SecNumCloud: alojamiento de datos empresariales, una norma más estricta en 2026

Una orden de agosto de 2026 ha renovado el marco que deben cumplir los proveedores de alojamiento que tratan datos sensibles. La cualificación sustituye a la promesa comercial. Para un responsable, la pregunta pasa a ser: ¿dónde viven los datos de mi software y quién puede demostrármelo por escrito?

SecNumCloud es la cualificación que otorga la ANSSI para acreditar que un alojamiento de datos empresariales cumple un marco de requisitos. Una orden del 12 de agosto de 2026, publicada en el Diario Oficial francés el 14 de agosto y vigente desde el 17 de agosto (Légifrance), aprueba una nueva versión de ese marco. La conformidad se acredita ahora mediante esta cualificación o una certificación europea reconocida como equivalente.

Qué dice el texto y a quién se dirige

El marco se apoya en el Decreto n.º 2026-272 del 14 de abril de 2026, relativo a los «datos de especial sensibilidad». El artículo 2 de la orden se refiere a «un servicio de computación en la nube prestado por un proveedor privado». En términos claros, el texto se dirige a los proveedores de nube y a los datos sensibles en el sentido del decreto de abril de 2026; no al comercio ordinario. Lo que cambia para ti es el vocabulario de tus clientes: un comprador público, una entidad local, un hospital o un gran grupo que te subcontrate un software empezará a incluir esa palabra en sus licitaciones, y tendrás que responder algo distinto de «nuestros datos están seguros». Este artículo describe el estado del derecho en su fecha de publicación; verifica tu caso con tu asesor.

La pregunta que lo decide todo

Cuando tu software funciona, tres lugares diferentes ven tus datos, y muchos responsables solo conocen uno. El primero es el alojamiento de la propia aplicación, al que se refiere la orden. El segundo es la copia de seguridad, que a menudo va a otro lugar sin que nadie lo haya decidido. El tercero, el más reciente, es el proveedor de inteligencia artificial que participó en la construcción del software o que sigue trabajando dentro de él. Detallamos este tercer punto tras la nota de la CNIL sobre los agentes: quién responde de tus datos cuando trabajan agentes sigue siendo la pregunta peor abordada en los contratos que leemos.

Qué conserva Maestro en tu equipo y qué envía fuera

Nos conviene ser precisos, porque el matiz nos cuesta simplicidad comercial. Tus proyectos, documentos y código permanecen en tu Mac, en una base de datos local, y ningún servidor de Maestro los ve. La copia de seguridad en línea es opcional y va a tu propia cuenta de GitHub, no a nosotros. Tus claves de acceso viven en el Llavero de macOS. En cambio, cuando un agente trabaja, lo que lee y escribe pasa por el proveedor del asistente que has elegido: Claude Code, Codex, Cursor o Mistral Vibe. Ese recorrido existe, es el precio del servicio, y afirmar lo contrario sería mentir. Solo recibimos categorías anónimas de fallos, nunca el contenido de tus proyectos, como detallamos en nuestra página sobre tus datos.

La opción europea, abierta desde el 11 de agosto

El 11 de agosto de 2026, Mistral abrió puntos de acceso regionales en Europa y Estados Unidos, presentándose como «el único laboratorio europeo de IA que ofrece ambas cosas: elección de la región de procesamiento y un nivel de servicio comprometido y respaldado por un SLA» (anuncio de Mistral del 11 de agosto de 2026). El proveedor cita a Amadeus, ASML, Capgemini, la Caisse des Dépôts y CMA CGM entre las empresas participantes en su programa de capacidad, y aspira a un gigavatio de potencia de cálculo para 2030. Para un responsable que debe responder a un comprador público, esta elección de región de procesamiento se puede incluir en un contrato, lo que vale más que una frase tranquilizadora en una página de marketing. Planteamos la cuestión de fondo en septiembre: si hace falta una IA francesa para construir tu software, y la respuesta honesta depende de a quién debas convencer.

Las tres líneas que debes exigir por escrito

Pregunta a cada proveedor antes de firmar: en qué país se alojan los datos de producción, a qué país van las copias de seguridad y qué subcontratistas ven los datos sin cifrar. Esas tres respuestas caben en un párrafo y comprometen a quien las escribe. Si tu actividad está vinculada a la contratación pública o a datos sensibles en el sentido del decreto de abril de 2026, añade una cuarta línea: qué cualificación o certificación acredita el alojamiento y cuándo caduca. Un proveedor que responde «nuestros servidores son seguros» sin indicar país ni certificado ya te ha respondido, y sabes qué hacer con esa respuesta.