No hacer daño empieza por dónde guarda los datos

En junio de 2025, a un director senior de Microsoft Francia se le preguntó bajo juramento, ante el Senado francés, si podía garantizar que los datos públicos franceses alojados en los centros de datos franceses de Microsoft nunca se entregarían a las autoridades estadounidenses. No pudo. Explicó que Microsoft impugna esas solicitudes cuando puede, y publica las cifras. Pero la garantía no existe.

La transcripción es pública.

Ese fue el día en que murió una suposición cómoda. Muchos habíamos estado operando bajo la presunción esperanzada de que la residencia de los datos era suficiente —que si los servidores estaban en Fráncfort o en París, nuestros beneficiarios estaban cubiertos y nuestras operaciones eran seguras. Microsoft y Google ofrecen ambos alojamiento en la UE y ambos se toman en serio el cumplimiento del RGPD. Esa parte es real.

Nada en contra de los servicios estadounidenses en particular. Yo mismo uso varios y algunos son excelentes. Pero trabajamos en un sector con un primer principio, y ese principio es no hacer daño. En 2026, no hacer daño empieza por dónde guarda los datos.

Dos riesgos, no uno

Cuando hablamos de esto, solemos referirnos a la confidencialidad —quién puede leer nuestras listas de beneficiarios. Eso es real. Pero hay un segundo riesgo que recibe mucha menos atención y golpea más fuerte sobre el terreno: la continuidad.

Los proveedores estadounidenses deben cumplir con la Office of Foreign Assets Control (OFAC), y esta es una preocupación muy real. En agosto de 2026, los líderes de la UE tuvieron que respaldar públicamente a la Corte Penal Internacional tras una nueva ronda de sanciones estadounidenses. Un organismo internacional con mandato propio, expuesto a la pérdida de un servicio por una decisión tomada en otra jurisdicción completamente distinta.

Ahora imagine esa misma lógica aplicada a una oficina de país. Un martes cualquiera, una simple cuenta de correo deja de funcionar porque un equipo de cumplimiento normativo en algún lugar aplicó una norma de la que usted nunca formó parte y que no puede apelar. Hoy esta es una posibilidad más real que antes.

Ese es un riesgo programático, y pertenece a un registro de riesgos junto a las negociaciones de acceso y la cadena de suministro.

Entonces, ¿qué hay realmente en su nube?

Empiece por aquí, antes de cualquier discusión sobre proveedores o migraciones.

Hágase la pregunta con honestidad: ¿qué hay ahí dentro? No lo que la política dice que debería haber. Lo que realmente hay.

En mi experiencia, la respuesta es siempre la misma y siempre peor de lo esperado. Listas de beneficiarios en Excel sobre SharePoint. Notas de caso en documentos de Word sobre OneDrive. Información de protección en hilos de correo electrónico. Datos de registro en una carpeta que alguien creó para una respuesta de 2019 y nunca cerró.

Un sistema de archivos no puede hacer lo que exigen los datos de caso. Los permisos son casi imposibles de gestionar correctamente a escala. Los cambios no quedan registrados de una forma que sobreviva a una auditoría. No hay disciplina de archivado, ni una retención que realmente se ejecute, ni un registro significativo de quién miró qué y cuándo. Para los datos de protección, ese historial de acceso suele ser la parte que hacía defendible la tenencia de esos datos en primer lugar.

Nos salimos con la nuestra durante años porque nadie podía buscar en todo ello a la vez.

Eso acaba de terminar.

Copilot no creó el problema, pero lo hizo visible.

Copilot y Gemini muestran cualquier cosa que la persona que pregunta tenga permiso para ver. No lo que sabía que podía ver. Lo que puede ver.

La mayoría de los tenants de las ONG arrastran una década de permisos descontrolados. Sitios compartidos con «todos en la organización» durante una emergencia. Carpetas heredadas de un proyecto ya cerrado. Archivos técnicamente legibles por trescientas personas y prácticamente enterrados donde nadie los buscaría jamás.

Copilot los desentierra. Un oficial de programa que hace una pregunta razonable puede ahora sacar a la luz un expediente de caso de protección que los permisos siempre permitieron y que nadie esperó que encontrara.

Y la función llegó por nota de versión, no por decisión de contratación. Nadie la eligió. Apareció.

Antes de habilitar cualquier asistente de IA en su tenant, haga una auditoría de permisos. Es barata, se hace en días y no en meses, y es valiosa tanto si activa la IA como si no —porque la exposición ya existe. Copilot solo la iluminó.

El atajo que no funciona

Algunas organizaciones recurren a lo que parece la respuesta segura: la hiperanonimización. Si no podemos proteger los datos, no los guardaremos. Eliminar los identificadores y dormir tranquilos.

Entiendo el instinto. Aun así, está equivocado, por tres razones.

La anonimización se rompe. La reidentificación a partir de atributos combinados está bien documentada y cada año es más fácil. Ubicación, franja de edad, composición del hogar, fecha de la asistencia —junte suficientes identificadores débiles en un caseload pequeño y tiene un nombre. Si su conjunto de datos «anonimizado» se filtra, o Copilot lo saca a la luz, no está a salvo.

Sus donantes no lo aceptarán. Intente explicarle a un donante institucional que no puede identificar a las personas a las que atendió. La rendición de cuentas ante la población afectada, la verificación, la auditoría —todo ello asume que sabe quién recibió qué.

Y destruye la coordinación. Sin identidad no puede deduplicar. No puede desconflictuar con otra agencia que trabaja en el mismo distrito, ni con el ministerio de línea, ni con el clúster. Así que termina con doble registro en un sitio y huecos en otro. Eso no es una victoria para la privacidad. Es un fallo operativo con consecuencias de protección, y quienes lo pagan son las personas a las que no se llegó.

La respuesta no es guardar menos. Es guardarlo bien.

Bases de datos extraordinarias para casos extraordinarios

Este es un problema resuelto, y lo resolvió nuestro propio sector.

Si gestiona consultas médicas, necesita un registro médico electrónico —no una estructura de carpetas. Si gestiona casos de nutrición, existe DHIS2, el estándar de facto en los ministerios de salud. Estas herramientas son de código abierto, probadas sobre el terreno a escala nacional, y se construyeron con la autenticación, la separación de roles, el registro de auditoría y el archivado que realmente exigen los datos de caso.

Mantengo demos funcionales por si prefiere verlas en lugar de leer sobre ellas: dhis2.baena.info y femr.baena.info.

La cuestión no son estas herramientas concretas. La cuestión es que lo construido a medida para un propósito supera a lo genérico, y que nuestro sector ya cuenta con opciones específicas que ignoramos sistemáticamente a favor de una carpeta en SharePoint porque ya estaba ahí.

Dos trampas en el camino de salida

Trampa uno: adaptar un ERP comercial. He visto organizaciones contratar implementaciones de ERP empresariales o invertir en serio en desarrollo con Power Apps. Suerte con eso.

El desajuste es estructural. El software comercial se construye para la economía empresarial, que cuenta y factura ingresos. Las ONG gastan dinero. Toda la lógica corre en sentido contrario —subvenciones, líneas presupuestarias, restricciones de donantes, elegibilidad, reporte contra una propuesta. Cada uno de esos conceptos hay que forzarlo sobre un modelo de datos diseñado para ingresos. Siempre cuesta más trabajo del presupuestado, y el presupuesto era precisamente la razón por la que se eligió esa opción.

Trampa dos: construir desde cero. Ya hemos pasado por esto. Un coste de desarrollo enorme, y después una dependencia —una licencia de Oracle, un framework propietario— que hace imposible cambiar de rumbo a mitad del proyecto. Así que la organización siguió adelante e invirtió aún más dinero, porque detenerse se sentía como admitir que años de trabajo e inversión se habían perdido. El desarrollo externalizado con Power Apps termina en el mismo sitio, solo que con menos margen de maniobra.

Lo que ha cambiado de verdad es el coste de construir. La IA ha abaratado drásticamente la construcción de herramientas a medida. Los procesos de las ONG son más modulares que antes. Y bases de datos de código abierto maduras como PostgreSQL mantienen sus datos interoperables y portables, en lugar de encerrados dentro de la licencia de otro.

Entonces, ¿debería dejar Microsoft y Google?

No. Y lo digo como alguien que autoaloja casi todo.

Para una organización de tamaño medio que lleva una década funcionando con M365 o Workspace, migrar todo el patrimonio no es realista ni un buen uso de su capital político. Correo, documentos, administración financiera, RR. HH. —déjelos donde están. Adopte las opciones de frontera de datos de la UE, documente con honestidad lo que sigue expuesto, y siga adelante.

Pero tampoco lo deje tal cual está. Divida el problema:

• Las herramientas de oficina se quedan. Los datos de caso se mueven. Esa es la línea. Los datos organizativos generales pueden quedarse con su proveedor actual. Los datos de beneficiarios y de caso van a sistemas construidos para ese propósito, sobre una infraestructura que usted controla, en una jurisdicción que eligió deliberadamente.

De ahí se derivan dos cosas, y ambas tienen que ver con la continuidad, no con la confidencialidad.

• Tenga un plan B, y escríbalo. Si el tenant dejara de estar disponible para toda la organización mañana mismo, ¿qué pasaría? ¿Quién tiene una lista de contactos que no esté en Outlook? ¿Qué oficina de país puede seguir autorizando una transferencia de fondos? La mayoría de las organizaciones nunca se ha hecho esa pregunta. Lleva una tarde, no cuesta nada, y es el trabajo de continuidad de negocio más barato que tiene a su disposición.
• Y guarde una copia bajo el colchón. No todo —pero sí el archivo, los registros de inscripción, los ficheros de proyectos ya cerrados. La nube debería ser redundancia, no la única copia.

En marzo de 2026, Nine PBS, la radiotelevisión pública de St. Louis, perdió el acceso a unos 50 terabytes de material que cubrían setenta años de televisión local. Su proveedor de almacenamiento en la nube dejó de responder, y después desapareció. En este caso no se trataba de uno de los grandes proveedores, sino de un pequeño proveedor especializado con el que renovaban anualmente desde 2019. Cincuenta terabytes caben en un NAS comercial por menos de lo que cuesta un portátil. Esa es toda la lección.

Cada organización funciona de forma distinta, pero los principios subyacentes son universales. El mundo está evolucionando y, aunque un Servicio de Nube Humanitaria unificado pueda ser algún día la solución, su desarrollo no exime a nadie de sus obligaciones inmediatas.

Hay un reloj corriendo para el resto

Las subvenciones de Microsoft ya cambiaron una vez. El 1 de julio de 2025 terminaron las subvenciones gratuitas de Business Premium y Office 365 E1 para entidades sin ánimo de lucro, sustituidas por 300 puestos gratuitos de Business Basic y descuentos de hasta el 75 %. Las organizaciones que esperaron hasta su fecha de renovación salieron perjudicadas. La lección no es sobre precios —es que toda su infraestructura operativa descansaba sobre una donación, no sobre un contrato, y las donaciones se modifican unilateralmente. Esta transición no está yendo del todo bien: más de 170 000 entidades sin ánimo de lucro se han visto afectadas, y Slate se ha preguntado si Microsoft es responsable de la pérdida de datos.

Los recientes cambios de licencias de Microsoft retiran el nivel gratuito de Business Premium, obligando a las ONG a pagar por las aplicaciones de escritorio y la seguridad avanzada, o a bajar a un nivel gratuito solo web que dificulta enormemente las operaciones de campo sin conexión. Además, Microsoft aplica ahora estrictamente una regla de uso activo del 85 %, según la cual no mantener una actividad de cuenta constante puede desencadenar la revocación de toda la asignación de licencias donadas a la organización. Cuando esas licencias se rebajan o se revocan, los datos asociados se eliminan de forma permanente en un plazo de 30 a 90 días, lo que hace que una infraestructura de copia de seguridad independiente y autoalojada sea imprescindible para proteger la memoria institucional.

Mientras tanto, la Ley de Datos de la UE elimina por completo los cargos por cambio de proveedor de nube a partir del 12 de enero de 2027. El contrato que firme este trimestre seguirá vigente en esa fecha. Si incorpora condiciones de salida de datos (egress) del viejo mundo, ataduras a varios años y renovaciones automáticas, esa fecha límite llegará y le encontrará todavía atado a la economía que pretendía desmantelar.

Estoy escribiendo una pieza aparte sobre soberanía de la IA para ONG. Ese es un problema más difícil, y la buena noticia es que también es la capa donde todavía tiene margen para moverse. Manténgase atento.

Trabajo con organizaciones humanitarias en sistemas de datos, infraestructura soberana e IA aplicada. Si está leyendo esto y no sabe por dónde empezar, la auditoría de permisos es el primer paso, y puede hacerla usted mismo.