Artículo4 min de lectura
La CLOUD Act: hechos frente a miedo, y qué cambia con Azure External Key Management
Qué permite realmente la CLOUD Act estadounidense, cómo limitar quién puede leer tus datos y por qué las claves custodiadas fuera de Azure llevan el debate de lo jurídico a lo técnico.
La Clarifying Lawful Overseas Use of Data Act de Estados Unidos (EE. UU.), más conocida como CLOUD Act, se presenta a menudo como una puerta trasera por la que Estados Unidos puede leer datos europeos a voluntad. Esa imagen es falsa, y las decisiones basadas en ella suelen ser también erróneas. Así la vemos nosotros, y esto es lo que cambia una nueva capacidad de Azure.
Qué es la CLOUD Act, y qué no es
La CLOUD Act no es una ley de espionaje ni una herramienta de acceso masivo a datos. Es un instrumento procesal penal para la obtención selectiva de pruebas en investigaciones concretas de delitos graves, siempre sobre la base de una orden judicial. Se aplica a los proveedores de servicios establecidos en EE. UU., con independencia de dónde estén físicamente almacenados los datos.
Eso exige una gestión del riesgo serena, no pánico. Europa tiene facultades comparables propias, a través del derecho penal nacional y del Reglamento sobre pruebas electrónicas (e-Evidence) de la Unión Europea (UE). Para la mayoría de las organizaciones, el riesgo de la CLOUD Act es bajo y en gran medida teórico, mientras no haya un contexto penal.
Así que la pregunta relevante no es “¿da miedo la CLOUD Act?”, sino “¿quién tiene acceso técnico y jurídico a mis datos, y cómo lo limito?”.
Cómo limitamos el acceso
Abordamos la CLOUD Act con hechos y mediante la arquitectura, no rechazando la nube por principio. El objetivo es hacer que el riesgo sea medible y gestionable. En la práctica, asesoramos e implementamos:
- Claves de cifrado administradas por el cliente, para que las claves que protegen tus datos sean tuyas y puedas controlarlas y revocarlas.
- Double Key Encryption y Hold Your Own Key para la información más sensible, de modo que los datos no puedan leerse sin tu cooperación.
- Modelos estrictos de identidad y acceso, para que solo las personas y los servicios que necesitan los datos puedan llegar a ellos.
- Clasificación de datos, porque no todos los datos necesitan el mismo grado de soberanía.
El principio: medidas técnicas antes que promesas contractuales.
Qué cambia con External Key Management
Hasta hace poco, la mayoría de estos controles seguían dejando una cosa dentro del proveedor: la raíz de confianza. Incluso con claves administradas por el cliente en un módulo de seguridad de hardware (HSM) dedicado, la propia clave vivía en la infraestructura de Microsoft.
En julio de 2026, Microsoft lanzó External Key Management para Azure Key Vault Managed HSM en versión preliminar pública. Con ello, la clave que protege tus demás claves vive en un HSM que tú posees y operas, en tus propias instalaciones o en un tercero de confianza. Managed HSM ya no custodia esa clave. Reenvía las operaciones criptográficas a tu HSM a través de un proxy que tú ejecutas, y puedes desconectar tu HSM en cualquier momento para detener el descifrado en Azure.
Eso traslada la discusión de la posición jurídica de Microsoft a la incapacidad técnica de Microsoft. Incluso con una orden judicial válida en la mano, un proveedor que nunca custodia la clave no puede extraerla ni descifrar los datos. Para consejos de administración, comités de riesgos y reguladores centrados en la soberanía digital, esa distinción tiene peso.
Una dosis de realidad
- Es una versión preliminar. Tu equipo de cuenta de Microsoft tiene que habilitarla para tu suscripción, y las funciones en versión preliminar no ofrecen garantías de producción.
- Su alcance es limitado. Cubre el envoltorio y desenvoltorio (wrap y unwrap) de claves, para los servicios de Azure que ya admiten claves administradas por el cliente en Managed HSM.
- La disponibilidad es cosa tuya. Si tu HSM o tu proxy no están accesibles, los servicios que dependen de ellos se detienen. No hay un nivel de servicio de Microsoft para la clave externa, y cada operación añade un viaje de ida y vuelta por la red.
- La mayoría de las organizaciones no lo necesita. El propio Microsoft recomienda Managed HSM estándar para la mayoría de los casos. External Key Management es para organizaciones con el requisito estricto de que la raíz de confianza criptográfica esté fuera del proveedor de nube.
Hechos frente a miedo
External Key Management no elimina todos los riesgos jurídicos. Sí refuerza de forma sustancial la posición de las organizaciones que deben demostrar que sus claves más sensibles están bajo su propio control físico y operativo. Una buena gobernanza significa conocer la ley, entender cómo se aplica y diseñar la arquitectura en consecuencia. Si la soberanía de los datos ocupa un lugar alto en tu registro de riesgos, merece la pena evaluarlo, y estaremos encantados de comprobar contigo el caso de negocio.
Descubre lo que ofrecemos en ciberseguridad y cumplimiento normativo y nube privada e híbrida.