El 10 de junio de 2025, ante una comisión de investigación del Senado francés, el director de asuntos públicos y jurídicos de Microsoft Francia declara bajo juramento. La pregunta: ¿puede garantizar que los datos de los ciudadanos franceses confiados a Microsoft nunca se entregarán a las autoridades estadounidenses sin el acuerdo de las autoridades francesas? Su respuesta cabe en una frase: «No, no puedo garantizarlo» (traducido del francés). Añade que nunca ha ocurrido, y que si una resolución judicial estadounidense lo exige, Microsoft debe entregar los datos (Usine Digitale, Techniques de l'Ingénieur).
No es una confesión propia de Microsoft. Es la descripción exacta de una ley que todos sus competidores estadounidenses aplican también: el CLOUD Act. Y afecta directamente al archivo que estás a punto de soltar en un conversor PDF.
Lo que dice la ley, en tres frases
La Clarifying Lawful Overseas Use of Data Act fue aprobada por el Congreso de Estados Unidos en 2018, tras años de pulso entre el FBI y Microsoft por unos correos electrónicos almacenados en Irlanda (Techniques de l'Ingénieur, recursos del Departamento de Justicia de EE. UU.). Autoriza a las autoridades estadounidenses a exigir a cualquier proveedor de servicios sujeto a la jurisdicción de Estados Unidos los datos que estén en su «posesión, custodia o control», con independencia de dónde estén almacenados físicamente (IT for Business). El criterio no es la ubicación del servidor, sino la nacionalidad de la empresa que lo controla.
En la práctica: un archivo en un servidor de AWS en París, de Azure en Marsella o de Google Cloud en Saint-Ghislain está al alcance de una petición estadounidense exactamente igual que si estuviera en Virginia. «Servidores en Europa» es un dato de geografía. El CLOUD Act es una cuestión de derecho.
A quién afecta
A toda empresa «sujeta a la jurisdicción de Estados Unidos»: las sociedades estadounidenses y sus filiales, operen donde operen. Eso incluye a los tres hyperscalers (Amazon Web Services, Microsoft Azure, Google Cloud) y, en general, a cualquier editor estadounidense de software o de servicios online.
Para las herramientas PDF, eso da dos círculos:
Los servicios que son estadounidenses. Adobe (Acrobat online) y Foxit son sociedades estadounidenses. Un archivo que sueltas ahí está, durante todo su plazo de conservación, en manos de una entidad a la que la ley apunta directamente.
Los servicios europeos alojados en un proveedor estadounidense. Es el caso más frecuente y el menos visible. iLovePDF (Barcelona) describe en su página de Seguridad una infraestructura apoyada en «alianzas cloud» y un proveedor de almacenamiento al que no nombra. Smallpdf (Suiza) indica que procesa los archivos «en la nube». Si esa nube es uno de los tres hyperscalers, y lo es en la inmensa mayoría de los servicios de ese tamaño, el archivo está en manos de un proveedor sujeto al CLOUD Act, sea cual sea la nacionalidad del servicio que ves en pantalla. Solo PDF24 escribe «servidores ubicados en Alemania», sin precisar tampoco de quién.
Así que la pregunta que hay que hacerle a cualquier servicio no es «¿dónde están vuestros servidores?», sino «¿de quién son?». Ninguno de los cinco grandes conversores la responde en la página donde sueltas tu archivo; nosotros leímos sus páginas una a una.
«Nunca ha ocurrido»
Es la segunda mitad de la respuesta de Microsoft, y es cierta hasta donde la empresa sabe. Tres apuntes:
- Una petición basada en el CLOUD Act puede ir acompañada de una prohibición de informar al cliente. «Nunca ha ocurrido» significa «nunca ha ocurrido que sepamos, o nunca se ha divulgado».
- El riesgo no es estadístico, es estructural: la ley existe, el procedimiento existe, y un archivo que está en un proveedor afectado queda expuesto durante todo el tiempo que permanece ahí.
- El Estado francés ha sacado sus conclusiones: la ley SREN de 2024 obliga a alojar los datos sensibles de la Administración en infraestructuras cualificadas SecNumCloud (la cualificación de seguridad francesa que expide la ANSSI, la agencia nacional de ciberseguridad). La versión 3.2 de ese referencial exige que ni el prestador ni sus filiales estén sometidos, ni por su sede, ni por su accionariado, ni por el derecho que se les aplica, a órdenes de acceso de autoridades extranjeras (donneespersonnelles.fr). El Health Data Hub, alojado en Microsoft Azure desde 2020 y criticado por ello, anunció el 23 de abril de 2026 su traslado a Scaleway, un prestador cualificado (Tech Insider, ActuIA). Cuando el Estado renuncia a un proveedor para sus datos sanitarios, la pregunta merece hacerse también para los tuyos.
La respuesta de los hyperscalers: tres estrategias, un mismo problema
Los proveedores estadounidenses han entendido que «servidores en Europa» ya no basta. Cada uno ha construido una respuesta, y la forma en que la han construido dice mucho de lo que la ley exige de verdad.
AWS: una estructura separada, pero sigue siendo Amazon. El 15 de enero de 2026, AWS abrió la AWS European Sovereign Cloud en Brandeburgo: infraestructura física y lógicamente aislada del resto de AWS, 7.800 millones de euros de inversión, operación reservada a personal residente en la UE, una nueva sociedad matriz y tres filiales de derecho alemán dirigidas por ciudadanos europeos, un director general europeo y un consejo asesor formado exclusivamente por ciudadanos de la UE (About Amazon, aws.eu, Developpez.com). Es un esfuerzo real y costoso. Pero esas entidades siguen siendo propiedad de Amazon, y el CLOUD Act alcanza todo lo que está bajo el «control» de un proveedor estadounidense: la prensa especializada ha señalado que ninguna organización, por compartimentada que esté, puede ofrecer una garantía absoluta mientras la matriz siga sometida al derecho de Estados Unidos (IT for Business). La oferta no tiene la cualificación SecNumCloud.
Google: ceder el control a un tercero europeo. Google eligió otra vía: S3NS, una empresa conjunta de derecho francés creada en 2022, de la que Thales es accionista mayoritario y operador, y que presta los servicios de Google Cloud desde centros de datos franceses. Su oferta PREMI3NS obtuvo la cualificación SecNumCloud 3.2 en diciembre de 2025, la primera combinación de tecnología estadounidense y operación francesa que supera el examen de inmunidad frente a leyes extraterritoriales de la ANSSI (Business Wire, PAC).
Microsoft: la misma vía, aún sin llegar al final. Bleu, sociedad francesa propiedad de Orange y Capgemini, distribuye Azure y Microsoft 365 desde una infraestructura aislada de los sistemas mundiales de Microsoft. Superó los primeros hitos de la cualificación SecNumCloud en 2025 y aspira a la cualificación completa en 2026, que a mediados de año todavía no había obtenido (Usine Digitale, Synapsys). Microsoft ofrece además la EU Data Boundary, un compromiso de procesamiento dentro de la UE que no cambia nada en cuanto a la nacionalidad de la empresa.
Lo que estas tres estrategias tienen en común es más interesante que sus diferencias: para escapar de la ley, la empresa que tiene los datos tiene que dejar de ser estadounidense. Una filial no basta (AWS); hace falta un accionista europeo mayoritario y una operación independiente (S3NS, Bleu). Es exactamente lo que exige el referencial SecNumCloud 3.2, y es lo que los propios hyperscalers han acabado reconociendo al construir estas estructuras. Los críticos hablan de «soberanía de fachada», porque el código y las actualizaciones siguen siendo propiedad del editor estadounidense (Parlons Cloud); los partidarios lo ven como la única forma de tener servicios completos sin exposición jurídica. El debate es legítimo. También queda fuera del alcance de quien usa un conversor PDF.
Porque aquí está el punto que te afecta: ninguno de los grandes conversores PDF online declara usar una de estas ofertas. No nombran a su proveedor de alojamiento en absoluto. Así que no estás ni en S3NS, ni en Bleu, ni en un prestador SecNumCloud; estás, con toda probabilidad, en una región estándar de un hyperscaler estadounidense, la misma que el Estado ha decidido abandonar para sus datos sanitarios.
Qué cambia para un archivo PDF
Un conversor online conserva tu archivo una hora, dos horas, a veces sin plazo definido. Durante esa ventana, el archivo está en claro (el servidor tiene que leerlo para procesarlo) y en manos del proveedor de alojamiento. Si ese proveedor está sujeto al CLOUD Act, tu archivo también lo está, durante esa ventana.
Para un currículum o un folleto, la pregunta no se plantea. Para todo lo que entra en el secreto profesional, un procedimiento judicial, un historial médico, una negociación o datos de terceros de los que eres responsable según el RGPD, se plantea exactamente igual que para el Estado y sus datos sanitarios.
Y hay un punto que los debates sobre soberanía olvidan: el RGPD te convierte en responsable del tratamiento de los datos que contienen los archivos que subes. Las políticas de privacidad de los conversores lo dejan claro. Si un archivo con datos de tus clientes o de tus empleados se entrega a una autoridad extranjera desde los servidores de un encargado que tú has elegido, es tu cadena de encargados la que queda en cuestión.
El único dato fuera de alcance: el que no sale
El CLOUD Act se aplica a los datos en manos de un proveedor. Un dato que nunca se ha transmitido a ningún proveedor no está en manos de nadie más que de ti. Es una exención por construcción, no por contrato.
Ese es el principio de PDFKami: unir, comprimir, dividir y convertir se ejecutan en tu navegador, en tu máquina. El archivo no se sube. No hay nube, ni estadounidense ni europea, porque no hay servidor de procesamiento. El sitio en sí se sirve desde una infraestructura europea, pero ese detalle solo afecta a la página, no a tus archivos: ellos no circulan. Y no es una declaración que haya que creerse sin más: la política de seguridad de la página (CSP) prohíbe técnicamente cualquier conexión saliente, y puedes comprobarlo en 60 segundos.
Lo que este enfoque no cubre: el OCR pesado, la conversión de PDF a Word, la firma cualificada. Para esas operaciones hace falta un servidor, y solo para esas operaciones la pregunta «¿de quién es el servidor?» pasa a ser la primera que hay que hacer. Desde el 2 de agosto de 2026 se suma a las que plantea el AI Act cuando una herramienta «IA» lee tus documentos.