Usted es un regulador neerlandés de competencia. Mantiene correspondencia, por correo electrónico, con las plataformas estadounidenses que supervisa. Da por sentado que esa correspondencia está protegida — por el RGPD, por el derecho administrativo neerlandés, por el hecho de que esas plataformas mantienen filiales europeas sometidas a la jurisdicción de tribunales europeos. El viernes pasado por la tarde descubrió cuál de esos supuestos era el que, en realidad, sostenía todo el edificio.

La respuesta: ninguno.

El viernes 22 de mayo de 2026, la revista neerlandesa Vrij Nederland publicó que Microsoft había entregado sus correos en respuesta a una citación del Congreso de EE. UU. El destinatario era el House Judiciary Select Subcommittee on the Weaponization of the Federal Government, presidido por Jim Jordan. Las citaciones se habían emitido el julio anterior — a diez empresas tecnológicas, reclamando las comunicaciones internas con gobiernos extranjeros sobre moderación de contenidos. La respuesta de Microsoft, cuando Vrij Nederland la verificó, incluía los nombres sin censurar de funcionarios de la Autoriteit Consument en Markt (ACM) y de la Autoriteit Persoonsgegevens (AP) — los reguladores que aplican la Ley de Servicios Digitales de la UE en los Países Bajos.

Acto seguido, Microsoft ofreció una explicación que debería preocuparle más que la propia divulgación. La CLOUD Act no fue invocada. El cumplimiento fue voluntario.

Esa palabra — voluntario — es la parte de esta historia que casi ningún análisis público ha sabido situar en su sitio. Si la CLOUD Act hubiera obligado a la divulgación, los reguladores afectados tendrían al menos un umbral legal contra el que litigar. El cumplimiento voluntario significa que no hubo ningún umbral. Hubo un cálculo comercial por parte de Microsoft según el cual cooperar con un subcomité del Congreso resultaba preferible a negarse. El cálculo fue racional. Y fue también, en sentido estricto, totalmente ajeno a cualquier límite impuesto por el derecho europeo.

Los nombres están ahora en Washington. El comité que los pidió describe el trabajo que hacen los funcionarios afectados como «censura del discurso estadounidense». La secretaria de Estado neerlandesa de Soberanía Digital, Willemijn Aerdts, convocó al embajador de EE. UU. ese mismo viernes. Los datos ya iban de camino.

Este artículo es la auditoría de la arquitectura que produjo el resultado, el reencuadre que vuelve útil esa auditoría, y la pregunta sobre contratación pública que todo regulador y ministerio europeo debería responder antes de que llegue la próxima citación.

Lo que Microsoft entregó

Los contenidos no eran resúmenes. Eran el material de trabajo en bruto de los reguladores: correos entre funcionarios identificados con nombre y apellido de la ACM y la AP y representantes corporativos de Microsoft, entradas de calendario de reuniones internas, actas de discusiones sobre la implementación de la DSA. El comité recibió los nombres íntegros. Según informa iBestuur, Meta compartió datos similares; las otras ocho empresas citadas no han confirmado públicamente su cumplimiento.

El cometido declarado del comité es investigar si la regulación europea de plataformas en línea constituye una censura contra las empresas estadounidenses. Los funcionarios mencionados en los documentos son los responsables, en la jurisdicción neerlandesa, de aplicar exactamente las normas que el comité investiga. El Subcomité de Weaponization tiene ahora, en sus archivos, los nombres de los funcionarios europeos que aplican unas normas que considera hostiles.

Cybernews informa de que algunos empleados afectados tienen familia en Estados Unidos y ahora temen que se les niegue la entrada. Ese temor no es teórico: la administración Trump ha sancionado a líderes de la sociedad civil europea, incluida la dirección de la ONG alemana HateAid en diciembre de 2025, por lo que consideró regulación hostil del discurso. El camino que va de un nombre en una lista del Subcomité a una prohibición de entrada en la frontera estadounidense es más corto de lo que los reguladores europeos han dado por hecho durante años.

Para el viernes por la tarde, la Staatssecretaris Willemijn Aerdts se lo había dicho cara a cara al embajador de EE. UU., Joe Popolo: «Als ik problemen heb, vecht je die met ons uit of, indien nodig, in Europa, maar niet over de ruggen van ambtenaren heen.» («Si tienes un problema, lo resuelves con nosotros o, si hace falta, en Europa, pero no a costa de los funcionarios.») Aerdts había sido nombrada tres meses antes primera Staatssecretaris para Economía Digital y Soberanía de los Países Bajos, en el Gabinete Jetten del 23 de febrero. El embajador al que convocó había llegado a La Haya incluso más recientemente. La intervención fue sustantiva. Y fue también, en el sentido estricto de la contratación pública, hueca: convocó a un diplomático, no a un proveedor.

La defensa es la divulgación

Microsoft no ha emitido una declaración pública detallada sobre el asunto neerlandés. Las informaciones coincidentes de NL Times, Dutch IT Channel y Cybernews apuntan al encuadre que la empresa ha venido manejando en privado y en la prensa especializada: la divulgación no fue activada por una obligación de la CLOUD Act. El material entregado, según ese relato, era correspondencia entre Microsoft y representantes de autoridades europeas — y esa correspondencia quedaba fuera de las protecciones que los reguladores europeos pudieran haber dado por descontadas.

Ese encuadre se ofreció como exculpación. Leído con atención, dice exactamente lo contrario. Si la CLOUD Act hubiera obligado a la divulgación, los reguladores europeos tendrían al menos un umbral legal contra el que litigar. El encuadre voluntario significa que no había umbral alguno — solo el cálculo comercial de Microsoft según el cual cooperar con el subcomité de Jim Jordan resultaba preferible a rechazarlo. La defensa agrava la situación más que la propia acusación.

El encuadre sirve a Microsoft de una segunda manera: permite a la empresa presentar el incidente como una decisión puntual de juicio en lugar de como una exposición estructural ante la ley estadounidense. También le sirve al gabinete neerlandés, que puede externalizar el problema sobre un proveedor estadounidense en lugar de explicar por qué las comunicaciones de la ACM y la AP estaban en una plataforma alojada en EE. UU., para empezar. La intervención de Aerdts ante el embajador Popolo, aunque sustantiva, no comprometió al gabinete a ningún cambio en su contratación pública. El secretario de Estado adjunto para Asuntos Económicos, Eric van der Burg (VVD), calificó la divulgación de «más que preocupante» — un lenguaje contundente para un secretario de Estado neerlandés, pero más débil que un compromiso.

Lo que ofrecía el encuadre de Microsoft era una absolución. Lo que en realidad se dijo, una vez desbrozado el lenguaje, era: no teníamos obligación alguna de entregar esto. Decidimos hacerlo. Eso no es una defensa en ningún sentido que los funcionarios afectados pudieran reconocer. Es una admisión, vestida de aclaración.

La arquitectura que esto deja al descubierto

El parque de Microsoft 365 de los reguladores europeos es amplio, profundo y apenas está documentado en público.

Una estimación aproximada, a partir de los documentos de contratación pública y de la prensa especializada, sitúa por encima del 70% la proporción de reguladores nacionales europeos cuyas comunicaciones internas principales funcionan sobre Microsoft 365. La Bundesnetzagentur en Alemania, ARCEP en Francia, AGCOM en Italia, la CNIL en Francia, el Bundeskartellamt alemán, la CNMC española — la mayoría operan sobre M365 o tienen una superficie M365 considerable en su funcionamiento diario. La mayoría aplica también, en algún grado, derecho relevante para las plataformas estadounidenses: RGPD, DMA, DSA, Ley de Datos, normas de competencia. La intersección — reguladores de plataformas estadounidenses que usan plataformas estadounidenses para sus propias comunicaciones internas de regulador — es, en esencia, el paisaje regulatorio europeo tal y como está hoy.

La consecuencia arquitectónica es que todos los reguladores de esa intersección comparten la misma exposición de la cadena de suministro cuya definición operativa la ACM y la AP acaban de aprender. Los datos residen sobre una infraestructura operada por una entidad que, ante una citación del Congreso de EE. UU., responderá comercialmente. Esa respuesta comercial apuntará, de manera fiable, hacia la cooperación. El encuadre de Microsoft en el caso neerlandés volvió explícita la lógica comercial: la empresa estaba respondiendo a una citación, no a una orden de la CLOUD Act; la cooperación fue voluntaria. Todos los demás reguladores del mismo parque están en la misma posición arquitectónica. La próxima citación se responderá con la misma lógica.

Hay una exposición de segundo orden de la que apenas se ha hablado. Los funcionarios mencionados en los documentos neerlandeses no eran los únicos que aparecían en aquellos hilos de correo. La correspondencia con Microsoft sobre la implementación de la DSA suele incluir en copia a personal homólogo de otros reguladores europeos — la coordinación entre autoridades nacionales forma parte del modo en que se aplica la DSA. La citación del Subcomité a Microsoft cubría, según su propio enunciado, comunicaciones internas con gobiernos extranjeros sobre moderación de contenidos. Esa fórmula es lo bastante amplia como para alcanzar las cadenas de correspondencia enteras, no solo a los remitentes individuales. La lista real de nombres, leída con atención el alcance de la citación, probablemente se extiende más allá de la ACM y la AP, hacia reguladores europeos adyacentes que aún no han sido afectados públicamente — por ahora.

El patrón bajo el caso

No es la primera vez que un proveedor estadounidense expone a funcionarios europeos ante las autoridades de EE. UU. bajo presión política. Es el tercer caso documentado en trece meses.

En mayo de 2025, Microsoft suspendió la cuenta de correo de Karim Khan, Fiscal Jefe de la Corte Penal Internacional, después de que la administración Trump le impusiera sanciones personales en virtud de la Orden Ejecutiva 14203. En diciembre de 2025, la misma administración sancionó a la dirección de HateAid, una ONG alemana que asiste a víctimas de discurso de odio en línea, con prohibiciones de entrada a EE. UU. En mayo de 2026, Microsoft entregó los nombres de los reguladores neerlandeses.

El caso Khan se sustanció bajo una designación de sanciones: coerción legal. El caso HateAid, bajo la normativa de prohibiciones de entrada: acción administrativa contra personas concretas. El caso neerlandés se sustancia bajo una citación de un subcomité de la Cámara: investigación legislativa. Los instrumentos jurídicos son distintos. El patrón, no. En cada uno de los casos, a un proveedor de servicios con sede en EE. UU. se le pidió, formal o informalmente, actuar contra un europeo que se había vuelto políticamente incómodo en Washington. En cada uno de los casos, el proveedor cumplió.

El caso neerlandés se distingue de los dos primeros en algo importante. El caso Khan llevaba detrás una designación de sanciones; HateAid, una acción administrativa. Ambos dieron a Microsoft una coerción legal a la que apuntar cuando tuvo que explicarse ante los reguladores europeos. El caso neerlandés no tiene esa cobertura. El propio encuadre de Microsoft asume la ausencia: la divulgación no era legalmente exigible, era comercialmente preferible. El tercer caso del patrón es aquel en el que la lógica comercial se dijo en voz alta.

Que se dijera así tiene una consecuencia estratégica que la prensa especializada ha pasado por alto. Los dos primeros casos produjeron un nerviosismo general acerca de la exposición legal estadounidense en M365. El tercer caso ha producido evidencia específica de exposición comercial estadounidense en M365: el mismo proveedor, la misma arquitectura, pueden producir el mismo resultado sin ningún umbral legal de por medio. No hay ningún tribunal en Europa que pueda litigar contra el criterio comercial de Microsoft. Solo queda el contrato de contratación pública, que es el nivel en el que las instituciones europeas sí pueden cambiar la arquitectura.

Por qué la protesta no cambia la arquitectura

El gabinete ha convocado al embajador de EE. UU. Ha habido un intercambio diplomático. Microsoft puede, todavía, emitir una aclaración pública. Nada de eso cambia las condiciones estructurales.

Cuando se asiente el polvo, tres cosas seguirán exactamente como estaban. Microsoft podrá seguir recibiendo requerimientos de órganos legislativos, ejecutivos y judiciales de EE. UU. Microsoft podrá seguir decidiendo voluntariamente cooperar más allá de lo estrictamente exigido. La ACM, la AP y la mayoría de los demás reguladores europeos seguirán operando sus oficinas sobre sistemas de Microsoft, con sus comunicaciones aún sometidas a la misma exposición. El incidente ha generado ruido político. No ha generado cambio arquitectónico.

La respuesta del gabinete neerlandés es, estructuralmente, lo que el encuadre de Microsoft anticipaba. La intervención trató la divulgación como un incidente de relaciones con el proveedor, no como un incidente de contratación pública. Al proveedor se le convocó por la vía diplomática; al contrato de contratación pública no se le convocó en absoluto. Aerdts es una defensora declarada de la soberanía digital. El problema estructural es que su cartera no controla las decisiones de contratación pública del gabinete, y son esas decisiones la palanca que el incidente ha iluminado.

El «más que preocupante» del secretario adjunto es el termómetro de cómo va a terminar esta historia. Un lenguaje contundente señala preocupación. No señala compromiso. Un compromiso real tendría fecha, presupuesto, objetivo y una alternativa concreta. No hay fecha.

La soberanía no es un incidente diplomático

Este es el reencuadre que el incidente vuelve visible para cualquiera que, en un regulador, ministerio u organismo del sector público europeo, tenga responsabilidades operativas.

El caso neerlandés no es el fracaso de una relación diplomática. La relación diplomática está haciendo exactamente lo que hacen las relaciones diplomáticas — expresa preocupación, deja constancia de una protesta, convoca embajadores, redacta notas verbales. El caso neerlandés es el fracaso de una decisión de contratación pública tomada años atrás, cuando la ACM y la AP adoptaron Microsoft 365 sobre los mismos fundamentos institucionales razonables que cualquier otro regulador europeo. La respuesta diplomática del gabinete opera en la capa equivocada. La arquitectura vive en la capa de la contratación pública. Y la respuesta arquitectónica vive ahí también.

Esta es la capa en la que el caso neerlandés afecta a todo lector que trabaje en un organismo del sector público europeo o con él. La pregunta no es ¿qué hará el gabinete? El gabinete hará lo que hacen los gabinetes: convocar, protestar, dejar constancia de su preocupación. La pregunta es si su organización, en la próxima revisión trimestral de contratación pública, tratará la divulgación como un hecho relevante para su propio contrato de M365.

La pregunta de soberanía, bien planteada, no es ¿qué proveedor usamos para el correo? Es: si un subcomité del Congreso de EE. UU. le pidiera hoy a Microsoft nuestras comunicaciones internas, ¿cuál sería el cálculo comercial de Microsoft? La respuesta honesta, a la luz del precedente neerlandés, es: el mismo que tuvo con los Países Bajos. La respuesta arquitectónica a esa pregunta no es un proveedor distinto. Es una arquitectura distinta: comunicaciones regulatorias encauzadas a través de una infraestructura que no tenga un cálculo comercial estadounidense en su cadena de custodia.

Lo que este artículo no es

Quien lea este análisis como una afirmación de que Microsoft actuó ilegalmente ha errado el punto — según el propio encuadre de la empresa, la divulgación no fue ni jurídicamente exigida ni maliciosa, sino un cálculo comercial ante un actor político estadounidense poderoso. El análisis opera una capa más profunda: en la condición estructural de que ese cálculo comercial puede volver a estar sobre la mesa en cualquier momento, mientras la arquitectura subyacente de contratación pública permanezca inalterada. Las predicciones sobre el comportamiento de proveedores individuales en futuros casos no forman parte del objeto de la investigación. Para los lectores en entornos regulados, este análisis no sustituye al asesoramiento jurídico ni al de seguridad de la información.

El próximo nombre de la lista

Los funcionarios cuyos nombres están en un expediente de un subcomité de la House Judiciary siguen en su puesto. La Ley de Servicios Digitales sigue necesitando aplicación. El Subcomité de Weaponization no ha cerrado su investigación. Microsoft no ha retirado los documentos — no existe procedimiento de retirada una vez que un subcomité los tiene.

La próxima solicitud de una autoridad estadounidense a un proveedor estadounidense sobre un regulador europeo se responderá con la misma lógica comercial que respondió a esta. Hasta que la arquitectura cambie, los nombres de los funcionarios neerlandeses no van a ser los últimos que acaben en el expediente de un subcomité de la Cámara. Son el tercer caso, no el último.

La señal que conviene vigilar, dentro de doce meses, es la contratación pública. Si la ACM o la AP anuncian una migración de sus comunicaciones internas fuera de Microsoft, el incidente habrá tenido consecuencias estructurales. Si no, la intervención de Aerdts ante Popolo será la respuesta entera — y el próximo nombre de la lista ya va de camino.

Fuentes

Visión general del tema: Soberanía Digital en Europa Artículos relacionados: Soberanía en los servidores de Microsoft, Soberanía Digital: por qué ahora