El Pall Mall Process cerró esta semana directrices voluntarias para la industria de intrusión cibernética, pero organizaciones de derechos humanos cuestionan su alcance real sin enforcement vinculante.
Estados Unidos firmó esta semana un conjunto de directrices internacionales para regular herramientas cibernéticas ofensivas comerciales, conocidas como capacidades comerciales de intrusión cibernética (CCICs por su sigla en inglés), que incluyen spyware. El Pall Mall Process, liderado por Reino Unido y Francia, completó así su segunda fase tras aprobar el año anterior un código para estados. Las directrices son voluntarias y buscan, según los ministerios de Relaciones Exteriores británico y francés, desincentivar actividades irresponsables en el mercado, mejorar la transparencia para reguladores y clientes, y dar claridad a empresas que operan dentro o en la periferia de la industria. Sin embargo, organizaciones de la sociedad civil y expertos en derechos humanos señalan que el resultado final quedó por debajo de lo necesario para controlar un sector que ha sido vinculado a abusos sistemáticos contra periodistas, activistas y opositores políticos.
Cuatro pilares sin dientes: qué contienen las directrices y qué dejaron afuera
Las directrices se estructuran en cuatro pilares principales: cumplimiento de regulaciones y normas, debida diligencia, gestión de riesgos y monitoreo de cumplimiento. Entre las recomendaciones concretas figuran cumplir con controles de exportación, crear procesos de evaluación de riesgos, implementar controles técnicos de acceso como encriptación y observar continuamente quién puede usar las capacidades. El documento refleja, según Natalia Krapiva, asesora senior de tecnología y derecho para Access Now, el producto de múltiples partes interesadas con visiones contradictorias: estados, industria, academia, hackers éticos y sociedad civil.
Krapiva indicó que la sociedad civil había abogado por estándares más robustos, incluyendo interruptores técnicos obligatorios (kill switches), mayor transparencia y requisitos de debida diligencia más estrictos. Gayatri Khandhadai, directora de tecnología y derechos humanos en el Business and Human Rights Centre, fue más directa: el resultado cae por debajo de lo verdaderamente necesario para responsabilizar a esta industria. Khandhadai señaló que hay poca evidencia de que las empresas de spyware cumplan incluso con sus responsabilidades mínimas bajo el derecho internacional de derechos humanos y los Principios Rectores de las Naciones Unidas sobre Empresas y Derechos Humanos.
El giro desde seguridad nacional hacia derechos humanos que llegó tarde
Allison Pytlak, directora senior y directora del programa cibernético en el Stimson Center, describió que durante las negociaciones hubo un cambio en el enfoque inicial de las directrices. El énfasis previo en argumentos de seguridad nacional y proliferación se desplazó hacia un mejor balance con derechos humanos en la versión final. Pytlak reconoció que las directrices reflejan la magnitud del problema y la necesidad de actuar, pero advirtió que el proceso necesitará mostrar resultados concretos pronto para mantener el apoyo y el impulso.
El problema de fondo es la ausencia de mecanismos de enforcement. Khandhadai planteó que los estados deben elevar el estándar si realmente buscan implementar cambios concretos: establecer límites claros de uso, adjuntar condiciones vinculantes a la contratación pública, extender el escrutinio a toda la cadena de suministro, garantizar notificación a las víctimas y reparación, y pasar de orientación voluntaria a ley ejecutable. Sin estos elementos, las directrices funcionan más como una declaración de intenciones que como un marco regulatorio efectivo.
Inteligencia artificial y la próxima frontera del problema
Un tema clave de discusión en las reuniones de esta semana fue cómo la inteligencia artificial podría impactar el Pall Mall Process. La pregunta no es menor: si las capacidades de intrusión cibernética ya plantean desafíos de control y rendición de cuentas en su forma actual, la integración de IA generativa y automatización podría amplificar tanto la escala como la opacidad de su uso. El documento no detalla qué medidas específicas se consideran para abordar esta convergencia tecnológica, pero el hecho de que haya entrado en la agenda sugiere que los participantes reconocen que el problema no es estático.
El próximo punto de agenda es cómo se implementarán el código para estados y las directrices de la industria. Pytlak señaló que los países están tomando medidas a nivel nacional, pero no existe una forma clara y coherente de rastrear esas acciones. Todo ocurre en contextos nacionales sin un mecanismo de retroalimentación o reporte. Parte de lo discutido en esta reunión fue que tanto el código como las directrices necesitan concretarse mejor en ese aspecto. Sin un sistema de seguimiento, las directrices corren el riesgo de convertirse en un ejercicio de relaciones públicas sin impacto verificable.
Por qué América Latina debería prestar atención a un proceso europeo
Aunque el Pall Mall Process es una iniciativa liderada por Reino Unido y Francia, su relevancia para América Latina es directa. La región ha sido escenario documentado de uso de spyware comercial contra periodistas, defensores de derechos humanos y opositores políticos. Casos como el uso de Pegasus en México, donde se identificaron infecciones en dispositivos de activistas y periodistas, o las revelaciones sobre compras de tecnología de vigilancia por parte de gobiernos en Brasil, Colombia y otros países, muestran que el mercado de CCICs opera globalmente y que la ausencia de regulación vinculante afecta especialmente a contextos con instituciones de control más débiles.
Si las directrices del Pall Mall Process no incluyen mecanismos de enforcement ni requisitos de transparencia obligatoria en la cadena de suministro, los gobiernos latinoamericanos que adquieren estas herramientas seguirán operando en una zona gris regulatoria. La falta de notificación obligatoria a víctimas y de reparación, señalada por Khandhadai, es particularmente crítica en la región, donde el acceso a la justicia para víctimas de vigilancia ilegal es limitado. El riesgo es que las directrices voluntarias terminen siendo adoptadas selectivamente por empresas que ya tienen incentivos reputacionales para hacerlo, mientras que los actores más opacos del mercado continúan operando sin cambios.
Nuestro análisis
El Pall Mall Process representa un reconocimiento formal de que el mercado de spyware comercial es un problema que requiere coordinación internacional. Eso en sí mismo es un avance respecto a la fragmentación regulatoria previa. Sin embargo, el resultado de esta semana confirma un patrón que ya se vio en otros intentos de autorregulación de la industria tecnológica: cuando las directrices son voluntarias y carecen de mecanismos de verificación independiente, su impacto depende de la buena voluntad de actores que tienen incentivos económicos para no cumplirlas. La ausencia de kill switches obligatorios, de auditorías externas y de sanciones por incumplimiento convierte a estas directrices en un piso mínimo que no resuelve los casos más graves de abuso.
La pregunta que queda abierta es si el Pall Mall Process evolucionará hacia un marco vinculante o si quedará como un ejercicio de soft law que permite a los estados participantes declarar que están abordando el problema sin cambiar sustancialmente el statu quo. La incorporación de la discusión sobre inteligencia artificial es relevante, pero también revela que el proceso está corriendo detrás de la tecnología en lugar de anticiparse a ella. Si el próximo paso es definir cómo se implementarán estas directrices sin un sistema de reporte claro, el riesgo es que cada país interprete el cumplimiento a su manera y que no haya forma de saber si las directrices están teniendo algún efecto real. ¿Cuántos casos de abuso documentado tendrán que acumularse antes de que la comunidad internacional decida que las directrices voluntarias no son suficientes?