La mayoría de las empresas europeas reguladas tratan su plataforma de BI como un problema de analítica, no de cumplimiento normativo. Ese enfoque está resultando cada vez más costoso. Cuando una arquitectura de inteligencia de negocio se apoya en infraestructura compartida gestionada por un hiperescalador, arrastra consigo una serie de exposiciones legales y operativas que los equipos de finanzas, sanidad y energía solo ahora están cartografiando con rigor, a menudo porque un auditor o un regulador forzó la pregunta.

La respuesta corta es sí: el BI en cloud compartido genera riesgos de cumplimiento reales. Pero la naturaleza de ese riesgo depende de qué normativa te aplica, de lo que tu plataforma de BI hace realmente con los datos en tránsito, y de si los contratos con tu proveedor te otorgan los derechos de auditoría y salida que la ley exige hoy.

A continuación encontrarás una valoración objetiva de dónde se sitúa la exposición y qué cambia al optar por una alternativa soberana.

Dónde genera la infraestructura compartida una exposición real

El error más habitual sobre la residencia de datos en plataformas de BI es pensar que se trata exclusivamente de una cuestión de RGPD, y que el RGPD es una ley de residencia de datos. Ninguna de las dos afirmaciones es correcta. El RGPD no prohíbe almacenar datos personales de la UE fuera del EEE; prohíbe transferirlos allí sin una base jurídica adecuada. Cuando tu plataforma de BI ingiere registros de consultas, comportamiento de usuarios o conjuntos de datos operativos y los enruta a través de nodos de procesamiento ubicados en una región de EE. UU., ese enrutamiento constituye una transferencia. Las Cláusulas Contractuales Tipo pueden cubrirla, pero solo si una Evaluación de Impacto de la Transferencia confirma que la legislación del país receptor permitiría realmente que esas CCT se sostuvieran. Dados los estatutos de vigilancia estadounidenses, esa evaluación no es un mero trámite.

El historial de sanciones hace tangibles las consecuencias. La multa de 1.200 millones de euros a Meta por transferencias ilegales UE-EE. UU. sigue siendo la mayor sanción individual del RGPD. TikTok absorbió 530 millones de euros en 2025 por no proteger los datos de usuarios del EEE frente a accesos no autorizados desde China. Las multas acumuladas del RGPD han superado ya los 7.100 millones de euros. Los reguladores no están tratando las infracciones en materia de transferencias como simples errores procedimentales.

El artículo 30 del RGPD añade una obligación de documentación que muchos despliegues de BI incumplen en silencio: toda actividad de tratamiento, incluidas las cargas de trabajo de analítica e inteligencia de negocio, debe figurar en el Registro de Actividades de Tratamiento. Una plataforma de BI en cloud compartido sobre la que no controlas el cómputo subyacente hace que ese registro sea más difícil de elaborar y más difícil de defender.

DORA ha cambiado las reglas del BI financiero en particular

Para las entidades financieras, el marco normativamente más exigente en la actualidad es DORA. Entró en vigor el 17 de enero de 2025 y se aplica a aproximadamente 22.000 entidades financieras en la UE. Su alcance es más amplio de lo que la mayoría de los equipos de cumplimiento asumieron en un principio: DORA cubre explícitamente a las empresas que prestan servicios críticos de información de terceros, incluidos los proveedores de analítica de datos. Tu proveedor de plataforma de BI está en el ámbito de aplicación.

DORA exige que las entidades financieras se aseguren de que los acuerdos contractuales con proveedores de TIC incluyan las ubicaciones de procesamiento de datos, la gestión de subcontratistas clave, los derechos de auditoría y estrategias de salida creíbles. Un contrato de BI SaaS multitenant que carezca de esos términos no es una laguna menor; es una deficiencia notificable.

El 18 de noviembre de 2025, las Autoridades Europeas de Supervisión designaron a 19 proveedores de TIC como críticos bajo DORA, entre ellos AWS, Microsoft Azure y Google Cloud, sometiéndolos por primera vez a supervisión directa de la UE. Esa designación tiene consecuencias para las empresas reguladas porque modifica la carga de diligencia debida: ahora es necesario gestionar activamente esas relaciones como riesgos de TIC de terceros, no tratarlas como servicios básicos de consumo. Según la encuesta Wave 3 de Deloitte, solo el 50% de las entidades financieras esperaba alcanzar el pleno cumplimiento de DORA a finales de 2025, con un 38% que lo aplazaba a 2026. Una encuesta posterior de Deloitte Luxemburgo reveló que apenas el 25% de las entidades confía en su nivel de cumplimiento. El simulacro del Registro de Información de 2024 mostró que solo el 6,5% de las empresas superó los 116 controles de calidad de datos. La brecha de cumplimiento no es teórica.

Los riesgos de seguridad del BI multitenant van más allá del contrato

Al margen de la exposición legal, los riesgos de seguridad del BI multitenant tienen una dimensión técnica que los equipos de BI en sectores regulados deben evaluar directamente. En un entorno de tenencia compartida, los motores de consulta, las capas de caché y los almacenes de metadatos están particionados de forma lógica, no física. Los eventos de mala configuración, las vulnerabilidades de escalada de privilegios y los problemas de rendimiento por vecinos ruidosos en el almacenamiento de E/S son todos más probables que en un despliegue dedicado. Para empresas sanitarias que procesan datos de cohortes de pacientes u operadores energéticos que ejecutan analítica operativa sobre infraestructura de red, el radio de impacto de una exposición entre inquilinos no es aceptable.

NIS2, que se amplió a 18 sectores y resultó aplicable desde octubre de 2024, exige a las entidades esenciales e importantes que evalúen la seguridad de la cadena de suministro de TIC en virtud del artículo 21. Esa evaluación debe incluir la exposición del proveedor a requerimientos de acceso de gobiernos no pertenecientes a la UE. Una organización que no haya evaluado si la exposición de su proveedor de BI en cloud estadounidense a la CLOUD Act constituye un riesgo de cadena de suministro podría incumplir las obligaciones de gestión de riesgos de NIS2, independientemente de que nunca se haya formulado ningún requerimiento real. La obligación es evaluar el riesgo, no esperar a que ocurra un incidente.

Qué cambia realmente con una arquitectura de BI soberana y de inquilino único

Convertir el cumplimiento del RGPD en inteligencia de negocio de un ejercicio contractual a uno arquitectónico requiere tres cosas: datos que no salgan del EEE, cómputo que no se comparta con inquilinos desconocidos, y contratos con proveedores que satisfagan los requisitos de terceros de DORA. Esas tres condiciones son más fáciles de cumplir en infraestructura dedicada bajo jurisdicción europea que en los niveles compartidos de los hiperescaladores.

La arquitectura de red importa más aquí de lo que habitualmente se le reconoce. Cuando los pipelines de BI extraen datos de múltiples sistemas fuente (ERP, CRM, bases de datos operativas distribuidas en varios sitios), la latencia en la ruta de datos afecta a la frescura de las consultas y a la fiabilidad del pipeline. Operamos 44 puntos de presencia en Europa y Oriente Medio, con peering directo a AWS, Azure, GCP, Oracle y Cloudflare en todos los sitios. Ese peering permite a las empresas reguladas mantener sus cargas de trabajo de BI en infraestructura soberana sin sacrificar la conectividad de baja latencia con los sistemas fuente alojados en hiperescaladores de los que ya dependen. La soberanía no exige aislamiento del resto del stack.

Los despliegues de inquilino único también simplifican el registro del artículo 30: sabes exactamente dónde se procesan los datos, quién tiene acceso y cómo es la cadena de subencargados. No es una comodidad administrativa menor; es la base de una postura de cumplimiento defendible cuando un regulador o auditor hace las preguntas pertinentes.

La lista de verificación práctica para responsables de TI

  • Audita el contrato con tu proveedor de BI frente a los requisitos de terceros de DORA: las ubicaciones de procesamiento de datos, la gestión de subcontratistas, los derechos de auditoría y las cláusulas de salida deben ser explícitos.
  • Realiza una Evaluación de Impacto de la Transferencia para cualquier pipeline de BI que enrute datos personales de la UE a través de nodos de procesamiento en EE. UU., aunque sea de forma temporal.
  • Mapea tus cargas de trabajo de BI en los registros del artículo 30 y verifica que el registro refleja la topología de procesamiento real, no la contractual.
  • Evalúa la exposición a la CLOUD Act como un riesgo de cadena de suministro bajo NIS2, documenta la evaluación y mantenla actualizada.
  • Analiza las opciones de inquilino único no solo por el aislamiento que ofrecen, sino también por el rendimiento de red: la infraestructura dedicada con peering denso puede igualar o superar la latencia del cloud compartido en pipelines de BI dentro de la UE.

Las empresas reguladas que han adoptado el BI en cloud compartido como opción por defecto están descubriendo ahora que el coste de cumplimiento de deshacer esos despliegues es mayor que el de haber construido desde el principio sobre infraestructura dedicada y soberana. La pregunta para 2026 no es si actuar, sino con qué rapidez el calendario de auditorías fuerza la decisión.