Chat Control 2.0: el plan que enfrentará a WhatsApp/Signal con Bruselas

La Unión Europea vuelve a poner sobre la mesa “Chat Control”, el paquete regulatorio que obligaría a apps y servicios de mensajería (WhatsApp, Signal, Gmail, etc.) a escanear mensajes y archivos para detectar abuso sexual infantil. Sus defensores hablan de eficacia; sus críticos, de un golpe histórico a la privacidad y al cifrado de extremo a extremo. El debate entra en fase decisiva este octubre.

Qué es “Chat Control” y en qué punto está

La propuesta formal es el Reglamento para Prevenir y Combatir el Abuso Sexual Infantil (CSAR). Entre otras medidas, contempla órdenes de detección que exigirían a los proveedores analizar contenidos de usuarios —incluidos cifrados— para localizar CSAM conocido y desconocido. El Consejo de la UE prevé discutir y votar su posición a mediados de octubre de 2025, tras varios intentos fallidos de acuerdo en 2024 y la primera mitad de 2025. (Parlamento Europeo)

Desde 2021 existe un marco “transitorio” apodado Chat Control 1.0: el Reglamento (UE) 2021/1232 permite de forma voluntaria que ciertos servicios escaneen contenidos para detectar CSAM sin vulnerar la ePrivacy. Esa derogación se prorrogó hasta abril de 2026 a la espera de la norma definitiva. Chat Control 2.0 es como se conoce —en prensa y organizaciones— a la propuesta que haría obligatoria la detección. 

El choque central: cifrado y derechos fundamentales

Autoridades y parte de la academia alertan de riesgos graves para derechos como la privacidad (Carta de Derechos Fundamentales, art. 7) y la seguridad del ecosistema digital si se debilita el cifrado de extremo a extremo con escaneo en el dispositivo (client-side scanning). El EDPB (supervisores de protección de datos) y organizaciones como EDRi y EFF han pedido reconsiderar el enfoque por su carácter masivo y desproporcionado. 

Los proveedores cifrados (p. ej., Signal) sostienen que el escaneo obligatorio sería “como instalar un malware” y abriría vulnerabilidades aprovechables por delincuentes o estados hostiles. 

Dónde están los Estados miembros

Las posiciones fluctúan. En las últimas semanas, varios países han cambiado de “apoyo” a “indecisos” o han reforzado su oposición, mientras la presidencia danesa del Consejo intenta amarrar una mayoría cualificada para avanzar el texto. El mapa a comienzos de octubre muestra un bloque de apoyo, otro opuesto y un grupo indeciso clave para el resultado. 

¿Qué cambiaría para las plataformas?

• De la voluntariedad a la obligación: hoy algunas compañías escanean voluntariamente (Chat Control 1.0). Con el CSAR, deberían cumplir órdenes de detección y reportar. 

• Impacto técnico: el escaneo previo al cifrado o en el extremo del usuario rompería garantías del E2EE, elevando superficie de ataque y costes de cumplimiento. 

• Bloqueo / retirada: el paquete incluye obligaciones de retirada y posibles bloqueos de acceso a servicios que incumplan. 

¿Y ahora qué?

Si el Consejo logra una posición común (octubre 2025), la propuesta pasaría a trílogos con el Parlamento y la Comisión. Si fracasa, seguirá vigente la derogación temporal (Chat Control 1.0) hasta abril de 2026, manteniendo el statu quo de detección voluntaria. 

Claves para empresas y ciudadanía

• Compliance y seguridad: las empresas deberían anticipar impactos técnicos (gestión de claves, arquitectura E2EE, falsos positivos) y legales (tratamiento de datos sensibles, retenciones). 

• Transparencia: convendría exigir evaluaciones de impacto públicas y auditorías independientes de los sistemas de detección. 

• Debate informado: la protección de la infancia es incuestionable; la cuestión es cómo lograrla sin instaurar vigilancia masiva ni debilitar la ciberseguridad europea. 

Bottom line: Chat Control enfrenta dos bienes públicos: protección de menores y privacidad/seguridad de toda la sociedad. La decisión que tome la UE este mes puede marcar un precedente global sobre los límites del escaneo masivo en comunicaciones cifradas.