Microsoft EU Data Boundary: qué es y qué implica para tu empresa
Índice.
Muchas organizaciones en España trabajan con Microsoft 365, Azure o Dynamics 365 asumiendo que sus datos están en Europa. Y en gran medida es así. Pero 'en gran medida' no es lo mismo que 'siempre', y esa diferencia importa cuando llega una auditoría de cumplimiento, una revisión de ISO 27001 o una pregunta incómoda del DPO.
El EU Data Boundary es el mecanismo que define exactamente qué datos de los clientes europeos procesa y almacena Microsoft dentro de la Unión Europea y la EFTA, y cuáles pueden salir de esa frontera y bajo qué condiciones.
Entenderlo bien no es un ejercicio académico. Es el punto de partida para saber si tu organización tiene el nivel de protección de datos que cree tener.
Qué es el EU Data Boundary y qué servicios cubre
El EU Data Boundary es un compromiso formal de Microsoft de almacenar y procesar los datos de sus clientes empresariales dentro de los límites geográficos de la Unión Europea y la Asociación Europea de Libre Comercio.
No es una certificación externa ni un requisito regulatorio impuesto desde fuera: es una decisión de producto que Microsoft tomó en 2021 y fue desplegando en tres fases hasta completarla a principios de 2026.
Los servicios incluidos en el compromiso son Microsoft 365, Azure, Dynamics 365 y Power Platform. Para los clientes con tenant registrado en un país de la UE o la EFTA, Microsoft garantiza que los datos de cliente, los datos personales pseudonimizados y los datos de servicios profesionales, incluidos los registros de soporte técnico, se almacenan y procesan dentro de esa frontera geográfica.
España está incluida en el ámbito del EU Data Boundary desde la primera fase. Cualquier organización española con contrato empresarial de Microsoft 365 está, por defecto, dentro del perímetro de este compromiso.
No todo queda dentro de la frontera europea: principales excepciones
El EU Data Boundary cubre mucho, pero no todo. Hay tres categorías de excepciones que aparecen en la documentación oficial de Microsoft y que tienen implicaciones prácticas para muchas organizaciones.
Entender estos casos es importante para evitar una interpretación demasiado simplificada del modelo y valorar correctamente su impacto en términos de cumplimiento, privacidad y gestión del riesgo.
Operaciones de seguridad global
Microsoft puede transferir datos fuera del EU Data Boundary cuando es necesario para detectar, investigar o responder a incidentes de seguridad que afecten a sus sistemas. Esos datos se protegen con cifrado y controles de acceso estrictos, pero la transferencia puede ocurrir. Para la mayoría de organizaciones esto es aceptable, pero en sectores con requisitos muy estrictos de soberanía de datos conviene conocerlo.
Modelos y servicios de IA de terceros integrados en el ecosistema Microsoft
El caso más visible ahora mismo es Claude de Anthropic, que está disponible dentro de Microsoft 365 Copilot pero procesa los datos en infraestructura de Anthropic fuera de Azure. Eso lo pone fuera del EU Data Boundary. No es el único caso: cualquier modelo o servicio externo que Microsoft integre y que no corra sobre infraestructura Azure europea puede estar en la misma situación.
Flex Routing
Una funcionalidad introducida en 2026 para tenants nuevos que permite redirigir llamadas de inferencia de Copilot fuera del EU Data Boundary durante periodos de alta demanda. Está activado por defecto para tenants creados después de marzo de 2026 y requiere una decisión activa del administrador para desactivarlo.
La diferencia entre residencia de datos y soberanía de datos
Este es el matiz que con más frecuencia se pasa por alto en las conversaciones sobre cumplimiento en la nube.
Residencia de datos significa que los datos se almacenan físicamente dentro de una geografía determinada. El EU Data Boundary garantiza esto para los servicios incluidos: los datos de cliente de Microsoft 365 se almacenan en centros de datos europeos.
Soberanía de datos es un concepto más amplio. Implica que la organización tiene control real sobre quién puede acceder a sus datos, bajo qué ley se rigen esos accesos y qué pasa si hay una solicitud de un gobierno tercero. Almacenar datos en Europa no resuelve automáticamente la pregunta de soberanía: un proveedor con sede en Estados Unidos sigue estando sujeto a legislación americana como la CLOUD Act, que puede obligarle a entregar datos aunque estén almacenados fuera de ese país.
Microsoft ha tomado medidas para abordar este problema, incluyendo la creación de un consejo de administración europeo con supervisión exclusiva sobre las operaciones de los centros de datos en Europa. Pero la tensión entre la legislación americana y la soberanía europea de los datos es un terreno que sigue evolucionando y que ningún proveedor cloud puede resolver completamente por su cuenta.
Por qué importa más ahora que hace un año
El EU Data Boundary lleva tres años en despliegue, pero su relevancia práctica ha aumentado en 2026 por tres razones simultáneas.
- Expansión de la IA en el entorno Microsoft. Copilot, los agentes de IA y los modelos externos integrados en M365 han multiplicado los flujos de datos entre aplicaciones, modelos y servicios. Cada nueva integración es una nueva variable en el análisis de dónde viajan los datos de la organización. Lo que era un análisis relativamente estático hace un año ahora requiere revisión continua.
- Entrada en vigor de nuevas obligaciones regulatorias. DORA para el sector financiero, NIS2 para infraestructuras críticas y el EU AI Act para sistemas de IA de alto riesgo han añadido capas de requisitos de documentación, trazabilidad y control que conectan directamente con las preguntas que el EU Data Boundary pretende responder.
- Proliferación de agentes de IA en las organizaciones. Como se documentó durante el programa preview de Microsoft Agent 365, decenas de millones de agentes aparecieron en registros de organizaciones que ni siquiera sabían que los tenían. Cada uno de esos agentes puede estar procesando datos de la organización, potencialmente fuera del EU Data Boundary, sin que nadie lo haya revisado.
Cómo afecta esto a una empresa española
Para una organización española con Microsoft 365, el punto de partida práctico es verificar tres cosas.
- Confirmar que el tenant está registrado en España o en un país de la UE o EFTA. Eso determina si la organización está dentro del alcance del EU Data Boundary. Se puede verificar en el Centro de Administración de Microsoft 365, en la sección de configuración de la organización.
- Revisar qué servicios adicionales o integraciones de terceros están activos en el tenant. Cualquier servicio que no sea nativo de Azure Europa puede estar procesando datos fuera del EU Data Boundary. Esto incluye modelos de IA externos como Claude, conectores a plataformas de terceros y cualquier integración configurada mediante Power Platform o Copilot Studio.
- Verificar la configuración de Flex Routing para tenants creados después de marzo de 2026, y la configuración de modelos de Anthropic en Copilot para todos los tenants. Ambas pueden implicar procesamiento fuera del EU Data Boundary y requieren una decisión activa del administrador, no ocurren por defecto en contra del cumplimiento, pero pueden ocurrir si alguien las activa sin revisarlas.
Para sectores regulados, servicios financieros bajo DORA, sanidad, administración pública o cualquier organización con clientes que exijan contractualmente residencia de datos en la UE, esta revisión no es opcional. Es parte del mantenimiento ordinario del marco de cumplimiento.
Qué ofrece Microsoft más allá del EU Data Boundary
Para organizaciones con requisitos más estrictos que los que cubre el EU Data Boundary estándar, Microsoft ofrece dos opciones adicionales.
- Advanced Data Residency. Permite a las organizaciones restringir el almacenamiento y procesamiento de datos a un país específico dentro de la UE, no solo a la región europea en general. Es relevante para organizaciones con requisitos de in-country processing en mercados como Alemania, Francia o España.
- Microsoft Cloud for Sovereignty. Diseñado para administraciones públicas y organizaciones con requisitos de soberanía muy elevados. Incluye controles adicionales sobre quién puede acceder a la infraestructura, bajo qué jurisdicción opera y cómo se gestionan las solicitudes de acceso de terceros, incluidos gobiernos.
Ninguna de estas opciones elimina completamente la tensión entre la legislación americana aplicable a Microsoft como empresa y los requisitos de soberanía europea, pero ofrecen un nivel de control considerablemente mayor que las configuraciones estándar.
¿Sabes realmente dónde están los datos de tu organización?
El desconocimiento no es negligencia. Es la consecuencia natural de un ecosistema que crece más rápido que la capacidad de cualquier equipo IT para auditarlo. Lo que sí es un riesgo es no saber que ese desconocimiento existe.
En ANCO llevamos más de 45 años ayudando a organizaciones a tomar decisiones tecnológicas con sentido. Sabemos dónde están los puntos ciegos, cuáles son las configuraciones que más frecuentemente generan exposición no intencionada y cómo estructurar una política de datos que resista una auditoría de verdad.
Si tu organización quiere tener esa fotografía clara, podemos ayudarte a construirla. Hablemos.
