El “Chat Control” no es una ley con ese nombre ni está aprobada: es el apodo popularizado por sus críticos de la Propuesta de Reglamento para prevenir y combatir el abuso sexual infantil (CSA Regulation) que la Comisión Europea presentó en mayo del 2022 y que hoy divide a la Unión Europea.
La iniciativa, que aún no ha sido aprobada ni por el Parlamento Europeo ni por el Consejo, busca crear un marco legal para que aplicaciones de mensajería, correo electrónico y plataformas detecten, reporten y eliminen material de abuso sexual infantil (CSAM), así como que adopten medidas frente al acoso. El punto que incendia el debate: obligaría a escanear también comunicaciones privadas, incluso aquellas protegidas por cifrado extremo a extremo, mediante herramientas automatizadas que alerten de contenidos “sospechosos”.
La presidencia rotatoria danesa del Consejo reactivó un texto que estaba congelado por falta de consenso y, según organizaciones digitales, con una versión “más radical”. De hecho, la votación prevista para el 13/14 de octubre para decidir si avanzar con la tramitación se pospuso y se aguarda nueva fecha, en un contexto de presiones cruzadas: gobiernos que priorizan la protección de menores y defensores de derechos digitales que alertan sobre riesgos a la privacidad y la ciberseguridad. En este tablero, España respalda el contenido del reglamento, Alemania se pasó recientemente al bloque del “no” y Austria, Finlandia, Estonia, Países Bajos y República Checa han expresado su oposición. Bélgica e Italia se mantienen indecisas. El desacuerdo es de fondo: ¿cómo compatibilizar la lucha contra el abuso con la inviolabilidad de las comunicaciones?
Para sus impulsores, el objetivo es inequívoco: cortar la difusión de CSAM en redes y mensajerías. No se trataría, subrayan, de “dar a los gobiernos la llave de tus chats”, sino de imponer obligaciones a los proveedores para detectar y reportar contenidos prohibidos, apoyándose en sistemas de inteligencia artificial. Pero sus detractores responden que, en la práctica, romper el cifrado o introducir puertas de escaneo convertiría a los teléfonos en dispositivos de vigilancia masiva, con falsos positivos inevitables y nuevas superficies de ataque para ciberdelincuentes. “Es, en realidad, ‘Pegasus’ para todos”, sintetiza Simona Levi (Xnet), quien advierte que la tecnología exigida sería una brecha de seguridad en sí misma, dañina para ecosistemas distribuidos, startups y pymes, y funcional a monopolios.
La Comisión LIBE del Parlamento Europeo, encargada de Libertades Civiles, Justicia e Interior, lidera el expediente legislativo, pero el proceso exige acuerdo de Parlamento y Consejo. Y el Consejo, donde se sientan los Estados miembros, está hoy partido: hay quienes consideran que el fin justifica el medio (detección obligatoria y reporte automático) y quienes sostienen que no se combate el abuso con inspecciones generalizadas, sino con medidas focalizadas y fortaleciendo capacidades policiales y judiciales. EDRi y otros expertos añaden que abrir acceso sistémico a proveedores para inspección puede ser aprovechado por atacantes para robar datos personales y socavar la integridad de los servicios.
Otro matiz técnico complica el consenso: ¿cómo se escanea lo cifrado sin desencriptar? Cualquier opción ,desde análisis en el dispositivo hasta verificación del lado del servidor, implica modificar la arquitectura de seguridad o degradar el cifrado. Y si la detección se apoya en modelos automáticos, surge la pregunta por la tasa de error, los mecanismos de apelación, la retención de datos y quién audita los algoritmos. El dilema, así, rebota desde Bruselas hasta las pantallas de WhatsApp, Signal, Telegram y los proveedores de nube (Google, Microsoft, Amazon), que serían alcanzados por un escaneo obligatorio.
Mientras tanto, el relato público se polariza. Para algunos, cuestionar el reglamento equivale a restar prioridad a la protección de la infancia. Para otros, el texto “no contiene una línea sobre prevención real”, denuncia Levi sacrifica la privacidad sin garantías de eficacia, y “olvida” políticas de educación, denuncia, investigación y cooperación internacional imprescindibles para perseguir redes criminales. En el medio, usuarios que temen por la confidencialidad de sus conversaciones, y gobiernos que calibran el costo político de apoyar o frenar la propuesta.
¿Qué sabemos con certeza hoy? Que no hay ley aprobada, que el término “Chat Control” describe una propuesta cuyo alcance sigue en negociación, y que la votación del Consejo fue aplazada a la espera de una salida política. Que el equilibrio entre seguridad de menores y derechos fundamentales no admite atajos tecnológicos, y que cualquier solución que debilite el cifrado arriesga la seguridad de todos. Y, sobre todo, que el debate no es “privacidad versus niños”, sino cómo diseñar marcos legales y herramientas efectivas y proporcionales que protejan a la niñez sin romper la columna vertebral de la comunicación segura en la era digital.