Sarah Armstrong-Smith: "Europa regula demasiado lento frente a la velocidad de la tecnología"

Europa se juega su futuro digital en un escenario que evoluciona a gran velocidad, y donde las tensiones geopolíticas se intensifican cada día. La adopción tecnológica y la regulación avanzan con lentitud frente a gigantes como Estados Unidos o China, que no dejan de acelerar, coinciden varios expertos.

Así lo advierte Sarah Armstrong Smith, exjefa de ciberseguridad de Microsoft y reconocida experta en la materia quien, en esta entrevista con Crónica Global, explica los principales retos de la resiliencia digital europea.

Armstrong resalta la urgencia de adaptar la normativa, proteger los derechos digitales y reforzar las capacidades propias del continente, en el marco de su participación en el Talent Arena, organizado dentro del Mobile World Congress (MWC) Barcelona 2026.

En el contexto geopolítico actual, ¿cuál cree que es el mayor desafío de Europa para alcanzar la soberanía digital sin aislarse del ecosistema global?

Creo que esto siempre ha sido un desafío para Europa. La región siempre ha protegido más los derechos humanos que cualquier otra. Esto se ve, por ejemplo, con el GDPR [Reglamento General de Protección de Datos] y la forma en que cuidamos la privacidad. Tenemos una sociedad muy democrática y lo que diferencia a Europa es asegurarse de que eso siempre se cumpla. El problema es que otras regiones, sobre todo aquellas con líderes autoritarios, están cambiando el enfoque de lo que la tecnología puede hacer. Lo hemos visto recientemente con Estados Unidos y Anthropic [la empresa detrás de la IA Claude sufrió este lunes una caída global tras ser vetada por Trump por negarse a eliminar sus límites éticos para fines militares].

¿Cómo se protege la información en conflictos?

Siempre existe la diferencia entre tiempos de paz y tiempos de guerra. Las estrategias en tiempos de paz tienen sentido, pero si ocurre un conflicto activo, la situación cambia. Por ejemplo, en la invasión rusa a Ucrania, el país tuvo que modificar leyes de última hora para poder mover datos a la nube fuera del territorio nacional. Esto muestra que la infraestructura digital depende de la física. Entonces, en una situación normal, tener los datos dentro del país es lo ideal para controlar su ubicación. Pero en un conflicto activo, especialmente con datos gubernamentales, esto se vuelve crítico: sabes dónde están tus datos y cómo se ven afectados.

¿Qué otros factores debemos considerar?

También está la velocidad del cambio tecnológico y regulatorio. En Europa, la regulación suele ser muy lenta y antigua, a veces excesiva. Mientras en EE UU innovan, Europa regula. La regulación es buena, pero tarda demasiado en adaptarse, es lenta. Además, cada país tiene sus propias leyes, aparte de las normas de la Unión Europea. Esto hace que incluso mover datos fuera de una empresa tecnológica estadounidense sea complicado, porque la regulación local puede impedirlo. Por eso necesitamos ser más dinámicos y adaptarnos al escenario actual.

Hablando de regulación, existen marcos como NIS2 o DORA en Europa. Según su experiencia, ¿las organizaciones son realmente resilientes o solo cumplen en el papel?

El problema es doble. Primero, el tiempo que toma implementar una nueva regulación: cuando una organización finalmente cumple, el mundo ya ha cambiado. La regulación siempre va atrasada. Además, hay tanta regulación --UE, países individuales, órdenes ejecutivas, nuevos aranceles-- que se vuelve un desafío logístico enorme. Cumplir no significa estar seguro. Por eso debemos pensar en la geopolítica actual y cómo evolucionará, para poder adaptarnos rápidamente.

Sarah Armstrong Smith GALA ESPÍN Barcelona

Sobre IA, ¿considera que Europa puede liderar en esta tecnología de forma responsable desde la perspectiva de ciberseguridad?

Sí, pero siempre debe haber seguridad. La tecnología en el dominio público avanza más rápido de lo que la regulación puede cubrir. Muchos productos se experimentan primero en laboratorio y después se lanzan. Esto genera riesgos, se pueden usar mal, secuestrar, manipular. En Europa debemos ser dinámicos, no podemos depender de regulaciones antiguas. Debemos actualizar y actuar con mucha rapidez, pero siempre protegiendo los derechos humanos y manteniendo estándares éticos, especialmente en IA.

Entonces, ¿la alternativa es construir capacidades propias?

Exacto. Europa ha empezado a reducir la dependencia de EE UU, por ejemplo en defensa. Los países europeos necesitan sus propias políticas, alianzas y capacidades. Esta es una oportunidad, pero deben actuar más rápido que antes.

Después de más de tres décadas en ciberseguridad, ¿cuál cree que es el riesgo que Europa todavía subestima?

El gran desafío es no pensar lo suficiente en el futuro. Se concentran en el presente, pero la tecnología avanza muy rápido. Lo que creíamos a 3 o 5 años vista ahora ocurre en seis meses. Por ejemplo, la combinación de IA y computación cuántica cambiará todo. Debemos estar preparados y pensar...si dependemos de esta tecnología, ¿podemos prescindir de ella si es necesario? Europa tiene que poder caminar con sus propios pies y estar lista para actuar según la geopolítica, la economía y la sociedad.