Nube soberana en América Latina: el gasto casi se duplicaría en 2026

El gasto en infraestructura como servicio (IaaS) de nube soberana en América Latina pasará de US$ 278 millones en 2025 a US$ 506 millones en 2026, y llegaría a US$ 946 millones en 2027, según la proyección de Gartner de febrero de 2026. Por cálculo de GAITECX, eso equivale a un alza de 82% en 2026 y de 87% en 2027, aunque la región seguirá siendo cerca del 0,6% de los US$ 80.000 millones que Gartner prevé para el mundo. Para el directorio, la consecuencia es directa: la oferta local se forma ahora, y las condiciones que negocie hoy marcarán sus contratos de los próximos años.

Dónde se está invirtiendo

Quién compra nube soberana

Gartner identifica a los gobiernos como los compradores principales, seguidos por las industrias reguladas y la infraestructura crítica, y atribuye parte del alza a las tensiones geopolíticas. Es un dato global: Gartner no publica un desglose latinoamericano por industria ni por país. Aun así, en la lectura de GAITECX, ese perfil coincide con los sectores que concentran datos sensibles en la región: banca, energía, salud y telecomunicaciones.

Dos cifras de la misma proyección de Gartner cambian la conversación de presupuesto. El impulso a la «geopatriación» trasladaría el 20% de las cargas actuales de proveedores globales a proveedores locales. Y el 80% del gasto soberano vendrá de soluciones nuevas o de sistemas antiguos que todavía no migran. La decisión de soberanía se toma antes de migrar, no después.

Por qué se compra: seguridad antes que migración

El motivo de compra se está desplazando. La encuesta IDC Latin America IT Investment Trends 2026, aplicada a 507 organizaciones y reportada por El Tiempo, ubica la seguridad informática y de nube como la primera iniciativa estratégica de tecnologías de la información (TI), con 37%, seguida por la IA generativa (30,8%). En México, según la misma encuesta recogida por Yahoo Noticias, las plataformas de nube y la modernización de infraestructura bajan posiciones frente a esas dos prioridades.

Son datos de IDC conocidos a través de la prensa, por lo que conviene contrastarlos con el informe completo. La lectura de GAITECX: la nube se justifica cada vez más por cumplimiento y seguridad, y menos por el proyecto de migración en sí.

Dónde aprieta la regulación

Sin un marco regional común, la soberanía deja de ser solo una pregunta sobre dónde está el centro de datos. Pasa a ser una cláusula del contrato, y cada país la redacta a su ritmo.

Brasil. Bajo la Ley General de Protección de Datos (LGPD) y la Resolución CD/ANPD 19/2024, el plazo para incorporar las cláusulas estándar de la Autoridad Nacional de Protección de Datos (ANPD) venció el 23 de agosto de 2025. Desde entonces, si una transferencia internacional se apoya en cláusulas contractuales, solo valen las de la ANPD o cláusulas específicas que la autoridad haya aprobado. Esas cláusulas exigen, entre otras cosas, avisar a los titulares y a la ANPD dentro de 3 días hábiles de detectado un incidente de seguridad.

Chile. La Ley 21.719 se publicó el 13 de diciembre de 2024 y su vigencia legal sigue fijada para el 1 de diciembre de 2026, según Carey Abogados. El 1 de septiembre de 2026, el Gobierno presentó un proyecto para postergarla un año y ampliar el Consejo de la Agencia de 3 a 5 miembros (boletín 18.623-07).

El 5 de noviembre de 2026, la Comisión de Constitución de la Cámara aprobó en general postergar la vigencia hasta el 15 de octubre de 2027. El proyecto sigue en trámite y todavía no es ley. En esa sesión, el subsecretario citó una consulta a 127 organizaciones obligadas en la que el 72% no se consideraba preparada para la fecha original.

El punto sensible para la nube son las transferencias. Con la nueva ley, los datos solo podrán salir a países con nivel adecuado de protección o con garantías como cláusulas tipo o certificaciones, según un análisis de XMS Latam. Una resolución del Ministerio de Economía de 2025 ya advertía que la Agencia podría no alcanzar a regular a tiempo algunos de esos mecanismos.

México. La nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares rige desde el 21 de marzo de 2025. Disolvió el Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI) y traspasó sus funciones a la Secretaría Anticorrupción y Buen Gobierno, que depende del Ejecutivo. La ley eliminó la obligación expresa de informar transferencias en el aviso de privacidad, pero el reglamento la mantiene, y las resoluciones de la autoridad se pueden impugnar por amparo.

La situación por país:

País	Norma y autoridad	Situación a noviembre de 2026	Efecto en la elección de proveedor
Brasil	LGPD y Resolución CD/ANPD 19/2024	Cláusulas estándar obligatorias desde el 23 de agosto de 2025	Si los datos salen del país, el contrato debe incluir las cláusulas estándar y el aviso de incidentes en 3 días hábiles.
Chile	Ley 21.719 y futura Agencia de Protección de Datos	Vigencia legal: 1 de diciembre de 2026. Postergación en trámite.	Incertidumbre sobre fechas y mecanismos de transferencia. Conviene pactar contratos ajustables.
México	Nueva ley federal y Secretaría Anticorrupción y Buen Gobierno	Vigente desde el 21 de marzo de 2025. El INAI se disolvió.	Cambia el interlocutor regulatorio. Revise avisos de privacidad y transferencias según el reglamento.

Qué buscan los compradores

Los comités de tecnología de la región no compran la etiqueta «soberano». Compran evidencia de control. Estas son las capacidades que conviene exigir y las preguntas para cada proveedor, global o local:

Capacidad	Pregunta al proveedor
Ubicación de datos	¿Dónde residen los datos y sus copias de respaldo, y puede garantizarlo por contrato?
Control de llaves	¿Quién administra las llaves de cifrado: su empresa o el proveedor?
Soporte	¿Desde qué países se presta soporte y quién accede a los sistemas?
Requerimientos de autoridades	¿Cómo responde a pedidos de autoridades extranjeras y cómo se lo informa?
Cumplimiento por país	¿El contrato incluye las cláusulas estándar de la ANPD y cómo cumple el aviso de incidentes en 3 días hábiles?
Salida	¿En qué plazo y formato le devuelven los datos si cambia de proveedor?

En la lectura de GAITECX, la objeción habitual será el costo. Combinar un proveedor global con uno local puede bajar el riesgo regulatorio, pero suma integración, operación y equipos que gestionar. También es una lectura de GAITECX que la oferta local, por partir de una base tan pequeña, todavía muestra catálogos y madurez operativa desiguales entre proveedores.

Para llevar el tema al directorio con una propuesta concreta:

Mapee flujos y contratos por país en 60 días. Responsables: el CIO (responsable de tecnología), el DPO (delegado de protección de datos) y el área legal. Confirme las cláusulas de la ANPD en Brasil y no congele el programa chileno: mientras la postergación no sea ley, la fecha legal es el 1 de diciembre de 2026.
Clasifique las cargas por sensibilidad antes de aprobar nuevas migraciones. Responsables: el CIO y el CISO (responsable de seguridad de la información). Defina qué debe quedar en el país o bajo control local.
Cuantifique el costo de una cartera mixta. Responsables: el CFO (responsable de finanzas) y el CIO. Compare el riesgo regulatorio evitado con el costo operativo adicional.

Lo que esto significa para los proveedores

Para fabricantes, integradores y operadores de nube, la ventana comercial está en las cargas que aún no se mueven. Si el 80% del gasto soberano viene de soluciones nuevas o de sistemas no migrados, la venta se gana en la etapa de diseño, no en la de renovación.

Rene Buest, analista de Gartner, sostiene que los grandes proveedores deben atender los requisitos de soberanía de cada país para competir por clientes locales. En América Latina eso implica tres movimientos:

Ofrezca la soberanía como un paquete auditable: ubicación de datos, control de llaves, soporte local y derechos de salida documentados. El comprador necesita pruebas que pueda mostrar a su regulador.
Prepare contratos listos por jurisdicción: cláusulas estándar de la ANPD para Brasil, un régimen ajustable para la transición chilena y una revisión de transferencias alineada con el reglamento mexicano.
Concentre la oferta en gobierno, industrias reguladas e infraestructura crítica, los segmentos que Gartner identifica como compradores principales.

Hay un matiz para el mensaje comercial. Si la seguridad es la primera prioridad de TI en la región según la encuesta de IDC, la soberanía se vende mejor como parte de una propuesta de seguridad y cumplimiento que como un producto de infraestructura aislado. Los proveedores que reduzcan el trabajo legal del cliente tendrán un argumento más fuerte que los que compitan solo por precio.

Señales a seguir

En los próximos 6 a 12 meses, estos indicadores dirán si la tendencia se consolida:

La ley de postergación en Chile: el texto final, la fecha de vigencia que quede y el nombramiento del Consejo de la Agencia.
La regulación chilena de transferencias internacionales: qué mecanismos habilita la Agencia y cuándo.
Las decisiones de la ANPD en Brasil: reconocimiento de cláusulas equivalentes de otros países o declaraciones de adecuación.
Los criterios de la nueva autoridad mexicana sobre transferencias y avisos de privacidad.
El cumplimiento de la proyección de Gartner: si la región se acerca a los US$ 946 millones en 2027 o si el crecimiento se modera.

La visión GAITECX

En GAITECX vemos que la soberanía de datos dejó de ser un debate técnico y pasó a ser una decisión de contrato y de directorio. La ventaja la tendrán las empresas que definan dónde viven sus datos y quién controla las llaves antes de su próxima migración, no después. Por eso este tema forma parte del track de Transformación Digital, donde CIOs, CISOs y responsables legales de la región comparan cómo están eligiendo proveedores.