La Unión Europea se propuso en 2022 aprobar un reglamento que luche contra la difusión de material de abuso sexual infantil (CSAM, por sus siglas inglesas). La idea es detectar esos contenidos antes de que se manden de un dispositivo a otro a través de servicios de mensajería instantánea como WhatsApp, Telegram o Signal. El problema es que, para hacerlo, hay que monitorizar todos y cada uno de los mensajes que se envíen en suelo europeo. Y eso supone acabar con la privacidad que aporta la encriptación de extremo a extremo, una tecnología presente en WhatsApp o Signal que garantiza que el contenido del mensaje solo lo ven el emisor y el receptor (ni siquiera la plataforma tiene acceso a ello).
Más de 600 académicos protestan contra la normativa que tramita la UE, que “socava por completo la seguridad y privacidad” de las comunicaciones
La Unión Europea se propuso en 2022 aprobar un reglamento que luche contra la difusión de material de abuso sexual infantil (CSAM, por sus siglas inglesas). La idea es detectar esos contenidos antes de que se manden de un dispositivo a otro a través de servicios de mensajería instantánea como WhatsApp, Telegram o Signal. El problema es que, para hacerlo, hay que monitorizar todos y cada uno de los mensajes que se envíen en suelo europeo. Y eso supone acabar con la privacidad que aporta la encriptación de extremo a extremo, una tecnología presente en WhatsApp o Signal que garantiza que el contenido del mensaje solo lo ven el emisor y el receptor (ni siquiera la plataforma tiene acceso a ello).
Un grupo de más de 600 académicos de 34 países ha publicado esta semana una carta abierta dirigida a la Presidencia de la UE en la que desgranan los motivos por los que consideran que la normativa no solo no conseguirá sus objetivos, sino que supone una amenaza potencial para la privacidad de todos los ciudadanos. “La propuesta creará capacidades sin precedentes para la vigilancia, el control y la censura, y conlleva un riesgo inherente de desviación de funciones y abuso por parte de regímenes menos democráticos”, sostienen en el escrito los investigadores, en su mayoría ingenieros y expertos en criptografía. “Alcanzar el nivel actual de seguridad y privacidad en las comunicaciones y sistemas digitales ha llevado décadas de esfuerzo. No cabe duda de que esta propuesta socava por completo las protecciones de seguridad y privacidad que son esenciales para proteger a la sociedad digital”, sentencian.
La presidencia danesa del Consejo ha reactivado las discusiones en torno al Reglamento para prevenir y combatir el abuso sexual de los menores, más conocido como Chat Control. El Consejo de la UE se reúne hoy en Copenhague para fijar la posición de los Estados miembros sobre una nueva propuesta del reglamento. Posteriormente, se iniciará la negociación del texto juntamente con la Comisión y el Parlamento. Por el momento, solo seis países se han declarado en contra del texto (Austria, Bélgica, Finlandia, Países Bajos, República Checa y Polonia) y otros seis se muestran indecisos. El resto, España incluida, está a favor.
Estas son las claves de la normativa y los motivos por los que más de medio millar de expertos, así como varias asociaciones en defensa de los derechos digitales o hasta el Supervisor Europeo de Protección de Datos, consideran que su aprobación supondría un retroceso para la sociedad.
¿En qué consiste la propuesta?
El reglamento impone la obligación a los proveedores de servicios de mensajería encriptada de garantizar que no se manden contenidos pedófilos a través de su plataforma. Para asegurarse de ello, estas compañías deberán escanear las comunicaciones en busca de ese material.
¿Cómo sabrán si lo que se está enviando desde el dispositivo A al B es contenido CSAM? Viendo si el archivo está incluido en una lista de material previamente identificado como tal. Es decir: no se visualizarán uno a uno los vídeos o se revisarán las webs (se mandan tantos que eso sería imposible), sino que se verá si estaban ya marcados.
¿Por qué despierta críticas?
El primer argumento es estrictamente técnico. “Simplemente, no es factible realizar la detección de CSAM conocido y nuevo para cientos de millones de usuarios con un nivel aceptable de precisión, independientemente del filtro específico”, razonan los firmantes.
“Además, la detección en el dispositivo, sin importar su implementación técnica, socava de manera inherente la protección que garantiza el cifrado de extremo a extremo”, añaden.
¿Qué pasa con las comunicaciones encriptadas?
En la propuesta de reglamento se dice que la revisión de los contenidos se realizaría antes de mandarse de un dispositivo a otro (es decir, antes de encriptar esas comunicaciones). Sin embargo, por definición, un sistema de encriptación debe asegurarse de que solo el emisor y el receptor del contenido tienen acceso al mismo, por lo que si hay un tercero que lo supervisa ya no hay encriptación.
Esa puerta de acceso acaba con la seguridad de las comunicaciones privadas, ya que el sistema podría ser fácilmente reconfigurado para dar la alerta no solo cuando se intercambia material CSAM, sino por cualquier otro motivo. Por ejemplo, cuando se manden memes sobre partidos políticos.
Si todas las comunicaciones deben ser accesibles en algún momento del proceso, se introduce otra superficie de ataque para los ciberdelincuentes, que podrían explotar ese agujero para colarse en las comunicaciones.
“Las implicaciones de la nueva propuesta violan de manera inequívoca los principios básicos del cifrado de extremo a extremo y debilitarán la protección que ofrece el cifrado”, concluyen los expertos. “Este debilitamiento amenaza nuestro derecho fundamental a la privacidad y puede tener graves consecuencias en nuestros procesos democráticos y en la seguridad nacional al impedir las comunicaciones digitales confidenciales”, añade.
¿Qué se revisa exactamente?
La nueva propuesta de reglamento ha reducido el ámbito de aplicación a imágenes y webs, mientras que versiones previas del documento incluían archivos de texto y audio. “En una nota a pie de página se dice que se puede volver en el futuro al análisis de texto a través de una enmienda”, explica Carmela Troncoso, investigadora del Max Planck Institute for Security and Privacy y una de las impulsoras del escrito firmado por la academia. “El problema es que sigue siendo fácil evadir el detector con cambios pequeños”, subraya la experta.
¿Se puede burlar el sistema?
Sí, y no es difícil. Cambiar unos pocos bits en una imagen, por ejemplo añadiéndole algunos píxeles negros en lugares que no afecte mucho a la imagen, es suficiente para garantizar que esta no active a los detectores más avanzados. “Los trabajos más recientes sobre este tema muestran que este tipo de ataques pueden ser efectivos incluso sin conocer el algoritmo utilizado por el mecanismo de detección”, alertan los investigadores.
En cuanto a las webs, resulta muy sencillo cambiar cualquier URL, por lo que compartir páginas con material pedófilo seguirá siendo virtualmente indetectable.
Aunque la propuesta de reglamento introduce la posibilidad de usar herramientas de IA y aprendizaje automático para detectar imágenes no fichadas de CSAM, los investigadores aseguran desconocer la existencia de algún algoritmo capaz de hacer eso sin arrojar un reguero de falsos positivos.
¿Detectará material problemático sin que lo sea?
La tecnología disponible hace que sea imposible que no haya falsos positivos, es decir, casos en los que el sistema detecte supuesto material comprometido sin que en realidad lo sea.
Que se identifique erróneamente un material como CSAM no es trivial. Eso implicará que las autoridades monitoricen el dispositivo sospechoso y custodien los archivos privados que contengan al menos hasta que se dirima el asunto.
Si esto no funciona, ¿cuál es la alternativa?
“Dos años después de nuestra primera carta, queremos reiterar que, dadas las limitaciones de la tecnología, la actual propuesta, centrada principalmente en eliminar material abusivo de internet a costa de la seguridad de las comunicaciones, tiene poco potencial de impacto en el abuso perpetrado contra los niños”.
Los más de 600 académicos recuerdan que los contenidos CSAM que circulan por internet están ahí porque previamente ya se ha cometido un delito: realizar esos actos y grabarlos. “En lugar de seguir impulsando tecnologías de eficacia dudosa, como los algoritmos de detección de CSAM y la verificación de edad, que debilitan significativamente la seguridad y la privacidad, queremos volver a llamar la atención sobre las medidas recomendadas por organizaciones como la ONU. Estas incluyen la educación (sobre el consentimiento, las normas y valores, la alfabetización digital y la seguridad en línea, así como la educación sexual integral); líneas de denuncia sensibles al trauma; e intervenciones basadas en búsquedas por palabras clave”.
Tecnología en EL PAÍS
