El doctor Ernesto Cuadros advierte que la información sensible del Perú —comunicaciones militares, correos del Congreso y del Presidente, historias clínicas— probablemente ya está alojada en Chile. Ante el riesgo de un terremoto de grado 9 en Lima y el aumento de ciberataques, propone una arquitectura digital soberana: datos distribuidos en todo el país, centros de datos propios y una institución autónoma, meritocrática e independiente del poder político. El mundo hace rato ya avanza en esa dirección. Perú, mientras tanto, sigue esperando. Esperemos que el órgano rector de la Transformación Digital del Estado Peruano no haga oídos sordos al reportaje.
Cuando los datos del Perú dejan de ser peruanos: la alerta de soberanía digital que nadie quiere escuchar
El doctor Ernesto Cuadros advierte que la información sensible de todos los ministerios, incluidas las Fuerzas Armadas y el Congreso, probablemente ya está alojada en Chile. «No sabemos dónde están nuestros datos», denuncia.
(americasistemas.pe. Lima, Perú – 30 de setiembre 2026) Lima está sentada sobre una falla geológica. Los geólogos lo repiten desde hace años: un terremoto de magnitud 9 es cuestión de tiempo. Pero al doctor Ernesto Cuadros no le preocupa solo lo que se caerá con el sismo. Le preocupa que, en muchas instituciones del Estado, alquilen servicios de nube que no sabemos con exactitud dónde están alojados. Esto significa que el Perú no necesariamente tiene soberanía de datos sobre las historias clínicas de millones de peruanos, las notas de 8,5 millones de escolares, las comunicaciones de las Fuerzas Armadas y el correo electrónico de la Presidente de la República.
«Los centros de datos más cercanos que tenemos a nivel internacional están en Chile», dice Cuadros, doctor en Ciencia de la Computación, con 16 años como decano de facultades de computación en Arequipa y Lima, 19 años en directorios de asesoría mundial del IEEE y distinguido como Distinguished Speaker de la ACM y de IEEE Computer Society a nivel global. «Eso significa que cualquier servicio de nube muy probablemente va a estar totalmente alojado en Chile. También significa que los servicios de correo electrónico de Outlook y/o GMail de las Fuerzas Armadas, del Comando Conjunto, de todo el Congreso de la República, del Presidente están físicamente fuera de nuestro territorio.»
Hace una pausa. Luego remata: «Toda esa información, con muy alta probabilidad, está alojada en territorio chileno. Y por más que esté segura, nosotros tenemos la decisión de que esté ahí o que no. Pero puede ser que ni siquiera nos hayamos enterado de dónde está.»
La gran pregunta es: ¿Por qué Perú aún no se da cuenta de este problema?
Cada institución trata de inventar su propio stick de herramientas aumentando el riesgo.
No es una hipótesis. En noviembre de 2025, la Superintendencia Nacional de Fiscalización Laboral (SUNAFIL) sufrió un ataque informático que obligó a suspender todos sus servicios en línea durante 24 horas. Ese mismo mes, se reveló que el Ministerio de Transportes y Comunicaciones habría perdido más de 65,000 documentos críticos, incluyendo expedientes sancionadores contra empresas de transporte y investigaciones administrativas contra exfuncionarios. La Plataforma Nacional de Datos Abiertos también fue vulnerada.
Y el Centro Nacional de Seguridad Digital (CNSD) de la PCM ha documentado algo más inquietante: un malware llamado RegPhantom, un rootkit de nivel kernel asociado a actores vinculados a China, capaz de operar con los máximos privilegios del sistema y evadir herramientas de seguridad tradicionales. La evaluación del CNSD clasifica su impacto potencial en entidades públicas como CRÍTICO.
«Alguien podría decir que la información está segura», añade Cuadros. «Pero no tienen por qué estar flotando afuera. Nosotros deberíamos tener la decisión.»
El diagnóstico: siete pilares, siete fallas
Cuadros ha estructurado su propuesta en torno a lo que llama «nueve pilares fundamentales» que sostienen el plan estratégico digital de países como China, Corea, Estados Unidos o Estonia, el país más digital del mundo. Perú, sostiene, falla en casi todos.
El acelerador. «No se trata de avanzar, sino de acelerar», dice. Corea, recuerda, tenía menos de la mitad del PBI peruano después de la Segunda Guerra Mundial. «Ellos apostaron por aceleradores y nosotros seguimos exportando piedritas.»
La transversalidad. El correo electrónico, los celulares, las hojas de cálculo, los protocolos de red: todas son tecnologías que sirven a cualquier sector, no a uno específico. «Necesitamos entender eso en el Perú», insiste.
La modularidad, todas las piezas deben funcionar como un gran rompecabezas donde cualquiera de ellas podría ser intercambiada sin generar grandes problemas en todo el pais.
La escalabilidad. Perú no es China con 1,400 millones de habitantes, pero tampoco es un país diminuto. «Tenemos 33 millones de habitantes, más de 40 millones de celulares, 15,500 centros hospitalarios, 8.5 millones de escolares y 400,000 docentes.» Cualquier propuesta digital debe poder procesar «algunos millones de datos por segundo» en todos los sectores.
La distribución. Aquí está, quizás, la falla más grave. «Yo no pongo todos los huevos en la misma canasta. Porque si ocurre un accidente, me quedo totalmente mal parado.» Pero el Perú ha hecho exactamente lo contrario: el Ministerio de Educación tiene su centro de datos en Lima. El de Transportes y Comunicaciones, también. Los de Economía y Salud también. «Lima está frente a una falla geológica. Estamos esperando un terremoto de grado 9. El día que algo se desconecte o se caiga, podríamos dejar sin servicios de salud, sin educación, sin defensa civil a todo el país.»
La soberanía de datos. «El Perú tiene el derecho y la obligación de decidir soberanamente dónde van a estar depositados los datos de todo nuestro país», sentencia. Pero cuando una institución contrata servicios de nube, «no sabemos si los van a poner en Brasil, en México o en Australia». Y como no tenemos centros de datos de esa magnitud en territorio propio, la decisión no es nuestra. «Los datos de las historias clínicas de cualquier ciudadano no tienen por qué estar flotando fuera de nuestras fronteras.»
La sostenibilidad. El Dr. Cuadros propone una institución permanente encargada del control de los datos, «con seguridad, por supuesto, y con todas las otras características, pero que no dependa del baile ni del ruido político que hemos visto durante los últimos ocho o nueve años». Una institución «totalmente meritocrática», que elija a sus autoridades por méritos académicos y profesionales, «que no dependa del Congreso, que quiera cambiar en un determinado momento». Su modelo: el Banco Central de Reserva del Perú o la Contraloría General de la República. «Que no dependa de nadie y que esté proyectada a nivel de la CIA, porque ahí va a haber gente que va a manejar datos muy sensibles de todo el país.»
La seguridad. «Yo quiero que los datos de cualquier ciudadano estén totalmente seguros, almacenados en un lugar donde tengamos las medidas adecuadas.» Pero hoy, dice, «no existen estándares para todas las instituciones del Estado. Cada una hace lo que puede, con muy buena voluntad, no dudamos de eso. Pero lo cierto es que se están vulnerando y se están hackeando bases de datos por todo lado, porque algo nos está fallando en la base de la seguridad.»
Centrado en el ciudadano. Todo este esfuerzo de ordenamiento digital tiene sentido solamente si ponemos al ciudadano en el centro de todo
Lo que el mundo ya está haciendo
Mientras Perú debate, otros países actúan.
Nigeria exigió en abril de 2025 a Google, Microsoft y Amazon que presenten cronogramas concretos para abrir centros de datos en su territorio. «Les dijimos que ya no hay exenciones. Necesitamos su hoja de ruta de cuándo vienen», declaró Kashifu Inuwa Abdullahi, director general de la Agencia Nacional de Desarrollo de Tecnología de la Información.
India obliga a las empresas de pagos a almacenar datos financieros dentro del país. Vietnam exige a proveedores extranjeros de telecomunicaciones, comercio electrónico y pagos en línea establecer oficinas locales y mantener datos de usuarios en territorio nacional durante al menos 24 meses.
Arabia Saudita ha construido Hexagon, el centro de datos gubernamental más grande del mundo, con 480 megavatios de capacidad, y un lago de datos nacional que conecta más de 430 sistemas gubernamentales. En el Índice Global de IA 2025, el reino alcanzó el puesto 14 a nivel mundial, liderando el mundo árabe.
Egipto avanza con su plan nacional de IA «Karnak», que tiene como objetivo explícito «garantizar la soberanía digital», construyendo modelos de IA generativa en árabe y desplegando infraestructura de centros de datos hiperescala y redes 5G a nivel nacional.
Corea del Sur apunta a construir un ecosistema de centros de datos dedicados a IA con una capacidad total de 18.4 gigavatios y una inversión potencial de 847,000 millones de dólares. Su alianza público-privada «AI Data Center Alliance» reúne a más de 400 empresas y organizaciones, con un objetivo central: «reducir la dependencia extranjera».
Japón impulsa en la prefectura de Akita un proyecto de centro de datos de IA con una inversión estimada en 12,500 millones de dólares, previsto para entrar en operación en 2030.
Chile, el vecino que hoy aloja los datos que Perú no sabe dónde están, creó en noviembre de 2024 su Asociación Chilena de Data Centers y ya ha publicado un «Plan Nacional de Data Centers».
En Europa, la Unión Europea está integrando políticas de datos y de nube para evitar la dependencia de las grandes plataformas estadounidenses y chinas.
«Vean el caso de Corea», insiste Cuadros. «Tenían menos de la mitad del PBI peruano después de la Segunda Guerra Mundial. Apostaron por aceleradores. Nosotros seguimos exportando piedritas.»
La solución: una institucionalidad digital soberana
Cuadros no se limita al diagnóstico. Su propuesta tiene nombre y arquitectura.
Primero, distribuir. «Si estamos construidos de alguna forma centralizada, lo que deberíamos hacer es distribuir totalmente la información, las bases de datos, los servicios y la conectividad en todo el país.» Si un nodo falla, otro toma el control. «Todos los servicios ciudadanos deben estar siempre disponibles.»
Segundo, construir infraestructura propia. Perú necesita centros de datos de magnitud suficiente para que la decisión sobre dónde residen los datos sea nuestra. La Asociación Peruana de Data Centers, fundada en junio de 2025, ya impulsa un Plan Nacional de Data Centers. El mercado de nube pública peruano generó alrededor de 1,100 millones de dólares en 2024 y se proyecta que alcance los 2,500 millones en 2029. Entre 2025 y 2030 se esperan inversiones por unos 1,500 millones de dólares en el mercado de centros de datos. Cirion ya opera el centro LIM2 en Lurín y otro está en construcción. La industria discute expandirse a Trujillo y Arequipa. Pero el ritmo es lento.
Tercero, legislar con estándares. La nueva reglamentación de la Ley de Protección de Datos Personales, vigente desde el 31 de marzo de 2025, introduce la figura del Oficial de Datos Personales (ODP), pero con plazos de adecuación que se extienden hasta 2028 y un enfoque principalmente orientado al sector privado. Para los datos sensibles del sector público, se requiere una normativa más estricta de localización.
Cuarto, crear la institución. Un ente autónomo, meritocrático, con independencia presupuestal y técnica, que defina los estándares de seguridad, almacenamiento y distribución para todo el Estado. «Que funcione con la independencia con la cual está funcionando el Banco Central de Reserva o la Contraloría», dice Cuadros. «Que sea autónomo.»
¿Por qué ahora?
El llamado del Dr. Cuadros tiene una urgencia que no es retórica.
Lima espera un terremoto de grado 9. Los ataques informáticos ya no son hipotéticos: SUNAFIL, el MTC, la Plataforma Nacional de Datos Abiertos, Canvas LMS. El malware RegPhantom demuestra que existen herramientas diseñadas para operar en el nivel más profundo de los sistemas, casi indetectables, con capacidad de persistir durante largos períodos.
Y la información más sensible del país —comunicaciones militares, correos presidenciales, historias clínicas, datos tributarios— probablemente ya está fuera del territorio nacional, en jurisdicciones sobre las cuales el Perú no tiene control alguno.
«Si es que cualquier sector se cae, algún otro toma control de eso y todos los servicios ciudadanos nunca pueden quedarse interrumpidos», dice Cuadros. «Eso es parte fundamental de cualquier propuesta. Hay que parar de proponer soluciones heterogéneas para un solo sector que luego no escalen al tamaño de un pais»
Para los grandes decisores del Estado peruano, la elección es binaria: seguir delegando la infraestructura digital del país a la buena voluntad de proveedores extranjeros y a la suerte geológica, o construir una arquitectura digital que funcione como un acelerador, transversal,modular, escalable, distribuido, soberano, sostenible, seguro y principalmente centrado en el ciudadano.
«No nos limitamos a un solo sector», concluye Cuadros. «Estamos tratando de hacer que el Perú acelere, no que avance. Que son cosas totalmente distintas.»
Información pública citada en este reportaje: El Centro Nacional de Seguridad Digital (CNSD) de la PCM documenta periódicamente alertas de seguridad que incluyen los casos SUNAFIL, Canvas LMS y RegPhantom. La nueva reglamentación de la Ley de Protección de Datos Personales entró en vigencia el 31 de marzo de 2025. La Asociación Peruana de Data Centers se fundó en junio de 2025. Las proyecciones de mercado provienen de informes de la industria. Los casos de Nigeria, India, Vietnam, Arabia Saudita, Egipto, Corea del Sur, Japón y Chile se basan en reportes públicos de sus respectivos gobiernos y en coberturas periodísticas especializadas.
Un comentario
Una precisión. Cuando utilizamos servicios de nube pública, no es que los proveedores coloquen nuestros datos donde a ellos les parezca más conveniente. Nosotros, como clientes, podemos decidir en qué región geográfica del mundo usamos esos servicios en nube y por tanto dónde residirán nuestros datos.