Durante buena parte de la última década, las reglas de residencia de datos eran un problema ajeno. Se preocupaban los bancos. Se preocupaban los hospitales. Se preocupaban las empresas de defensa. Un equipo de dos personas que lanzaba una herramienta de agendamiento desde un portátil elegía una región en un desplegable y seguía adelante.
Ese ya no es el límite. El régimen europeo de cambio de nube se aplica a cualquier proveedor que ofrezca un servicio de procesamiento de datos a clientes de la Unión Europea, y no distingue por el tamaño del proveedor. Un fundador en solitario con usuarios en la UE está en el mismo capítulo del mismo reglamento que un gran proveedor global.
La residencia responde a la geografía, no a la jurisdicción
Lo primero que conviene separar es qué compra realmente la residencia. Elegir una región europea significa que los bytes están en discos de un país concreto. No resuelve quién puede exigir acceso a ellos.
Un análisis publicado por la Cloud Native Computing Foundation plantea el requisito completo como cuatro propiedades: contención jurisdiccional, para que cada componente opere bajo una jurisdicción defendible; autonomía operativa, para que la plataforma pueda reconstruirse o migrarse sin depender de un solo proveedor; control criptográfico y de acceso, para que las claves y credenciales no sean alcanzables desde fuera de la jurisdicción elegida; y portabilidad, para que una carga de trabajo pueda moverse sin reescritura.
Para un equipo pequeño, la consecuencia práctica es que el desplegable de regiones es la parte fácil. La ubicación del plano de control, el almacenamiento de metadatos, el acceso administrativo, el cifrado y la propiedad de las claves deben decidirse de forma explícita, porque cada uno puede reubicar en silencio la jurisdicción efectiva de un sistema cuyos datos son locales solo de nombre.
Las reglas de cambio no eximen a los proveedores pequeños
El Data Act europeo, Reglamento (UE) 2023/2854, entró en vigor el 11 de enero de 2024 y pasó a aplicarse con carácter general el 12 de septiembre de 2025. Sus disposiciones sobre cambio de nube están en el Capítulo VI.
El análisis del despacho Latham & Watkins es directo en el punto que más importa a quien construye en pequeño: no hay exenciones para proveedores de pequeña escala o emergentes en las disposiciones de cambio de servicio. Las excepciones que existen son estrechas y cubren servicios muy personalizados para un cliente concreto y servicios prestados para pruebas. El tamaño no es un criterio.
Conviene contrastarlo con otra parte del mismo reglamento, porque ambas se confunden a menudo. El Capítulo II, que regula el acceso a los datos generados por productos conectados, sí exime a microempresas y pequeñas empresas bajo ciertas condiciones. El Capítulo VI, el régimen de cambio, no lo hace. Un pequeño proveedor de SaaS puede quedar fuera del alcance de un capítulo y plenamente dentro de otro.
El alcance se define por actividad, no por sector. Los servicios de infraestructura, de plataforma y de software encajan, igual que formatos más recientes como la base de datos como servicio. La guía de Greenberg Traurig señala que los despliegues locales y de nube privada quedan fuera, igual que los servicios que exigen una configuración muy individualizada e intensiva en trabajo. El régimen también alcanza a proveedores establecidos fuera de la UE cuando el servicio se ofrece a clientes europeos.
Cómo es una salida conforme en la práctica
Las obligaciones son concretas, y la mayoría son trabajo de producto más que trabajo jurídico.
Un cliente puede activar el cambio con un preaviso de dos meses como máximo. Terminado ese preaviso, la transición debe completarse en 30 días, prorrogables cuando el traslado sea genuinamente complejo. Los proveedores deben eliminar barreras contractuales, técnicas y comerciales a la salida, especificar exactamente qué datos y activos digitales son portables y ofrecer asistencia razonable al cliente y al proveedor receptor.
Dos requisitos suelen sorprender a los equipos pequeños. El primero es la transparencia previa a la venta: los procedimientos de cambio deben publicarse en línea o facilitarse antes de contratar. El segundo es la obligación de mantener un registro en línea y actualizado de estructuras de datos, formatos y especificaciones de interoperabilidad. Los proveedores de infraestructura deben además equivalencia funcional en la migración, mientras que el resto debe exponer interfaces abiertas y gratuitas.
Desde el 12 de enero de 2027, el Artículo 30 exige portabilidad completa en formatos legibles por máquina, como JSON y CSV. Para equipos que ya mantienen un endpoint de exportación limpio, buena parte de esto es documentación. Para equipos cuya exportación es un ticket de soporte y una consulta escrita a mano, es una tarea de hoja de ruta.
El fin de las tarifas llega en enero de 2027
El precio de la salida tiene calendario. Desde el 11 de enero de 2024, las tarifas de cambio se limitan a un traslado de costes sin margen. Las tarifas reducidas no pueden superar los costes directamente vinculados al propio cambio. Desde el 12 de enero de 2027, las tarifas de cambio quedan prohibidas por completo.
Las penalizaciones por rescisión anticipada y los plazos contractuales fijos siguen permitidos, y ese detalle es lo que mantiene viable el precio anual. Pero la lectura de la Comisión sobre la cláusula de rescisión, según describe Greenberg Traurig, apunta a un derecho de hecho a rescindir por conveniencia incluso en contratos de plazo fijo. Las cláusulas contractuales tipo elaboradas al amparo del Artículo 41 siguen en preparación y se describen como favorables al cliente por diseño.
Queda además una cuestión abierta sobre si las reglas afectan solo a contratos firmados después de septiembre de 2025 o también a acuerdos existentes. Los equipos que cierran contratos plurianuales ahora están, en la práctica, poniendo precio a esa ambigüedad.
Las sanciones escalan con la facturación global
La aplicación se fija a nivel de Estado miembro, y los topes son proporcionales a los ingresos, no al tamaño de la empresa. Francia prevé sanciones de hasta el 3% de la facturación global anual, que suben al 5% en caso de reincidencia. Alemania admite hasta el 4% de la facturación global anual o cinco millones de euros, la cifra que sea mayor.
Son máximos, aplicados en un marco que también permite advertencias, amonestaciones y órdenes de cumplimiento, y que exige sanciones efectivas, proporcionadas y disuasorias. El riesgo realista para un proveedor pequeño no es una multa de titular. Es que el área de compras de un cliente corporativo pida el registro de cambio y la cláusula de salida, y la operación se detenga porque no existe ninguno de los dos.
Qué pueden hacer ahora los equipos pequeños
El trabajo se divide con claridad. Compara cada servicio que operas con la definición de servicio de procesamiento de datos, ya que la evaluación es servicio por servicio y no por empresa. Reescribe los contratos con clientes para incluir el preaviso, la ventana de transición y una ruta de salida descrita. Construye y documenta una exportación real, en formatos abiertos, que un competidor pueda consumir de verdad. Publica la información de cambio donde un comprador la encuentre antes de firmar. Después revisa los precios, sobre todo cualquier descuento por plazo fijo que asumiera que el cliente no podría irse barato.
Parte de esto ya resulta familiar a quien ha comparado operar su propia infraestructura con alquilarla, un cálculo que abordamos en nuestro análisis sobre la inflación récord del SaaS que empuja a los desarrolladores a migrar. Los requisitos de portabilidad apuntan en la misma dirección: premian arquitecturas que nunca estuvieron atadas a un solo proveedor.
La soberanía se está convirtiendo en una decisión de producto
La dirección general se ve más allá del Data Act. La Data Use and Access Act de 2025 del Reino Unido se está desplegando a lo largo de 2026 con sus propias reglas de portabilidad. NIS-2 y DORA ya condicionan las decisiones de plataforma en sectores regulados. Lo que el sector llama ahora geopatriación, descrita por Mindcore como devolver los datos a una jurisdicción concreta y mantenerlos allí, ha pasado de ser una preocupación del sector defensa a una línea más en las compras corrientes.
Desde una perspectiva de democratización tecnológica, el cuadro es genuinamente mixto y conviene decirlo con claridad. El trabajo de cumplimiento es un coste fijo, y los costes fijos siempre pesan más sobre los equipos más pequeños, lo que es un argumento real a favor de un trato proporcional. Al mismo tiempo, la portabilidad obligatoria y la salida gratuita son precisamente las condiciones en las que un producto de dos personas puede ganarle un cliente a un incumbente. Nuestra visión es que las reglas que abaratan el cambio tienden a ampliar el acceso en lugar de restringirlo, y que la versión más justa de este régimen es aquella en la que las obligaciones escalan con la capacidad mientras que los derechos de portabilidad no lo hacen.
En cualquier caso, la idea de que las reglas de residencia de datos son problema de otros ha caducado. Para quien construye para usuarios de la UE, dónde viven los datos, quién puede alcanzarlos y con qué rapidez un cliente podría llevárselos son ya decisiones de producto con fechas marcadas.
Este artículo fue asistido por IA y editado para garantizar su precisión.
