21 de octubre de 2026
# La nube soberana de Microsoft, explicada: datos, IA y servicios bajo mayor control
Microsoft ha anunciado nuevas capacidades de su nube soberana, una oferta presentada en 2025. Permiten controlar mejor quién accede a los sistemas, dónde se guardan las claves y qué puede seguir funcionando sin conexión. También amplían las opciones para ejecutar IA con datos y modelos locales.
Douglas Phillips, responsable de ingeniería de las nubes especializadas, soberanas y privadas de Microsoft, ha publicado el [anuncio del 20 de octubre](https://blogs.microsoft.com/blog/2026/10/20/advancing-digital-sovereignty-with-greater-control-and-choice/). Incluye funciones ya disponibles, otras en pruebas y algunas previstas para Ignite, el evento de Microsoft para profesionales y empresas. Hay que distinguirlas para entender qué se puede hacer hoy.
Para mí, el interés de estas capacidades está en poder **elegir el control que necesita cada aplicación**, incluyendo la IA. Trabajo en Microsoft, como muchos ya sabéis.
## Qué necesita controlar cada aplicación
Cuando hablamos de **soberanía digital**, podemos estar hablando de varias cosas: dónde están los datos, quién puede acceder a ellos, quién administra el sistema y cuánto depende de servicios externos. También de si podremos seguir trabajando cuando falle una conexión.
Guardar los datos en Europa no aclara quién puede acceder a ellos ni si la aplicación que los utiliza puede seguir funcionando sin conexión.
Una web de atención al público puede aprovechar la capacidad de la nube para atender muchas consultas. Una aplicación esencial puede necesitar seguir funcionando durante una interrupción de comunicaciones. Y una IA que consulta documentación confidencial puede requerir que los datos permanezcan y el modelo se ejecute en infraestructura controlada por la empresa.
Estas son decisiones sobre cada sistema, lo que el anuncio llama *carga de trabajo* (*workloads*). Una empresa puede necesitar varias configuraciones a la vez.
Microsoft reúne las opciones en **Microsoft Sovereign Cloud**, con tres componentes:
- **Sovereign Public Cloud:** servicios de Azure en la nube pública con controles adicionales sobre datos, accesos y continuidad.
- **Sovereign Private Cloud:** capacidades sobre Azure Local, en infraestructura que el cliente administra y controla, con opciones conectadas y desconectadas.
- **Sovereign Partner Ecosystem:** nubes administradas de forma independiente, software y servicios de socios que añaden especialización local.
*Diagrama original de Microsoft. Son familias de servicios que pueden combinarse dentro de una misma empresa, no fases que haya que recorrer ni grados de soberanía.*
## Más control sobre la nube pública
La nube pública puede seguir siendo adecuada aunque necesitemos más control. El anuncio añade formas de administrarlo, comprobarlo y dejar constancia de las intervenciones.
**Sovereign Control Panel** reunirá esa información en el portal de Azure. Permitirá consultar la situación de los controles, detectar carencias y aplicar cambios. También ayudará a identificar dependencias y evaluar si una aplicación puede trasladarse a otro entorno. Su versión preliminar pública está prevista para Ignite; evaluar esa posibilidad no significa que cualquier aplicación se pueda trasladar automáticamente.
Cuando alguien de soporte necesita intervenir en una aplicación, queremos saber quién puede entrar, en qué condiciones y qué ha hecho.
Microsoft ya dispone de controles como **Just-in-time Access**, que limita el acceso al tiempo necesario, y **Customer Lockbox**, que permite al cliente aprobar determinadas solicitudes de acceso. A ellos se añaden dos capacidades:
- **Data Guardian:** cuando un ingeniero de Microsoft accede a distancia a uno de los sistemas incluidos, personal residente en Europa de una empresa colaboradora de la UE supervisa ese acceso. Es lo que Microsoft llama un "*socio de confianza*": una empresa que participa en la supervisión, no el cliente que utiliza Azure. El anuncio no identifica a esa empresa ni explica cómo se selecciona.
- **Production Touch Ledger:** registra esos accesos y las acciones realizadas, de forma que una alteración del registro deje evidencia.
Ambas se despliegan en la Unión Europea y la EFTA (Asociación Europea de Libre Comercio). Tienen un alcance definido: determinados accesos y sistemas de producción. No equivalen a supervisar cualquier acción de cualquier persona sobre cualquier servicio.
Otro cambio afecta a las **claves de cifrado**, con las que se protege la información. La gestión externa de claves de **Azure Managed HSM** ya tiene disponibilidad general. Un HSM es un dispositivo especializado en proteger esas claves. Ahora se puede mantener la clave raíz en hardware propio o de un tercero de confianza, fuera de la infraestructura de Microsoft, para los servicios compatibles.
Esto añade control físico sobre el hardware de la clave raíz. Hay que diseñar también quién autoriza su uso, cómo se recupera y qué ocurre si deja de estar disponible. La [documentación de claves externas](https://learn.microsoft.com/en-us/azure/key-vault/managed-hsm/external-key-management-overview) explica las responsabilidades del cliente sobre esa infraestructura. El anuncio no convierte ese control técnico en una garantía de inmunidad frente a obligaciones legales.
La protección también puede aplicarse **mientras se procesan los datos**. La computación confidencial utiliza entornos protegidos por hardware y comprueba que cumplen las condiciones previstas antes de confiarles información sensible.
**Azure Confidential Clean Rooms**, en versión preliminar limitada, aplica esa tecnología a la colaboración entre varias organizaciones. Por ejemplo, podría servir para analizar información sensible compartida con un colaborador autorizado, limitando cuánto se expone de los datos originales. Depende del análisis permitido y de cómo se configure; no es acceso libre a todas las bases de datos de los participantes.
## Aplicaciones e IA que puedan funcionar en local
Si una aplicación debe continuar sin Internet, tener el servidor en nuestras instalaciones puede ser insuficiente. Puede necesitar una base de datos, un servicio de identificación o un modelo de IA que se ejecuta fuera.
Aquí Microsoft amplía **Sovereign Private Cloud**, basada en **Azure Local**: infraestructura en un entorno que el cliente administra y controla. Ya existen modalidades conectadas y desconectadas, como explicaba el [anuncio de febrero de 2026](https://blogs.microsoft.com/blog/2026/02/24/microsoft-sovereign-cloud-adds-governance-productivity-and-support-for-large-ai-models-securely-running-even-when-completely-disconnected/). La novedad que entra en versión preliminar pública es la **transición de funcionamiento conectado a desconectado**. Son dos capacidades distintas, y el anuncio no promete que cualquier aplicación pueda hacer ese cambio sin preparación.
Para comprobar si una aplicación puede funcionar desconectada, hay que revisar qué necesita para arrancar, dónde comprueba los permisos y de qué datos dispone durante la interrupción. Instalarla en local no resuelve por sí solo esas dependencias.
Microsoft también anuncia nuevas guías de continuidad y diseños de referencia para planificar esas configuraciones y probarlas antes de necesitarlas. Esto incluye decidir cómo se recupera el servicio después de una interrupción.
La oferta combina capacidades ya disponibles con otras que se incorporan ahora o están previstas para Ignite:
**Datos.** SQL Server ya está disponible de forma general sobre Azure Local para despliegues conectados y desconectados. DocumentDB, para datos organizados como documentos, y Blob Storage, para almacenar archivos y otros objetos, entran en versión preliminar pública.
**Desarrollo.** GitHub Enterprise Local está previsto en disponibilidad general para Ignite. Es GitHub Enterprise Server validado sobre Azure Local: permite mantener localmente los repositorios de código y los archivos del desarrollo. El anuncio también contempla GitHub Copilot con modelos alojados localmente para generar respuestas. No concreta su disponibilidad ni permite concluir que cualquier configuración de Copilot funcionará completamente desconectada.
**IA.** La disponibilidad general de Foundry Local sobre Azure Local está prevista para Ignite, para funcionamiento conectado y desconectado. El catálogo anunciado incluye modelos de Microsoft, socios, pesos abiertos y código abierto. Ejecutar un modelo para que produzca una respuesta se llama *inferencia*; es lo que aquí se podrá hacer localmente, sin que eso signifique entrenar un modelo nuevo.
Además, el anuncio contempla buscar información empresarial local y responder en lenguaje natural con apoyo en ella. Por ejemplo, consultar manuales técnicos e incidencias sin enviar esa información a un modelo externo. Habría que probar si el modelo elegido responde bien a esas consultas y cita la documentación correcta. Tenerlo cerca de los datos no mejora automáticamente sus respuestas.
La **integración con Microsoft 365 Local**, en pruebas para clientes aprobados, amplía esa consulta a servidores locales de SharePoint y Exchange, donde se guardan documentos y correo. Ojo: el anuncio describe esa integración, no toda la suite Microsoft 365 ni el Copilot de Microsoft 365 completo funcionando sin conexión.
También están disponibles de forma general las **máquinas virtuales confidenciales sobre Azure Local**. Protegen los datos durante el procesamiento mediante memoria cifrada y aislamiento por hardware. Las comprobaciones del entorno, llamadas *atestación*, añaden garantías antes de permitir el uso de datos o claves sensibles.
Por último, Microsoft anuncia futura **multitenencia**: separar recursos, permisos y administración de distintos clientes o divisiones, aunque compartan infraestructura física. Puede servir a un proveedor local que atiende a varias empresas. El anuncio no concreta fecha de disponibilidad.
## Qué aportan los partners locales
Una empresa puede necesitar que la nube la administre una organización independiente, con un modelo de propiedad distinto. También puede necesitar especialistas que conozcan los requisitos de su país o sector.
Las **National Partner Clouds** responden al primer caso. El anuncio cita **Bleu, en Francia**, y **Delos Cloud, en Alemania**, como ejemplos de entornos administrados de forma independiente. Que utilicen tecnología Microsoft no significa que tengan el mismo modelo de administración que Azure público. Hay que comprobar quién los opera, qué servicios ofrecen y bajo qué condiciones.
Otros socios añaden software para seguridad, identidad, copias de seguridad, recuperación o migración. Los especializados en soberanía ayudan a traducir los requisitos locales en una configuración concreta. Y los socios de infraestructura amplían las opciones de equipos y despliegue, incluidos los próximos a donde se generan los datos.
Un partner puede ayudar a diseñar el funcionamiento local y probar la recuperación después de una interrupción. El valor dependerá de su capacidad para hacerlo y demostrarlo, además de la tecnología que utilice.
## Qué está disponible y qué sigue en pruebas
La siguiente tabla recoge los estados **según el anuncio del 20 de octubre de 2026**. Disponibilidad general significa que la capacidad se ofrece como producto disponible, dentro de sus condiciones de soporte. Una versión preliminar sigue en pruebas y puede tener límites de acceso o uso.
| Capacidad | Estado anunciado | Condición principal |
| --- | --- | --- |
| Sovereign Control Panel | Preliminar pública prevista para Ignite | Panel de controles y dependencias en Azure. |
| Data Guardian | En despliegue | UE y EFTA; accesos y sistemas incluidos en su alcance. |
| Production Touch Ledger | Despliegue por fases | UE y EFTA; registro de esos accesos y acciones. |
| Claves externas con Azure Managed HSM | Disponibilidad general | Hardware de la clave raíz fuera de Microsoft; servicios compatibles. |
| Azure Confidential Clean Rooms | Preliminar limitada | Colaboración autorizada entre varias organizaciones. |
| Transición de conectado a desconectado | Entra en preliminar pública | Requiere diseñar la continuidad de las aplicaciones. |
| SQL Server sobre Azure Local | Disponibilidad general existente | Despliegues conectados y desconectados. |
| DocumentDB y Blob Storage sobre Azure Local | Entran en preliminar pública | Nuevas opciones locales de datos y almacenamiento. |
| GitHub Enterprise Local | Disponibilidad general prevista para Ignite | GitHub Enterprise Server validado sobre Azure Local. |
| GitHub Copilot con modelos locales | Uso contemplado | Sin estado ni configuración detallados en el anuncio. |
| Foundry Local sobre Azure Local | Disponibilidad general prevista para Ignite | Ejecución conectada y desconectada. |
| Integración con Microsoft 365 Local | Preliminar para clientes aprobados | Consulta de datos en SharePoint y Exchange locales. |
| Máquinas virtuales confidenciales en Azure Local | Disponibilidad general | Protección por hardware durante el procesamiento. |
| Multitenencia de Azure Local | Anunciada para el futuro | Sin fecha de disponibilidad. |
| Guías y diseños de continuidad | Publicación anunciada | Para planificar, implantar y probar la continuidad. |
El anuncio no incluye precios de estas novedades. Para comparar una configuración local con la nube pública, también habría que conocer el coste de los equipos, las licencias y su administración.
## Qué comprobar antes de elegir
"*Si todo está en local, ya tengo el control*". Es una conclusión bastante tentadora. Pero seguimos necesitando equipos, actualizaciones, personas que administren los sistemas y un procedimiento de recuperación. Algunas dependencias pueden reducirse y otras siguen ahí.
La nube pública también ofrece recursos para mantener servicios disponibles, como capacidad distribuida en distintas ubicaciones. El control que necesitamos y la continuidad que conseguimos dependen del diseño concreto. Comprar infraestructura local no demuestra que un servicio vaya a aguantar una interrupción.
Si estáis valorando estas opciones, yo empezaría por elegir una aplicación y responder cuatro preguntas:
1. **Qué debe seguir funcionando y durante cuánto tiempo.** Qué interrupciones podemos aceptar y cuáles impedirían continuar el trabajo.
2. **Qué datos utiliza y quién debe poder acceder.** Incluidos administradores, soporte y colaboradores.
3. **Qué necesita de fuera para funcionar.** Identidad, claves, modelos de IA, actualizaciones y otros servicios.
4. **Cómo vamos a comprobarlo.** Una prueba de pérdida de conectividad, recuperación y revisión de accesos, con responsables y resultados medibles.
Con la IA hay que añadir qué modelo se permite, qué información puede consultar y qué acciones puede ejecutar. Un asistente que busca un manual y un agente que modifica un sistema necesitan permisos y pruebas diferentes.
Fuente: [Microsoft, *Advancing digital sovereignty with greater control and choice*, 20 de octubre de 2026](https://blogs.microsoft.com/blog/2026/10/20/advancing-digital-sovereignty-with-greater-control-and-choice/).
## Bonus
> [!tip]+ En mi web
> - [[14-pesos-abiertos-o-cerrados|Pesos abiertos y cerrados]] - Qué necesitas para ejecutar tu propia copia de un modelo y qué permite hacer su licencia.
> - [[28-copilot-home-code-autopilot|El nuevo Copilot en la empresa]] - El otro lado de la decisión: qué propone Copilot para trabajar con documentos, aplicaciones y agentes en Microsoft 365.
> [!tip]+ Para profundizar en Internet
> - [Azure Local sin conexión a la nube pública](https://learn.microsoft.com/en-us/azure/azure-local/manage/disconnected-operations-overview) · Microsoft Learn - Qué puede funcionar desconectado y qué máquinas, personal y preparación necesita la empresa para hacerlo.
> - [Guardar las claves fuera de Microsoft](https://learn.microsoft.com/en-us/azure/key-vault/managed-hsm/external-key-management-overview) · Microsoft Learn - Explica qué clave conservas fuera de Azure y qué responsabilidades asumes sobre su disponibilidad y recuperación.
> - [Aprobar accesos con Customer Lockbox](https://learn.microsoft.com/en-us/azure/security/fundamentals/customer-lockbox-overview) · Microsoft Learn - Cómo se pide y autoriza el acceso a los datos, qué queda registrado y en qué casos no se solicita esa aprobación.
> - [Proteger los datos mientras se procesan](https://learn.microsoft.com/en-us/azure/confidential-computing/overview) · Microsoft Learn - Para entender qué añade la computación confidencial al cifrado de los archivos y las comunicaciones.
---
Publicado el 21 de octubre de 2026, [LinkedIn](https://www.linkedin.com/pulse/la-nube-soberana-de-microsoft-explicada-datos-ia-y-hurtado-tor%25C3%25A1n-np8ve), [Substack](https://davidhurtado.substack.com/p/la-nube-soberana-de-microsoft-explicada?r=4uyjfg&utm_campaign=post-expanded-share&utm_medium=post%20viewer), [X](https://x.com/dhtoran/status/2112791402102821283?s=20)