Algunas reflexiones sobre Chat Control 2.0

¿Qué es y por qué es técnicamente imposible eludirlo?

Bajo la etiqueta periodística de «Chat Control» se esconden dos medidas diferentes, y la confusión entre ambas, alimentada de forma más o menos consciente, es el principal aliado de quienes quieren que la ley se apruebe en silencio. Aclaremos las cosas: aquí no se habla de la excepción temporal prorrogada hasta julio de 2026, sino de su hermana mayor, la permanente. El CSAR (Child Sexual Abuse Regulation, Reglamento 2022/0155), conocido por los críticos como «Chat Control 2.0».

Se trata de una propuesta de la Comisión Europea, presentada el 11 de mayo de 2022 por la entonces comisaria de Asuntos Internos, Ylva Johansson. El objetivo declarado es noble y no se discute: prevenir y combatir los abusos sexuales a menores en Internet. El método, en cambio, es lo que la ha convertido en una de las propuestas más controvertidas de la historia de los derechos digitales europeos.

En su forma original, el CSAR prevé la obligación de que las plataformas digitales (mensajería, correo electrónico, redes sociales) detecten y denuncien material de pornografía infantil mediante las denominadas «órdenes de detección»: órdenes mediante las cuales una autoridad puede obligar a un servicio a escanear las comunicaciones de sus usuarios. No solo contenidos ya conocidos y catalogados, sino también material nunca visto antes e intentos de captación de menores (grooming). A esto se suma la verificación obligatoria de la edad de todos los usuarios europeos y, según la posición del Consejo, la posibilidad de que estas órdenes afecten también a los servicios cifrados de extremo a extremo. Precisamente por ello, el Parlamento Europeo ya la había rechazado en noviembre de 2023, calificándola abiertamente de «vigilancia masiva».

Todo gira en torno al cifrado de extremo a extremo, el sistema que hace que un mensaje solo sea legible en el dispositivo de quien lo envía y de quien lo recibe: ni siquiera el proveedor del servicio puede acceder a él. Para analizar un contenido así protegido solo existe un punto de intervención posible: el dispositivo del usuario, antes de que el mensaje se cifre. Se trata del «client-side scanning»: un fragmento de código insertado en la aplicación que lee todo lo que escribimos un instante antes del cifrado. La promesa política de que «no se tocará el cifrado» es, por tanto, un juego de palabras, porque no hace falta descifrarlo si se lee el mensaje cuando aún está en claro. Técnicamente equivale a una interceptación generalizada y permanente en todos los dispositivos.

No es un problema que se pueda eludir con algún truco, sino una propiedad estructural: no existe un escaneo del lado del cliente que abra una puerta «solo para los buenos». Una vez creada, esa puerta está abierta para todos: las autoridades de hoy, los gobiernos del mañana con otras intenciones y el primer atacante capaz de abusar de ella. Por eso, Meredith Whittaker, presidenta de Signal, ya declaró en 2024 que la aplicación abandonaría el mercado europeo antes que introducir un mecanismo similar: no es una amenaza negociadora, sino una condición previa de ingeniería. Y la puerta, en el texto, permanece entreabierta incluso cuando parece cerrada: el artículo 85, apartado 1 bis, del borrador encarga a la Comisión que evalúe periódicamente las tecnologías de detección para los servicios cifrados, reservándose de hecho el derecho a reintroducir el escaneo en el futuro.

Para encontrar uno, hay que controlarlos todos

Ahí radica el salto que hace que la norma sea grave, incluso antes de cualquier detalle técnico. Para interceptar el material de pornografía infantil que circula entre una minoría de delincuentes, el sistema debe analizar las comunicaciones de todo el mundo. No hay forma de «centrarse solo en los culpables»: un algoritmo que busca contenidos ilícitos debe primero leer, clasificar y categorizar cada foto, cada mensaje y cada archivo de cada usuario, para luego decidir si es sospechoso. La lógica de la presunción de inocencia se invierte. Cada persona se convierte en un sospechoso potencial cuya correspondencia debe ser examinada minuciosamente de forma preventiva, sin indicios ni orden judicial. Es la diferencia entre el registro selectivo que un juez autoriza sobre un investigado y un registro permanente y simultáneo en los bolsillos de 450 millones de personas.

Y dado que ese cribado debe operar sobre miles de millones de contenidos al día, la única herramienta posible es la inteligencia artificial: cada comunicación privada, para ser declarada lícita, debe pasar primero por una máquina que la etiquete. Los datos personales no solo se interceptan, sino que se perfilan. Fotos, palabras, relaciones, hábitos: todo se convierte en material que un modelo debe clasificar, porque es la única forma en que el escaneo universal puede funcionar en la práctica.

El verdadero daño: ser etiquetado por un algoritmo

Los falsos positivos son la crítica más citada y siguen siendo un problema real: más de 500 criptógrafos e investigadores de seguridad de 34 países han estimado que, con una tasa de error del 0,1 % solo en los volúmenes de WhatsApp, se superarían el millón de denuncias erróneas al día. Los defensores objetan que los modelos mejoran y que el error se reduce, y es cierto. Pero la cuestión no es cuánto se equivoca el algoritmo, sino qué hace cuando funciona.

Para decidir si un contenido es lícito, el sistema debe primero asignarle una etiqueta. Cada foto, cada mensaje, cada conversación es analizada, clasificada y, de hecho, juzgada por un modelo: sospechosa o no, de riesgo o no, que hay que denunciar o no. Esto significa que a cada ciudadano se le aplica de forma continua un perfil generado por una máquina, construido a partir de sus contenidos más íntimos. Ya no nos enfrentamos a un control que busca a un culpable, sino a una catalogación permanente de todos, en la que cada uno queda reducido a una serie de etiquetas decididas por un algoritmo que nunca le rendirá cuentas.

Y es aquí donde los problemas se vuelven enormes. Una etiqueta errónea, una vez generada, es casi imposible de rebatir: el usuario a menudo ni siquiera sabe que ha sido señalado, desconoce los criterios con los que el modelo ha tomado la decisión (se trata de algoritmos propietarios, «cajas negras» sin auditorías independientes) y no tiene una forma real de defenderse de una sospecha generada por una máquina. Además, los errores de clasificación no afectan a todo el mundo por igual: los modelos reflejan los sesgos de los datos con los que se entrenan y acaban penalizando con mayor frecuencia a determinados idiomas, comunidades o contextos culturales. Una foto de familia, un informe médico o una conversación íntima entre pareja pueden convertirse en una denuncia ante las autoridades, con consecuencias para la vida y la reputación que ninguna desmentida posterior borra realmente. La lógica de la presunción de inocencia se invierte: ya no es el Estado el que debe demostrar la culpabilidad, sino el ciudadano el que debe demostrar que está «limpio» cada vez que envía un mensaje.

Para cerrar aún más el cerco, existe una tendencia paralela que avanza en la misma dirección: el fin del anonimato como configuración predeterminada de la red. Un número cada vez mayor de sitios web exige ya demostrar la identidad o la edad para conceder el acceso. En Italia, a partir del 12 de noviembre de 2025 (y a partir del 1 de febrero de 2026 también para los portales con sede en otros países de la UE), la resolución AGCOM 96/25/CONS obliga a los sitios web pornográficos a verificar la mayoría de edad de los usuarios, con multas de hasta 250 000 euros y el posible bloqueo del acceso; y el propio CSAR prevé la verificación obligatoria de la edad para todos los usuarios europeos. Hay que reconocer que el modelo italiano se basa en el principio del «doble anonimato» y no exige ni documentos ni SPID: el sitio web desconoce la identidad del usuario y el verificador no sabe qué sitio web está visitando. Pero la cuestión estructural sigue siendo la misma: se están sentando las bases de una red en la que, para acceder a un contenido, primero hay que pasar por un control que certifique quién eres o cuántos años tienes. Y una vez construida esa infraestructura (las aplicaciones de verificación de edad, el carné de identidad digital europeo previsto para finales de 2026), transformar el «demuestra tu edad de forma anónima» en un «demuestra tu identidad» se convierte en una decisión política, no en una limitación técnica. Junto con el análisis de contenidos, esta desanonimización completa el panorama: una red en la que cada usuario es, al mismo tiempo, identificado y sometido a un minucioso escrutinio.

A todo esto se suma la «deriva funcional»: una vez construida la infraestructura capaz de etiquetar a las personas en función del contenido de sus comunicaciones, por muy detestable y compartido que sea el objetivo inicial, nada impide que mañana se amplíe a otras categorías, desde el terrorismo hasta los derechos de autor, pasando por la disidencia política. El precedente jurídico es el verdadero caballo de Troya, y así lo han señalado el Supervisor Europeo de Protección de Datos (dictamen conjunto EDPB–EDPS 4/2022), decenas de ONG, juristas y expertos en ciberseguridad.

Entre las voces más contundentes del sector se encuentra la de Pavel Durov, fundador de Telegram, quien ha anunciado que la aplicación no escaneará los mensajes privados y ha tildado la norma de artimaña propia de una «república de las plátanos». Ya en el mensaje publicado con motivo de su cumpleaños, en octubre de 2025, Durov ya había lanzado lo que definió como una llamada a las armas digitales, advirtiendo de que los gobiernos están transformando Internet de una promesa de libre intercambio a un instrumento de control, mediante medidas distópicas como la vigilancia masiva de los mensajes privados, las identidades digitales y los controles de edad en línea. Es el mismo argumento con el que Signal y WhatsApp han amenazado con abandonar el mercado europeo: no se trata de una hostilidad de principio hacia la lucha contra los abusos, sino de la convicción de que este instrumento concreto es incompatible con la confidencialidad de las comunicaciones.

La maniobra: la «voluntariedad» que no es voluntaria

Y es aquí donde el método resulta más insidioso que el fondo del asunto. Ante el bloqueo del Parlamento y las críticas de gran parte de la sociedad civil, la propuesta no se abandonó, sino que se reescribió para que pareciera menos agresiva. Bajo la presidencia danesa del Consejo, a finales de 2025, se eliminó del texto la obligación de escaneo. El 26 de noviembre de 2025, el Consejo aprobó su posición, con solo cuatro países en contra: la República Checa, Italia, los Países Bajos y Polonia.

Sobre el papel, el escaneo pasa a ser voluntario: cada proveedor puede elegir si lo aplica. En esencia, el texto mantiene medidas obligatorias de evaluación de riesgos; si un servicio se clasifica como «de alto riesgo», las autoridades pueden imponerle medidas correctivas; y, desde el punto de vista económico y de reputación, la opción más prudente es activar el escaneo de todos modos. El Consejo, aunque ha eliminado la obligación formal, ha creado un sistema de incentivos que empuja a todos en la misma dirección. Se trata de una voluntariedad meramente aparente: nadie te obliga, pero el coste de decir que no está diseñado para ser insostenible.

Que no se trata de una interpretación malintencionada por parte de los críticos lo confirma una fuente insospechable, interna de las instituciones. En 2026, el Servicio Jurídico del Consejo dejó constancia de que el escaneo «voluntario» constituye, en cualquier caso, un escaneo generalizado de las comunicaciones y es incompatible con el artículo 7 de la Carta de los Derechos Fundamentales de la UE, a falta de una sospecha razonable y de una autorización judicial previa. En otras palabras, los propios juristas del Consejo afirman que la versión «suavizada» sigue siendo, desde el punto de vista de los derechos, tan ilegítima como la original.

No se trata de un caso aislado de forzamiento. La propia comisaria Johansson ya había sido objeto de críticas por la forma en que se había redactado y promovido la propuesta: una campaña publicitaria de microsegmentación para orientar a la opinión pública a favor de la norma, que, según la asociación European Digital Rights (EDRi), infringía precisamente aquellas normas sobre privacidad y protección de datos que el reglamento afirmaba querer proteger. Un método que, por sí solo, dice mucho sobre la relación entre los promotores del texto y los principios que dicen defender.

Septiembre, y la respuesta que no llega desde Bruselas

El CSAR aún no es ley. Su aprobación pasa por los trílogos, las negociaciones a tres bandas entre el Parlamento, el Consejo y la Comisión. Ya han fracasado cinco seguidas, la última el 29 de junio de 2026 bajo la presidencia chipriota, porque el quid de la cuestión sigue siendo el mismo: el alcance de las facultades de vigilancia y el futuro del cifrado. El Parlamento sigue defendiendo que el análisis debe limitarse a personas o grupos de los que existan sospechas razonables, y solo por orden judicial; el Consejo y la Comisión presionan para que se amplíe el alcance. El próximo diálogo tripartito está previsto para finales de septiembre, bajo la presidencia irlandesa, y las votaciones se reanudarán a partir de ahí: el verdadero momento decisivo es el último trimestre de 2026, no el revuelo mediático del verano.

Hay que reconocer, para ser justos, que los defensores plantean un argumento nada desdeñable: según la Comisión, en algunos países de la UE hasta el 80 % de las investigaciones sobre abusos en línea se inician a partir de denuncias de los proveedores de servicios. Pero ese resultado también se puede lograr por vías específicas (vigilancia de sospechosos identificados con autorización judicial, cooperación reforzada entre Europol y las autoridades nacionales, tecnologías que analizan sin descifrar) sin socavar la privacidad de 450 millones de personas. La cuestión es que la decisión política, en Bruselas, puede ir en ambas direcciones, y nadie puede dar hoy por sentado el resultado.

Y ahí radica precisamente el quid de la cuestión para quien lee esto: esperar pasivamente a la votación no es la única opción. Gran parte de nuestra vulnerabilidad proviene de una decisión que hemos tomado nosotros, no Bruselas: haber concentrado toda nuestra vida privada en un puñado de plataformas centralizadas, casi todas en manos de unos pocos grandes grupos. WhatsApp, Instagram y Messenger pertenecen a la misma empresa; cuando la correspondencia de cientos de millones de personas pasa por un único punto, ese punto se convierte exactamente en lo que una ley de vigilancia puede obligar, o convencer, a escanear. Una infraestructura centralizada es, por definición, un interruptor único: basta con pulsar ahí.

La respuesta concreta, la que no depende de cómo vote el Consejo, es empezar a reducir esta dependencia. Significa pasarse a herramientas que no pertenezcan a un único gigante: aplicaciones con cifrado de extremode extremo a extremo real y activa por defecto, con código abierto que cualquiera pueda inspeccionar (para que nadie pueda introducir a escondidas un mecanismo de escaneo del lado del cliente) y, a ser posible, construidas sobre redes descentralizadas o federadas, donde no exista una única empresa a la que imponer una orden de rastreo. Signal, el protocolo Matrix con sus clientes o las soluciones autoalojables van en esta dirección; las aplicaciones de las grandes redes sociales, por su arquitectura y modelo de negocio, no. Ninguna de estas herramientas es una varita mágica, ni sustituye a la lucha política: pero la soberanía digital, más que una petición a los legisladores, es un hábito cotidiano. Cuanto más distribuidas, abiertas y verificables sean las comunicaciones de las personas, más difícil resultará convertirlas, con un solo voto o una sola orden, en un archivo que se pueda rastrear.

Porque, al fin y al cabo, la pregunta que plantea Chat Control 2.0 no se refiere solo a lo que decidirá Europa en septiembre, sino a hasta qué punto estamos dispuestos a depender de plataformas que, el día en que una ley lo exija, podrían leerlo todo por nosotros. La privacidad, en este escenario, ya no es solo un derecho que hay que defender en el hemiciclo: es una elección técnica que hay que tomar cada vez que abrimos una aplicación.