Chat control, el autoritarismo que viene a Europa

Atribuyeron a Churchill una afirmación sobre un posible recorte del presupuesto de las actividades culturales y artísticas para protegerse del espionaje y la escucha a la población en lugares lúdicos concurridos durante la Segunda Guerra Mundial. El primer ministro respondió: «Si hacemos eso, ¿para qué estamos luchando?».

Esa vuelve a ser de nuevo la pregunta a responder por las sociedades plurales, libres y abiertas, como la europea. Hemos podido construir un bonito jardín botánico rodeado por un peligroso parque jurásico, y los legisladores europeos olvidan nuestro modelo de referencia en materia de regulación de los derechos ligados a las conversaciones privadas, en el marco de la seguridad tecnológica anunciando una vigilancia digital permanente por nuestra seguridad.

El hecho cierto es que la Unión Europea lleva impulsando los últimos años varias iniciativas legislativas con el objetivo anunciado, una coartada muy peligrosa, de proteger a los menores de la explotación sexual en internet. Estas medidas, bajo la denominación popular de chat control, son en realidad una potencial amenaza a nuestros derechos fundamentales, a nuestra privacidad, a nuestra libertad de expresión y la confidencialidad de nuestras comunicaciones y conversaciones en soporte electrónico, pretendiendo acabar con el anonimato digital para 450 millones de europeos.

Veamos el detalle. Existen dos versiones, el chat control 1.0 y el chat control 2.0. Y ambas erosionan el principio de que las comunicaciones privadas no deben ser objeto de vigilancia masiva por parte de estados o empresas, sentando un precedente peligroso para un control social que ya es una realidad en China.

Recientemente, ha saltado una alarma más por una decisión controvertida del Parlamento Europeo que puede implicar un peligro real para nuestra privacidad, así como una justificación legal al espionaje de nuestras conversaciones privadas. Aunque todavía no se ha autorizado el acceso generalizado a los mensajes cifrados de los usuarios, existe una propuesta para permitir un escaneo generalizado de nuestras comunicaciones, en nuestro propio dispositivo móvil, antes de aplicar el cifrado.

Lo que el Parlamento Europeo votó el pasado 9 de julio fue una nueva norma que recupera prácticamente íntegra la excepción temporal desde el año 2021 a la regulación europea de privacidad que caducó el pasado 3 de abril, después de que una mayoría del Parlamento rechazase prorrogarla en el mes de marzo.

Esta nueva norma permite, de nuevo, a las plataformas tecnológicas, utilizar voluntariamente las más avanzadas tecnologías de control para detectar posible material de abuso sexual infantil en las comunicaciones privadas a las que el proveedor puede acceder. Entre los proveedores que ya han comunicado haber utilizado estas herramientas figuran Google (Gmail), Meta (Facebook e Instagram) o Microsoft (LinkedIn).

El Parlamento aprobó varias enmiendas a la posición del Consejo, entre ellas una que excluye expresamente las comunicaciones a las que se haya aplicado, se aplique o vaya a aplicarse cifrado de extremo a extremo. El texto vuelve ahora al Consejo, que dispone de tres meses para aceptar las enmiendas. Si las acepta, chat control 1.0 quedará reactivado hasta el próximo 3 de abril del año 2028. De lo contrario, se abrirá un procedimiento de conciliación entre ambas instituciones.

Por tanto, a día de hoy, la excepción continúa jurídicamente caducada. La enmienda del Parlamento pretende convertir esa exclusión técnica y práctica en una exclusión jurídica expresa. Eso no significa que estos servicios proporcionen una privacidad absoluta, pues siguen existiendo metadatos, copias de seguridad y posibles compromisos de los dispositivos. Chat control 1.0 es de hecho una derogación temporal de la Directiva ePrivacy, formalizada en el Reglamento de la UE, 2021/1232.

Aunque en su día se presentó como una medida limitada y temporal, los riesgos del uso masivo del rastreo digital remoto son reales para nuestra libertad de comunicación y expresión porque permite escanear comunicaciones de usuarios no sospechosos, generando falsos positivos. Es cierto que se crea un efecto disuasorio, una autocensura de las conversaciones por un miedo a interpretaciones erróneas de los algoritmos, pero en realidad cuando se detecta alguna posible irregularidad, se informa a las autoridades, exponiendo los datos de usuarios que son inocentes.

La versión 1.0 no obliga a romper el cifrado de extremo a extremo, pero normaliza la idea de que las plataformas pueden actuar como nuestros vigilantes. Un proceso que erosiona la confianza en las comunicaciones digitales y prepara el terreno para futuras medidas más intrusivas y abusivas como las restricciones que vivimos durante la pandemia.

Se utiliza la expresión «escaneo voluntario» pero la norma permite que las empresas privadas, en su mayoría estadounidenses, sometan a un análisis automatizado nuestros mensajes directos, nuestros correos y fotografías sin una autorización judicial previa y sin que exista una sospecha individualizada contra los usuarios.

El reglamento exige una supervisión humana y, cuando se trata de material nuevo o de posibles casos de captación de menores, una confirmación humana antes de comunicar la alerta. Pero la decisión de aplicar este sistema a todo un conjunto de las comunicaciones no la toma un juez, sino la propia empresa. Tampoco se informa al usuario de que una conversación concreta ha sido analizada o remitida a una autoridad pública.

La protección a la infancia se está convirtiendo además en una justificación recurrente para desplegar sistemas de verificación de edad, que implican la identificación de los usuarios y de una vigilancia preventiva que termina afectando al conjunto de la población. El modelo de control permite someter a un examen preventivo, nuestra correspondencia privada y la de millones de europeos sin que se haya podido demostrar con datos sólidos la eficacia real ni si este sacrificio de derechos resulta proporcionado para los resultados obtenidos en la lucha contra el crimen.

El argumento que siempre se utiliza contra la soberanía digital es que se trata de una paranoia irreal. ¿Para qué montar tu propio servidor, si Google lo hace gratis y mejor? Y «gratis» implica permitir que Google decida unilateralmente si analiza tu correo. La Unión Europea acaba de mantener abierta la vía legal para que pueda seguir haciéndolo, sin una autorización judicial previa, si el Consejo acaba aceptando las enmiendas del Parlamento.

Cuando el Estado quiere abrir tu correspondencia, necesita sospechas individualizadas, respeta las garantías legales y aporta una autorización judicial motivada. Que el primer análisis lo haga ahora una empresa privada no elimina la injerencia, sino que simplemente desplaza a una empresa una decisión que, en manos públicas, exigiría pasar antes por la autorización de un juez. En otras palabras, tu «correo» es abierto y solo cambia quién lo abre, que además no ha pedido permiso.

El análisis generalizado de nuestras comunicaciones privadas sin una autorización judicial previa es incompatible con los principios de una democracia liberal, con independencia de quién lo ejecute, de la tecnología que se utilice o del noble propósito final con el que se justifique. La protección de la infancia es una causa sagrada y, precisamente por eso, resulta obsceno utilizarla como un ariete para normalizar una vigilancia preventiva de europeos que son inocentes. Los delincuentes más sofisticados migrarán a los canales cifrados o clandestinos. El análisis indiscriminado garantiza, sobre todo, que la correspondencia del resto deje de ser inviolable.

Pero la versión más peligrosa es chat control 2.0, presentada en el año 2022 y que busca hacer obligatorios los mecanismos de detección en todas las plataformas de mensajería, incluyendo aquellas que cuentan con un cifrado de extremo a extremo como WhatsApp, Signal o Telegram. El núcleo del debate es realizar el escaneo en el dispositivo del usuario antes del cifrado. En este escenario propio de un control de “gran hermano protector” anticipado por George Orwell en su obra 1984, los algoritmos analizarían todos nuestros textos, todas nuestras imágenes y videos, en nuestro propio dispositivo móvil antes de que fueran enviados, reportando automáticamente a la autoridad si se detectase algo sospechoso.

En la práctica, y desde el punto de vista de la tecnología, se trata de tener una puerta trasera en el cifrado, rompiéndose la garantía de que solo emisor y receptor accedan al contenido intercambiado. Para ello los proveedores tendrían que insertar un software de escaneo en las apps, convirtiéndolas en unas herramientas para vigilarnos.

Las principales diferencias entre las dos versiones de chat control son en primer lugar la obligatoriedad, dado que 1.0 es voluntaria y 2.0 impone órdenes de espionaje y detección a gran escala. En cuanto al alcance, 2.0 incluye además la Inteligencia Artificial para detectar el acoso en tiempo real a través de lenguaje, analizando el significado de todas nuestras conversaciones privadas. Adicionalmente, la versión 2.0 incluirá la verificación de nuestra edad de forma masiva para usar las apps de comunicación, bajo la aparente inofensiva denominación de mini cartera, EU Digital Identity Wallet, se eliminará nuestro anonimato además de amenazar al cifrado en sí algo que se pretende poner en marcha antes de finalizar 2026 siguiendo el ejemplo de Australia que desde diciembre de 2025 excluye a los menores de las redes sociales. Y todas estas medidas de control y supervisión aplicadas a toda la población, sin una orden judicial de por medio. Los peligros para la libertad de los europeos son claros, dado que se produce la violación directa de los artículos 7 y 8 de la Carta de los Derechos Fundamentales de la Unión Europea sobre la privacidad y sobre la protección de datos, dado que el escaneo indiscriminado analizado es totalmente incompatible con nuestros derechos.

Segundo, se crea un precedente para realizar una vigilancia masiva de nuestras comunicaciones. Hoy se anuncia para garantizar los derechos de los menores, mañana podría extenderse para reducir la «desinformación» o los bulos, o eliminar el «discurso del odio» o evitar cualquier contenido que un gobierno autoritario pueda considerar peligroso.

Tercero, los falsos positivos creados por los algoritmos de la inteligencia artificial pueden generar numerosas investigaciones injustas, estigmatizando a aquellos usuarios inocentes afectados por esos procesos.

Y cuarto, el efecto disuasorio va a silenciar muchos debates sobre asuntos sensibles.

Ante este panorama, algunas empresas como Signal han anunciado que abandonarían el mercado europeo si se aprueba chat control 2.0, argumentando que, es técnicamente imposible aplicarlo sin romper la seguridad. Este tipo de anuncios socava la confianza en la tecnología europea y expulsa la innovación hacia jurisdicciones más libres. En un mundo de ciberamenazas, de espionaje estatal y de crimen organizado, debilitar el cifrado generalizado, nos hace a todos más vulnerables, incluidos a esos niños y jóvenes que supuestamente se quiere proteger.

La historia nos recuerda que aquellas herramientas de vigilancia que fueron creadas como garantías de protección para ser utilizadas solo por los buenos han terminado siempre en las manos equivocadas. Chat control 1.0 normaliza el escaneo voluntario y prepara el terreno, chat control 2.0 lo hace obligatorio y destructivo para el cifrado. Ambas opciones priorizan una falsa elección entre la seguridad infantil y nuestra privacidad, ignorando que un mundo sin privacidad es menos seguro para todos.

La libertad de pensamiento y de asociación depende de que nuestras comunicaciones privadas y conversaciones sigan siendo confidenciales. El futuro de una Europa libre depende, una vez más, de ser capaces de rechazar una tentación autoritaria disfrazada de protección, el rastreo digital permanente. Y como decía Churchill, para garantizar esa libertad, debemos luchar.

Numquam populi protectio sine libertate fiet 

José Luis Moreno, economista, ha sido director de Economía en la Comunidad de Madrid y en el Ayuntamiento de Madrid. Autor de Geoeconomía estratégica con ESIC.