Aclaración concepto servicios Cloud Computing. Concepto 1415 de 2018

Concepto 1415 DIAN de 2018

Cordial saludo, señor Meza:

De conformidad con el artículo 19 del Decreto número 4048 de 2008 es función de esta Dirección absolver las consultas escritas que se formulen sobre la interpretación y aplicación de las normas tributarias de carácter nacional, aduaneras y cambiarias en lo de competencia de la Entidad e igualmente atender aquellas que se formulen en relación con la interpretación y aplicación general de las normas que, en materia administrativa laboral, contractual y comercial, le formulen las dependencias de la Entidad.

Mediante el radicado de la referencia se presenta reconsideración al Concepto 000065 de febrero 6 de 2018, soportado por los siguientes presupuestos:

“(…) [S]e evidencia que el servicio de cloud computing a rasgos generales implica el acceso a la información y recursos computaciones para ponerlos a disposición de los Consumidores de nube. Los consumidores de nube tienen acceso bajo demanda a servicios de computación con el propósito de almacenar el contenido o el software funcional en la infraestructura provista por los proveedores de nube. Esta definición, y estas caracterizaciones no se incluyeron en el Concepto 000065. Por el contrario, la DIAN en el Concepto 000065 supone que los servicios de computación en la nube son un servicio técnico sin realizar ningún tipo de análisis o estudio.

(…)

[E]s posible identificar que los servicios de computación en la nube no cumplen con las características para ser servicios técnicos por varias razones.

Primero, aunque los servicios de computación en la nube presuponen una acción (principalmente proporcionar a los Consumidores de nube acceso a infraestructura, información y datos informáticos), el Proveedor de nube no utiliza una técnica o arte para ello. El hecho de que cierta tecnología pueda estar involucrada en la provisión de servicios de computación en la nube (por ejemplo, internet) no es relevante para determinar si el servicio en sí mismo implica elementos tecnológicos. Los servicios de computación en la nube permiten a los Usuarios finales realizar tareas cotidianas (acceder al correo electrónico o descargar música alojada en la nube) al permitir acceso a la infraestructura basada en la nube a los Consumidores (por ejemplo, contenido digital y proveedores de servicios). En todos los casos, los servicios de computación en la nube se proporcionan sin la aplicación de una técnica o arte.

Segundo, los servicios de computación en la nube no tienen la naturaleza de asesoría, elemento determinado por el Consejo de Estado para los servicios técnicos. Por el contrario, los servicios de computación en la nube son servicios de acceso a un grupo compartido de recursos informáticos configurables. El acceso no implica la necesidad de asesoramiento o de consulta. De hecho, un aspecto fundamental de los servicios de computación en la nube es que proporciona un acceso rápido y bajo demanda, y cualquier elemento de asesoramiento o consulta humana retrasaría inevitablemente el proceso. El Mintic y el NIST han explicado detalladamente esa caracterización y están de acuerdo en que la computación en la nube es un servicio de acceso y no un servicio técnico.

Los servicios de computación en la nube pueden distinguirse de la asesoría desde la perspectiva fiscal colombiana porque, en los servicios de asesoramiento, el asesor lleva a cabo un comportamiento activo, proporciona dicha asesoría y aplica la experiencia en beneficio del receptor del servicio de acuerdo con las circunstancias específicas del caso. Este comportamiento activo no ocurre al proporcionar servicios para acceder a un software, plataforma o infraestructura. En los servicios de computación en la nube hay una mínima intervención humana, si es que existe alguna. El Consumidor de nube obtiene acceso a un servicio que depende de un plan de su elección que se entrega mediante software, equipos e infraestructura, adaptados a su plan de pago. Además, el acceso omnipresente, adaptable y bajo demanda a una red o grupo compartido de datos configurables informáticos no requiere la aplicación de un conocimiento especializado aplicado por un experto. (…)

Finalmente, los medios por los cuales un servicio es proporcionado o entregado (por ejemplo, a través de internet) no deberían ser relevantes para determinar si el servicio subyacente califica como de naturaleza “técnica”. El uso de medios tecnológicos, como el uso de recursos informáticos en la prestación de servicios en la nube, no da lugar a la prestación de servicios técnicos o asistencia técnica. Por ejemplo, un Usuario final con una suscripción puede en cualquier momento transmitir videos que están almacenados en servidores ubicados en todo el mundo (es decir, la nube) sin recibir ningún servicio técnico, asesoramiento, asistencia, experiencia, pericia o know-how. Del mismo modo, la empresa de streaming (el Consumidor de nube) puede subir los videos a la infraestructura de la nube sin recibir asesoría técnica. En esta aplicación tradicional de servicios de computación en la nube, el proveedor de nube utiliza procesos automatizados para proporcionar los servicios de computación en la nube con una mínima participación humana” (Subrayado y negrilla fuera de texto).

De acuerdo a lo anterior, este Despacho se permite realizar las siguientes consideraciones:

De antemano, resulta necesario aclarar que la noción de un servicio de almacenamiento en la nube o cloud storage es diferente a la de un servicio de computación en la nube o cloud computing, ya que el peticionario hace un uso indistinto de los dos conceptos en sus apreciaciones y ejemplos. Si bien ambos servicios que se prestan a través de la “nube”, el primero –almacenamiento en la nube– se logra prestar sin el cumplimiento de unas características y modelos de servicio e implementación, que de acuerdo al Oficio de registro número 1058335 del 22 de junio del 2017, expedido por el Ministerio de Tecnologías de la Información y Comunicaciones (Mintic) son esenciales e intervienen en la prestación de un servicio de computación en la nube. Sobre las diferencias entre estos dos servicios, el Oficio del Mintic ya mencionado indicó:

“[M]ientras que el almacenamiento en la nube (Cloud Storage) se usa para almacenar datos, la computación en la nube (Cloud Computing) se utiliza para completar tareas digitales específicas. Esencialmente, en lugar de utilizar el espacio de almacenamiento de un servidor remoto, está utilizando la potencia de procesamiento para hacer algo. Lo que se puede hacer con este poder de procesamiento depende del servicio.

(…)

Algunos aspectos a tener en cuenta para diferenciar el almacenamiento en la nube (Cloud Storage) de la computación en la nube (Cloud Computing) son:

Potencia de procesamiento: Mientras que en el almacenamiento en la nube se centra en el espacio en el disco duro, la computación en nube tiene que ver con la potencia de procesamiento. La computación en nube puede no requerir tanto espacio en el disco duro, pero necesita procesadores robustos para mantener las aplicaciones funcionando sin problemas.

Capacidades de Virtualización: La virtualización se refiere a muchos procesos diferentes que permiten al software controlar el hardware, a menudo a distancia. El nombre proviene de la capacidad de crear espacios “virtuales” en servidores para software, gestión de datos, escritorios y más. Se ven y actúan como la cosa real, pero son construcciones digitales. Este es un concepto fundamental para la computación en nube, y permite algunos enfoques impresionantes de la gestión de TI.

Orientado a las necesidades específicas del negocio: La computación en la nube (Cloud Computing) tiende a tener un enfoque más estrecho que el almacenamiento en la nube. La mayoría de la computación en la nube busca ofrecer soluciones específicas para las empresas y las personas, como las capacidades de marketing, procesamiento de datos, etc.

En resumen, el almacenamiento en la nube se limita solo a eso, almacenar datos, independientemente de cómo se haga, los datos se cargan a través de la conexión a internet a servidores remotos en la nube. Una vez que los datos se almacenan allí, por lo general se puede acceder desde múltiples dispositivos conectados y compartidos con otros, mientras que la computación en la nube procesa información y procesa esos datos para ofrecer resultados visibles, medibles y todo esto sin dejar las características esenciales [de la computación en la nube.] (…)”.

Ahora bien, para determinar si servicio de computación en la nube o cloud computing debe ser considerado como un servicio técnico, resulta necesario revisar la definición de computación en la nube (cloud computing) que la doctrina de la Dirección de Impuestos y Aduanas Nacionales (Dian) ha adoptado para luego realizar un análisis integral de la misma junto con las disposiciones del ordenamiento jurídico tributario y el concepto de servicio técnico para efectos tributarios.

En este sentido, la Dirección de Gestión Jurídica de la Dian, en un trabajo conjunto con el Mintic, expidió el Concepto número 017056 del 25 de agosto de 2017 en el que se define qué es computación en la nube (cloud computing), cuáles son las características esenciales de este servicio y sus modalidades, para efectos de determinar cuándo opera la exclusión del impuesto sobre las ventas (IVA) prevista en el numeral 24 del artículo 476 del Estatuto Tributario. Este concepto señala lo siguiente:

“1. ¿Qué es computación en la nube o (Cloud Computing)?

Es un modelo que permite el acceso omnipresente, conveniente, y por demanda a una red de un conjunto compartido de recursos computaciones configurables (por ejemplo: redes, servidores, almacenamiento, aplicaciones y servicios) que se pueden aprovisionar y liberar rápidamente como un mínimo de esfuerzo de gestión o interacción del proveedor de servicios[1].

2. ¿Cuáles son las características esenciales de la Computación en la nube?

La computación en la nube, se compone de las siguientes cinco características primordiales, según Oficio de Registro número 1058335 del 22 de junio del 2017, expedido por el –MINTIC–:

“1. Autoservicio bajo demanda (On- demand self-service)

Un consumidor puede unilateralmente proveer capacidades de computación, tales como tiempo de servidor y almacenamiento en red, según sea necesario o automáticamente, sin necesidad de interacción humana con cada proveedor de servicios.

2. Acceso amplio a la red (Broad network Access)

Los servicios proporcionados deben poder ser accesibles a través de mecanismos estándares y desde plataformas heterogéneas (por ejemplo: ordenadores, teléfonos móviles o tabletas).

3. Asignación común de recursos (Resource pooling)

Los recursos son puestos a disposición de los consumidores siguiendo un modelo de multipropiedad, asignándose y reasignándose dispositivos físicos o lógicos atendiendo a l demanda de dichos consumidores. En ese sentido el usuario no tiene un estricto control del lugar exacto en el que se encuentra su información, aunque sí debe poder especificar un ámbito mínimo de actuación (por ejemplo: un país o centro de proceso de datos concreto).

4. Rápida elasticidad (Rapid elasticity)

Las capacidades en los recursos proporcionados a los usuarios deben poder crecer o decrecer bajo demanda de los mismos con celeridad, incluso mediante procesos automáticos.

5. Servicio medible (Measured service)

Los sistemas Cloud deben controlar y optimizar sus recursos dotándose de capacidades para medir su rendimiento en un nivel de abstracción suficiente para la naturaleza del servicio proporcionado. Además, dicho control debe permitir ser reportado de manera transparente tanto al proveedor del servicio como al consumidor del mismo”.

3. ¿Cuáles son los modelos de servicio en la computación de la nube?

Los siguientes modelos de servicio de computación en la nube, según Oficio[2] emitido por el MINTIC:

“(i) Software como servicio (SaaS por sus siglas en inglés). La capacidad proporcionada al consumidor es utilizar las aplicaciones del proveedor que se ejecutan en una infraestructura cloud[3]. Las aplicaciones son accesibles desde varios dispositivos cliente a través de una interfaz de cliente ligero, como un navegador web (por ejemplo, correo electrónico basado en web) o una interfaz de programa. El consumidor no gestiona ni controla la infraestructura subyacente de la nube, incluyendo la red, los servidores, los sistemas operativos, el almacenamiento o incluso las capacidades de las aplicaciones individuales, con la posible excepción de los ajustes de configuración específicos de la aplicación específicos del usuario.

(ii) Plataforma como Servicio (PaaS por sus siglas en inglés). La capacidad proporcionada al consumidor es desplegar en la infraestructura de nube aplicaciones creadas por el consumidor o adquiridas, utilizando lenguajes de programación, bibliotecas, servicios y herramientas soportadas por el proveedor. * El consumidor no gestiona ni controla la infraestructura subyacente de la nube, Servidores, sistemas operativos o almacenamiento, pero tiene control sobre las aplicaciones desplegadas y posiblemente configuraciones para el entorno de hospedaje de aplicaciones. (…)

(iii) Infraestructura como Servicio (Iaas por sus siglas en inglés). La capacidad proporcionada al consumidor es proveer procesamiento, almacenamiento, redes y otros recursos de computación fundamentales donde el consumidor es capaz de desplegar y ejecutar software arbitrario, que puede incluir sistemas operativos y aplicaciones. El consumidor no gestiona ni controla la infraestructura subyacente de la nube, sino que tiene control sobre los sistemas operativos, el almacenamiento y las aplicaciones implementadas; Y posiblemente un control limitado de componentes de red selectos (por ejemplo, firewalls de host).” (…)

“4. ¿Cuáles son los modelos de implementación en la computación en la nube?

Los modelos de implementación, necesarios para la ejecución de alguno de los modelos de servicio enunciados en el Punto 3, deben corresponder a:

“(i) Nube privada (Private cloud)

La infraestructura de la nube está provista para su uso exclusivo por una única organización que comprende múltiples consumidores (por ejemplo, unidades de negocio). Puede ser propiedad, administrado y operado por la organización, un tercero o una combinación de ellos, y puede existir dentro o fuera de las instalaciones.

(ii) Nube comunitaria (Community cloud)

La infraestructura de la nube está provista para uso exclusivo por una comunidad específica de consumidores de organizaciones que tienen preocupaciones compartidas (por ejemplo, misión, requisitos de seguridad, política y consideraciones de cumplimiento). Puede ser propiedad, administrado y operado por una o más de las organizaciones de la comunidad, un tercero, o una combinación de ellos, y puede existir dentro o fuera de las instalaciones.

(iii) Nube pública (Public cloud)

La infraestructura de la nube está provista para uso abierto por el público en general. Puede ser propiedad, administrado y operado por una organización comercial, académica u gubernamental, o alguna combinación de ellos. Existe en las instalaciones del proveedor de la nube.

(iv) Nube híbrida (Hybrid cloud)

La infraestructura de la nube es una composición de dos o más infraestructuras de nube distintas (privadas, comunitarias o públicas) que siguen siendo entidades únicas, pero están unidas por una tecnología estandarizada o propietaria que permite la portabilidad de datos y aplicaciones (por ejemplo, burbujas de nube para equilibrar la carga entre Nubes).” (…)

“A modo de conclusión y en virtud de lo transcrito en líneas previas, es palmario que para la prestación de un servicio de computación en la nube (Cloud Computing) se requiere del cumplimiento de las características esenciales, los modelos de servicio a través de uno de los modelos de implementación y los demás que para los efectos determine el MINTIC. Si el servicio no cumple con los elementos necesarios para identificar plenamente el servicio de computación en la nube mencionados en los numerales 1 al 4, no opera la exclusión prevista en el numeral 24 del artículo 476 del Estatuto Tributario”.

De igual manera, en el Concepto número 017056 del 25 de agosto de 2017 también se precisó cuáles son los actores de la computación en la nube:

“Consumidor de nube (Cloud consumer): Persona o entidad que a través de una relación comercial usa los servicios de un proveedor de nube.

Proveedor de nube (Cloud provider): Persona o entidad responsable de poner a disposición un servicio a las partes interesadas y que gestiona la infraestructura informática necesaria para proporcionar los servicios, ejecuta el software en la nube que proporciona los servicios y entrega los servicios en la nube a los consumidores de nube a través del acceso a la red.

Auditor de nube: Parte que realiza una evaluación independiente de servicios en la nube, las operaciones del sistema de información, el rendimiento y la seguridad de la implementación en la nube.

Corredor o agente de nube: Este actor gestiona el uso, el rendimiento y la prestación de servicios en la nube y negocia las relaciones entre los proveedores de nube y los consumidores nube.

Operador de nube: Es un intermediario que proporciona conectividad y transporte de servicios en la nube de proveedores a consumidores de nube”.

Por otra parte, este Despacho a lo largo de su Doctrina y con fundamento en pronunciamientos jurisprudenciales (Consejo de Estado, Sección IV, Expediente 1082 -1987), ha definido que servicio técnico[4] es: “la aplicación directa de la técnica por un operario sin transmisión de conocimientos o la utilización de conocimientos tecnológicos aplicados directamente por medio del ejercicio de un arte o técnica, sin que la misma conlleve la transmisión de conocimientos”. (Subrayado fuera de texto).

Ahora bien, como se pudo observar anteriormente, en el Concepto 017056 de agosto 25 de 2017, se manifestó que la computación en la nube o cloud computing “Es un modelo que permite el acceso omnipresente, conveniente, y por demanda a una red de un conjunto compartido de recursos computaciones configurables (por ejemplo: redes, servidores, almacenamiento, aplicaciones y servicios) que se pueden aprovisionar y liberar rápidamente como un mínimo de esfuerzo de gestión o interacción del proveedor de servicios” (Subrayado y negrita fuera de texto).

De lo anterior es dable entender que, si bien el cloud computing es un modelo que esencialmente permite el acceso a una red de un conjunto de recursos computacionales configurables, estos recursos pueden ser aprovisionados y liberados por la gestión, ejecución o interacción, así sea mínima, del proveedor de servicios, que, en este caso en particular, es quien provee o suministra, a través de la observancia de unas características y de la implementación de un modelo de servicio, la computación en la nube o cloud computing a un usuario.

En ese orden, observemos la definición de “proveedor de nube” y sus actividades directamente relacionadas, de acuerdo a lo previsto en la Guía Técnica como Marco de Referencia de Infraestructura del Ministerio de Tecnologías de la Información y las Comunicaciones que con base en lo expuesto por el Instituto Nacional de Estándares y Tecnología (NIST por sus siglas en inglés)[5], que señala lo siguiente:

Proveedor de nube: Es el responsable de poner un servicio a disposición de las partes interesadas. Un proveedor de nube adquiere y gestiona la infraestructura informática necesaria para proporcionar los servicios, ejecuta el software en la nube que proporciona los servicios y hace lo necesario para entregar los servicios en la nube a los Consumidores de nube a través del acceso a la red.

Actividades proveedor de nube

Un proveedor de servicios de computación en la nube (desde Colombia o desde el exterior), despliega, configura, mantiene y actualiza la operación de las aplicaciones de software en una infraestructura de nube (propia, compartida, o apoyada con otros proveedores) para que los servicios se aprovisionen en los niveles de servicio esperados para los consumidores de nube. El proveedor de SaaS asume la mayoría de las responsabilidades en la gestión y control de las aplicaciones y la infraestructura, mientras que los consumidores de la nube tienen un control administrativo limitado de las aplicaciones.

(…)

El proveedor de PaaS, gestiona la infraestructura de cómputo de la plataforma y ejecuta el software de nube que proporciona los componentes de la plataforma como las bases de datos y otros componentes de capa media para el intercambio de información (middleware). El proveedor de PaaS normalmente también soporta el proceso de desarrollo, despliegue y administración del consumidor de PaaS, proporcionando herramientas tales como entornos de desarrollo integrados (IDE), control de versiones en la nube, kits de desarrollo de software (SDK), herramientas de implementación y administración.

(…)

El proveedor de IaaS, provee los recursos informáticos físicos subyacentes al servicio, incluidos los servidores, las redes, el almacenamiento y la infraestructura de alojamiento. El proveedor de nube ejecuta el software de la nube necesario para que los recursos informáticos estén disponibles para el consumidor de IaaS a través de un conjunto de interfaces de servicios y abstracciones de recursos de cómputo, como máquinas virtuales e interfaces de red virtual.” (Subrayado y negrita fuera del texto).

Con base en lo anterior, resulta evidente que la computación en la nube no comprende un único servicio basado en una única tecnología, sino que más bien es un concepto que puede abarcar, según el modelo de servicio, diferentes servicios a partir de diferentes tecnologías o tecnologías combinadas, que le permiten a un consumidor de cloud completar tareas digitales específicas. Por esta razón, calificar de manera general a la computación en la nube como un servicio técnico para efectos tributarios no es apropiado, por lo que frente a casos concretos deberá observarse si en la prestación de servicios de computación en la nube existe intervención por parte de un operario, así sea mínima, que implique la aplicación de conocimientos especializados, sin transmisión de los mismos, caso en el cual estaremos ante un servicio técnico; o si el proveedor de nube utiliza procesos completamente automatizados sin intervención humana para proporcionar sus servicios de computación en la nube, caso en el cual no se entenderá que existe un servicio técnico.

En mérito de lo expuesto, este Despacho reconsidera el Concepto 000065 de febrero 6 del 2018, en lo referente a la calificación del servicio de computación en la nube o Cloud Computing como un servicio técnico para efectos tributarios, en el sentido de que se deberá observar, frente a modelos de servicio y casos concretos, si en la prestación de ciertos servicios de computación en la nube existe intervención por parte de un operario, así sea mínima, que implique la aplicación de conocimientos especializados sin transmisión de los mismos, para que se configure un servicio técnico.

En cuanto al tratamiento del impuesto sobre las ventas señalado en la misma Doctrina –Concepto 000065 de febrero 6 del 2018– le señalamos que este se resolvió y aclaró mediante Oficio 014152 del 31 de mayo del 2018, el cual se adjunta para su conocimiento.

En los anteriores términos se resuelve su consulta y finalmente le manifestamos que la Dirección de Impuestos y Aduanas Nacionales (Dian), con el fin de facilitar a los contribuyentes, usuarios y público en general el acceso directo a sus pronunciamientos doctrinarios, ha publicado en su página de internet www.dian.gov.co, la base de conceptos en materia tributaria, aduanera y cambiaria expedidos desde el año 2001, la cual se puede ingresar por el ícono de “Normatividad” –“técnica”–, dando click en el link “Doctrina Dirección de Gestión Jurídica”.

Atentamente,

La Directora de Gestión Jurídica,

Liliana Andrea Forero Gómez.

Publicado en D.O. 50.791 del 28 de noviembre de 2018.

[1] El Departamento de Comercio de los Estados Unidos a través de su Instituto Nacional de Estándares y Tecnología (NIST, de ahora en adelante) en su publicación especial 800-145.

[2] Oficio de Registro número 1058335 del 22 de junio del 2017.

[3] Revisar definición en NIST 800 – 145.

[4] Con base y en uso del sentido natural de las palabras, la Real Academia Española –RAE–, define que “técnico o técnica”, es: “1. adj. Perteneciente o relativo a las aplicaciones de las ciencias y las artes.” (…) “3. m. y f. Persona que posee los conocimientos especiales de una ciencia o arte.” (…) “5. f. Conjunto de procedimientos y recursos de que se sirve una ciencia o un arte.”.

[5] NIST- Cloud Computing Standards Roadmap Special Publication 500-291, Versión 2.