los partners externos, a la vez que mantienen la continuidad del servicio y se adaptan a las necesidades cambiantes. Por el contrario, la dependencia excesiva de la subcontratación crea vulnerabilidades costosas, que en última instancia pueden socavar la confianza pública y la prestación de servicios.

Cómo las Administraciones Públicas pueden reclamar su soberanía digital

Ahora es el momento de actuar. Las Administraciones Públicas pueden reclamar su soberanía digital siguiendo cuatro pasos:

• Realizar una auditoría de las dependencias actuales de proveedores.
• Identificar aplicaciones críticas en las que el fallo del proveedor comprometería el rendimiento.
• Evaluar las carencias de competencias internas.
• Implementar plataformas de nube híbrida que restauren el control organizativo.

La estrategia a medio plazo debería centrarse en programas intensivos de capacitación y en la externalización selectiva de aplicaciones de alto riesgo, mientras que los objetivos a largo plazo deberían incluir el desarrollo de fábricas de aplicaciones internas y centros de excelencia que posicionen a estas organizaciones como destinos preferidos para el mejor talento de TI.

No podría haber más en juego. La soberanía digital no es una mera cuestión de infraestructura tecnológica; se trata de preservar la capacidad del sector público para servir a los ciudadanos de manera eficaz, proteger datos confidenciales, contribuir a la seguridad nacional e innovar en respuesta a las necesidades específicas de la comunidad.

Esquema Nacional de Seguridad (ENS) en España

El Esquema Nacional de Seguridad (ENS) es el marco español que establece los requisitos mínimos de seguridad para el sector público y para los proveedores tecnológicos que le prestan servicios. El ENS establece los principios básicos y requisitos mínimos que deben cumplir ambos para proteger la confidencialidad, integridad, disponibilidad y trazabilidad de los datos.

Además, el ENS clasifica los sistemas en tres niveles (Bajo, Medio y Alto), según el impacto potencial de un incidente de seguridad, y exige auditorías periódicas externas para los niveles Medio y Alto.

Para las organizaciones que adoptan plataformas multicloud o nubes soberanas, como las basadas en Nutanix, cumplir con el ENS puede ayudar a:

• Alinear las políticas de seguridad con las normas europeas y marcos europeos (NIS2, RGPD, y GAIA-X).
• Favorecer la residencia y control de los datos dentro del territorio español o europeo.
• Reforzar la confianza pública al demostrar el cumplimiento de los estándares del Centro Criptológico Nacional (CCN-CNI).

En este sentido, Nutanix facilita a las instituciones públicas implantar arquitecturas híbridas seguras que cumplen con el ENS y permiten mantener el control total de los datos y la infraestructura soberana.