La velocidad del desarrollo tecnológico sigue colocando a los Estados frente a una encrucijada difícil de resolver. Cada día contamos con más herramientas para prevenir delitos, identificar amenazas y proteger infraestructuras críticas, pero al mismo tiempo nunca había sido tan sencillo ocultar comunicaciones, identidades y actividades dentro de ecosistemas tecnológicos protegidos por sofisticados mecanismos de cifrado. La pregunta más frecuente en los foros donde participo como conferencista es si la encriptación puede llegar a colocarse, en determinados casos, por encima de la capacidad legítima de los Estados para garantizar la seguridad y perseguir la multicriminalidad.
La encriptación cumple una función esencial, protege operaciones bancarias, secretos empresariales, comunicaciones profesionales, conversaciones sociales y datos personales. El cifrado de extremo a extremo utilizado por distintas aplicaciones busca garantizar que solo el emisor y el receptor puedan conocer el contenido de una comunicación. Esa arquitectura es una importante garantía de privacidad. El problema surge cuando la misma protección tecnológica es utilizada por organizaciones criminales, terroristas, redes de explotación sexual, extorsionadores o estructuras dedicadas al narcotráfico para dificultar las investigaciones.
Este conflicto no es nuevo, el propio FBI utiliza desde hace años la expresión Going Dark para describir aquellas situaciones en las que las autoridades poseen facultades legales para acceder a determinada información, pero la tecnología les impide materialmente obtenerla. Ya en el año 2015, el organismo advertía que podía encontrarse imposibilitado de acceder a información necesaria para investigar delitos o prevenir actos terroristas, aun contando con autoridad legal para hacerlo.
En este contexto, vale citar el caso más conocido, ocurrido tras el atentado de San Bernardino, California. El FBI necesitaba acceder al teléfono de uno de los responsables y sostuvo una conocida disputa con Apple sobre la posibilidad de facilitar técnicamente el acceso al dispositivo. El episodio simbolizó un debate que continúa vigente: ¿debe una empresa tecnológica diseñar sistemas de seguridad que ni siquiera puedan ser abiertos ante una orden judicial legítima? Para las autoridades, la inaccesibilidad absoluta puede favorecer espacios de impunidad, para las empresas tecnológicas introducir mecanismos especiales de acceso puede debilitar la seguridad de millones de usuarios.
La posición histórica del FBI tampoco puede reducirse a exigir «puertas traseras». En testimonios posteriores, la institución ha señalado que no pretende debilitar el cifrado mediante una vulnerabilidad accesible indiscriminadamente, sino encontrar soluciones que preserven una encriptación robusta y simultáneamente, permitan un acceso legal cuando exista autorización competente. Aquí aparece la verdadera complejidad del problema: técnicamente, construir una llave excepcional que solo pueda utilizar el Estado resulta mucho más difícil de lo que parece.
América Latina tiene en Brasil el laboratorio más elocuente de esta tensión, entre los años 2015 y 2016, la Justicia carioca ordenó bloquear WhatsApp hasta tres veces en menos de un año, ante la negativa de la empresa a entregar mensajes de personas investigadas por delitos graves, alegando que su arquitectura de cifrado le impedía técnicamente acceder a ese contenido. El patrón se repitió con Telegram en los años 2022 y 2023, el magistrado del Supremo Tribunal Federal Alexandre de Moraes ordenó suspensiones completas de la aplicación en todo el país tras considerar que la plataforma desatendía de forma reiterada órdenes judiciales, incluyendo solicitudes vinculadas a la difusión de desinformación electoral y a investigaciones sobre explotación de menores. En el episodio del año 2023, referido a grupos neonazis señalados por incitar ataques escolares, la empresa respondió que la información pedida resultaba tecnológicamente imposible de entregar, un argumento que reproduce casi al pie de la letra el que usó Apple frente al FBI en San Bernardino. En el año 2024 le tocó el turno a X, bloqueada durante 40 días hasta que la compañía accedió a cumplir las órdenes judiciales pendientes.
Ese historial de choques explica dos desarrollos recientes, por un lado, el Supremo Brasileño avanza este año hacia un criterio de responsabilización directa de las plataformas por el contenido de sus usuarios, más allá del simple incumplimiento de una orden de retiro. En otro orden, tambien una ley aprobada en marzo de este año convirtió el uso de aplicaciones cifradas o herramientas de privacidad para ocultar actividad criminal en agravante penal, ampliando además la facultad judicial para congelar o incautar criptoactivos vinculados a investigaciones. El caso brasileño muestra, mejor que ningún otro en la región, hasta dónde puede tensarse la relación entre soberanía judicial y arquitectura tecnológica, y también los riesgos de que esa tensión derive en señalamientos de extralimitación judicial, como los que el propio Moraes ha enfrentado dentro de su pais.
A esto se suma la política migratoria y la revisión de redes sociales, Estados Unidos ha reforzado la utilización de información disponible en redes sociales dentro de determinados procesos de evaluación de solicitantes de visas, bajo el criterio de que cada decisión migratoria forma parte de una decisión de seguridad nacional. El razonamiento evidencia un cambio importante. Antes el Estado evaluaba documentos, antecedentes y entrevistas, hoy la identidad digital de una persona, sus publicaciones, conexiones y comportamientos públicos en línea, puede formar parte de los mecanismos de evaluación de riesgos. Una cosa es examinar información voluntariamente publicada en espacios abiertos y otra muy distinta sería exigir acceso indiscriminado a comunicaciones privadas protegidas mediante cifrado.
Estamos ante un fenómeno más amplio, el desplazamiento de poder desde los Estados hacia las arquitecturas tecnológicas privadas. Una aplicación puede decidir qué información conserva, qué datos cifra y cuáles puede proporcionar a una autoridad judicial. Una compañía puede diseñar un teléfono cuya información resulte técnicamente inaccesible, y un laboratorio privado puede desarrollar modelos de inteligencia artificial con capacidades comparables a herramientas estratégicas tradicionalmente reservadas a gobiernos. La soberanía del siglo XXI comienza a depender también de quién controla los datos, los algoritmos y las claves criptográficas.
Sin embargo, sería importante concluir que la seguridad del Estado debe colocarse automáticamente por encima de la privacidad, debiendo siempre estar en contextos democráticos sometidos a límites constitucionales. El acceso a dispositivos y la obtención de evidencia electrónica deben respetar legalidad, necesidad, proporcionalidad, debido proceso y autorización judicial. El verdadero reto está en desarrollar mecanismos de cooperación, preservación de evidencia, análisis forense y acceso legal selectivo que permitan investigar delitos graves sin destruir las garantías tecnológicas que protegen a millones de ciudadanos.
Por Ysaias J. Tamarez, Investigador.