Doce palabras que deciden quién cuenta como europeo. Cada entrada indica quién define el término, qué comprueba la definición y, en la columna que nadie más publica, qué no comprueba.
Esta edición no es una traducción de la inglesa. Cada entrada se ha escrito a partir del texto español del instrumento citado, leído en la lengua en la que obliga. Donde el español dice algo distinto de lo que afirma la edición inglesa, se hace constar dentro de la propia entrada.
Cada entrada lleva su calificación. Verificada significa que el documento primario en español se abrió y se leyó en el pasaje que sostiene la afirmación. Informada significa que no se pudo llegar al texto primario en español y la afirmación descansa en una fuente secundaria identificada o en la única versión lingüística publicada. Cuando un término no está definido en ninguna parte, así se dice, porque la ausencia suele ser el asunto.
Soberanía
Definido por: nadie. Ningún instrumento jurídico de la Unión define soberanía, soberanía digital ni soberanía tecnológica en su parte dispositiva.
La palabra aparece dos veces en Derecho vinculante de un modo que conviene conocer. La Decisión (UE) 2022/2481, programa estratégico de la Década Digital convierte en objetivo general vinculante «garantizar la soberanía digital de la Unión de manera abierta» en su artículo 3, apartado 1, letra c). Su artículo 2 define doce términos, entre ellos «unicornio», y la soberanía no figura entre ellos. Los Estados miembros quedan así obligados a perseguir algo que el mismo instrumento renuncia a definir. Verificada.
La otra aparición es una negación. El Instrumento de Contratación Pública Internacional, Reglamento (UE) 2022/1031, en su artículo 2, apartado 1, letra n), define «país» como «todo Estado o territorio aduanero independiente, sin que este término tenga implicaciones en términos de soberanía». Verificada.
Lo que no comprueba: nada. No hay prueba jurídica que se pueda suspender.
El Reglamento de IA y la soberanía
Definido por: no procede. El Reglamento (UE) 2024/1689 contiene 68 definiciones en su artículo 3, desde «sistema de IA» en el punto 1 hasta «proveedor posterior» en el punto 68. La soberanía no es una de ellas, y la palabra «soberanía» no aparece ni una sola vez en el texto español del Reglamento. Verificada.
Figura aquí porque el Reglamento de IA se cita de manera rutinaria como instrumento de soberanía. Es una norma de seguridad de los productos y de gestión del riesgo. Regula lo que un sistema de IA puede hacer y quién responde de ello, no dónde se construyó, quién es el propietario de la empresa ni qué Derecho alcanza a los datos.
Lo que no comprueba: la propiedad, la jurisdicción del proveedor, dónde se entrenó el modelo ni sobre qué hardware se ejecuta.
Nivel de garantía de la Unión
Definido por: el Cloud and AI Development Act, COM(2026) 502, propuesta de 3 de junio de 2026 que todavía no es norma en vigor.
No existe versión española de este documento. La ruta HTML en español de EUR-Lex devuelve un error 404; las rutas PDF y DOC en español devuelven un archivo vacío; y la interfaz en español sirve el texto inglés, con el propio encabezado del documento identificado como EN. El documento del Consejo ST-10104-2026-ADD-1, sobre el que descansa la afirmación relativa al anexo II, tampoco tiene versión española: la ruta española devuelve 404 y la inglesa sí responde. Lo que se ha leído es, por tanto, el texto inglés en ambos casos. Informada.
En ese texto inglés, el artículo 16 establece «a Union cloud computing sovereignty framework consisting of four assurance levels», con los requisitos en el anexo II, y el considerando 51 los describe como «four different levels of trusted offers ("Union assurance levels")». El artículo 30 exige después a los poderes adjudicadores que contraten servicios en la nube adquirir «as a minimum requirement, Union assurance level 1», umbral que sube con la evaluación de riesgos del artículo 29. El detalle nivel por nivel del anexo II sigue sin poderse recuperar de EUR-Lex.
El término del propio instrumento es «Union assurance levels». No hay todavía una versión española oficial de esa expresión, y esta publicación no va a inventar una. El instrumento no los llama niveles de soberanía, y tampoco debería hacerlo quien lo cite.
Lo que comprueba: el establecimiento, la ubicación de la infraestructura, el tratamiento de los datos del cliente y de los metadatos, la auditoría, la nacionalidad y la habilitación del personal y, en el nivel superior, que ningún tercer país ejerza control efectivo sobre el software.
Lo que no comprueba: el hardware. El anexo II lo excluye del marco de soberanía. La consecuencia es aritmética: un parque en la nube puede certificarse en el nivel de soberanía más alto funcionando íntegramente sobre aceleradores importados, porque las pruebas de nivel no llegan al silicio. Informada, por la misma razón: la comprobación se hizo carácter a carácter sobre el encabezamiento del anexo II del documento del Consejo ST-10104-2026-ADD-1, que sólo existe en inglés.
SEAL
Definido por: el propio Cloud Sovereignty Framework v1.2.1 de la Comisión, octubre de 2025. La dirección con sufijo _es responde, pero devuelve el mismo PDF en inglés: no hay versión española. Lo que se ha leído es el documento inglés, seis páginas, en las secciones 2, 3 y 4. Informada.
SEAL es Sovereignty Effectiveness Assurance Level, no «Sovereign European Assurance Level» como suele repetirse. Cinco niveles, de SEAL-0 «No Sovereignty» a SEAL-4 «Full Digital Sovereignty».
Dos cosas se dicen mal casi siempre. Es puntuación de contratación, no certificación: se redactó como anexo técnico de la propia licitación de servicios en la nube de la Comisión, de 180 millones de euros, y se ofrece a terceros como plantilla voluntaria. Y un servicio se puntúa por separado frente a cada uno de los ocho objetivos de soberanía, SOV-1 a SOV-8, con una Sovereignty Score compuesta calculada en paralelo. El marco no emite una nota global única.
Lo que no comprueba: nada, si se usa tal como está escrito. Es el instrumento más completo de esta lista, y el único que mira la cadena de suministro de manera expresa, en su objetivo SOV-5. Pero no obliga a nadie: no es Derecho, y un proveedor que afirme «ser SEAL-3» describe algo que el marco no otorga.
Nube soberana
Definido por: cada proveedor, de manera distinta, en su material comercial. No hay definición jurídica, ni en español ni en ninguna otra lengua de la Unión.
Leyendo las palabras de los propios proveedores, se repite un patrón. Toda definición cubre la ubicación de los datos y la jurisdicción de la entidad operadora. Oracle es el que más lejos llega en materia de propiedad, al afirmar que «the hardware and assets used to provide these cloud regions are owned, operated, and managed by EU legal entities that are separate from the existing global Oracle entities». AWS subraya la operación, «operated exclusively by EU residents», con «zero operational control outside of EU borders». Los niveles de Microsoft sólo ceden el control del hardware y del software en el nivel de nube privada. Declaraciones de proveedores, citadas como tales. Se reproducen en inglés porque en inglés se publicaron y no existe versión española de ninguna de ellas.
Lo que no comprueba: en ningún caso examinado la afirmación se extiende a la cadena de suministro de semiconductores. Cuando un operador europeo ejecuta la pila de un hiperescalador bajo licencia, el plano de control del software sigue siendo del licenciante, y esa es la pregunta abierta a la que vuelve una y otra vez el comentario independiente.
La ilustración más clara transcurrió en una sola semana de julio de 2026. Atos lanzó una nube soberana «designed and engineered in the EU». Cinco días después, Zscaler y Schwarz Digits anunciaron una plataforma de seguridad soberana alojada en centros de datos alemanes y operada por STACKIT, con software estadounidense y propiedad intelectual estadounidense en el plano de control. Ambos usaron la palabra. Uno describía dónde se hizo la ingeniería; el otro, dónde están los servidores mientras software estadounidense se ejecuta sobre ellos.
Empresa nacional
Definido por: el European Chips Act 2.0, COM(2026) 504, propuesta de 3 de junio de 2026 que todavía no es norma en vigor. De este documento sí existe versión española, y es la que se ha leído.
El artículo 2, punto 31, define «empresa nacional». Su letra e) incluye a toda empresa «que sea propiedad y esté bajo el control de una empresa establecida en un signatario del Acuerdo sobre Contratación Pública de la OMC». La pertenencia a un acuerdo comercial confiere, por tanto, condición europea a efectos del instrumento. El considerando 71 lo dice sin rodeos: a las empresas de esos socios «se concede la equivalencia con las empresas nacionales». Verificada. La edición inglesa hizo constar que no había podido reconfirmar este punto concreto en su última pasada; en el texto español sí se ha podido.
La preferencia en contratación del mismo texto es más débil de lo que suele contarse, y el español lo precisa. El artículo 30, apartado 1, dice que los poderes adjudicadores «podrán exigir» una declaración de seguridad del suministro: la exigencia es facultativa para el poder adjudicador. Y el artículo 30, apartado 4, letra d), dice de los requisitos del apartado 3 que «serán accesorios y no determinantes en la adjudicación del contrato». Verificada.
Lo que no comprueba: dónde se fabrica nada. Es una prueba de condición sobre la jurisdicción de origen del proveedor, no sobre el producto.
La regla del 35 %
Definido por: SAFE, Reglamento (UE) 2025/1106 del Consejo, artículo 16, apartado 10: «El coste de los componentes originarios de fuera de la Unión, de Estados AELC del EEE y de Ucrania no será superior al 35 % del coste estimado de los componentes del producto final.» Verificada.
El EDIP, Reglamento (UE) 2025/2643 recoge el mismo techo del 35 % en su considerando 27. El texto español añade algo que la edición inglesa no recogía: el techo no vive sólo en el considerando, sino también en la parte dispositiva, en el artículo 10, apartado 3, para el Programa, y en el artículo 27, apartado 3, para el Instrumento de Apoyo a Ucrania. El perímetro, en cambio, no es el mismo que el de SAFE: EDIP mide frente a «fuera de la Unión o de los países asociados», no frente a los Estados AELC del EEE. Verificada.
Es un techo de coste sobre el contenido no elegible, es decir, de manera equivalente, un suelo del 65 % de contenido europeo por coste.
Lo que no comprueba: qué es un componente. El término no se define en el articulado de ninguno de los dos Reglamentos. El considerando 27 del EDIP sí traza un borde por la negativa, y conviene tenerlo delante: «Las materias primas no se consideran componentes.» Una regla que gira sobre la cuota de coste de los componentes, sin definir el componente y excluyendo únicamente las materias primas, deja la frontera al contrato. Verificada.
Control por un tercer país
Definido por: por su función más que por su nombre, aunque el español es más explícito de lo que sugiere la edición inglesa. El considerando 23 del EDIP exige que los destinatarios sean entidades jurídicas que «estén establecidas y tengan su estructura de dirección ejecutiva en la Unión, en países asociados o en Ucrania» y que no estén «sometidos al control de un tercer país no asociado distinto de Ucrania, ni de una entidad de otro tercer país». Y acto seguido define el término: «debe entenderse por "control" la capacidad para ejercer una influencia decisiva sobre una entidad jurídica, bien directamente, bien indirectamente a través de una o varias entidades jurídicas interpuestas». El artículo 16, apartado 3, de SAFE traslada la misma construcción a la parte dispositiva. Verificada.
De los dos instrumentos vecinos, uno rehúsa el concepto y el otro no, al contrario de lo que la edición inglesa afirmaba de ambos. El Reglamento (UE) 2022/2560, sobre las subvenciones extranjeras, no define el control: su artículo 2 contiene seis definiciones y la palabra «control» no aparece en ninguna de ellas, a diferencia del Reglamento de concentraciones, que lo define a través de la influencia decisiva. Verificada.
El Instrumento de Contratación Pública Internacional, sin embargo, sí tiene un concepto de control, y está en su artículo 3, sobre determinación del origen. Cuando una persona jurídica no realiza operaciones comerciales sustantivas en el país en el que está constituida, su origen pasa a ser el de quien pueda ejercer «una influencia dominante» sobre ella, y esa influencia se presume cuando esa persona posee la mayoría del capital suscrito, controla la mayoría de los votos atribuidos a las acciones emitidas o puede designar a más de la mitad de los miembros del órgano de administración, de dirección o de vigilancia. La edición inglesa decía que este instrumento no tiene concepto de control en absoluto. Sí lo tiene. Verificada.
Lo que no comprueba: quién es el propietario último de la matriz. Una prueba de establecimiento y dirección la satisface una filial constituida en la Unión. La prueba de influencia dominante del artículo 3 del ICI sí mira la propiedad, pero sólo se activa cuando falta actividad comercial sustantiva en el país de constitución, de modo que una filial con operaciones reales queda fuera de su alcance.
Etiqueta Gaia-X
Definido por: el Gaia-X Labels Document 2024. Gaia-X publica este documento sólo en inglés: no hay versión española que leer. Lo que se ha leído es el texto inglés. Informada.
El nivel 3, el más alto, exige que los datos del consumidor se traten y compartan exclusivamente en el Espacio Económico Europeo y que «the headquarters and the main establishments of the service provider are located in the European Economic Area». Esa cláusula se leyó literalmente en el documento. Las otras dos afirmaciones que la edición inglesa cita, que «Labels can only be assigned to a service, and not to a provider» y que Gaia-X no declarará un servicio «Immune» frente a una jurisdicción determinada, no se pudieron localizar en la extracción de texto de esta pasada y se mantienen sin comprobar en fuente. Informada.
Lo que no comprueba: quién es el propietario de la entidad cuya sede acaba de comprobar, la cadena de suministro de hardware ni el plano de control del software. La filial en la Unión de un grupo con sede en Estados Unidos satisface la prueba de la sede.
EUCS, y el requisito que se suprimió
Definido por: nada todavía. El esquema europeo de certificación de servicios en la nube lleva en proyecto desde 2020 y sigue sin adoptarse. Al no haber acto adoptado, no hay texto español que leer, ni de ninguna otra lengua oficial.
El proyecto de mayo de 2023 llevaba, en su nivel más alto, la exigencia de que los contratos se rigieran exclusivamente por el Derecho de un Estado miembro y de que la sede del proveedor y su sede mundial estuvieran en la Unión y no bajo control efectivo no europeo. Un proyecto de marzo de 2024 suprimió el requisito de soberanía y lo remitió a los reguladores nacionales. Las fuentes disponibles hasta abril de 2026 describen el esquema como todavía no adoptado y la cuestión como todavía abierta. Informada, a partir del Instituto de Estudios de Seguridad de la Unión Europea y del comentario jurídico de la época.
Lo que no comprueba: por ahora, nada, porque todavía no existe. Está en esta lista porque el requisito que se retiró es exactamente el requisito que el mercado discute.
Cambio de proveedor
Definido por: el Reglamento de Datos, Reglamento (UE) 2023/2854, cuyo término definido es «cambio», a secas. El artículo 2, punto 34, lo define como el proceso por el que el cliente pasa de un servicio de tratamiento de datos a otro del mismo tipo prestado por un proveedor distinto, «o a una infraestructura de TIC local, incluido mediante la extracción, transformación y carga de datos». El artículo 2, punto 36, define los «costes por cambio» e incluye expresamente en ellos «los costes de salida de datos», definidos a su vez en el punto 35. Verificada. La edición inglesa calificó estas definiciones como Reported porque EUR-Lex se truncó al leerlas; el texto español se leyó completo en su sitio, sin espejo.
El artículo 32 es la verdadera disposición de soberanía del instrumento. Obliga a adoptar «todas las medidas técnicas, organizativas y jurídicas adecuadas, lo que incluye la celebración de contratos», para impedir el acceso y la transferencia internacionales por parte de las administraciones públicas de terceros países a datos no personales que se encuentren en la Unión, cuando esa transferencia o ese acceso entren en conflicto con el Derecho de la Unión o con el Derecho nacional del Estado miembro de que se trate. Verificada.
Hay aquí una divergencia que conviene conocer y que la edición inglesa no podía ver. La versión española del artículo 32, apartado 1, dirige la obligación a «los proveedores de servicios de tratamiento de datos personales», mientras que el objeto protegido en esa misma frase son los «datos no personales». El inglés dice «providers of data processing services», sin el adjetivo. Leída literalmente, la versión española restringe el sujeto obligado de un modo que el inglés no hace, y lo hace en contradicción con su propio objeto y con el título del capítulo VII, que habla de acceso y transferencia internacionales ilícitos de datos no personales. Verificada en el HTML del Diario Oficial.
Lo que no comprueba: si las medidas funcionan. Es una obligación de medios.
Alcance extraterritorial
Definido por: el Derecho de Estados Unidos, que es justamente el asunto. La CLOUD Act alcanza a los proveedores sometidos a jurisdicción estadounidense con independencia de dónde estén los datos. La reautorización de 2024 de la sección 702 de FISA amplió la definición de proveedores cubiertos. Ninguno de los dos textos tiene versión española, porque ninguno es un texto de la Unión.
Ningún instrumento de la Unión comprueba esto directamente, y ninguna sentencia del Tribunal de Justicia ha resuelto de frente el conflicto. Lo más próximo es un dictamen jurídico conjunto del CEPD y del SEPD de 2019, según el cual, a falta de acuerdo internacional, los proveedores sometidos al Derecho de la Unión «cannot legally base the disclosure and transfer of personal data to the US on such requests», y la decisión del Conseil d'État francés en el asunto Health Data Hub de octubre de 2020, que consideró que no cabe descartar por completo que las autoridades estadounidenses buscaran el acceso, y aun así se negó a suspender el acuerdo. Informada: el sitio del SEPD devuelve un código 202 con cuerpo vacío tanto en la ruta inglesa como en la española, de modo que el dictamen no se pudo leer en su fuente en esta pasada, y la decisión del Conseil d'État es francesa y no tiene versión española.
Lo que no comprueba: todo lo anterior. Esta es la brecha alrededor de la cual se ordenan las demás entradas, y el único instrumento de este diccionario que llega hasta ella no es europeo.
Cómo leer este diccionario
Cuatro preguntas separan lo que la palabra está haciendo en cualquier frase dada: quién lo posee, quién lo opera, qué Derecho lo rige y quién fabricó las piezas. La mayoría de los instrumentos europeos comprueba las tres primeras y se detiene antes de la cuarta. Cuando una afirmación suena fuerte, la pregunta útil no es si es cierta. Es a cuál de las cuatro responde.
Las correcciones que vengan acompañadas de una fuente primaria se aplican y se acreditan. Cuando una entrada está calificada como Informada, no se pudo llegar al texto primario en español en ese pasaje, y la entrada debe leerse como provisional.
Esta edición no es una traducción de la inglesa. Cada entrada se escribió desde el texto español del instrumento citado, en el artículo que la entrada invoca. Donde el español dice algo distinto de lo que la edición inglesa afirma, se ha hecho constar en la entrada correspondiente, con el pasaje delante.
Correcciones
17 de agosto de 2026. Cinco entradas de la edición inglesa se corrigieron a partir de esta página, y una de ellas estaba equivocada con la calificación más alta de la publicación. Esta edición ya decía lo correcto en los cinco casos: escribirla desde el texto español, en lugar de traducir la inglesa, fue lo que los sacó a la luz.
- Control de terceros países. La edición inglesa afirmaba que el Instrumento de Contratación Pública Internacional no tiene ningún concepto de control, calificado como Verificada. El artículo 3 del Reglamento (UE) 2022/1031 determina el origen por influencia dominante sobre la propiedad, con tres supuestos de presunción.
- Control de terceros países. La edición inglesa decía que el control se definía por su función y no por su nombre. El EDIP lo define por su nombre, en el artículo 2, punto 8.
- La regla del 35 %. La edición inglesa situaba el techo del EDIP únicamente en el considerando 27. También está en la parte dispositiva.
- La regla del 35 %. La edición inglesa decía que el EDIP lleva «el mismo techo» que SAFE. La cifra es la misma; el perímetro no.
- La regla del 35 %. La edición inglesa no recogía que el considerando 27 excluye las materias primas del concepto de componente.
Un sexto punto, sobre el artículo 32 del Reglamento de Datos, se comunicó pero no se pudo verificar, así que no se ha cambiado nada y no se afirma nada sobre él.