El presidente ruso, Vladímir Putin, firmó el 2 de noviembre el decreto n.º 802, que obliga a los centros de datos privados del país a reservar el 10 % de su espacio y de su capacidad de cómputo. Una nueva subcomisión del Gobierno decidirá cuándo se recurre a ellos. El decreto entra en vigor con su publicación y los operadores tienen 10 días para completar la reserva. Quedan fuera los órganos estatales, las autoridades municipales y las empresas e instituciones que dependen de ellos.
Reservar no equivale a dejar vacío. Varios medios rusos que han reproducido el texto señalan que, en el día a día, el propio centro de datos puede seguir usando esos recursos, pero en cuanto la subcomisión adopte una decisión, el operador debe entregarlos en un plazo de 24 horas a los recursos de información rusos designados. No es una requisa gratuita ni se paga a precio de mercado: el tope lo fija la subcomisión y la cifra concreta aún no se ha hecho pública.
El mismo decreto abre otra puerta: el uso temporal de capacidad de cómputo situada fuera de Rusia. La condición es que la subcomisión lo decida y lo acuerde con el Servicio Federal de Seguridad (FSB). El Ministerio de Desarrollo Digital, por su parte, deberá inventariar el espacio y la capacidad ociosos de los centros de datos del país y después fijar requisitos obligatorios de fiabilidad y funcionamiento ininterrumpido.
Los ataques de octubre y el decreto de agosto
Si se ordenan los hitos de los últimos tres meses, el origen del decreto resulta bastante claro.
- 24 de agosto: Putin firma el decreto n.º 604, que refuerza la seguridad de las infraestructuras críticas e incluye los centros de datos comerciales y departamentales. Las empresas que no logren proteger o restablecer sus instalaciones pueden ver sus bienes puestos temporalmente bajo administración estatal.
- 8, 9 y 11 de octubre: los centros de datos de Yandex en Sásovo, Kaluga y Vladímir sufren ataques con drones, y parte de los servicios y de los recursos de red en ruso se interrumpen.
- 14 de octubre: es atacado el centro de datos de Sber en Balákovo, región de Sarátov; la compañía afirma que sus sistemas funcionan con normalidad. Ese mismo día, el ministro de Desarrollo Digital, Shadáyev, dice que se está ayudando a Yandex a buscar instalaciones de respaldo para trasladar sistemas críticos.
- 18 de octubre: es atacado un centro de datos de VK en la región de Leningrado.
- 2 de noviembre: se publica el decreto n.º 802.
Los medios rusos mencionaron además en esas fechas que el Ministerio de Desarrollo Digital recomienda construir los centros de datos críticos bajo tierra para «reducir la posibilidad de ser detectados desde el aire». Rostelecom ya ha empezado, y los expertos calculan un coste entre un 30 % y un 40 % superior. Pasar a instalaciones subterráneas llevará años; la reserva del 10 % es la vía más rápida por ahora.
La cláusula del extranjero choca con la localización de datos
La legislación rusa vigente exige que los servicios que recopilan datos personales de ciudadanos usen bases de datos dentro del país. Según Novaya Gazeta, la asociación de comercio electrónico, a la que pertenecen Ozon y Wildberries, había pedido antes que los servicios afectados pudieran trasladar sistemas críticos a centros de datos en el extranjero.
El decreto justifica la medida como respuesta a «acciones hostiles de ciertos países extranjeros» y establece que la capacidad en el exterior solo puede usarse de forma temporal. Pero cuánto dura lo «temporal», qué países pueden elegirse y si se relajarán a la vez las exigencias de localización de datos personales, es algo que las informaciones disponibles no aclaran.
¿Son los grandes modelos el «recurso más importante»?
De las tres empresas atacadas, Yandex y Sber son además los principales actores rusos en grandes modelos de lenguaje, con YandexGPT y GigaChat, respectivamente. En las versiones públicas, el destinatario de la requisa aparece solo como «recursos de información rusos», sin distinguir entre cómputo general y clústeres de GPU, y sin precisar qué lugar ocupan la inferencia y el entrenamiento de modelos.
Para los operadores privados, la dificultad está en que la parte reservada suele estar ejecutando negocio de clientes. En cuanto llegue la decisión, deberán liberarla en un solo día; qué pasa con los contratos de los clientes actuales y quién asume las indemnizaciones no se menciona en las informaciones. Además, el Gobierno aún debe aprobar por separado el reglamento de la subcomisión y su procedimiento de decisión. Hasta que se conozcan esos detalles, lo único seguro para los operadores es el 10 % y las 24 horas.
Fuentes: Reuters, RBC, CocoLoop, Novaya Gazeta, Expert, vc.ru; las disposiciones del decreto se basan en lo relatado por los medios citados, y los datos sobre los ataques proceden de informaciones de medios rusos y de declaraciones de las empresas implicadas.