Hace dos días Anthropic confirmaba que los modelos Claude lanzados a partir del 2 de agosto van a empezar a incrustar una marca de agua invisible en todo el texto que generan. Todo ello, como resultado de que la compañía firmase en su momento el Código de Buenas Prácticas sobre Transparencia de Contenido Generado por IA, vinculado al Artículo 50 de la Ley de IA de la Unión Europea (AI Act). Google, Meta, Microsoft y OpenAI son algunas de las otras compañías firmantes.

Horas después, el ingeniero y comentarista tecnológico Daniel Jeffries publicó en X una publicación que ya acumula más de 20.000 interacciones: la ley, decía, es “una de las peores piezas de legislación jamás escritas”, que debería “eliminarse por completo”, puesto que el marcado de texto es “pensamiento mágico” que solo conseguirá empeorar la escritura de la IA para lograr algo que, sostenía, ni siquiera es técnicamente posible.

Esto desencadenó no solo una pelea ideológica sobre regulación —que también— sino, ante todo, un experimento en tiempo real sobre cómo se forma (mal) el consenso público en torno a una norma técnica compleja, y sobre lo poco que se ha hablado de los límites técnicos reales del propio sistema de marcado.

Lo que realmente dice la ley

En algún punto de las respuestas al mensaje de Jeffries, un usuario intentaba poner orden con una afirmación tajante:

“La Ley de IA de la UE no obliga a los proveedores a hacer esto. Requiere que los usuarios finales identifiquen el contenido generado por IA si a) no ha habido edición humana y b) el contenido es para consumo público. Eso es todo. Esto no tiene nada que ver con la UE y sí con que Anthropic está envenenando sus resultados contra ‘ataques de destilación’”.

Es una afirmación plausible y bien razonada, que de hecho puede verse repetida en otras publicaciones en redes sociales… pero que cuyo fundamento en completamente erróneo.

El Artículo 50 del AI Act, en su apartado 2, dice literalmente que los proveedores de sistemas de IA —incluidos los sistemas de propósito general— que generen contenido sintético de audio, imagen, vídeo o texto “deberán garantizar que los resultados del sistema de IA estén marcados en un formato legible por máquina y sean detectables como generados o manipulados artificialmente”.

En resumen, es una obligación técnica que recae sobre quien construye el modelo: Anthropic, OpenAI, Google. No sobre quien lo usa. Lo que describía el usuario —marcar solo si no hubo edición humana y el contenido es de interés público— corresponde a un apartado distinto y posterior de la misma ley, el 50(4), que impone una obligación separada sobre los desplegadores: quienes usan un sistema de IA para publicar deepfakes o textos sobre asuntos de interés público.

Como explica el despacho legal Bird & Bird en su análisis del borrador del Código de Prácticas, los desplegadores “se libran en gran medida de la ingeniería técnica pesada del marcado de agua” precisamente porque esa carga recae en otro actor de la cadena: el proveedor del modelo, sujeto al artículo 50(2).

El aspecto técnico que ninguno de los dos bandos explica bien

Pero si bien la discusión legal está viciada por la desinformación, la discusión técnica —¿de verdad se puede marcar texto sin degradarlo?— tiene más sustancia de la que sugieren ambos bandos del hilo, pero tampoco es tan sencilla como la presentan.

La postura de Jeffries es categórica: “no hay forma significativa de codificar una marca de agua en el texto sin alterarlo”, y por tanto la ley “acaba de exigir que la escritura de la IA sea demostrablemente peor por algo que ni siquiera es posible”.

Varios usuarios le corrigieron con razón parcial. Uno respondió que “se puede mantener la distribución de probabilidad de los tokens intacta y aun así tener la marca de agua. No tiene por qué afectar a la calidad del resultado”. Y tiene respaldo académico sólido: existen efectivamente métodos de watermarking “sin distorsión” (distortion-free) que preservan matemáticamente la distribución original del texto mientras permiten la detección posterior — es la familia de técnicas que utiliza, por ejemplo, SynthID de Google DeepMind, presentada en 2024 con la promesa explícita de incorporar “una marca de agua imperceptible sin afectar la calidad, precisión, creatividad o velocidad” de la generación de texto.

Hasta aquí, el bando “esto no es para tanto” parece llevar la razón. Pero el asunto se complica en cuanto se revisa cómo de capaces son esas marcas de superar un proceso de edición, lo cual determinaría la utilidad de adoptar esta clase de medidas.

Y resulta que la literatura académica más reciente sobre el tema —incluyendo un estudio de 2026 sobre marcado estructural de lenguaje— confirma que prácticamente todos los métodos de watermarking basados en la distribución de tokens “producen una señal en el espacio de frecuencia de tokens” que se ve gravemente afectada por el parafraseo: las tasas de detección caen a apenas un 50-64% después de que el texto pase por una herramienta de reescritura moderada.

Esto le da la razón a Jeffries: tras una reescritura parcial de un artículo redactado con ayuda de IA, es perfectamente plausible que la marca que impone la normativa no sobreviva. Y esto es porque existe una balanza entre capacidad de detección y preservación de la calidad del texto: cuanto más se fuerza la señal estadística para que sobreviva a la edición, más se altera el texto generado; cuanto más se preserva la naturalidad del texto, más frágil es la marca frente a una reescritura agresiva.

El propio soporte técnico de Anthropic lo reconoce sin rodeos: la marca “puede persistir al copiar y pegar”, pero “una edición intensa puede degradarla”.

Dato curioso: Ya se ha lanzado una herramienta online —claudewatermarkremover.app— diseñada específicamente para “neutralizar la firma estadística” del texto de Claude “manteniendo el significado”.

Una norma que se retrasa mientras la industria se adelanta

El 7 de mayo de 2026 el Parlamento Europeo cerró un acuerdo provisional para aplazar la exigibilidad efectiva del marcado de contenido de IA hasta el 2 de diciembre de 2026 (así como para las normas más estrictas para sistemas de alto riesgo, como el empleo o la biometría). La propuesta forma parte del llamado “Ómnibus Digital”, el plan con el que la Comisión Europea busca simplificar el conjunto de normas digitales comunitarias ante la presión de la industria por reducir la fricción regulatoria. El texto se aprobó con una mayoría amplia (569 votos a favor, 45 en contra), aunque todavía necesita la ratificación formal del Consejo antes de ser definitivo.

Así, al mismo tiempo que Bruselas negocia dar más margen a las empresas de IA, Anthropic se ha adelantado voluntariamente en la implementación del marcado. De hecho, la medida no se restringirá a sus usuarios europeos: según confirma la propia compañía en su comunicado, “el marcado se aplicará a la salida de los modelos compatibles allí donde se ofrezca Claude, a nivel mundial”.

¿Por qué las grandes compañías no sólo no ofrecen resistencia a estas regulaciones, sino que las promueven adoptándolas antes de que sea requisito legal? Un participante del hilo de X aporta una posible explicación:

“Por supuesto que corporaciones como Anthropic adoran ese tipo de regulación. Porque hay una probabilidad más alta de que sus competidores de pesos abiertos sean sancionados por no incorporar patrones estadísticos degenerativos en sus resultados”.

El espacio exterior ya no es solo el terreno de los cohetes y los satélites de comunicación: también se ha convertido en el nuevo frente de la carrera por la inteligencia artificial. Así, SpaceX, Blue Origin y una oleada de startups —entre ellas Cowboy Space Corporation, fundada por el cofundador de Robinhood, Baiju Bhatt— han presentado ante la Comisión Federal de Comunicaciones de Estados Unidos (FCC) solicitudes para desplegar en órbita baja lo que denominan “centros de datos orbitales”: constelaciones de satélites equipados con GPU capaces de ejecutar cargas de trabajo de IA directamente desde el espacio, aprovechando la energía solar sin restricciones y evitando los costosos permisos de construcción en tierra. Algunas compañías ya están solicitando los primeros permisos de prueba para ofrecer computación de IA en órbita.

Las cifras que manejan estas empresas son difíciles de asimilar. Solo entre las solicitudes presentadas ante la FCC, las compañías están proponiendo, en conjunto, más de un millón de satélites adicionales. Cowboy Space, por ejemplo, ha solicitado permiso para una constelación de 20.000 satélites bajo el nombre “Stampede”, con un primer lanzamiento previsto para dentro de un par de años. SpaceX ha planteado sus propios centros de datos orbitales recurriendo a retórica propia de la ciencia ficción espacial: la compañía asegura que esta infraestructura ayudará a “asegurar el futuro multiplanetario de la humanidad entre las estrellas”.

La petición que quiere frenar el despegue

El 8 de julio de 2026, la organización legal Earthjustice presentó una petición formal ante la FCC en nombre de tres organizaciones: DarkSky International, Public Employees for Environmental Responsibility (PEER) y Environment America. El documento no apunta contra ninguna empresa en particular, sino que apuesta por pedir algo más amplio: que el regulador ponga en pausa todo el sector emergente de centros de datos orbitales mientras elabora una Declaración de Impacto Ambiental Programática (PEIS), un mecanismo previsto en la Ley Nacional de Política Ambiental (NEPA) de 1969 para evaluar los efectos acumulativos de proyectos de gran escala.

El argumento central de la petición es que el marco regulatorio actual de la FCC —que trata las licencias de satélites como exentas por defecto de una revisión ambiental detallada— quedó pensado para una era de decenas o cientos de satélites, no para propuestas que hoy se miden en cientos de miles, y potencialmente millones. Según Tim Whitehouse, director ejecutivo de PEER, permitir un millón de centros de datos en órbita sin ninguna revisión ambiental no es solo irresponsable, sino imprudente.

Suscríbete ahora

Sin embargo, la petición no supone ninguna obligación automática para la FCC: no existe un proceso reglado para que la agencia responda a este tipo de solicitud, más allá de su deber general de considerarla en un plazo razonable. Earthjustice ha señalado que seguirá de cerca cada expediente individual mientras tanto, y que si la FCC comienza a otorgar licencias sin cumplir con la ley, es probable que el conflicto termine en los tribunales.

Lo que dice la ciencia

El punto de partida de las argumentaciones científicas contra esta clase de proyectos fue un estudio de la NOAA publicado en 2023 en la revista PNAS, que analizó partículas de aerosol estratosférico y encontró en ellas metales procedentes de la reentrada de satélites en la atmósfera: el primer indicio sólido de que la actividad espacial estaba dejando huella química en una capa de la atmósfera considerada, hasta hace poco, prácticamente virgen de contaminación humana.

A partir de ahí, la investigación se ha acelerado. Un equipo de la Universidad del Sur de California publicó en 2024 un estudio en Geophysical Research Letters que descubrió los óxidos de aluminio que se generan cuando un satélite se desintegra en la reentrada actúan como catalizadores de reacciones químicas que destruyen ozono estratosférico. Lo relevante es que estos óxidos no se consumen en el proceso, por lo que un mismo fragmento de aluminio puede seguir destruyendo moléculas de ozono durante décadas mientras desciende lentamente hacia capas más bajas de la atmósfera.

Los investigadores calcularon que, en un escenario de crecimiento sostenido de las megaconstelaciones de satélites, los subproductos de estas reentradas podrían superar las 360 toneladas métricas anuales.

En febrero de 2026, un equipo del Instituto Leibniz de Física Atmosférica en Alemania logró, por primera vez, vincular directamente un evento de reentrada específico —la caída descontrolada de un cohete Falcon 9 en 2025— con una pluma de contaminación detectable en la atmósfera superior, usando un sistema de lidar de fluorescencia de resonancia. Fue una confirmación empírica de algo que hasta entonces solo se había modelado teóricamente.

Un cielo cada vez más poblado

El crecimiento del número de satélites activos ayuda a entender la urgencia detrás de la petición: en 2015 había alrededor de 1.400 satélites operativos en órbita… pero poco más de una década después, la cifra ronda los 15.000, impulsada sobre todo por las megaconstelaciones de banda ancha como Starlink de SpaceX y el proyecto Leo de Amazon. Las proyecciones apuntan a decenas de miles de satélites adicionales antes de que termine la década, sin contar todavía los centros de datos orbitales propuestos.

A esta ecuación hay que sumar otro tipo de impacto menos discutido pero incluso más tangible: la contaminación lumínica. DarkSky International, una de las organizaciones detrás de la petición, advierte de que la proliferación de satélites podría alterar de forma permanente la visibilidad del cielo nocturno, con consecuencias tanto para la investigación astronómica como para ecosistemas que dependen de la oscuridad, incluidas poblaciones de insectos ya en declive.

Escepticismo técnico, no solo ecológico

Curiosamente, parte de la resistencia a estos proyectos no viene solo de organizaciones ecologistas, sino también de exfuncionarios del sector espacial que dudan de su viabilidad práctica. Antiguos responsables de agencias como la NOAA han expresado en privado y en declaraciones públicas dudas sobre si es realmente posible construir cómputo de IA en órbita a la escala que prometen estas empresas.

Los obstáculos técnicos son considerables: refrigerar servidores en el vacío sin el aire que se usa en la Tierra, darles mantenimiento sin acceso humano directo, y transmitir a la Tierra los enormes volúmenes de datos que procesarían. Eso no reduce, sin embargo, el riesgo ambiental de simplemente intentarlo: cada satélite lanzado, funcione o no como se espera, añade masa a la órbita baja y, eventualmente, contaminantes a la atmósfera cuando se desintegra.

Qué responden las empresas

Las solicitudes presentadas ante la FCC por las compañías interesadas dedican, según la propia petición de Earthjustice, muy poco espacio a la mitigación ambiental. Cowboy Space se limita a prometer que su constelación se diseñará para minimizar el impacto sobre la comunidad astronómica. SpaceX, por su parte, ofrece la promesa de desarrollar mitigaciones de brillo “líderes en la industria”, sin más detalle técnico. Ninguna de las solicitudes revisadas por la coalición demandante aborda de forma sustancial el destino final de los materiales que componen estos satélites una vez cumplan su vida útil, incluido el mercurio que algunos podrían liberar en órbita por un vacío regulatorio, según ha documentado PEER.

Qué pasará ahora

La pelota está en el tejado de la FCC. La agencia no está obligada por ley a responder en un plazo fijo, pero la coalición de organizaciones ha dejado claro que no piensa esperar de brazos cruzados: seguirá de cerca cada expediente individual y ha advertido que recurrirá a los tribunales si el regulador empieza a conceder licencias sin abordar antes la revisión ambiental que exige la ley. Mientras tanto, la carrera continúa: Cowboy Space ya ha recaudado más de 275 millones de dólares en su ronda Serie B y prepara su primer lanzamiento de demostración. SpaceX y Blue Origin avanzan con sus propios proyectos.

Si te ha gustado este artículo, puedes compartirlo en redes. O mejor aún, puedes escribir al responsable de la sección de tecnología de tu periódico favorito para que me contrate. xD ¡Gracias!

Hay sentencias que acaban teniendo repercusiones mucho mayores que las esperadas y la que el Tribunal de Justicia de la Unión Europea (TJUE) dictó el pasado 9 de julio de 2026 va camino de ser una de ellas. El asunto C-788/24 no tenía nada que ver, en apariencia, con el fútbol español, con Javier Tebas ni con NordVPN. Trataba, por el contrario, de los derechos de autor sobre el popular diario de la adolescente judía Ana Frank, muerta en un campo de concentración nazi hace más de ochenta años.

Sin embargo, el fallo ha acabado convirtiéndose en el mayor contratiempo legal que ha sufrido hasta ahora la cruzada de LaLiga contra las redes privadas virtuales (VPN). Esto exige rememorar ambas partes de la historia antes de analizar cómo convergen.

El origen: un diario, dos regímenes de derechos de autor y un candado digital

Todo empezó en los Países Bajos: el Fondo Ana Frank (Anne Frank Fonds), la fundación suiza creada por Otto Frank —padre de Ana Frank y único superviviente de su familia— tras la muerte de su hija, es la titular de los derechos de autor sobre buena parte de la obra de la joven. Debido a un régimen transitorio de la ley neerlandesa de propiedad intelectual, esos derechos se mantendrán vigentes en los Países Bajos hasta el año 2037. Sin embargo, en otros países de la Unión Europea, entre ellos Bélgica, la obra ya ha entrado en el dominio público.

A finales de septiembre de 2021, una asociación académica belga —la Vereniging voor Onderzoek en Ontsluiting van Historische Teksten o Asociación para la Investigación y el Conocimiento de Textos Históricos— publicó gratuitamente en Internet una edición crítica de los manuscritos originales del diario, alojada en un dominio registrado en Bélgica. Sabedores de que la obra seguía protegida en los Países Bajos, los editores instalaron un sistema de geobloqueo: cualquier usuario que intentase acceder desde territorio neerlandés se topaba con un mensaje de “acceso denegado”, mientras que los usuarios de países donde la obra ya era de dominio público podían consultarla libremente tras confirmar, mediante un simple clic, que efectivamente se conectaban desde uno de esos territorios.

El Fondo Ana Frank consideró que esa barrera era insuficiente, y argumentó ante los tribunales neerlandeses que cualquier internauta podía sortear el bloqueo con una VPN corriente y que, por tanto, la publicación constituía una “comunicación al público” no autorizada en los Países Bajos, en el sentido del artículo 3.1 de la Directiva 2001/29/CE sobre derechos de autor en la sociedad de la información. Perdió en primera instancia y en apelación —los tribunales neerlandeses entendieron que los editores habían hecho esfuerzos razonables para impedir el acceso desde los Países Bajos— y llevó el caso hasta el Hoge Raad der Nederlanden, el Tribunal Supremo neerlandés. Este, ante la falta de jurisprudencia europea clara sobre la materia, decidió elevar tres cuestiones prejudiciales al TJUE en noviembre de 2024.

Las preguntas que el Tribunal Supremo neerlandés trasladó a Luxemburgo

En esencia, el Hoge Raad planteaba tres dudas que iban a resultar decisivas mucho más allá de los Países Bajos:

1. ¿La publicación de una obra en Internet solo puede considerarse “comunicación al público” de un país si se dirige específicamente a ese público? ¿Con qué criterios se determina eso?

2. ¿Puede existir una “comunicación al público” en un país concreto si, pese a un geobloqueo de última generación, los usuarios de ese país logran acceder igualmente recurriendo a una VPN? ¿Importa que el público esté dispuesto y sea capaz de usar esa VPN?

3. Si la posibilidad de eludir el bloqueo implicara que sí existe esa comunicación al público, ¿quién sería responsable: el editor que publicó la obra, o el proveedor de la VPN que permitió sortear la barrera?

Y la clave de todo (en lo que a LaLiga respecta) reside en esa tercera pregunta.

El fallo: la eficacia del bloqueo, no su elusión, es lo que cuenta

El Tribunal de Justicia, reunido en su Sala Segunda y con ponencia de la jueza rumana Octavia Spineanu-Matei, ha construido su respuesta sobre una distinción que, aunque sutil, resulta jurídicamente decisiva.

Primero, el TJUE recuerda que el concepto de “comunicación al público” exige un “acto de comunicación” deliberado por parte de quien publica la obra, y que esa persona debe adoptar medidas tecnológicas “eficaces” —el propio texto de la Directiva 2001/29 habla de medidas que estén en la “vanguardia de la tecnología”— para restringir el acceso solo a los territorios donde tiene autorización para difundir el contenido. Si esas medidas son eficaces, el titular de la obra ha expresado válidamente su voluntad de excluir a los internautas de los países donde la obra sigue protegida, y estos, sencillamente, dejan de formar parte del “público” al que se dirige la comunicación —aunque técnicamente pudieran acceder mediante una VPN.

Aquí llega el matiz que la mayoría de la cobertura mediática ha simplificado en exceso: el Tribunal no dice que las VPN vuelvan irrelevante cualquier bloqueo. Dice que la mera posibilidad de eludir un bloqueo mediante una VPN no puede, por sí sola y en cualquier circunstancia, convertir automáticamente ese bloqueo en “ineficaz”. Es una precisión importante, porque significa que la eficacia del geobloqueo sigue siendo un requisito real que los tribunales nacionales —en este caso, de nuevo el Hoge Raad, que deberá aplicar la doctrina al caso concreto— tendrán que verificar caso por caso.

El fallo incluso descarta expresamente, como ejemplo de medida insuficiente, el sistema de autodeclaración que la asociación belga había añadido a su web (el clic de “confirmo que accedo desde un país donde la obra es de dominio público”), por depender enteramente de la buena fe del usuario.

En la respuesta a la tercera pregunta (la que de verdad interesa a las VPN y, por extensión, a LaLiga), el Tribunal establece que, incluso en el escenario en que el geobloqueo resultase ineficaz y existiese una comunicación al público no autorizada, la responsabilidad recaería exclusivamente sobre quien publicó la obra: nunca sobre el proveedor de la VPN. La sentencia describe a los servicios de VPN como herramientas técnicas lícitas a las que los usuarios pueden recurrir legítimamente, y apoyándose en jurisprudencia previa del propio Tribunal sobre plataformas como YouTube, concluye que estos proveedores no desempeñan un “papel ineludible” en el acceso a la obra protegida, ni siquiera cuando son conscientes de que sus servicios pueden usarse con ese fin.

Dicho de otro modo: haga lo que haga el editor de contenido —bloquee bien o mal—, el proveedor de VPN queda, en cualquiera de los dos escenarios, fuera de toda responsabilidad por infracción de derechos de autor. Esa es la parte de la sentencia que sí resulta un blindaje prácticamente absoluto, y la que explica por qué la industria de las VPN ha recibido el fallo como una victoria histórica.

De Ámsterdam a Córdoba: por qué esto golpea a LaLiga

Nada en el expediente C-788/24 menciona el fútbol español. Pero esta sentencia ha desembarcado en medio de una ofensiva legal que Javier Tebas lleva más de un año construyendo, ladrillo a ladrillo, contra las VPN como presunto instrumento de la piratería deportiva.

Todo comenzó en febrero de 2026, cuando el Juzgado de lo Mercantil nº1 de Córdoba concedió a LaLiga y a Telefónica Audiovisual Digital (TAD) unas medidas cautelares excepcionales contra los proveedores líderes del mercado de las VPN, NordVPN y Proton VPN. La resolución se dictó “inaudita parte”, es decir, sin que ninguna de las dos compañías tuviera oportunidad de defenderse antes de que el auto entrara en vigor.

LaLiga emitió un comunicado oficial calificando la resolución como pionera a nivel mundial y afirmando que el fallo reconocía la responsabilidad de estos “intermediarios tecnológicos” en el proceso de piratería de los partidos. La orden no se limitaba a pedir el cierre de webs piratas: exigía a las propias VPN que actuasen como filtro técnico, bloqueando en sus propios sistemas las IPs señaladas por LaLiga durante los horarios de emisión de los partidos, bajo un régimen “dinámico” que no admitía recurso.

La reacción de las compañías afectadas fue de sorpresa e indignación. Proton, con sede en Suiza, sostuvo públicamente que jamás había sido notificada del proceso antes de que LaLiga lo hiciera público, y calificó la medida de procesalmente inválida. NordVPN, con sede en Lituania, expresó a través de su responsable de privacidad, Laura Tyrylytė, que no habían podido acceder a la documentación judicial ni, por tanto, ejercer su derecho de defensa frente a una resolución que, en sus palabras, afectaba al funcionamiento mismo de Internet.

Tres meses después, el mismo juzgado cordobés que había concedido las medidas cautelares rechazó la petición de LaLiga de imponer multas coercitivas a NordVPN por, presuntamente, no cumplir con los bloqueos ordenados. Los técnicos de la compañía lograron demostrar ante el tribunal que, fundamentalmente, Internet no funcionaba como LaLiga llevaba meses proclamando: que, dado que las direcciones IP asociadas a las retransmisiones piratas cambian en cuestión de horas, un bloqueo indiscriminado de esas IPs terminaba dejando inaccesibles, como daño colateral, numerosas webs completamente legales que compartían la misma infraestructura de servidores.

Fue la primera grieta seria en una estrategia que hasta entonces solo había cosechado victorias judiciales, frecuentemente a expensas del absoluto desconocimiento técnico de los magistrados. Es en este punto de la historia donde aterriza, el 9 de julio, la sentencia sobre el Diario de Ana Frank. Y aunque el Tribunal de Justicia de la Unión Europea no tenía en mente la polémica española, su doctrina resulta directamente aplicable a la misma —además de vinculante en toda la UE, claro—.

Así que ahora, ante la pregunta de si un proveedor de VPN puede ser considerado responsable, cómplice o intermediario culpable cuando sus usuarios recurren al servicio para saltarse un bloqueo de contenidos, la respuesta de Luxemburgo es un “no” tajante y sin matices.

Lo que la sentencia cambia (y lo que no) para LaLiga

La sentencia no impide seguir persiguiendo a los operadores de IPTV pirata y a los sitios que retransmiten sin autorización, pero sí cierra la vía que Tebas había abierto en Córdoba: exigir a las propias VPN que actúen como policía técnica de los contenidos que circulan por sus redes, bajo la amenaza de sanciones si no lo hacen.

Eso sí, debemos abstenernos de leer el fallo como el punto final de la batalla. En primer lugar, porque no anula automáticamente las medidas cautelares ya concedidas en Córdoba contra NordVPN y Proton VPN. Esas resoluciones siguen formalmente en vigor y su eventual revisión dependerá de que las propias compañías, o alguna de las partes, invoquen esta nueva doctrina europea ante el juzgado español (aunque es algo que, dado el impacto del fallo, parece solo cuestión de tiempo).

Una jurisprudencia que trasciende el fútbol

El alcance de la sentencia va, de hecho, mucho más allá del contexto español. Al fijar jurisprudencia vinculante para los veintisiete Estados miembros, el fallo blinda por igual a todo el sector de las VPN frente a cualquier intento futuro de responsabilizarlas de las infracciones de derechos de autor cometidas por sus usuarios, ya sea en materia de streaming deportivo, de descargas de música o cine, o de cualquier otro contenido protegido. Para que un proveedor de VPN pudiera ser considerado responsable, la parte demandante tendría que demostrar una complicidad activa y deliberada en la infracción concreta, un estándar probatorio que la industria de las VPN, por su propio diseño técnico (centrado en el cifrado y la privacidad del tráfico, no en el control de contenidos) rara vez podrá cumplir.

Si te ha gustado este artículo, puedes compartirlo en redes. O mejor aún, puedes escribir al responsable de la sección de tecnología de tu periódico favorito para que me contrate. xD ¡Gracias!

Desde 2022, Washington ha venido dejando clara una condición para que los ciudadanos de los 43 países que forman parte del Programa de Exención de Visado (Visa Waiver Program, VWP) —entre ellos casi todos los países miembros de la Unión Europea— sigan pudiendo entrar en Estados Unidos sin dicho visado: que sus gobiernos le concedan acceso a las bases de datos biométricas nacionales a través de un nuevo tipo de acuerdo bilateral, la llamada EBSP o “Enhanced Border Security Partnership” (Asociación Reforzada de Seguridad Fronteriza).

Ahora, cuatro años después, Estados Unidos está a punto de salirse con la suya en lo que respecta a los datos de los ciudadanos de la UE, y lo peor es que, como denuncia la organización European Digital Rights (EDRi), la Comisión Europea ha cedido en prácticamente todos los puntos clave de la negociación.

Una condición impuesta por Washington, no negociada por Bruselas

El Departamento de Seguridad Nacional estadounidense (DHS) fijó el 31 de diciembre de este año como fecha límite para que los acuerdos operativos estén en marcha, momento a partir del cual evaluará el cumplimiento de cada país como parte de sus revisiones periódicas del programa de exención de visado. Los países que no satisfagan las expectativas de Washington se arriesgan a la suspensión o limitación de la posibilidad de sus ciudadanos de viajar a EE. UU. sin visado.

El mandato negociador que el Consejo de la UE entregó a la Comisión para representar a los Estados miembros no llegó hasta diciembre de 2025, tres años después de que EE. UU. planteara la exigencia por primera vez. Desde entonces, la Comisión ha llevado las conversaciones con tal nivel de secretismo que ha generado fricciones incluso dentro de las instituciones europeas: el texto negociado no se ha hecho público, y buena parte de lo que se sabe procede únicamente de filtraciones.

La más relevante de ellas tuvo lugar hace dos meses, cuando el grupo de investigación Statewatch —organización socia de EDRi— obtuvo una versión revisada del borrador de acuerdo marco. Según el análisis de Statewatch, la propuesta de la Comisión Europea violaría la propia legislación de la UE si se llevara a cabo, ya que iría mucho más allá del limitado mandato de negociación otorgado por el Consejo y contravendría las salvaguardas esenciales de protección de datos fijadas por las autoridades europeas en la materia.

Qué datos están sobre la mesa

Y es que el EBSP no se limita a huellas dactilares o fotografías faciales. Aunque el objetivo declarado del programa es el de poder verificar la identidad de los viajeros y determinar si representan una amenaza para la seguridad de EE. UU., la letra pequeña del acuerdo contempla el intercambio “continuo y sistemático” de datos biométricos entre bases de datos nacionales europeas y estadounidenses, y —según algunas versiones del borrador— también otras categorías de datos sensibles asociadas a investigaciones criminales o antiterroristas, siempre sujetas, sobre el papel, a pruebas de necesidad y proporcionalidad.

El propio texto normativo europeo que sirve de base a la negociación reconoce que la transferencia de datos que revelen origen racial o étnico, opiniones políticas, creencias religiosas o filosóficas, afiliación sindical, datos genéticos, datos biométricos para identificación unívoca, o datos relativos a la salud y la orientación sexual, solo debería permitirse cuando sea estrictamente necesaria y proporcionada para prevenir delitos graves o terrorismo, y bajo garantías específicas. La pregunta que plantean tanto EDRi como Statewatch es si el texto que está sobre la mesa se atiene a dicha limitación.

Uno de los puntos más señalados por organizaciones pro-derechos digitales es que el borrador filtrado no prohíbe explícitamente el uso de sistemas de decisión automatizada (algoritmos) por parte de las autoridades fronterizas estadounidenses a la hora de evaluar a los viajeros europeos, lo que abriría la puerta a perfiles de riesgo generados por máquinas sin supervisión humana efectiva.

La advertencia del propio supervisor europeo de protección de datos

La institución llamada a velar por que estos acuerdos respeten el derecho comunitario, la Supervisora Europea de Protección de Datos (EDPS), ha sido inusualmente clara sobre la magnitud de lo que está en juego. Su titular, Wojciech Wiewiórowski, ha calificado el futuro acuerdo como el primer pacto de ámbito europeo que permitiría transferencias masivas de datos personales a las autoridades fronterizas de otro país. Aunque el EDPS ha respaldado la idea de un marco único a nivel de la UE como alternativa preferible a una maraña de acuerdos bilaterales descoordinados entre cada Estado miembro y Washington, ha insistido en que el intercambio de datos debe limitarse en la mayor medida posible y ceñirse, en principio, a las personas que efectivamente viajan a Estados Unidos.

Ese matiz —“en principio”— es precisamente el que preocupa a EDRi: según la organización, el requisito de que la agencia europea de protección de datos exija un nivel de protección esencialmente equivalente al europeo para cualquier transferencia internacional de datos personales —un estándar consolidado por la jurisprudencia del Tribunal de Justicia de la UE— no se cumple en el texto conocido hasta ahora. De confirmarse, el propio Tribunal de Justicia de la UE tendría motivos de sobra para declarar el acuerdo incompatible con el derecho europeo si en algún momento es impugnado, como ya ocurrió con anteriores pactos de transferencia de datos entre la UE y EE. UU.

Divisiones dentro de la propia UE

Pese a la presión del calendario impuesto por Washington, la unidad entre los Estados miembros dista de ser total. Según un documento interno del Consejo consultado por medios especializados, varios gobiernos mantienen “preocupaciones sustanciales” sobre el alcance del acuerdo, su modelo de intercambio de información y las garantías relativas al tratamiento posterior de los datos, las transferencias a terceros, los plazos de conservación y el tratamiento de categorías especiales de datos personales.

Para que el acuerdo entre en vigor, además, no bastará con el visto bueno de la Comisión: necesitará la aprobación del Consejo y el consentimiento del Parlamento Europeo, dos instancias donde las dudas planteadas por los supervisores de protección de datos y las organizaciones de la sociedad civil podrían encontrar, todavía, una vía de bloqueo o de renegociación.

Suscríbete ahora

La respuesta de la sociedad civil

Frente a lo que describe como un caso más de presión estadounidense sobre Europa para desmantelar salvaguardas clave, EDRi ha lanzado una campaña pública pidiendo a la Comisión y al Consejo que resistan lo que denomina “chantaje” del Gobierno estadounidense y se nieguen a vender los datos personales de los europeos a un país con, en palabras de la organización, un historial preocupante en materia de derechos humanos y un retroceso democrático acelerado. La entidad ha publicado también un análisis jurídico detallado del borrador filtrado y ha promovido una carta abierta dirigida al Consejo, en la que reclama que cualquier acuerdo final respete el principio de proporcionalidad, incluya garantías reales contra la discriminación y sea sometido a un escrutinio democrático mucho mayor del que ha tenido hasta ahora.

Qué puede pasar a partir de ahora

Con el plazo del 31 de diciembre de 2026 acercándose y la Comisión decidida a cerrar un marco general antes de esa fecha, el margen para introducir cambios sustanciales en el texto se estrecha semana a semana. Las opciones sobre la mesa son, a grandes rasgos, tres:

• Que la Comisión logre incorporar salvaguardas adicionales antes del cierre de la negociación.

• Que el acuerdo se firme tal como está y quede después expuesto a una eventual impugnación judicial ante el Tribunal de Justicia de la UE, como ya sucedió con marcos anteriores de transferencia de datos entre la UE y EE. UU..

• Que las divisiones entre Estados miembros y las objeciones del Parlamento Europeo retrasen la ratificación final, con el riesgo de que Washington cumpla su amenaza de excluir a los ciudadanos europeos —o a los de algunos países en concreto— del programa de viajes sin visado.

Lo que está claro, coinciden las distintas fuentes, es que el resultado de esta negociación marcará un precedente: será el primer acuerdo de ámbito europeo que autorice transferencias masivas de datos personales a las autoridades fronterizas de un tercer país, y su desenlace probablemente condicionará cómo la UE aborde futuras exigencias similares de otros socios internacionales.

Ursula von der Leyen ya no habla solo de prohibir las redes sociales a los menores. Este lunes, la presidenta de la Comisión Europea recibió en Bruselas las recomendaciones de un panel de expertos, y aprovechó el acto para anunciar algo mucho más amplio: un sistema de verificación de edad que podría alcanzar, además de a las plataformas sociales, a las tiendas de aplicaciones, los videojuegos, las plataformas de vídeo y los sistemas de inteligencia artificial.

Según recoge Reuters, Von der Leyen presentó el enfoque escalonado propuesto por los expertos, según el cual los menores de 13 años solo podrían usar redes sociales durante periodos limitados y bajo supervisión de padres, cuidadores o profesores, con restricciones que se irían relajando a medida que los adolescentes crecen. Según declaró la presidente de la Comisión,

“Ya no se trata de si los niños corren riesgos en Internet, sino de qué podemos hacer para darles un comienzo más seguro en el mundo digital”.

El anuncio confirma lo que llevaba meses gestándose en Bruselas: la Unión Europea se dispone a copiar y ampliar el modelo australiano de restricción por edades, con el objetivo declarado de presentar una propuesta legislativa concreta “después del verano”, previsiblemente en el Discurso sobre el Estado de la Unión de septiembre.

De Australia a Bruselas, pasando por “Social Media Plus”

El debate internacional se disparó cuando Australia puso en marcha, en diciembre de 2025, la prohibición de las redes sociales para menores de 16 años acompañada de estrictos controles de edad. Desde entonces, según recoge Euronews, varios gobiernos europeos —con Francia, España, Grecia y Dinamarca a la cabeza— han presionado para que Bruselas siga ese camino, y el propio servicio de investigación del Parlamento Europeo contabilizaba en marzo casi 40 países en todo el mundo que ya debaten, proponen o aplican restricciones de acceso basadas en la edad.

Los primeros estudios sobre el caso australiano sugieren, sin embargo, que más del 60% de los menores australianos sigue accediendo a las redes sociales pese a la prohibición, y un amplio abanico de organizaciones de infancia, docentes y expertos en protección de menores considera que este tipo de vetos son perjudiciales incluso cuando logran su objetivo.

Von der Leyen, no obstante, ha optado por ampliar drásticamente el modelo australiano bajo la etiqueta “Social Media Plus”. El panel de expertos que ella misma convocó —copresidido por el psiquiatra infantil Jörg Fegert y la epidemióloga Maria Melchior— define ese concepto como una categoría amplia de servicios “que podrían ser accesibles a menores y presentar características inadecuadas para su edad o de riesgo”, según describe el informe completo de 156 páginas (hay también un resumen ejecutivo de 26).

El panel reclamó un aplazamiento del acceso a esa categoría para los menores de 13 años en toda la UE, entendiendo por “social media plus” otras plataformas que emplean mecanismos similares a los de las redes sociales, como los videojuegos o los chatbots de IA. Los propios Estados miembros, según el documento, podrían además imponer restricciones nacionales adicionales, más estrictas todavía.

Se trata, en la práctica, de un concepto extraordinariamente elástico. Poco tiene que ver ya con “redes sociales” en sentido estricto: bajo ese paraguas cabrían prácticamente todos los servicios digitales de uso habitual entre adolescentes.

Un Internet dividido por escalones de edad

El modelo que maneja la Comisión distingue varios tramos etarios. Los menores de tres años no deberían tener, según los expertos, ningún tipo de exposición a pantallas. Entre los 3 y los 13 años, el acceso a Internet solo sería posible bajo supervisión directa de un adulto. A partir de los 13 y hasta los 17, los servicios solo estarían disponibles si incorporan funciones adecuadas a la edad, y la supervisión parental iría cediendo terreno progresivamente a medida que el adolescente crece.

Lo relevante —y lo que distingue esta propuesta de un simple llamamiento a la responsabilidad parental— es que los expertos no confían la aplicación de estos límites a las familias, sino a sistemas técnicos de verificación. Von der Leyen ha vuelto a defender en este contexto la futura aplicación europea de verificación de edad, conocida informalmente como “Mini-Wallet” y presentada como un sistema basado en pruebas criptográficas de conocimiento cero que confirmaría si un usuario supera un determinado umbral de edad sin revelar su identidad ni su edad exacta.

En su comparecencia, la presidenta de la Comisión trazó además un paralelismo revelador: defendió lo que llamó una “edad de arranque” para las redes sociales —un umbral por debajo del cual los menores no podrían legalmente unirse a las plataformas—, comparándolo, según recoge ID Tech Wire, con las edades mínimas para conducir o comprar alcohol. Y fue más allá al responsabilizar directamente a las grandes tecnológicas: el propio informe del panel sostiene que, hasta que no demuestren que sus plataformas son seguras por diseño, las redes sociales y otros servicios digitales deberían tener el acceso restringido para los menores de 13 años en la UE.

Las cifras a las que se agarra Von der Leyen

Para justificar la urgencia de la medida, Von der Leyen citó datos del propio panel: los jóvenes europeos pasan hoy entre cuatro y seis horas diarias frente a las pantallas, y cerca del 60% de los niños ha experimentado ya problemas emocionales o psicosociales relacionados con el uso de Internet, según reprodujo Anadolu Agency.

Estas cifras llegan además en un momento en que la propia Comisión mantiene procedimientos abiertos contra las grandes plataformas: Bruselas ya ha alcanzado conclusiones preliminares contra Meta y TikTok por no abordar los riesgos del diseño adictivo de sus aplicaciones, tal y como detalla el Business & Human Rights Resource Centre, después de una conclusión similar contra TikTok el pasado abril. La Comisión también investiga a Snapchat, YouTube, la App Store de Apple y Google Play desde octubre de 2025, y ha instruido a Apple y Google para que integren el sistema de verificación de edad a nivel de sistema operativo.

El mensaje político de fondo es claro: no se trata ya de si los menores pueden acceder a las redes sociales, sino —en palabras de la propia Von der Leyen— de si y cuándo las redes sociales pueden acceder a los menores.

Las dos cosas no se puede (y, quizá, ni se quiera)

Aquí es donde el proyecto europeo tropieza con un problema que va mucho más allá de la voluntad política. Todos los documentos que reclaman controles de edad en Europa —desde el propio panel de la Comisión hasta el Comité Europeo de Protección de Datos, pasando por las directrices de la Comisión sobre protección de menores en el marco de la Ley de Servicios Digitales o el acuerdo del G7 sobre protección de menores— exigen, a la vez, dos cosas que resultan incompatibles entre sí: que los controles sean estrictos —precisos, fiables, difíciles de eludir— y que sean respetuosos con la privacidad —accesibles, anónimos, no discriminatorios.

El problema es que ambas cualidades no pueden maximizarse simultáneamente, y eso se aprecia en tres frentes concretos.

Primero, la fiabilidad exige documentación o biometría, y eso excluye a mucha gente. La aplicación europea de verificación de edad se basa en documentos de identidad oficiales y requiere, además, un teléfono inteligente con iOS o Android de Google, lo que genera dependencia de las grandes tecnológicas estadounidenses y deja fuera a las personas sin documentación regularizada o sin teléfono compatible. La alternativa —el escaneo facial mediante inteligencia artificial— no solo supone una intromisión considerable en la privacidad, sino que además comete errores sistemáticos con personas que aparentan una edad distinta a la real o cuyo rostro se aparta de los patrones con los que se entrenó el software.

Segundo, un sistema anónimo no puede impedir que alguien use el certificado de edad de otra persona. Cuanto más respetuosa con la privacidad es una verificación —limitándose a confirmar si alguien ha superado un umbral de edad sin revelar más datos—, menos capaz es de comprobar que quien presenta ese certificado es realmente su titular. Cerrar esa vía exigiría vincular más estrechamente identidad y usuario, por ejemplo, mediante reconocimiento facial en tiempo real o cuentas con contraseña donde quede almacenada la verificación, soluciones que sacrifican justamente la privacidad que se pretendía proteger.

Tercero, cualquier control de edad puede sortearse con una VPN o con Tor, sin necesidad de “hackear” nada. Un análisis del Servicio de Estudios del Parlamento Europeo publicado en mayo llegó a calificar estas herramientas como una “brecha que hay que cerrar” en la protección de menores. Pero restringir el uso de VPN o redes de anonimato tendría un coste altísimo para derechos fundamentales, ya que son instrumentos esenciales de autodefensa digital para periodistas, denunciantes, opositores y disidentes en regímenes autoritarios, precisamente los países que más persiguen su uso.

En resumen: la pretensión política de construir “eficaces y a la vez respetuosos con la privacidad” es una imposibilidad técnica.

27 países que no se ponen de acuerdo, y una única amenaza común contra sus ciudadanos

Uno de los mayores obstáculos para la propuesta de Bruselas no es solo técnico, sino político: los Estados miembros llevan meses legislando por su cuenta, con soluciones que no coinciden entre sí. Según recoge un informe del centro de estudios Interface, 23 de los 27 países de la UE contemplaban ya en mayo alguna forma de legislación nacional sobre el acceso de menores a las redes sociales. Austria, Chipre, Finlandia, Polonia, Eslovenia y España se inclinan por una prohibición completa sin posibilidad de excepción por consentimiento parental; Dinamarca, Italia, Portugal y Luxemburgo optan en cambio por un modelo escalonado, con un veto estricto por debajo de cierta edad y accesos condicionados a partir de ahí.

Así, Francia aprobó ya en enero de 2026 una ley que prohíbe el acceso a las redes sociales a los menores de 15 años alegando una emergencia de salud pública, mientras que España plantea el veto en los 16 años, y Grecia respalda igualmente una prohibición para menores de 15. No todos los socios comunitarios comparten el diagnóstico: países como Estonia se oponen abiertamente a cualquier prohibición, según recoge TechXplore.

Precisamente para evitar que sigan coexistiendo 27 regímenes distintos —lo que en la práctica ya está ocurriendo— es por lo que Von der Leyen defiende una norma única a escala europea:

“Es una pregunta que Europa debe responder de forma conjunta los niños deben estar protegidos de la misma manera, vivan donde vivan en nuestra Unión”.

Del lado de la sociedad civil, más de 400 investigadores de seguridad informática y protección de datos procedentes de 29 países firmaron ya en marzo una carta abierta advirtiendo de que introducir controles de edad sin más investigación resultaría “peligroso y socialmente inaceptable”, con la seguridad, la privacidad, la igualdad y la autonomía de todas las personas en juego, no solo las de los menores.

A ellos se han sumado organizaciones de defensa de derechos digitales y de la infancia que rechazan de forma explícita cualquier prohibición, y que advierten de que las tecnologías de verificación de edad son, por su propia naturaleza, instrumentos capaces de clasificar y tratar de forma diferenciada a distintos grupos de usuarios, lo que abre la puerta a usos indebidos.

Existe además un riesgo que trasciende el debate técnico inmediato: un sistema de verificación de edad desplegado a escala continental, aunque nazca con estándares de protección de datos elevados —como las pruebas de conocimiento cero que promete la Comisión—, no tiene garantizada esa configuración para siempre.

Y es que incluso los sistemas de conocimiento cero pueden derivar, con el tiempo, hacia una verificación de identidad plena. Bastaría una actualización técnica y otra legal para transformar esa infraestructura en un aparato de vigilancia masiva capaz, por ejemplo, de vincular identidades reales a la navegación o de bloquear contenidos legítimos, como aquellos contenidos incómodos desde el punto de vista político.

Ya es oficial. El Parlamento Europeo ha reinstaurado hoy, jueves 9 de julio, el escaneo masivo y sin sospecha previa (es decir, indiscriminado) de las comunicaciones privadas de 450 millones de europeos. Y ha ocurrido a pesar de que hubo más diputados a favor de la privacidad que en contra en el pleno de hoy.

El resultado exacto (y la letra pequeña que lo explica)

La votación decisiva sobre el fondo del texto arrojó 314 votos a favor de rechazar la prórroga, 276 en contra del rechazo (es decir, a favor de mantener el escaneo) y 17 abstenciones, según recoge Patrick Breyer, exeurodiputado ‘pirata’ y activista de derechos digitales que ha seguido el expediente de cerca. Una mayoría clara de los votantes quería tumbar la norma… y, sin embargo, no fue suficiente.

La razón está en el mecanismo que ya explicamos ayer: al encontrarse el expediente en segunda lectura, rechazarlo exigía una mayoría absoluta de 361 votos sobre el total de 720 escaños, no una mayoría simple de los presentes. Al no alcanzarse ese umbral, el texto del Consejo se da por aprobado automáticamente, sin que haga falta ningún voto afirmativo. Cada eurodiputado ausente —y este jueves, último día antes del receso de verano, ha habido muchos, para su vergüenza y la nuestra— ha contado en la práctica como un sí.

Hubo un segundo revés paralelo: una enmienda, que habría restringido el escaneo exclusivamente a sospechosos identificados por un juez, también logró más votos a favor que en contra (322 frente a 255), pero tampoco alcanzó los 361 necesarios para prosperar.

Sí prosperaron, en cambio, dos enmiendas que excluyen del ámbito de la ley a los servicios de mensajería cifrados de extremo a extremo —como WhatsApp o Messenger—, con 369 y 362 votos respectivamente: la única parte del texto que sí superó el umbral de mayoría absoluta. Según recoge Euronews, salieron adelante gracias a una alineación de voto inusual entre liberales, la izquierda radical y la extrema derecha, que en este punto concreto superó en número a los dos bloques mayoritarios, PPE y S&D.

Patrick Breyer matiza, aun así, que el efecto práctico de esta exclusión es limitado: los proveedores nunca escaneaban las comunicaciones cifradas de todos modos, así que blinda por ley algo que ya era así en la práctica.

El resultado: Chat Control 1.0 queda vigente hasta el 3 de abril de 2028.

Suscríbete ahora

Cómo votaron los eurodiputados españoles

El registro oficial de voto nominal del Parlamento Europeo permite ver el detalle por país… y en España el resultado invierte el patrón general de la UE. De los 60 eurodiputados españoles, 53 votaron: 16 a favor de rechazar Chat Control (es decir, en contra de la vigilancia) y 37 en contra del rechazo (a favor de mantenerla). 7 no votaron. Mientras que a nivel europeo la mayoría de los votantes quiso tumbar la norma, en España ocurrió lo contrario: el 70% de los votantes españoles respaldó mantener el escaneo.

El desglose por partido deja algunos patrones claros:

PP y PSOE votaron prácticamente en bloque a favor de mantener el escaneo. VOX, por su parte, votó en bloque en contra de Chat Control, alineándose así con Sumar, IU y los partidos nacionalistas de izquierda en un cruce ideológico que se ha repetido en otros países durante este debate.

La nota colorista la aportó Alvise Pérez, que votó a favor del escaneo tras haber anunciado lo contrario en redes:

Lo irregular de todo el proceso, de principio a fin

Conviene reunir en un solo lugar por qué tantas voces, dentro y fuera del Parlamento, han calificado este episodio de anómalo, porque las irregularidades no se limitan al mecanismo de los 361 votos.

Es, en primer lugar, la tercera vez que la Eurocámara vota sobre el mismo expediente en apenas cuatro meses, después de haberlo rechazado dos veces en marzo. La reapertura no partió de una negociación nueva ni de cambios sustanciales en el texto, sino de una moción de urgencia impulsada por la propia presidenta del Parlamento, Roberta Metsola, a petición del PPE y de los Estados miembros. Markéta Gregorová, negociadora de los Verdes/ALE, advirtió en pleno hemiciclo que esa maniobra vulneraba el propio reglamento interno de la Cámara; Metsola respondió que actuaba conforme a las normas.

Hay además una irregularidad más silenciosa, señalada por el experto en privacidad Alexander Hanff en la carta abierta que envió a 836 eurodiputados antes de la votación: al revivir un texto ya rechazado disfrazándolo de “nueva” regulación con contenido idéntico, la maniobra permitió esquivar tanto un nuevo dictamen del Supervisor Europeo de Protección de Datos como una evaluación de impacto sobre derechos fundamentales… dos controles que sí habrían sido obligatorios si el expediente hubiera seguido la vía ordinaria a través de la comisión LIBE.

Qué cambia a partir de ahora (y qué no)

Breyer ha publicado un desglose claro de las consecuencias prácticas, que conviene reproducir con precisión porque en este debate es fácil perderse entre lo que vuelve, lo que ya existía y lo que sigue sin tocarse:

Lo que regresa: las grandes tecnológicas estadounidenses vuelven a poder escanear mensajes privados sin orden judicial ni sospecha previa. Afecta a los mensajes directos en plataformas como Instagram, Discord, Snapchat, Skype o Xbox, y a los correos de Gmail o iCloud.

Lo que no cambia: las publicaciones públicas en redes sociales y los archivos alojados en almacenamiento en la nube ya podían escanearse sin esta ley. Los mensajes privados, además, siempre han podido ser denunciados por los propios usuarios o intervenidos por las autoridades mediante escuchas judiciales dirigidas.

Lo que sigue sin escanearse: los chats cifrados de extremo a extremo, como los de WhatsApp, han estado siempre exentos de este tipo de rastreo. Y los proveedores europeos de mensajería y correo nunca han aplicado medidas de Chat Control.

Los números que cuestionan el argumento de fondo

Más allá del procedimiento, los datos que Breyer recopila basándose en cifras de la propia Comisión Europea y de la Policía Federal Criminal alemana (BKA) debilitan el argumentario con el que se ha justificado la urgencia:

• El volumen de denuncias de abuso procedentes de EE.UU. ya ha caído un 50% desde 2022 por el uso creciente de cifrado, independientemente de esta norma.

• Según cifras de la Comisión, el escaneo masivo de chats privados solo representó el 36% de todas las denuncias de abuso en 2024: la mayoría procede de publicaciones públicas y almacenamiento en la nube, ámbitos que Chat Control 1.0 nunca ha regulado.

• La BKA calcula que el 48% de las alertas recibidas no tienen, de entrada, relevancia penal.

• Las estadísticas muestran que el 40% de las investigaciones resultantes de estas alertas terminan dirigidas contra los propios menores.

• Se estima que el 99% del material que reporta Meta bajo este sistema es contenido ya conocido previamente, lo que aporta poco para detener abusos activos en curso.

• La propia Comisión Europea reconoce que no existe evidencia de que el escaneo masivo sin sospecha haya aumentado las condenas ni el número de menores rescatados.

Qué sigue: la batalla por Chat Control 2.0

Lo aprobado hoy no es la propuesta más agresiva contra la privacidad (la conocida como “Chat Control 2.0” o Reglamento CSA), que sigue bloqueada en negociaciones entre Parlamento y Consejo y cuyo último ciclo de trílogo fracasó el 29 de junio. Esas negociaciones se retomarán en septiembre, y el desacuerdo de fondo sigue siendo el mismo: si el escaneo de chats privados debe ser indiscriminado o dirigido a sospechosos concretos.

Aragón se ha convertido en poco más de dos años en uno de los grandes destinos europeos para la instalación de centros de datos. Empresas tecnológicas y fondos de inversión han anunciado ya más de veinte proyectos en la comunidad, atraídos por la abundancia de energía renovable y de suelo disponible, así como por la posibilidad de reducir los plazos burocráticos habituales gracias a los Planes de Interés General de Aragón (PIGA), una figura que reduce a la mitad los plazos burocráticos habituales.

Pero las cifras contenidas en la documentación ambiental del PIGA sobre dos de esos proyectos, publicada este martes, ponen sobre la mesa una pregunta que lleva meses sobrevolando el debate público: ¿tiene la región capacidad real para sostener este crecimiento?

Y es que está previsto que el campus que el fondo Azora proyecta en Villamayor de Gállego consuma 2.628 gigavatios hora (GWh) al año cuando alcance su plena capacidad, una cifra cercana a la cuarta parte de toda la electricidad que consumió Aragón en 2025. Y si a esa cifra se suma la demanda estimada para el proyecto Rhodes, que Blackstone impulsa en Calatorao, la suma de ambos complejos —7.373 GWh anuales— equivaldría a cerca del 70% del consumo eléctrico actual de la comunidad.

Dos proyectos, dos escalas distintas

El proyecto de Azora, bautizado como Tillion Aragón, contempla una inversión de 2.360 millones de euros para levantar cuatro edificios de centros de datos en Villamayor de Gállego, un municipio que además ya concentra otros grandes desarrollos, entre ellos uno de los tres campus previstos por Microsoft en la comunidad. Azora prevé una demanda eléctrica total de 300 megavatios (MW), de los que ya tiene asegurados 150, y divide la construcción en dos fases: la segunda, que completaría los cuatro edificios, queda condicionada a que la empresa consiga la capacidad eléctrica adicional que necesita. Según ha trascendido de la propia documentación del proyecto, la compañía admite que se trata de un impacto “relevante” sobre el consumo energético de la zona.

El campus de Blackstone en Calatorao, conocido como Proyecto Rhodes, juega en otra liga. Su estudio de impacto ambiental estima un consumo medio anual de 4.745 GWh —casi el doble que el de Azora— y contempla una inversión de 11.805 millones de euros para desarrollar ocho edificios en una primera fase, con una segunda fase que podría añadir cinco centros de datos más. El fondo estadounidense ha ido revisando al alza sus planes: cuando se presentó el proyecto en octubre de 2024 la inversión estimada rondaba los 8.700 millones de dólares; la última documentación remitida a la Administración aragonesa ya la sitúa por encima de los 13.700 millones.

Compartir

El agua, la otra cara de la moneda

Por otro lado, frente al fuerte impacto energético, ambos proyectos presentan un consumo hídrico comparativamente reducido: Blackstone y Azora han optado por sistemas de refrigeración por aire, una tecnología que reduce notablemente las necesidades de agua frente a otros modelos de refrigeración líquida. El campus de Calatorao estima un consumo anual de 4.782 metros cúbicos de agua, y el de Villamayor, 6.066 metros cúbicos —el equivalente a unos 30 hogares—. Entre ambos apenas superan los 10.800 metros cúbicos al año, una cifra muy alejada de la que manejan otros proyectos en la región: los campus de Amazon Web Services concentran, ellos solos, alrededor del 95% del consumo hídrico estimado entre los grandes centros de datos previstos en Aragón.

Conviene señalar, no obstante, que buena parte de estos datos hídricos y energéticos proceden de la documentación que las propias promotoras presentan ante la Administración como parte del trámite ambiental. Organizaciones ecologistas como Ecologistas en Acción han denunciado que parte de esa información —por ejemplo, los volúmenes de agua solicitados durante la fase de construcción— se ha declarado confidencial en algunos expedientes, lo que dificulta su verificación independiente.

No son los únicos: una ola de más de veinte proyectos

Azora y Blackstone son solo dos piezas de un fenómeno mucho más amplio. Como decíamos antes, Amazon Web Services opera ya varios centros de datos en la comunidad y prevé ampliarlos; Microsoft cuenta con luz verde para levantar tres campus, con una demanda proyectada de más de 10.500 GWh anuales, una cifra que por sí sola superaría el consumo actual de toda la comunidad; y compañías como SAMCA, ACS, Repsol, Capital Energy, Vantage o Forestalia figuran también en la lista de proyectos declarados de interés general en los últimos dos años.

Según datos recopilados por asociaciones ecologistas a partir de los propios expedientes administrativos, el conjunto de centros de datos ya aprobados por el Gobierno de Aragón necesitaría cerca de 7.000 MW de potencia, una cifra que multiplicaría por seis el consumo energético actual de toda la comunidad si todos los proyectos llegaran a funcionar a la vez. Fuentes del Ministerio para la Transición Ecológica han calificado de “inviable” el ritmo al que crecen las peticiones de acceso a la red eléctrica en toda España, y la vicepresidenta Sara Aagesen ha llegado a advertir de que el sector podría estar inmerso en una “burbuja”.

El Gobierno de Aragón, presidido por Jorge Azcón, defiende un relato muy diferente: el de una comunidad que se ha convertido en meca europea de la inversión tecnológica, con más de 80.000 millones de euros anunciados en apenas dos años y medio, comparable ya a mercados consolidados como Fráncfort, Londres, Ámsterdam o París.

El debate: empleo, impuestos y factura de la luz

La controversia no se limita a la disponibilidad energética. Uno de los argumentos más repetidos por los críticos del modelo es la desproporción entre la magnitud de las inversiones y el empleo que generan. Como referencia, organizaciones sociales han calculado que, para mantener la proporción media de empleos por consumo eléctrico en Aragón, un proyecto como el de SAMCA en Luceni —que prevé consumir una cuarta parte de la electricidad que gastó España entera en 2024— debería crear unos 158.000 puestos de trabajo; en realidad, promete apenas 150 en su fase de operación. Los tres centros de Amazon Web Services que ya funcionan en la comunidad apenas han generado un centenar de empleos, según ha reconocido el PSOE aragonés.

A ese debate se suma el fiscal: el Gobierno de Aragón ha concedido a varios de estos proyectos exenciones parciales de trámites e impuestos municipales, como el ICIO, al amparo de su declaración como Proyectos de Interés General. Ecologistas en Acción ha presentado alegaciones contra la tramitación del proyecto Rhodes de Blackstone alegando que no cumpliría los requisitos legales para recibir ese trato preferente, lo que a su juicio situaría la declaración “en fraude de ley”.

El Gobierno aragonés rechaza esa interpretación y defiende que la figura del PIGA aporta seguridad jurídica y agilidad a inversiones que, según sostiene, benefician a toda la comunidad. Algunos análisis han ido más allá y han comparado la lógica de estos fondos con la que rige el mercado de la vivienda, señalando que tanto Blackstone como Azora combinan en sus negocios la inversión inmobiliaria y la digital, y que ambos sectores compiten hoy por los mismos recursos escasos: suelo y energía.

Por último, hay quien apunta a un efecto que ya se estaría notando en las facturas: los centros de datos habrían disparado un 7% el consumo eléctrico de Aragón durante 2025, el mayor incremento de toda España, en un contexto en el que las grandes tecnológicas suelen comprar electricidad a precios más bajos que los hogares gracias a acuerdos de compra de energía a largo plazo (PPA, por sus siglas en inglés). Parte de los costes de las nuevas infraestructuras de red que estos proyectos requieren se financian, señalan estas voces críticas, a través de los peajes que pagan todos los consumidores.

Una fotografía parcial de un proceso en marcha

El verdadero debate ahora es si Aragón —y la red eléctrica española en su conjunto— puede sostener el ritmo acumulado de toda la ola de centros de datos sin comprometer el suministro, el precio de la energía para el resto de consumidores (recordemos que algunos proyectos han multiplicado por 15 el precio de la factura eléctrica en algunos condados de EE.UU.) y el modelo de desarrollo económico de la región.

El Parlamento Europeo llevaba meses siendo el último dique de contención frente al escaneo indiscriminado de las comunicaciones privadas de 450 millones de europeos. Hasta ayer martes 7 de julio, cuando la Eurocámara, en una votación ajustada, abrió la puerta a resucitar “Chat Control 1.0”, la norma que permite a gigantes tecnológicos como Meta, Google o Microsoft rastrear chats, correos y mensajería en busca de material de abuso sexual infantil sin sospecha previa.

Y esa resurección llega después de que la propuesta legislativa ya fuera rechazada dos veces desde 2024. ¿Qué pasará ahora? Pues no tendremos que esperar demasiado tiempo: la decisión final llegará mañana jueves 9 de julio, el último día de sesión antes del parón de verano. El problema es que, por el diseño mismo del procedimiento elegido, proteger la privacidad de los ciudadanos va a ser mucho más difícil que reinstaurar la vigilancia.

Cómo llegamos hasta aquí

El 26 de marzo, el Parlamento rechazó con una mayoría clara —311 votos en contra frente a 228 a favor— prorrogar la excepción que permite estos escaneos, después de que las negociaciones entre Eurocámara, Comisión Europea y gobiernos de la UE fracasaran: el órgano legislativo comunitario había pedido restringir los rastreos a sospechosos concretos y excluir el escaneo automático por IA de fotos y chats desconocidos, pero los gobiernos se negaron a aceptar esas salvaguardas. El 4 de abril, la excepción caducó.

Detengáminos en qué significa exactamente esa caducidad: la Directiva ePrivacy de la UE prohíbe, por defecto, que los servicios de mensajería y correo escaneen el contenido de las comunicaciones privadas de sus usuarios; la derogación que expiró en abril era, precisamente, la excepción legal que blindaba a las grandes compañías de plataformas sociales (Meta, Google, Microsoft y Snap) frente a esa prohibición. Sin ella, escanear sin consentimiento vuelve a incumplir la normativa europea de privacidad.

Y sin embargo, un día después de la expiración, las cuatro compañías emitieron un comunicado conjunto anunciando que seguirían escaneando igualmente, alegando su compromiso con la protección infantil. Desde entonces, y durante tres meses, esas compañías han operado en un limbo legal —la Comisión Europea ni siquiera se ha pronunciado sobre si la práctica es legal— y sin que ningún regulador de protección de datos haya abierto expediente sancionador alguno.

Ese primer dato ya debilita el argumento del “vacío legal” que esgrime ahora el PPE para justificar la urgencia: si el escaneo ha seguido funcionando sin problemas visibles durante tres meses sin cobertura legal expresa, reinstaurarla parece menos una necesidad operativa urgente y más una cuestión de conveniencia para las plataformas y sus aliados en el Consejo.

Cabe recordar aquí que el Gobierno alemán reconoce no haber detectado ninguna caída extraordinaria en las denuncias desde que expiró la derogación, y según cifras oficiales de la propia Comisión, más del 60% de las denuncias por contenido sospechoso proceden del rastreo de publicaciones públicas y almacenamiento en la nube, ambas áreas que permanecían al margen de la norma caducada. Pero el interés real de los partidarios de Chat Control 1.0 parece ser únicamente habilitar la cibervigilancia indiscriminadada de los mensajes privados, precisamente allí donde la expectativa de confidencialidad es más alta y el argumento a favor de la inspección automatizada, más débil.

Lo que ocurre ahora, según diplomáticos consultados por varios medios, es sencillamente insólito: es la tercera vez que el Parlamento vota sobre el mismo asunto (según el expediente oficial de procedimiento), algo que no es la forma habitual de proceder en la UE.

Quién impulsa la norma: el Consejo, el PPE y la trampa de los 361 votos

Para entender el pulso que se está librando esta semana hace falta mencionar al otro protagonista del expediente: el Consejo de la Unión Europea, la institución que reúne a los gobiernos de los 27 Estados miembros. Tras el rechazo de marzo, el Consejo fijó su propia posición: reinstaurar el texto prácticamente sin cambios, extendiendo la mencionada excepción hasta 2028 y sin las salvaguardas —autorización judicial, restricción a sospechosos concretos— que el Parlamento había exigido antes de que el trílogo fracasara.

La reapertura del expediente partió de la propia presidenta del Parlamento, Roberta Metsola, quien instó a los líderes de la UE en junio a seguir adelante pese a la posición ya fijada por su cámara. Su grupo justifica la urgencia alegando ese “vacío legal” ya mencionado.

La responsabilidad de la resurrección de este texto hay que atribuírsela al PPE (Partido Popular Europeo), el grupo de la propia Metsola. Eso puede extrañar a muchos, dado que ese mismo grupo formó parte de la mayoría que rechazó la prórroga en marzo, pero no hay contradicción alguna: según fuentes del propio PPE citadas por Euronews, sus eurodiputados votaron mayoritariamente en contra no porque se opusieran a prorrogar el escaneo, sino porque el texto que se sometió a votación incluía las enmiendas restrictivas introducidas por otros grupos políticos, como la necesidad de autorización judicial, y la limitación del escaneo a sospechosos concretos.

De hecho, el presidente del PPE, Manfred Weber, llevaba tiempo presionando para que la prórroga se aprobara sin cambios, y ahora ha encontrado la vía para lograrlo: resucitar el texto original mediante el atajo procedimental de la urgencia, sin tener que renegociar esas salvaguardas.

Ahí es donde entra el mecanismo que da ventaja a los partidarios de la norma: al encontrarse el expediente en segunda lectura, la posición del Consejo solo puede modificarse o rechazarse si una mayoría absoluta de los miembros del Parlamento —361 votos sobre 720— vota en contra. Si no se alcanza ese umbral, la ley se considera aprobada automáticamente, sin necesidad de respaldo afirmativo alguno. La eurodiputada verde Markéta Gregorová (Verdes/ALE) acusa al PPE de abusar de su posición como grupo mayoritario para resucitar una propuesta que el Parlamento ya había rechazado, calificando el episodio de “sin precedentes” y advirtiendo de que ya no se trata solo de proteger la privacidad, sino la propia democracia europea.

Si el Parlamento hubiera rechazado la urgencia el martes, el expediente habría seguido la vía ordinaria hasta la Comisión de Libertades Civiles, Justicia y Asuntos de Interior (LIBE), donde durante un plazo de tres meses se podrían haber negociado enmiendas transversales capaces de sumar una mayoría absoluta viable tras el verano.

La ciencia no ha cambiado: la advertencia de los expertos en ciberseguridad

Mientras la política se movía a toda velocidad, la comunidad científica insistió en que la tecnología subyacente sigue sin funcionar de forma fiable. Durante el fin de semana previo a la votación, las profesoras e investigadores Carmela Troncoso (Instituto Max Planck) y Bart Preneel (KU Leuven) enviaron una carta urgente a los eurodiputados pidiendo el voto en contra del procedimiento de urgencia, alertando de que las tecnologías de detección actualmente disponibles mantienen tasas de error inaceptablemente altas y de que el escaneo indiscriminado plantea serios problemas de proporcionalidad, especialmente cuando existen desde hace tiempo herramientas mucho más específicas.

Esta advertencia no surgió de la nada: se suma a dos cartas anteriores firmadas por más de 800 investigadores en ciberseguridad, un nivel de consenso que rara vez se forma en torno a una sola propuesta legislativa. También asociaciones profesionales del sector, como CEPIS, han hecho llamamientos públicos contra la vigilancia encubierta de la mensajería en nombre de la protección infantil.

La votación del jueves

Mañana, el Parlamento Europeo se enfrenta a una votación en la que el silencio y la ausencia equivalen, en la práctica, a un ‘sí’. Bloquear o enmendar el texto exige que 361 eurodiputados —de los 720 que componen la Cámara— se presenten físicamente y voten en contra, en la última jornada antes de que buena parte de ellos ya haya salido de vacaciones.

Organizaciones de derechos civiles, activistas de la privacidad y asociaciones de seguridad informática están pidiendo a los eurodiputados de todos los grupos políticos que rechacen esta trampa tendida por Weber: la plataforma fightchatcontrol.eu mantiene un listado actualizado de qué eurodiputados apoyan la medida, y facilita las direcciones de contacto de todos ellos para quien quiera hacer llegar su postura antes de la votación del jueves.

Lo que está en juego, recuerdan quienes se oponen a la norma, no es solo una cuestión técnica de procedimiento parlamentario, sino si cientos de millones de europeos van a poder seguir enviando un mensaje sin que una máquina lo examine antes que su destinatario. Es decir, la violación de las comunicaciones cifradas.

El Consejo de Ministros ha dado este martes luz verde a la reforma de la Ley Orgánica de protección civil del derecho al honor, a la intimidad personal y familiar y a la propia imagen, la norma que desde 1982 regula qué se puede hacer (y qué no) con la imagen, la voz y la reputación de las personas. El nuevo texto llega para intentar poner coto a fenómenos que ni existían el año en que se aprobó el texto original: los deepfakes generados con inteligencia artificial, la reutilización masiva de fotos compartidas en redes sociales o el género del true crime.

En qué fase está exactamente la tramitación

Dejemos claro un detalle importante en el que algunos medios parecen estar generando algo de confusión: la ley todavía no está en vigor. Lo que ha ocurrido esta semana es que el Gobierno ha completado su propio recorrido interno, no el parlamentario.

El proceso, en orden, ha sido este:

1. Enero de 2026: el Consejo de Ministros aprobó el anteproyecto de ley en primera vuelta.

2. Trámite de audiencia e información pública, en el que se recogieron aportaciones de instituciones como el Consejo General del Poder Judicial, el Consejo Fiscal, la Agencia Española de Protección de Datos, el Consejo de Estado o el Consejo de Consumidores y Usuarios.

3. Hoy, 7 de julio de 2026: el Consejo de Ministros ha aprobado el texto definitivo en segunda vuelta, ya como proyecto de ley (no como simple anteproyecto).

A partir de aquí, el proyecto se remite al Congreso de los Diputados, donde arranca ahora la tramitación parlamentaria propiamente dicha: debate de enmiendas, paso por comisión, votación en el Pleno y, previsiblemente, también su paso por el Senado. Solo cuando supere todas esas fases, se apruebe definitivamente y se publique en el BOE, la ley entrará en vigor.

Es decir, lo aprobado esta semana es un paso importante, pero el texto puede todavía sufrir cambios en el Congreso antes de convertirse en ley. Y teniendo en cuenta la debilidad legislativa de los partidos que respaldan al Gobierno, es bastante probable que veamos algún cambio en la norma.

Deepfakes: se acaba el vacío legal

La gran novedad de la reforma es que, por primera vez, la ley considera expresamente una intromisión ilegítima en el honor el uso o la difusión de imágenes o voces de una persona real creadas, simuladas o manipuladas con inteligencia artificial cuando tengan una apariencia extremadamente realista y no exista autorización de los afectados.

Es una respuesta directa a un fenómeno que, según datos de Naciones Unidas, afecta de forma mayoritaria a las mujeres, sobre todo en forma de imágenes pornográficas no consentidas, y que en España ya ha generado varios casos que afectan a menores.

Suscríbete ahora

La norma contempla, no obstante, excepciones para proteger la libertad de creación y de expresión:

• Obras de ficción, sátira o arte: no se considerará intromisión ilegítima, y solo será obligatorio advertir que el contenido es una manipulación con IA cuando pueda inducir a pensar que es real.

• Personas con proyección pública: se podrá usar la IA sobre su imagen en contextos creativos, satíricos o de ficción, sin necesidad de aviso expreso cuando el contexto sea claramente reconocible como tal.

• Información de relevancia pública: la difusión de comunicaciones privadas no se considerará intromisión ilegítima cuando el contenido revelado tenga carácter noticiable por su interés general.

Además, se establece que subir una foto o un vídeo a una red social no equivale a renunciar a los derechos sobre esa imagen: que un contenido esté colgado en un perfil no habilita a terceros (ni siquiera a los medios de comunicación) a reutilizarlo con una finalidad distinta a la de la plataforma original, salvo que se trate de hechos de relevancia pública.

Menores: consentimiento a partir de los 16 años

La ley fija en 16 años la edad mínima para que un menor pueda dar su consentimiento sobre el uso de su propia imagen, en línea con la tramitación paralela de la ley de protección de los menores en el entorno digital (que busca vetar el acceso a redes sociales por debajo de esa edad).

Por debajo de los 16 años, el consentimiento deberá darlo por escrito el representante legal, y este estará obligado a ponerlo en conocimiento previo del Ministerio Fiscal, que además pasará a ser parte en todos los procedimientos judiciales relacionados con el derecho al honor, la intimidad o la imagen de menores.

Pero, incluso cuando exista consentimiento del menor o de sus representantes, la ley permite considerar igualmente ilegítima cualquier intromisión que suponga un menoscabo de la dignidad o la reputación del menor, o que sea contraria a sus intereses. Es decir, el consentimiento no blinda automáticamente cualquier uso de la imagen de un niño o niña.

Ese último matiz es clave para entender por qué esta reforma se ha presentado también como una respuesta al llamado sharenting: la práctica, muy extendida, de padres y madres que publican fotos y vídeos de sus hijos en redes sociales, a veces de forma constante y desde que son bebés.

La ministra de Juventud e Infancia, Sira Rego, ya había anunciado que el Gobierno quería regular este fenómeno, y la reforma del derecho al honor recoge esa intención por esta vía indirecta: no se trata de una prohibición expresa y detallada del sharenting como tal —no hay, por ejemplo, límites cuantitativos o requisitos específicos para publicar fotos de hijos propios—, sino de un principio general que, en la práctica, podría aplicarse a esos casos y que previsiblemente se desarrollará con más detalle en la ley de protección de los menores en el entorno digital, actualmente también en tramitación.

Freno al ‘true crime’ que beneficie al criminal

La reforma también responde a la polémica generada por obras basadas en crímenes reales: el caso más citado por el propio Gobierno es el del libro El odio, que iba a publicar Anagrama con una entrevista al asesino de sus propios hijos José Bretón.

A partir de ahora se considerará intromisión ilegítima que una persona condenada en sentencia firme utilice su delito de cualquier forma que dañe el honor, la intimidad o la imagen de las víctimas, tanto si busca notoriedad como si busca beneficio económico. En esa situación, se podrán solicitar medidas cautelares (incluida la suspensión de la comercialización de series, libros o cualquier producto audiovisual) mientras se resuelve el litigio.

Testamento digital y personas fallecidas

La ley crea la figura de una suerte de “testamento digital”: cualquier persona podrá dejar establecido, en su testamento o designando a alguien para ello, que se prohíba el uso de su imagen o su voz —originales o recreadas con IA— con fines publicitarios o comerciales tras su muerte. Es una respuesta a casos como el de la aparición de Lola Flores, fallecida hace décadas, en un anuncio de cerveza generado con inteligencia artificial.

También se amplía el círculo de personas legitimadas para defender el honor de un fallecido más allá del cónyuge, incluyendo a las parejas de hecho, y se prevé que, si el fallecido era menor o tenía una discapacidad que afectaba a su capacidad jurídica, pueda actuar quien tuviera su representación legal.

Indemnizaciones más objetivas y fin de la “indemnización simbólica”

La norma introduce criterios más concretos para fijar las indemnizaciones por daño moral: la gravedad de la vulneración, el prestigio del medio en el que se haya difundido, la prolongación en el tiempo de la intromisión o su repercusión, teniendo en cuenta también la difusión a través de redes y servicios digitales, no solo de medios tradicionales.

Como novedad relevante, se prohíben las indemnizaciones simbólicas (es decir, esas condenas de “un euro” que algunos juzgados venían dictando hasta ahora) y se contempla la posibilidad de publicar en el Boletín Oficial del Estado la identidad de la persona condenada, el derecho vulnerado y el importe de la indemnización, si así lo pide la víctima y lo autoriza el juzgado.

Cuando la Comisión Europea presentó su propuesta original de reglamento de inteligencia artificial en 2021, ChatGPT ni siquiera existía. Cinco años después, esa norma pionera —conocida como AI Act— ha tenido que reescribir parte de su propio calendario para no chocar con una tecnología que evoluciona más rápido que cualquier proceso legislativo.

Tras meses de negociación, el proceso que reajusta esas fechas ya se ha cerrado: el Parlamento Europeo lo aprobó el 16 de junio de 2026 y el Consejo de la UE dio su visto bueno definitivo el 29 de junio. Solo falta su publicación en el Diario Oficial de la UE, prevista antes del 2 de agosto de 2026, para que entre en vigor.

Una ley pionera que corre contrarreloj

El AI Act se aprobó hace más de dos años en el Parlamento Europeo con una mayoría contundente —523 votos a favor, 46 en contra y 49 abstenciones— y convirtió a la Unión Europea en la primera región del mundo en regular la inteligencia artificial de forma integral. Ese logro repetía, en cierto modo, el camino que ya había recorrido el Reglamento General de Protección de Datos (RGPD), que tardó solo dos años en aplicarse tras su aprobación.

Pero el despliegue del AI Act ha resultado mucho más complejo. La irrupción de la IA generativa obligó a incorporar sobre la marcha nuevos requisitos para los modelos de propósito general, publicar guías de aplicación y elaborar un Código de Buenas Prácticas dirigido a los grandes desarrolladores. Y ahora, con la aplicación de las obligaciones más exigentes a la vuelta de la esquina, Bruselas ha decidido dar más tiempo al mercado antes de que esas reglas entren en vigor.

Sin embargo, los cambios adoptados han resultado divisivos, y los números lo dejan bien claro si en marzo de este mismo año el mandato negociador reunió 569 votos a favor, en la votación final de junio el apoyo bajó a 423, con las abstenciones prácticamente cuadruplicándose. La aprobación salió adelante con holgura, sí, pero el consenso fue notablemente menor que al inicio del proceso.

Qué es exactamente lo que se retrasa

El paquete de reformas —bautizado como “Ómnibus Digital de IA”— no toca el núcleo de la ley: el sistema de clasificación por niveles de riesgo, las prácticas prohibidas y las obligaciones para los modelos de propósito general se mantienen intactos. Lo que cambia es el calendario de aplicación para los llamados sistemas de alto riesgo, es decir, aquellos usados en ámbitos especialmente sensibles como el empleo, la educación, las infraestructuras críticas, la sanidad, la administración de justicia o los servicios esenciales.

Con el calendario original, esas obligaciones debían empezar a aplicarse el 2 de agosto de 2026. Con el texto ya aprobado por Parlamento y Consejo, las nuevas fechas quedan así:

• 2 de diciembre de 2026: para la obligación de marcar de forma legible por máquina el contenido generado por IA (el llamado watermarking), aunque solo para los sistemas que ya estuvieran en el mercado antes de agosto de 2026.

• 2 de diciembre de 2027: para los sistemas de alto riesgo “independientes” recogidos en el Anexo III de la norma (evaluación crediticia, selección de personal, recursos humanos, triaje sanitario, biometría, migración o procesos democráticos, entre otros).

• 2 de agosto de 2028: para la IA integrada en productos ya regulados por otras normas, como dispositivos médicos, maquinaria o juguetes (Anexo I).

Un matiz importante, y que los propios juristas han querido subrayar para evitar confusiones: no es correcto decir que se ha aplazado el AI Act en su conjunto. Lo que se reescalona es una parte concreta —las obligaciones de alto riesgo—, mientras que el resto del calendario (prohibiciones, alfabetización en IA y buena parte de las obligaciones de transparencia) sigue su curso sin cambios.

De hecho, el 2 de agosto de 2026 sigue siendo una fecha de cumplimiento activa para las obligaciones de transparencia del artículo 50 de la norma, como la identificación de que un usuario está interactuando con un sistema de IA.

Un cambio de criterios

La propuesta inicial de la Comisión, presentada en noviembre de 2025, no planteaba fechas fijas, sino un mecanismo condicionado: las obligaciones de alto riesgo solo entrarían en vigor cuando la Comisión confirmara que existían los estándares técnicos necesarios, con 2027 y 2028 como fechas límite en caso de que esos estándares no estuvieran listos a tiempo. Durante la negociación final, Parlamento y Consejo optaron por sustituir ese sistema por fechas fijas y cerradas, precisamente para dar más previsibilidad a empresas y administraciones, que llevaban meses reclamando certidumbre antes que flexibilidad.

La prohibición de los “desnudificadores”

Más allá de los plazos, el Ómnibus ha incorporado una prohibición que no formaba parte del debate original sobre plazos y estándares: la prohibición expresa de los sistemas de IA diseñados para generar contenido sexual o íntimo sin consentimiento, así como material de abuso sexual infantil. La medida afecta tanto a quienes desarrollan estos sistemas como a quienes los utilizan con ese fin, y su cumplimiento será exigible a partir del 2 de diciembre de 2026.

Durante el debate parlamentario, una de las eurodiputadas que impulsó la medida defendió que este tipo de herramientas afecta a personas reales —mayoritariamente mujeres— con el objetivo de humillarlas y cosificarlas. Se trata de la adición sustantiva más relevante del paquete, y contrasta con el resto de cambios, que son en su mayoría ajustes de calendario y simplificación administrativa.

Otros ajustes menos visibles pero con impacto práctico

El paquete de reformas incluye además una serie de cambios técnicos que apenas han trascendido fuera de los círculos especializados, pero que tendrán consecuencias prácticas para las empresas:

• Maquinaria fuera del doble cumplimiento. El Reglamento de Maquinaria pasa a un régimen distinto dentro del AI Act, de forma que los productos con IA embebida sujetos a esa normativa sectorial dejarán de tener que cumplir en paralelo el capítulo de alto riesgo de la norma. En su lugar, será la propia normativa de maquinaria la que incorpore, mediante actos delegados, los requisitos de seguridad relacionados con la IA.

• Menos ambigüedad sobre qué es un “componente de seguridad”. Se aclara que un sistema de IA que simplemente asiste al usuario u optimiza el rendimiento, sin generar riesgos para la salud o la seguridad, no se considerará de alto riesgo. Esto reduce el número de productos que caerían bajo esa categoría por defecto.

• Sandboxes regulatorios, un año más de margen. La obligación de que cada Estado miembro cuente con al menos un entorno de pruebas regulatorio para la IA se retrasa del 2 de agosto de 2026 al 2 de agosto de 2027.

• Una nueva categoría de empresa beneficiada. Además de las pymes, se crea la categoría de “pequeña empresa de mediana capitalización” (SMC, por sus siglas en inglés), que podrá acceder a las mismas flexibilidades ya previstas para las pymes: documentación técnica simplificada, sanciones proporcionadas y sistemas de gestión de calidad menos exigentes.

• El registro de sistemas exentos se mantiene. La Comisión había propuesto eliminar la obligación de registrar en la base de datos europea aquellos sistemas que un proveedor considera exentos de la categoría de alto riesgo. Esa propuesta se ha descartado: el registro sigue siendo obligatorio, aunque con menos requisitos de información.

Lo que opina la industria y quienes vigilan su cumplimiento

El reto que perciben empresas, despachos de abogados y organismos de supervisión ya no tiene que ver con el contenido de la norma, sino con su aplicación práctica: muchos de los problemas no vendrán de que un sistema falle, sino de que la organización no tenga procedimientos claros para usarlo. A eso se suma la necesidad de coordinar el AI Act con otras normas como el RGPD, la legislación de ciberseguridad o la normativa sectorial de sanidad, empleo o servicios financieros.

Suscríbete ahora

Desde el sector, distintas patronales han insistido en que su prioridad ahora no es tener menos regulación, sino disponer de un marco estable que permita planificar inversiones con antelación suficiente. Y aunque el nuevo calendario ha sido bien recibido como forma de evitar lo que algunas organizaciones han descrito como un “precipicio de cumplimiento” —el desfase entre la entrada en vigor de las obligaciones legales y la disponibilidad real de estándares técnicos—, no todo el mundo lo ve como una buena noticia sin matices.

La cara polémica del aplazamiento

No todas las voces han aplaudido el retraso. Algunas organizaciones de la sociedad civil (como LobbyControl) y ciertos eurodiputados (como Sergey Lagodinsky, vicepresidente de los Verdes Europeos) han advertido de un riesgo poco comentado: como la norma no es retroactiva, un sistema de alto riesgo que se lance al mercado antes de que las nuevas obligaciones entren en vigor podría quedar exento de cumplirlas salvo que sufra modificaciones sustanciales después.

Esto podría generar un incentivo perverso para que algunas empresas se apresuren a comercializar sistemas de IA de alto riesgo antes de diciembre de 2027, precisamente para evitarse los requisitos más exigentes.

A ese debate se suma un dato que también ha llamado la atención: una amplia mayoría de las reuniones mantenidas por la Comisión Europea durante el proceso de preparación de estos “paquetes ómnibus” de simplificación normativa se celebraron con grupos empresariales, frente a una proporción mucho menor con organizaciones no gubernamentales. Es un ángulo que añade ciertos matices a la narrativa institucional de “simplificación”...

Qué pasará ahora

Con el texto ya aprobado por ambas instituciones, decíamos que solo resta su publicación en el Diario Oficial de la Unión Europea, que se espera antes del 2 de agosto de 2026, fecha en la que el reglamento entrará en vigor formalmente. A partir de ahí, empieza el verdadero examen del AI Act: comprobar si, entre 2027 y 2028, la norma es capaz de aplicarse de manera homogénea en los 27 Estados miembros, con procedimientos claros y sin perjudicar la competitividad de una industria que no ha dejado de transformarse desde que Bruselas empezó a legislarla.

Si el nuevo calendario se cumple, desde el inicio del proceso en 2021 hasta la plena entrada en vigor de las obligaciones de alto riesgo habrán pasado siete años. Un plazo que será la verdadera prueba de si el AI Act puede convertirse en un estándar internacional —como ya lo hizo el RGPD— o si la velocidad de la inteligencia artificial acabará por desbordar, una vez más, a quienes intentan regularla.

Desde que, en 1993, ayudó a llevar a juicio a Pacific Gas and Electric Company (PG&E) por contaminar el agua subterránea de Hinkley, California —un caso que terminó en un acuerdo de 333 millones de dólares y que Hollywood convirtió en leyenda con el rostro de Julia Roberts—, miles de personas contactan cada año con Erin Brockovich para pedirle ayuda.

Pero, esta vez, el asunto que le preocupa no se limita a un municipio: los centros de datos que están devorando el territorio estadounidense para dar de comer a la inteligencia artificial. Como ella misma resume, “esto es como lo de Hinkley, pero con esteroides”.

El 27 de abril, Brockovich lanzó una petición sencilla en su web: si alguien tenía preocupaciones sobre un centro de datos cerca de su casa, que se lo contara. En apenas un mes ya había recibido 3.862 informes. Actualmente, su mapa —construido con base a esos testimonios y disponible en brockovichdatacenter.com— contabilizaba 33 centros de datos de IA ya operativos en Estados Unidos, 68 en construcción y 41 propuestos.

“La gente de a pie no debería ser la última en enterarse”

En su propio blog, Brockovich planteó la pregunta que da título a esta investigación: si los centros de datos son tan beneficiosos, ¿por qué se están construyendo en secreto? Según relata, el problema ya no es la tecnología en sí —“ese genio ya salió de la botella”, admite sobre la IA—, sino la opacidad con la que se levantan estas estructuras que muchas veces superan el kilómetro cuadrado de extensión.

Su plataforma nació, en sus palabras, porque el público no debería enterarse el último. Los testimonios recogidos hablan de un patrón nacional: residentes que se sienten silenciados, ignorados y excluidos de decisiones ya tomadas de antemano, muchas veces protegidas por acuerdos de confidencialidad (NDA) entre las promotoras y los gobiernos locales.

Suscríbete ahora

Un ejemplo que ella misma destaca es el de Richland Parish, Luisiana, donde Meta construye un campus de inteligencia artificial de más de 370 kilómetros cuadrados conocido como Hyperion, con un consumo eléctrico que superaría al de toda la ciudad de Nueva Orleans. Diane Cobb, vecina de la zona, contó a la radio pública de Nueva Orleans que se enteraron de la obra cuando ya estaban excavando, y que nadie les informó pese a que supuestamente hubo una reunión comunitaria de la que nadie tuvo noticia real.

Casos similares se repiten en Arkansas, donde Google construye lo que las autoridades estatales califican como la mayor inversión privada de capital en la historia del estado; en Memphis, donde Elon Musk convirtió una antigua fábrica en su superordenador Colossus en apenas 122 días y ya trabaja en una segunda versión con el objetivo de alcanzar un millón de GPU; o en Wisconsin, donde Microsoft ha invertido más de 7.000 millones de dólares en un centro que su vicepresidente, Brad Smith, describió como una “maravilla moderna” que se está levantando en el corazón del Medio Oeste.

Agua, ruido… y facturas que se disparan

El agua es, según todas las fuentes consultadas, el recurso más que genera más disputa: un estudio citado por Brockovich calcula que dos tercios de los centros de datos planeados en Estados Unidos se ubican en zonas ya golpeadas por la sequía. Los más grandes pueden llegar a consumir hasta unos 18 millones de litros de agua al día solo para refrigeración, el equivalente al consumo diario de 50.000 personas.

A eso se suman las facturas. Brockovich relata el caso de un residente cuya factura mensual de agua pasó de 22 a más de 350 dólares. ¿Por qué ocurrió eso? Sencillo, porque muchos sistemas municipales de EE.UU. cobran más por metro cúbico a medida que sube el consumo total del sistema, o suben la tarifa base cuando hay que invertir en más infraestructura (pozos nuevos, plantas de tratamiento, tuberías).

Así, si el consumo agregado de la zona se dispara por culpa del nuevo centro de datos, la factura de todos los usuarios —no solo de la empresa— puede subir, porque el coste de mantener el sistema se reparte entre los abonados. La activista, además, señala el impacto acústico constante de generadores y sistemas de refrigeración, algo que —a diferencia de la contaminación química que combatió en Hinkley— resulta imposible de ocultar: se nota desde el primer día.

Moratorias, demandas millonarias y una lucha desigual

El primer objetivo de Brockovich es lograr moratorias caso por caso mientras se exigen estudios de impacto ambiental y audiencias públicas reales. El problema es que, cuando los gobiernos locales intentan frenar un proyecto, a menudo se enfrentan a demandas multimillonarias por parte de las promotoras.

El caso más citado es el del condado de Hill, en Texas, donde los representantes locales, sorprendidos por la protesta ciudadana, votaron una moratoria de un año para detener la construcción de un centro de datos. La respuesta fue una demanda de 100 millones de dólares por parte de los promotores: el condado terminó por dar marcha atrás.

Pese a ello, hasta 79 municipios estadounidenses han aprobado moratorias… aunque muchas de ellas impugnadas judicialmente casi de inmediato. Ha habido pausas en Georgia, Maryland, Michigan, Carolina del Sur, Dakota del Norte, Pensilvania y Florida, mientras que en Maine una moratoria aprobada por el parlamento estatal fue vetada por la gobernadora demócrata Janet Mills.

No todas las historias terminan en derrota, eso sí: en Monroe Township, Nueva Jersey, la presión vecinal llevó a que el ayuntamiento aprobara en abril una ordenanza que prohíbe directamente los centros de datos en el municipio, después de que la promotora Hexa Builders viera rechazada su solicitud. Pemberton Township, en el condado de Burlington, había hecho lo propio meses antes, en lo que los activistas describen como la primera prohibición municipal de este tipo en el estado. Ahora varias organizaciones ecologistas promueven una moratoria a nivel regional en Nueva Jersey.

Una batalla desigual, pero no perdida

Brockovich es consciente de que se enfrenta a un rival de una escala muy distinta a la de PG&E en los años noventa. Ella misma lo admite: son fuerzas que disponen de todo el dinero, toda la inteligencia y toda la capacidad tecnológica del mundo. Aun así, insiste en que el sistema legal todavía proporciona un margen de acción.

También subraya que esta no es una batalla partidista. Aunque reconoce que los cambios de administración influyen mucho en el ritmo de estas causas, insiste en que la preocupación por los centros de datos atraviesa todo el espectro político.

El lobby de la industria tecnológica, mientras tanto, difunde un mensaje centrado en la creación de empleo, los ingresos fiscales y la expansión de la banda ancha, pero rara vez menciona el consentimiento comunitario, el impacto ambiental o el derecho de los vecinos a saber qué se construye junto a su casa antes de que se firmen los permisos.

La respuesta de Brockovich: organización, información y paciencia

Lejos de plantear esto como una cruzada contra la tecnología, Brockovich se muestra pragmática. Su hoja de ruta es clara: exigir primero un informe de impacto ambiental, preguntar cómo se piensa generar la energía necesaria y si se recurrirá a los recursos ya escasos de la zona, y después convocar una asamblea vecinal para que la comunidad tenga voz antes de que el proyecto avance.

Su mensaje final, más que una advertencia apocalíptica, es una invitación a la acción: asistir a las reuniones de las juntas de planificación local, preguntar a los responsables políticos qué sabían y cuándo lo supieron, exigir que se hagan públicos los acuerdos de confidencialidad si existen y reclamar los estudios de impacto ambiental y energético completos.

A sus 66 años, con seis nietos y bromeando con que ya se siente “demasiado mayor para todo esto”, Brockovich no oculta que esta podría ser su última gran batalla. Pero, como ella misma resume con una sonrisa, no piensa dejarlo hasta que termine.

Fuentes consultadas

• Erin Brockovich, “If Data Centers Are So Great, Why Are They Being Built in Secret?”, The Brockovich Report (Substack).

• “We’re up against forces that have all the money in the world”: Erin Brockovich on her battle against AI datacentres, The Guardian.

• “Erin Brockovich is back, and now she’s taking on AI data centers”, FIRSTonline.

• “Erin Brockovich’s new fight: AI data centers”, Deutsche Welle (DW).

• Mapa interactivo de centros de datos: brockovichdatacenter.com

El Ministerio del Interior ha formalizado un contrato para comprar un mínimo de 7,7 millones de sobres de papel, destinados a repartir el PIN que activa los certificados electrónicos del DNIe. El importe total de la operación asciende a 71,6 millones de euros, según ha confirmado el Boletín Oficial del Estado (BOE). La noticia llega apenas tres meses después de que España diera un paso decisivo hacia la identidad digital: desde el 2 de abril de 2026 ya no es obligatorio llevar el DNI físico si se dispone de su versión en el móvil a través de la app oficial miDNI, y cualquier entidad pública o privada está obligada a aceptarla como medio de identificación válido.

El contraste no es casual, y tiene una explicación técnica que conviene entender antes de sacar conclusiones apresuradas sobre “burocracia anticuada”.

El contrato, en cifras

Aunque no se ha publicado en el BOE hasta este mismo lunes, la adjudicación se resolvió el pasado 13 de mayo a favor de Formularios del Centro, S.A., pyme con sede en Alcorcón (Madrid) cuya oferta fue seleccionada por un valor de 9,30 euros por sobre, frente a otras nueve propuestas. En los criterios de adjudicación, el precio pesó un 90% frente a un 10% del criterio técnico.

Por qué el PIN no puede viajar digitalmente (todavía)

La clave para entender este contrato está en cómo funciona realmente la seguridad del DNI electrónico. El chip que lleva integrado el DNIe no se activa solo con el documento: para usar sus dos certificados —el de autenticación, que demuestra que eres quien dices ser, y el de firma, que da validez legal a un documento digital— hace falta introducir simultáneamente dos elementos: el propio DNIe (algo que tienes) y el PIN (algo que sabes). Es más o menos el mismo principio que una tarjeta bancaria: de poco sirve robar la tarjeta si no se conoce el código, ni memorizar el código si no se tiene la tarjeta en la mano.

Suscríbete ahora

Ese PIN es un código aleatorio alfanumérico de entre 8 y 16 dígitos que se genera en el momento en que se expide el documento. Y aquí está el matiz que explica los sobres: por diseño de seguridad, ese código no puede entregarse por el mismo canal que el propio DNI, porque si alguien interceptase un único envío tendría acceso a las dos piezas necesarias para suplantar a su titular. De ahí que se reparta en un sobre aparte, cerrado, pensado para que cualquier manipulación sea detectable antes de llegar al ciudadano.

Es importante no confundir este PIN con el acceso a la aplicación miDNI, que es un sistema distinto: para identificarse con el móvil (ante, por ejemplo, un agente de Policía) basta con la propia app, protegida por contraseña y datos biométricos (huella o reconocimiento facial), sin necesidad de PIN físico. Pero si un ciudadano quiere usar los certificados del chip del DNIe —por ejemplo, para firmar electrónicamente con un lector de tarjetas conectado a su PC—, ese PIN en papel sigue siendo imprescindible. La digitalización de la identificación presencial no ha eliminado, de momento, la necesidad de este segundo canal físico para el chip criptográfico.

• Un consejo: la propia Policía Nacional insiste además en sus recomendaciones de uso en que el PIN es personal e intransferible y en que nunca debe compartirse por teléfono, correo electrónico ni ningún otro medio, subrayando que su conocimiento por un tercero supone un riesgo real de que se activen las claves privadas en nombre del titular.

Calculando (a ojo) el tiempo de vigencia del contrato

Interior no ha explicado a cuántos años de expedición corresponde este contrato, pero hay una referencia útil para dimensionarlo. Según datos sindicales recogidos en 2023, España cuenta con alrededor de 1.800 puestos de expedición de DNI y pasaporte, y cada uno tramita de media unas 27 solicitudes al día, lo que arroja una cifra aproximada de 49.000 documentos expedidos o renovados diariamente en todo el país cuando el sistema funciona con normalidad.

Extrapolando esa media a un año completo, la cifra ronda los 15-18 millones de documentos, aunque esa cifra mezcla DNI y pasaportes y depende de picos estacionales, así que debe tomarse como una foto aproximada y no como una estadística oficial y actualizada. Aun con esa cautela, sirve para poner en contexto que 7,7 millones de sobres no es un capricho: encaja con aproximadamente un año de expediciones y renovaciones de DNI a nivel nacional.

Cómo lo resuelven otros países europeos

España no es una excepción dentro de la Unión Europea. Portugal aplica prácticamente el mismo modelo con su Cartão de Cidadão: cuando el documento se renueva o se emite de nuevo, el ciudadano recibe por correo una “carta PIN” separada, que además de los códigos de activación de los certificados digitales indica dónde recoger la tarjeta si procede.

Alemania, en cambio, resuelve el mismo problema de otra manera: el llamado PIN-Brief con el código de transporte se entrega en persona en la propia oficina al solicitar el Personalausweis, en lugar de enviarse por correo al domicilio, lo que evita el riesgo de una intercepción postal del código. El país germánico sí ofreció durante un tiempo un servicio para pedir por correo una carta de restablecimiento del PIN si este se perdía, pero el Ministerio del Interior alemán lo suspendió en febrero de 2024 por motivos presupuestarios, y desde entonces solo se puede restablecer el PIN acudiendo en persona a una oficina.

Una solución con fecha de caducidad

Este modelo, sin embargo, no está pensado para durar para siempre. El DNI 4.0 español debe adaptarse al reglamento europeo eIDAS, y la Unión Europea trabaja en una futura cartera de identidad digital común para todos sus países, con 2031 como horizonte límite. Si ese proyecto avanza según lo previsto, es razonable esperar que sistemas como el reparto físico del PIN acaben integrándose en mecanismos completamente digitales de verificación.

Por ahora, mientras el chip físico del DNIe siga siendo el soporte legal de los certificados, España seguirá necesitando imprimir, ensobrar y enviar por correo millones de códigos secretos cada año.