¿Necesitamos un marco regulatorio común para el mundo digital?

Jonathan Masís, abogado, docente y diplomático de Costa Rica, nos contactaba hace ya unas semanas con el fin de que le ayudásemos a redactar un anteproyecto de investigación sobre la necesidad de estudios en derecho internacional y ciberseguridad.

Hace años, de hecho, ya habíamos hablado largo y tendido sobre seguridad y riesgo en infraestructuras críticas, por si también te interesa.

Le pedí que me enviase las consultas por mail, y así hizo.

He aquí las respuestas que le di, que dejo por escrito si le pueden servir a alguien:

1. ¿Cómo describes el actual marco regulatorio internacional de internet, redes sociales y flujos de información pública digital?

La palabra sería… Complejo.

Y si me apuras, insuficiente.

Es decir, con todo lo que tenga que ver con regulación internacional, y digital, las cosas se complican. A fin de cuentas, históricamente la regulación ha sido diseñada para funcionar a nivel estatal, y por tanto, con un alcance geográfico limitado.

El problema surge cuando, en derroteros como Internet, los límites geográficos no tienen sentido.

Y por otro lado, regular internacionalmente entra en conflicto con los propios intereses nacionalistas, soberanos, culturales y hasta ideológicos de cada país.

Mira si no el caso de Europa, una zona que podemos considerar que se acerca bastante a la idea de un sistema regulatorio supranacional conjunto (con muchos asteriscos, pero bueno), y que pese a ello, ha tenido históricamente competencias nacionales que difícilmente se han podido gestionar desde Bruselas, como es el caso de la Salud o la Educación.

Obviamente, esto es aprovechado por los de siempre (cibercriminales) para perpetrar en algunos casos casi impunemente sus fechorías.

De ahí que buena parte de los ciberdelitos vengan de zonas deprimidas de Somalia, China o Rusia, por poner tres ejemplos de países que tienen, o bien un acuerdo directo, o uno tácito con su industria cibercriminal, por la que mirarán hacia otro lado siempre que los ataques se realicen a países de fuera.

¿Cómo regulamos esto internacionalmente? Pues es difícil responder a esta pregunta, ya que para ello, primero deberíamos tener claro y de forma universal qué consideramos un ciberdelito y qué competencias deberían cederse a organismos supranacionales para que éstos puedan actuar en forma y tiempo.

Cosa que, a la vista del panorama actual, no parece que sea compartido por todos los países por igual.

2. ¿Cuáles esfuerzos actuales de los gobiernos se dirigen adecuadamente a regular los derechos digitales?

Otra pregunta difícil de responder…

Y es difícil porque, de nuevo, no parece estar clara la línea que separa aquello que se regula con el fin de, en efecto, mejorar la seguridad de la ciudadanía, de aquello que se regula por intereses geopolíticos o de control estatal.

Por ponerte un ejemplo reciente al otro lado del charco, en mi querida Europa.

La zona está, como bien sabrás, regulando de forma conjunta si hay que marcar límites al cifrado de las comunicaciones, con algunos países a favor de ello, y otros en contra. Cada uno, por supuesto, con más o menos propuestas en sintonía con su opinión.

El cifrado de las comunicaciones, y por resumirlo mucho, tiene dos acercamientos:

• Hay que protegerlo: Ya que parece un derecho fundamental del ciudadano el poder comunicarse de forma anónima con quien quiera, sin que un potencial tercero (por ejemplo, un Estado) pueda sin orden judicial acceder al mismo. Lo que supone, de facto, generar sistemas de mensajería que cuenten con un cifrado de punto a punto, y dificultando por tanto potenciales investigaciones policiales.
• Hay que limitarlo: Ya que gracias a ello, hay grupos marginales de la sociedad que se aprovechan de esta situación (véase las bandas criminales), utilizando estos servicios para realizar crímenes contra la sociedad. Lo que supone, por tanto, aceptar que por la SEGURIDAD NACIONAL, el cifrado de punto a punto debe estar prohibido, y en todo caso ofrecer un cifrado que a petición del gobierno o el órgano de turno se pueda romper unilateralmente.

En un lado, blandimos la bandera de la seguridad nacional en tanto en cuanto protegemos uno de los Derechos Fundamentales de la Humanidad: El derecho a la privacidad.

En el otro lado, blandimos la misma bandera de la seguridad nacional, pero esta vez asumiendo que gracias a su limitación, la sociedad será menos vulnerables a potenciales crímenes futuros.

Fíjate que en ambos casos se está intentando regular los derechos digitales por el bien del ciudadano. Pero para hacerlo, en cada caso se recurre a acercamientos que son totalmente contrarios e incompatibles…

Y esto dentro de Europa. Es decir, con países, todos occidentales, con una trayectoria histórica muy semejante. Ahora mete en la ecuación países de América, de Asia y de África, y prepárate…

3. ¿Cuáles preguntas formularias a dirigentes gubernamentales y de organismos internacionales que tienen el poder para realizar políticas públicas para proteger intereses estatales y derechos de las personas frente a amenazas existentes en el habitad digital?

La pregunta más importante que les haría es cómo toman esas decisiones, y el objetivo no es otro que entender, y con suerte fijar, un ecosistema regulatorio que sea lo más neutral posible, lejos de sesgos nacionales y lobbistas.

De nuevo recurro a la Unión Europea, por ser el organismo supranacional que más conozco.

Desde hace unos pocos años, para algunas decisiones regulatorias como, por ejemplo, la que está ahora mismo en curso sobre el metaverso o la inteligencia artificial, se invita a diferentes expertos, periodistas y ciudadanos elegidos, en principio, de forma totalmente aleatoria, a pasar uno o dos fines de semana en Bruselas, por supuesto con todos los gastos pagados.

Allí coincidirá con personas y/o profesionales, y durante esos dos días, probarán la tecnología y tendrán que debatir en grupos cerrados sobre qué les parece, qué creen que potencialmente puede ser peligroso, y qué oportunidades crearían.

Con todo ese expertise acelerado, les tocará presentar su opinión ante los políticos, así como hacerles las preguntas que estimen oportunas.

Y ojo, piensa que hablamos también de ciudadanos que no tienen ni idea de regulación, y muchas veces tampoco de la propia tecnología a tratar. Es decir, que probablemente vengan «vírgenes» a las sesiones (de antemano no sabes a qué te están invitando, y solo te lo dicen una vez llegas allí), por lo que hasta cierto punto se diluye la posibilidad de que haya intereses de terceros en juego.

Lo sé porque casualmente un conocido mío, periodista de un medio español, fue invitado recientemente a una de estas reuniones (él en calidad de periodista tecnológico), y pudo constatar todo el proceso.

Algo así, teniendo en cuenta que se invita de forma pseudo-aleatoria a cualquier ciudadano de cualquier país de la UE, y presuponiendo que esas sesiones son, en efecto, aprovechadas por los políticos para tomar nota del pulso social (cómo la sociedad entiende esa tecnología) creo que podrían marcar la diferencia, y buscar ese punto de equilibrio tan difícil de conseguir entre la necesidad de que sea un grupo limitado y en teoría especializado quien regule, y que éste tenga aunque sea en mente la opinión de los ciudadanos, y no solo, como suele ocurrir, la opinión de expertos (que oye, cada uno pecamos de uno u otro partidismo) y de los lobbies de turno.

¿Otras preguntas?

Pues el saber cómo han sido elegidos esos que nos representan o qué controles ponen para limitar el alcance de los lobbies. Preguntas que no tengo claro si valdría de algo hacérselas directamente a los dirigentes, sino al propio sistema (a fin de cuentas, ellos forman parte del mismo, y por ende no pueden ser neutrales en su juicio), y en última instancia a nuestra sociedad.

¿Estamos realmente preparados para una regulación internacional de competencias digitales?

Un servidor tiene sus dudas, sinceramente.

Mal que me pese reconocerlo, y aunque soy consciente de que sería sin lugar a dudas lo mejor que podríamos hacer.

En CyberBrainers ayudamos a empresas y usuarios a prevenir, monitorizar y minimizar los daños de un ataque informático o una crisis reputacional. Si estás en esta situación, o si quieres evitar estarlo el día de mañana, escríbenos y te preparamos una serie de acciones para remediarlo.