Alfonso Peralta Gutiérrez. Magistrado experto en derecho digital. Entre el Mundial y las vacaciones, si te interesa el derecho digital habrás visto reacciones alarmantes sobre la aprobación del Parlamento Europeo por procedimiento de urgencia, el último día de sesiones, de la prórroga del llamado Chatcontrol 1.0. La pregunta es qué se ha prorrogado realmente y en qué se diferencia del Chatcontrol 2.0.
 |
||
| Alfonso Peralta, un magistrado adelantado a su tiempo (Imagen cedida Poder judicial) | ||
El problema parte de un doble choque normativo europeo y de una propuesta legislativa que, además, se enfrenta a la jurisprudencia consolidada de Luxemburgo y Estrasburgo.
El origen se remonta a la Directiva 2011/93/UE, relativa a la lucha contra los abusos sexuales y la explotación sexual de menores y la pornografía infantil, que dio lugar en España a la reforma de 2015 del Código Penal.
Desde hace años se citan cifras muy elevadas sobre material de abuso sexual infantil en Internet: millones de denuncias, decenas de millones de contenidos y fuertes incrementos recientes. Ahora bien, muchas de esas cifras proceden de estudios antiguos o no siempre actualizados.
La Directiva permitió retirar contenidos y bloquear páginas web vinculadas a la explotación y abuso sexual infantil, con colaboración de los prestadores de servicios de la sociedad de la información.
Esto convive con el artículo 8 de la Ley de Servicios Digitales, que impide imponer a los prestadores una obligación general de supervisar la información o buscar activamente hechos que indiquen actividades ilícitas. El primer choque aparece precisamente ahí: la normativa sobre comercio electrónico y la DSA prohíben obligaciones generales de vigilancia, mientras la propuesta de Chatcontrol 2.0 se aproxima a esa lógica.
Hasta ahora, a los prestadores se les exige actuar con prontitud cuando tienen conocimiento efectivo, pero no realizar una búsqueda activa y permanente. Esa lógica coincide con los artículos 16 y 17 de la Ley 34/2002, trasposición de la Directiva 2000/31/CE sobre comercio electrónico.
La diferencia no está tanto en los algoritmos de moderación de contenido público, ya existentes, sino en tecnologías aplicadas a comunicaciones cifradas de extremo a extremo: escaneo en el lado del cliente, hashing perceptual o clasificadores de inteligencia artificial.
Lo que algunos llaman Chatcontrol 1.0 es, en esencia, una habilitación temporal para que empresas de internet moderen voluntariamente los contenidos de las comunicaciones relacionados con abuso y explotación sexual infantil, dentro de sus políticas internas y términos de servicio.
La DSA se dirige a prestadores de servicios intermediarios de contenidos públicos, en especial plataformas y redes sociales; la propuesta CSA se proyecta especialmente sobre mensajería encriptada.
El Chatcontrol 2.0, supone un paso más hacia la monitorización efectiva, al prever obligaciones de establecer medidas tecnológicas de detección de material de abuso sexual infantil conocido y, potencialmente, nuevo, con obligación de denuncia ante autoridades públicas.
La consecuencia es limitar la regla de no monitorización y la necesidad de abrir una excepción a la Directiva ePrivacy.
Un ejemplo es WhatsApp: Meta habría bloqueado unas 250.000 cuentas mensuales por compartir imágenes de explotación infantil, investigando de forma proactiva elementos no cifrados, como fotografías públicas de perfil.
Sobre la propuesta tecnológica
La propuesta no impone una tecnología concreta, pero exige revisar contenidos antes del cifrado o mediante sistemas compatibles con el escaneo. Una técnica es el hashing, que crea huellas digitales de imágenes y vídeos para compararlas con bases de datos de contenido ilícito conocido.
PhotoDNA, desarrollada por Microsoft con Dartmouth College, es una de las herramientas de hash más conocidas para detectar imágenes ya identificadas de abuso sexual infantil y se ofrece gratuitamente a organizaciones de todo el mundo.
Aquí surge el segundo choque normativo, directamente relacionado con lo aprobado el 9 de julio de 2026.
El Reglamento (UE) 2021/1232 creó una solución temporal mientras se elaboraba el Reglamento CSA.
Como la Directiva ePrivacy no contiene una excepción específica, es necesaria una habilitación legal para que los prestadores pudieran aplicar medidas voluntarias sin vulnerar la confidencialidad de comunicaciones y datos de tráfico. El Reglamento no crea una base de legitimación autónoma, pero sí una excepción temporal a determinados preceptos de la Directiva 2002/58/CE.
Incluso entonces se insiste en que las tecnologías deben detectar pautas de abuso sexual infantil sin deducir la sustancia de las comunicaciones, aunque impliquen filtrado y escaneo sistemático.
Su vigencia inicial acababa el 3 de agosto de 2024, el Reglamento (UE) 2024/1307 la prorrogó, pero volvió a expirar el 3 de abril de 2026.
El Consejo pretende hacer permanente esa excepción, mientras el Parlamento ha mostrado una oposición reiterada.
De nuevo aparecen dos caminos:
- mantener autorregulación, códigos voluntarios y retirada de contenidos detectados o denunciados por autoridades competentes;
- o imponer obligaciones legales de detección de abusos sexuales de menores en línea, conocidos y nuevos.
La DSA y la propuesta CSA comparten numerosos paralelismos: obligaciones de denuncia, retirada, análisis de riesgos, mitigación, documentación, transparencia e informes.
El quid no es sólo si esa monitorización puede ser efectiva, sino qué efectos tiene sobre la intimidad, el secreto y la seguridad de las comunicaciones y los derechos fundamentales.
Sus defensores, como ECLAG, sostienen que estas tecnologías no «leen» mensajes, sino que comparan huellas digitales de imágenes con bases de datos verificadas o aplican clasificadores.
Sin embargo, el Servicio de Estudios del Parlamento Europeo advierte del riesgo de falsos positivos, con daños reputacionales graves y posibles afectaciones a imágenes inocuas de menores o a contenidos sexuales compartidos lícitamente entre adolescentes o adultos.
Las estimaciones varían respecto a estas tecnologías: EDRi menciona un margen de error del 10 %, la Comisión habla de un 88 % de exactitud y un informe de LinkedIn sobre PhotoDNA indicó que sólo el 41 % de lo señalado como abuso infantil constituía material ilegal en la UE.
Escalado a grandes volúmenes, el problema se dispara: un sistema de mensajería en el que se envían mil millones de mensajes al día, de los cuales 10 000 son mensajes con CSAM, la herramienta informaría de un millón de falsos positivos cada día, con 8000 verdaderos positivos y 2000 falsos negativos. Una persona tarda aproximadamente 10 segundos en clasificar si el contenido denunciado es realmente CSAM o si se trata de un falso positivo.
Esto significa que una persona podría clasificar unos 2500 mensajes al día. Por cada mil millones de mensajes, se necesitarían 400 personas de forma permanente para clasificar esas imágenes. Teniendo en cuenta la formación, las vacaciones y los fines de semana, es más probable que se necesite un equipo de 800 personas para clasificar esas imágenes.
Esta carga de trabajo se considera inviable
.Además, los proveedores tenderían a notificar en exceso para evitar responsabilidades sin que ello conllevara investigaciones criminales. A ello se suma el riesgo de debilitar el cifrado de extremo a extremo, crear vulnerabilidades y vulnerar la prohibición de conservación general de datos y de vigilancia indiscriminada.
Queda, además, la cuestión más delicada: la tentación de reutilizar esa monitorización para otros fines.
La pretensión de eximir a policías, soldados, agentes de inteligencia e incluso ministros del Interior del control de conversaciones revela hasta qué punto se asume que Chatcontrol puede operar como infraestructura de vigilancia.
El 26 de marzo de 2026, la mayoría de eurodiputados votó contra extender la exención temporal que permitía a empresas como Meta, Google o LinkedIn escanear mensajes privados en busca de abuso infantil y otros contenidos ilegales.
El Parlamento rechazó los elementos más controvertidos: análisis de mensajes cifrados de extremo a extremo, detección más allá del material conocido mediante hashes y control de comunicaciones en tiempo real.
Ello generó incertidumbre, porque las grandes plataformas quedaban sin base legal clara para prácticas voluntarias de escaneado de contenidos que llevaban haciendo décadas.
El 22 de junio de 2026, Consejo y Parlamento alcanzaron un acuerdo provisional para actualizar la normativa penal europea sobre abuso y explotación sexual infantil, dejando al margen el Chatcontrol 2.0.
El 9 de julio de 2026, en la última sesión antes de vacaciones, el Parlamento volvió a aprobar por procedimiento de urgencia la excepción de privacidad remitida por el Consejo, permitiendo a las plataformas detectar abuso sexual infantil hasta el 3 de abril de 2028. La mayoría votó en contra, pero no alcanzó la mayoría absoluta necesaria para rechazarla, por lo que quedó aprobada en segunda lectura y pasa ahora al Consejo.
No obstante, para ser justos habría que añadir dos elementos más a la ecuación. El Marco Legislativo Nacional de IA de Estados Unidos aprobado el 20 de marzo de 2026 por el Presidente Trump introduce además de una recomendación legislativa federal sobre un sistema de verificación de edad en redes sociales y servicios de IA, controles parentales, medidas de reducción de riesgos de explotación sexual y material de abuso sexual infantil. Es decir, Trump también quiere un Chatcontrol.
Pero es más, China, superpotencia de IA y también de su regulación, en su cuarta ley sobre inteligencia artificial, “Medidas provisionales para la administración de servicios interactivos humanizados basados en inteligencia artificial”, en fase de audiencia pública en abril de 2026, incluye algo también muy similar.
Defender el modelo europeo
La cuestión, por tanto, no es sólo si Europa vuelve a ser una potencia regulatoria, sino si quiere seguir en esa superioridad de valores democráticos y respeto de derechos fundamentales o quiere seguir el camino de una dictadura comunista hipervigilante y de unos Estados Unidos de la vigilancia masiva a través de la FISA Act y la Patriot Act.
La pregunta más interesante es: ¿habían dejado realmente de monitorizar contenidos las grandes plataformas al perder base legal?, ¿existe ya la infraestructura técnica para monitorizar las comunicaciones cifradas de extremo a extremo sin ser destinatario?
Diversas organizaciones civiles sostienen que Chatcontrol supone vigilancia masiva, general e indiscriminada. La clave es si una vigilancia de ese tipo puede ser legal y compatible con los derechos fundamentales.
La jurisprudencia de Luxemburgo y Estrasburgo se ha consolidado en casos como Schrems, Privacy International, Quadrature du Net, Big Brother Watch, Pietrzak y Bychawska-Siniarska o Podchasov contra Rusia.
El TEDH recuerda el caso Roman Zakharov, donde el Tribunal examinó la legislación rusa sobre vigilancia secreta y concluyó que, dado el amplio alcance de su aplicación, que afecta a todos los usuarios de redes de comunicaciones, y la falta de medios efectivos para impugnar la supuesta aplicación de dichas medidas a nivel nacional, la mera existencia de una legislación que permita la vigilancia secreta constituye una injerencia en la vida privada del usuario.
Por consiguiente, considera que la legislación nacional no prevé salvaguardias adecuadas y suficientes contra los abusos relacionados con el acceso de las autoridades policiales a las comunicaciones por Internet y a los datos de comunicaciones conexos almacenados. En cuanto al posible acceso de las autoridades a los datos y la obligación de Telegram de descifrarlos si están cifrados, constituye una injerencia en los derechos del demandante reconocidos por el artículo 8.
Y si bien se reconoce que la utilización de sistemas de cifrado dificulta la persecución del crimen, siguiendo la declaración conjunta de Europol y la Agencia de la Unión Europea para la Ciberseguridad (ENISA) de hace más de 10 años, 20 de mayo de 2016, consideran soluciones alternativas para el descifrado que no debiliten los mecanismos de protección.
La pregunta final es inevitable: ¿puede la Unión Europea aprobar normas que se han considerado contrarias a su propia Carta de Derechos Fundamentales y al Convenio Europeo de Derechos Humanos en una materia sobre la que el TJUE y el TEDH ya han fijado una jurisprudencia consolidada?