De la herramienta a la tutela: la trampa de los sistemas propietarios estadounidenses
Soberanía digital: el coste real de la dependencia
Existen infraestructuras que un día dejan de ser herramientas para convertirse en constricciones.
Decisiones técnicas que, a fuerza de ser renovadas por inercia o por pereza, mutan en dogmas.
Sistemas operativos que ya no sirven a la organización, sino que la capturan.
Microsoft Windows pertenece hoy a esa categoría: ya no un simple sistema operativo, sino un hecho político, económico y cultural.
Propongo un diagnóstico frío, argumentado, clínico, sobre la trayectoria de un sistema convertido mecánicamente en perdedor, y sobre las responsabilidades compartidas que han llevado a Europa (administraciones, empresas, hospitales, industrias estratégicas) a encerrarse en una dependencia estructural.
Propongo, por último, una salida realista, ya parcialmente presente, que muchos aún fingen no ver.
La quiebra de Windows no es, en primer lugar, técnica. Es cultural.
Nace de una relación con el software que prioriza la dominación del mercado sobre la calidad intrínseca, el apilamiento funcional sobre la coherencia arquitectónica, la comunicación sobre el dominio. Microsoft nunca diseñó realmente Windows como un sistema operativo en el sentido fuerte del término, sino como una plataforma de captura. Captura de editores terceros, captura de usuarios finales, captura de organizaciones enteras mediante la compatibilidad descendente y el miedo al cambio. Esta estrategia funcionó durante décadas porque se apoyó en un contexto preciso: la explosión del PC individual, la ausencia de alternativa percibida y una tolerancia general a las aproximaciones técnicas mientras «arranque» y «se abra Outlook».
Pero ese modelo alcanza hoy sus límites físicos y lógicos. Los hechos son ya públicos, documentados, repetidos, hasta el punto de que solo la mala fe permite seguir hablando de incidentes aislados. Windows se ha convertido en un apilamiento de capas históricas nunca realmente purgadas. Ladrillos heredados de los años noventa conviven con componentes modernos, APIs obsoletas siguen expuestas para preservar aplicaciones muertas desde hace tiempo, y cada intento de modernización acaba en un compromiso cojo.
El resultado es un sistema de una complejidad interna extrema, imposible de auditar en serio, imposible de asegurar limpiamente, imposible de dominar sin un ejército de parches, antivirus, EDR, GPO, scripts de PowerShell y consultores certificados.
No es casualidad que el ecosistema Windows genere constantemente su propio mercado de parches: lo necesita para sobrevivir. Las actualizaciones acumulativas desplegadas a marchas forzadas, a veces sin posibilidad real de congelación en entornos críticos, han provocado en repetidas ocasiones interrupciones de servicio masivas. Reinicios en bucle, controladores rotos, impresiones paralizadas durante semanas, incompatibilidades aplicativas descubiertas en producción: la «actualización desastrosa» ya no es la excepción, es un riesgo operativo integrado, aceptado como una fatalidad.
Pocos CIO se atreven aún a admitirlo públicamente, pero muchos organizan ya sus calendarios en torno al miedo al Patch Tuesday.
A esa quiebra cultural se añade una connivencia estructural con los actores malintencionados. Windows se ha convertido en el entorno predilecto del malware industrial, del ransomware organizado, del espionaje masivo oportunista. No porque sea intrínsecamente más «vulnerable» que cualquier otro sistema, sino porque concentra los usos, los privilegios y las ingenuidades. El monocultivo de software es un acelerador de catástrofes, y Microsoft es su arquitecto. Cada falla crítica descubierta en Active Directory, en SMB, en Exchange o en el motor de impresión no es un accidente aislado: es la expresión de un modelo donde la exposición masiva es estructural. La promesa de seguridad «por la nube», martillada durante una década, no ha resuelto nada. Incluso ha agravado ciertos vectores de propagación. Las olas de ransomware que han golpeado a hospitales, administraciones locales y pymes industriales europeas han explotado casi todas las mismas cadenas: compromisión de un puesto Windows, elevación de privilegios vía Active Directory, cifrado lateral automatizado.
La estandarización extrema del entorno Microsoft ha permitido una industrialización del crimen digital a una escala inédita. Simplemente ha desplazado el problema hacia capas aún más opacas.
El concepto de «too big to fail» ha mutado aquí en «too big to succeed». Microsoft es prisionero de su propio tamaño. Cada evolución significativa amenaza a un ecosistema gigantesco de socios, certificaciones y dependencias contractuales. Cada decisión se ralentiza por la necesidad de no disgustar a nadie, salvo al usuario final, dócil variable de ajuste. El sistema se espesa por sedimentación, nunca por refundación. Y un sistema operativo no se sedimenta indefinidamente sin transformarse en un pantano.
Ante este estado de hecho, la responsabilidad de las direcciones de sistemas de información europeas es pesada. Durante años han adoptado Windows y el ecosistema Microsoft no por elección esclarecida, sino por comodidad intelectual y por miedo. Miedo a salirse del marco, miedo a no encontrar competencias, miedo a asumir una decisión política bajo el disfraz de lo técnico. El discurso es siempre el mismo: «es el estándar», «todo el mundo lo hace así», «no podemos asumir ese riesgo».
Ese razonamiento es precisamente el que fabrica los riesgos sistémicos.
Los CIO han aceptado, a menudo sin entenderlas, arquitecturas de una fragilidad extrema. Bosques de Active Directory convertidos en puntos únicos de compromisión. Puestos de usuario sobrecargados de privilegios implícitos. Actualizaciones impuestas, sin control, a veces destructivas. Dependencias de software tan profundas que un simple cambio de versión se convierte en un proyecto de varios millones.
Todo esto es conocido, documentado, vivido a diario por los equipos técnicos sobre el terreno.
Y sin embargo, la negación persiste en las cúpulas directivas.
Esa negación es también ergonómica. La UX de Windows en el entorno profesional es penosa, inestable, incoherente. Impone a los usuarios una gimnasia cognitiva permanente, interrupciones incesantes, comportamientos imprevisibles. Esa penosidad no es anecdótica: tiene un coste humano, un coste económico, un coste organizativo. Y sin embargo rara vez se integra en las decisiones estratégicas, como si la experiencia de usuario de los agentes públicos, de los ingenieros, del personal sanitario fuera secundaria frente a la sacrosanta compatibilidad Office.
Más grave todavía: los CIO han subestimado en gran medida (o minimizado voluntariamente) la dimensión geopolítica de sus decisiones. Adoptar masivamente un sistema operativo, servicios en la nube y herramientas colaborativas sometidas al derecho extraterritorial estadounidense no es una decisión neutra. El Cloud Act, las prácticas de recolección de datos, las órdenes judiciales opacas son realidades documentadas.
Seguir construyendo sistemas de información críticos sobre cimientos jurídicamente extranjeros revela o bien incompetencia o bien una huida de la responsabilidad.
El Digital Markets Act y el Digital Services Act europeos llegan tarde y apenas logran contrarrestar una dependencia ya profundamente arraigada.
El bloqueo técnico se duplica hoy con un estrangulamiento económico asumido. Las subidas de tarifas impuestas por Microsoft en Azure y por Broadcom desde la captación de VMware ya no son una evolución de mercado, sino un abuso de posición convertido en sistémico.
Las rejillas de licencias cambian sin aviso real, las métricas de facturación se redefinen unilateralmente y los contratos plurianuales se transforman en trampas presupuestarias. En muchas organizaciones, los costes explotan entre un 30 y un 300 % sin creación de valor correspondiente, sin ganancia de seguridad medible, a veces incluso con una pérdida de control operativo. La auditoría de cumplimiento ya no es una herramienta de gobernanza, sino una amenaza permanente, utilizada para recordar al cliente cautivo la asimetría de la relación de fuerzas. Broadcom, por ejemplo, ha optado por la brutalidad frontal eliminando toda alternativa a la suscripción y haciendo desaparecer las ofertas intermedias; Microsoft practica la misma extracción de manera más difusa, vinculando indisolublemente sistema operativo, nube, identidad, seguridad y colaboración.
El mensaje es claro: salir cuesta caro, quedarse cuesta todavía más.
Esta lógica de renta, incompatible con toda planificación estratégica seria, convierte a las direcciones de sistemas de información en gestores de dependencia más que en arquitectos de valor.
Es hora de decir las cosas con claridad: persistir en esta vía ya no es un conservadurismo prudente, es un error estratégico. Los incidentes repetidos en las infraestructuras en la nube de Microsoft, y en particular en Azure, deberían acabar de disipar las ilusiones. Caídas globales que afectan a la autenticación, indisponibilidades prolongadas de servicios críticos, rupturas de cadenas CI/CD alojadas: cuando un proveedor es a la vez el sistema operativo, el directorio, la mensajería, la colaboración y la nube, cada fallo adquiere una dimensión sistémica. Externalizar así el corazón del sistema de información equivale a aceptar una pérdida de control estructural.
Una falta hacia los ciudadanos, las empresas, la soberanía europea.
Una falta que la historia recordará con severidad.
La salida existe, sin embargo. No es utópica ni marginal. Se llama software libre, y más concretamente hoy GNU/Linux en su madurez contemporánea. El Linux de 2026 ya no tiene nada que ver con el de los inicios, artesanal y elitista. Es robusto, industrializado, bien equipado. Hace funcionar lo esencial de Internet, la casi totalidad del cálculo de alto rendimiento y una gran parte de las infraestructuras críticas mundiales.
Ha demostrado, con hechos, su capacidad de evolucionar, asegurarse y auditarse.
A diferencia de Windows, GNU/Linux se apoya en una cultura de la transparencia, la responsabilidad y el dominio. El código es legible, modificable, auditable. Las dependencias son explícitas. Las actualizaciones son controlables. Las arquitecturas están pensadas para la separación de privilegios, la resiliencia y la sobriedad. El mito de que Linux estaría reservado a una élite técnica lo mantienen quienes tienen interés en conservar el statu quo. En la realidad, los entornos de escritorio modernos, las suites ofimáticas libres y las herramientas colaborativas abiertas han alcanzado un nivel de madurez ampliamente suficiente para la inmensa mayoría de los usos profesionales.
La pregunta no es, pues, técnica. Es cultural y política. Salir de la dependencia de Microsoft supone una aculturación masiva, asumida, organizada. Formar a los decisores, no solo a los técnicos. Devolver a los CIO una columna vertebral estratégica. Aceptar un período de transición, de cohabitación, de aprendizaje. Invertir en competencias locales en lugar de en licencias extranjeras. Crear valor en Europa, en lugar de exportarlo bajo forma de cánones.
Esta transición va contracorriente del tecno-discurso reinante, de la huida hacia adelante hacia soluciones llave en mano, opacas, pretendidamente mágicas. También obliga a mirar con lucidez a otros actores largo tiempo percibidos como refugios.
Apple, por ejemplo, cultiva todavía una imagen de disidencia elegante, pero alinea ya sin complejos su estrategia con los intereses políticos y comerciales estadounidenses más duros.
Desde la desaparición de Steve Jobs, la cultura de producto ha cedido el paso a una lógica de bloqueo, de sumisión regulatoria oportunista y de comunicación dócil. Las demostraciones públicas de lealtad al poder político estadounidense, incluido el más brutal, deberían bastar para recordar una evidencia: Apple no es una alternativa de soberanía, sino otra forma de dependencia, más pulida, más cara y igual de opaca. Hace falta coraje. Pero es la condición de una potencia digital real. La soberanía no se decreta: se construye con decisiones concretas, a veces incómodas, siempre estructurantes.
No se trata de demonizar a Microsoft por postura ideológica. Se trata de constatar que un actor privado estadounidense, por eficaz que sea por lo demás, no tiene ninguna razón objetiva para alinear sus intereses con los de Europa. Seguir confiándole nuestros sistemas nerviosos es una abdicación suave, educada, contractualizada.
Salir es un acto de madurez.
Europa tiene las competencias, los investigadores, los ingenieros, las comunidades para lograr este giro.
Ya tiene los ladrillos. Lo que falta todavía no es la tecnología, sino la voluntad de ruptura y la lucidez sobre lo que nos negamos a asumir: si no se actúa de inmediato, será un fallo del conjunto de nuestras infraestructuras críticas.