Sobre el anuncio del Govern de una nube pública soberana catalana

Simona Levi, Xnet

El anuncio de la licitación de la Generalitat para una nube pública soberana catalana es un signo de que la lucha por una digitalización más democrática empieza a dar frutos. Con la inestimable ayuda, hay que decirlo, del mal ejemplo que Trump, Musk y sus aliados han dado al mundo: han mostrado que lo que desde hace años decimos las defensoras de los derechos digitales no era una fantasía distópica, sino una posibilidad muy real. La dependencia tecnológica de infraestructuras, proveedores, jurisdicciones y decisiones ajenas a los derechos fundamentales puede convertirse de un día para otro en un problema democrático de primer orden.

Por eso esta licitación contiene elementos positivos. Sobre todo, implica un cambio de rumbo: por fin empiezan a introducirse en una gran contratación pública tecnológica criterios que no responden solo a la seguridad técnica sino también a criterios de consolidación del interés general: el software libre, es decir auditable, la portabilidad y la interoperabilidad, todas cosa que implican la independencia tecnológica.

Esto no es menor. Desde la Directiva europea de contratación pública de 2014, la legislación ya permite adjudicar no solo por precio, sino incorporando criterios cualitativos, sociales, medioambientales e innovadores. Sin embargo, en la práctica, estos criterios se han aplicado demasiado poco. Cualquier intento de introducir objetivos de interés general en la contratación tecnológica ha sido a menudo bloqueado por inercias jurídicas ancladas en una visión estrecha de la competencia, como si cualquier exigencia democrática, social o tecnológica que no fuera el precio más bajo fuera sospechosa de distorsionar el mercado. (EUR-Lex)

En este caso hay un avance especialmente relevante para Xnet: el pliego exige que el licitador demuestre “compromiso con el uso de software de código abierto” en la construcción de la plataforma, priorizándolo en componentes clave para favorecer la independencia tecnológica y la portabilidad mediante estándares abiertos y APIs documentadas. También exige detallar qué componentes son de código abierto y cuáles son propietarios, y justificar esta elección en términos de soberanía, funcionalidad e integración con estándares abiertos.

Es cierto: no es una obligación plena de software libre. No exige que todo el código esté publicado, ni que toda la plataforma sea auditable públicamente. Pero es un avance importante. Veremos si este compromiso se toma en serio cuando sepamos quién gana la licitación y cuál es la composición real del sistema: qué partes son libres, cuáles propietarias, qué dependencias subsisten y quién puede auditarlas.

El pliego incorpora garantías valiosas: infraestructura situada en territorio catalán, gestión y control por una entidad sometida a regulación europea, requisitos de soberanía legal, datos en la UE, claves bajo control del cliente, APIs no propietarias, trazabilidad, observabilidad, auditorías y mecanismos de reversibilidad. También exige capacidad de integración mediante APIs o protocolos bien documentados y no propietarios, adheridos a estándares públicos y ampliamente adoptados, para reducir la dependencia de proveedores únicos.

Pero la pregunta democrática esencial es: ¿quién podrá comprobar todo esto?

Por lo que hemos visto en el pliego, las garantías de auditabilidad son fuertes, pero principalmente internas e institucionales. El CTTI, la Agència de Ciberseguretat de Catalunya y los organismos competentes podrán auditar la correcta ejecución del servicio, acceder a documentación y herramientas, exigir asistencia y planes de acción. Esto es necesario, pero no suficiente. No equivale a transparencia pública.

La soberanía no debería ser solo para Govern e instituciones. Pedimos que todas estas garantías de auditabilidad sean públicas y accesibles. Soberanía digital no debe querer decir que ya no queremos que nos vigilen y perfilen las Big Tech para que pasen a hacerlo nuestros gobiernos.

Por último parece que no se ha aprendido una lección que no deberíamos olvidar. Durante el Procés, la Guardia Civil registró la sede de T-Systems, entonces proveedora tecnológica de la Generalitat, en el marco de diligencias judiciales relacionadas con el 1-O. Las informaciones publicadas hablaron de requerimientos judiciales de información y precinto de equipos. Ese precedente muestra una cuestión clave: una infraestructura pública crítica no es soberana si el proveedor puede recibir una orden judicial, administrativa o gubernamental —estatal o extranjera— y la administración afectada no tiene una garantía contractual expresa de notificación inmediata, salvo prohibición legal. En este sentido falta una cláusula esencial que oblique el proveedor a notificar inmediatamente al cliente (el Govern, en este caso) cualquier petición de autoridad pública, salvo prohibición legal expresa.

Sin una cláusula de este tipo, no hay soberanía real ni siquiera para el propio Govern. El pliego menciona riesgos como el Cloud Act y exige evitar accesos de jurisdicciones o matrices fuera de la UE, pero nada más.

En definitiva: esta licitación es una buena noticia porque desplaza el debate. Ya no hablamos solo de precio, escala y mercado; hablamos de derechos, autonomía, control, seguridad, código abierto, portabilidad y soberanía. Es una victoria parcial de años de lucha por una digitalización democrática.

Pero no debemos confundir el rumbo con la llegada. El propio marco del pliego exige un nivel SEAL-3 de la UE, es decir, una soberanía reforzada o resiliencia digital, no la soberanía plena. Es comprensible porque todavía no tenemos el talento digital suficiente para ello.

Por tanto, nuestra posición es clara: celebramos el cambio de rumbo, deseamos que se cumpla realmente y pedimos que se refuerce.