Si hablamos de conceptos como «captación masiva de información», «parametrización individual» o «control social»; proyectos como la «Gran Muralla» del gobierno chino o legislaciones estadounidenses como FISA Section 702, CLOUD Act y el futuro Stargate, no tienen a día de hoy una réplica europea. A día de hoy…
Pero ello no es óbice para que lo estén intentando, en éstos mismos momentos y bajo el manido argumento de «mejorar nuestra seguridad». En éste caso concreto:
Reglamento para Prevenir y Combatir el Abuso Sexual Infantil (CSAR, por sus siglas en inglés).
¿En qué consiste Chat Control?
El objetivo declarado de la Comisión Europea es el de combatir la difusión de material de abuso sexual infantil (CSAM) y el «grooming» (embaucamiento de menores). Para ello, la normativa propone obligar -o incentivar «voluntariamente»- a los proveedores de servicios (WhatsApp, Signal, Telegram, iCloud) a escanear el contenido de todos los mensajes, fotos y enlaces enviados por los ciudadanos desde sus dispositivos móviles.
¿Cómo se pretende implementar?
El gran problema que entraña ésta medida es el conocido como Cifrado de Extremo a Extremo (E2EE) implementado por Signal y Whatsapp. El cual garantiza que el mensaje se cifra localmente en el terminal emisor y se descifra, también localmente, en el terminal receptor.
Ante la dificultad y el escándalo que supondría proponer el romper dicho cifrado, se ha optado por habilitar el Client-Side Scanning (Escaneo en el Dispositivo).
El proceso consiste en que, antes de que el terminal emisor cifre el mensaje (tanto texto como imágenes y archivos) para enviarlo, un algoritmo de inteligencia artificial instalado en la propia aplicación revisa el contenido. Si el algoritmo detecta una coincidencia con una base de datos de contenido ilícito o detecta «patrones de lenguaje sospechosos», el mensaje se bloquea y/o se envía automáticamente a las autoridades.
¿Qué impacto supone todo ésto en la privacidad del usuario?
Aunque parezca obvio y dedicado a todos los amigos del club «a mí no me afecta porque no tengo nada que ocultar»:
- Violación masiva de comunicaciones privadas: Escanear todos los mensajes de cientos de millones de europeos (WhatsApp, Signal, iMessage, etc.) equivale a vigilancia generalizada sin sospecha previa, incompatible con el artículo 7 (privacidad) y 8 (protección de datos) de la Carta de Derechos Fundamentales de la UE.
- Riesgos colaterales: profesionales, periodistas, activistas y empresas usarían aplicaciones de mensajería «debilitadas», afectando a la ciberseguridad (NIS2, eIDAS) y finalmente a toda la competitividad digital europea.
- Puertas traseras universales: Si se crea una vulnerabilidad para que las autoridades competentes accedan a los mensajes, es cuestión de tiempo que también acabe explotada por delincuentes y autoridades «no competentes».
- Falsos positivos: Los algoritmos de IA cometen errores (muchos a fecha de hoy). Una foto familiar en la playa o un mensaje privado malinterpretado, podrían convertir a un ciudadano inocente en sospechoso ante las autoridades sin mediar intervención humana previa.
¿Qué repercusiones acabaría acarreando?
Aunque durante muchos momentos del proceso se trató de minimizarlo hablando exclusivamente de «WhatsApp, Signal, Telegram e iCloud«, su alcance es mucho más amplio y abarca cualquier servicio de comunicación electrónica usado por usuarios europeos. De forma que, si finalmente se aprobase sin ninguna enmienda sustancial (el concepto de «voluntariedad» resulta simplemente ridículo), su afectación sería de muy largo alcance:
- Fin de la confidencialidad: Profesionales que dependen del secreto (abogados, periodistas, médicos) ya no pueden garantizar la privacidad de sus fuentes o pacientes.
- Verificación de edad intrusiva: La última versión de la ley (2025-2026) ha derivado hacia la verificación obligatoria de edad. Para usar chats, podrías tener que subir tu DNI o pasar un escaneo facial biométrico, creando una base de datos masiva de identidades vinculadas a tus hábitos de comunicación.
Todos los proveedores de «servicios de comunicación intermedia» según la Directiva ePrivacy (2002/58/CE), que incluye:
- Mensajería instantánea (chats privados/grupos). Videollamadas y llamadas.
- Correo electrónico.
- Almacenamiento en la nube (fotos, videos, archivos).
- Redes sociales con funciones de mensajería privada.
- Juegos online con chat integrado.
- Tiendas de Aplicaciones (App stores) para verificación de edad en apps consideras «de riesgo».
Ejemplos concretos mencionados en debates y análisis:
- Mensajería cifrada: WhatsApp, Signal, Telegram, Threema, Session, Wire, iMessage/FaceTime (Apple).
- Redes sociales: Facebook Messenger, Instagram *DM, TikTok DM, X (Twitter) *DM, Snapchat, Bluesky.
- Correo y servicios de EE. UU.: Gmail, Outlook, iCloud Mail (ya escanean CSAM de forma voluntaria).
- Otros: Skype, Zoom, Xbox Live, juegos como FIFA, Minecraft, Roblox, GTA (chats integrados); aplicaciones de citas.
- Almacenamiento en la nube: Google Drive, Dropbox, iCloud Photos (escaneo de fotos privadas).
*DM mensajería directa.
¿En qué estado se encuentra actualmente Chat Control?
Cualquier aplicación o servicio con un volumen superior a 45 millones de usuarios en la UE o clasificado como de «alto riesgo» para CSAM/Grooming debe superar todas las evaluaciones y, potencialmente, llevar a cabo un «escaneo voluntario».
Se está hablando de «excepciones limitadas» para servicios P2P descentralizados (como Jami, Tox, Briar) o federados (XMPP con cifrado Omemo, Matrix). Pero no así para sus respectivas aplicaciones una vez alcanzaran el número de usuarios establecido. ¿¿??
Conclusiones
A diferencia de la iniciativa estadounidense -Stargate, en cuyo planteamiento inicial se contemplan aspectos abiertamente positivos para diferentes comunidades; en el caso del «ChatControl» europeo brillan por su ausencia:
- Mientras que Stargate se presenta como una infraestructura de cálculo (con aplicaciones legítimas en diversos campos), Chat Control no ofrece ninguna función productiva.
- Stargate es un «motor»; Chat Control es un «filtro» que no genera conocimiento, solo metadatos de vigilancia. Al no tener una vertiente científica o industrial, su única razón de ser es la erosión del Cifrado de Extremo a Extremo, lo que debilita la seguridad de todos los ciudadanos bajo pretexto de vigilar a unos pocos.
El fin de la tutela judicial
Actualmente, la interceptación de comunicaciones requiere una orden judicial basada en una serie de indicios razonables. Chat Control desplaza la decisión del poder judicial al poder político-administrativo. Es el algoritmo (diseñado bajo directrices políticas) quien decide qué es «sospechoso».
Riesgo de deslizamiento/deriva (Function Creep)
Una vez instalada la infraestructura para buscar un tipo de contenido, solo hace falta cambiar o añadir líneas de código para buscar «disidencia política», «críticas al gobierno» o «desinformación». Conceptos que la historia ha demostrado como muy «volátiles» según quién ostente el poder en cada momento.
Convergencia total: Vigilancia + Euro Digital
En ciberseguridad es lo que se conoce como «correlación masiva de eventos«.
Si el Estado escanea las comunicaciones (Chat Control) y controla el flujo del dinero (Euro Digital), el anonimato desaparece. Siendo las CBDCs moneda tanto trazable como programable, el poder político podría, teóricamente, bloquear tu capacidad de gasto o limitarla a ciertos productos en función de una serie de perfiles asociados a pautas de conducta e ideología.
ChatControl no convierte automáticamente a Europa en China, pero normaliza tecnologías de inspección masiva que son requisito previo para cualquier sistema tipo «crédito social» si en el futuro se alinean voluntad política y marco legal.