ChatControl con otro nombre
En agosto de 2026, la Comisión Europea publicó oficialmente una hoja de ruta sobre criptografía, exigiendo que los organismos encargados de hacer cumplir la ley adquieran la capacidad de desciffrar chats cifrados antes de 2030. Su principal justificación es una cifra alarmante: la policía europea actualmente no puede acceder a pruebas cruciales en aproximadamente el 85% de los casos.
Esta estrategia ProtectEU, que suena como una medida para la seguridad y el antiterrorismo, es en realidad el renacimiento de la ley ChatControl de 2022. En aquel entonces, la UE intentó obligar a escanear los mensajes cifrados del lado del cliente bajo el pretexto de combatir el abuso sexual infantil, pero finalmente se archivó al no conseguir una mayoría calificada en el Consejo.
Ahora, la disposición central ha sido reemplazada por el “acceso legal y efectivo a los datos”, disfrazada bajo la prevención de ciberataques. Esto demuestra que una estrategia legislativa aterradora está funcionando: basta con cambiarle el nombre y volver a presentarla cada 18 meses; algún día será aprobada.
Las matemáticas no respaldan el “solo para los buenos”
Frente a las exigencias de la policía, la comunidad criptográfica ha dado una respuesta muy fría. Alrededor de 40 organizaciones de derechos civiles y más de 40 expertos firmaron conjuntamente una carta abierta solicitando participar en el desarrollo de la hoja de ruta técnica, pero hasta ahora no han recibido respuesta.
La declaración de Matthias Pfau, CEO de Tuta Mail, reveló la contradicción central: “No hay una bala de plata tecnológica; el acceso solo para los buenos es imposible”. Bajo los principios matemáticos del cifrado de extremo a extremo, solo se almacena texto cifrado en el servidor. Cualquier método que permita a un tercero leer texto sin formato a pedido es fundamentalmente una puerta trasera (backdoor).
En el mundo objetivo, no existe tecnología criptográfica que pueda distinguir automáticamente si “esta es una solicitud autorizada por un tribunal” o “este es un ataque de un hacker”. Una vez que existe una llave maestra, puede ser robada por piratas informáticos, abusada o incluso exigida por gobiernos extranjeros.
Figura: Reportaje sobre la hoja de ruta de cifrado de ProtectEU. Fuente: OpSec Insider
La resistencia del aislamiento físico
Ante la dura postura de la UE, las empresas de tecnología de privacidad han optado por el contraataque más directo. Los principales proveedores de servicios cifrados como Signal, Proton y Tuta han declarado colectivamente: prefieren salir del mercado de la UE antes que implementar mecanismos de acceso excepcional en sus productos.
En 2026, GrapheneOS, un proyecto centrado en la privacidad, se retiró directamente de su centro de datos local debido a las exigencias de acceso a datos de Francia. Este es el primer proyecto de privacidad en mudarse proactivamente de un país de la UE debido a la presión regulatoria. Esto demuestra que la batalla entre las empresas tecnológicas y los reguladores ha pasado de las protestas verbales al aislamiento físico.
Cabe destacar que el grupo de expertos de la UE clasificó oficialmente los servicios VPN como un “desafío clave” para las fuerzas del orden por primera vez. Esta categorización, que equipara las herramientas de privacidad con las herramientas criminales, ha dejado a toda la comunidad de código abierto y privacidad extremadamente inquieta.
Figura: Esquema de los principios del cifrado de extremo a extremo. Fuente: Wikimedia Commons
La paciencia del poder
Ambas partes del debate enfrentan sus propios dilemas prácticos. Los organismos encargados de hacer cumplir la ley, al lidiar con un agujero negro de datos del 85%, ciertamente soportan una inmensa presión antiterrorista; mientras que los expertos en seguridad defienden la base de confianza de la comunicación moderna por Internet.
En el camino para romper el cifrado, Estados Unidos ya ha hecho concesiones sobre el almacenamiento de datos y el descifrado de metadatos, y la ley IPA del Reino Unido va por un camino similar. La Comisión Europea ha demostrado gran paciencia en este juego: el parlamento no puede legislar activamente, mientras que la Comisión solo necesita tener éxito una vez.
ProtectEU reempaqueta una propuesta previamente rechazada con un caparazón antiterrorista, demostrando que las agencias reguladoras pueden usar el tiempo para desgastar la energía de los oponentes. Una puerta trasera de cifrado nunca puede, matemáticamente, hacerse “solo para los buenos”. Una vez que se forje a la fuerza esta llave maestra, sus poseedores ya no serán solo la policía antiterrorista, sino cualquier organización capaz de robarla.
Enlaces de referencia:
- Reportaje de ReclaimTheNet
- Reportaje de OpSec Insider
- Discusión en HN (HN)
