Regular sin entender: por qué Europa prefiere la conformidad a la prueba
A la CNIL le gusta presentarse como el baluarte francés contra los abusos digitales. Sobre el papel, es seductor: una autoridad independiente, guardiana de las libertades, capaz de llamar al orden tanto al Estado como a las empresas. En la realidad, es un tigre administrativo con dientes de goma. No por falta de buena voluntad individual, sino por razones estructurales. La CNIL nació en un mundo donde la informática era centralizada, lenta y, sobre todo, comprensible para juristas generalistas. Ahora bien, el poder digital contemporáneo es difuso, transnacional y profundamente técnico. Resultado: la CNIL razona en conformidad allí donde el problema es sistémico. Verifica si las casillas están marcadas, si las menciones legales están ahí, si los formularios respetan el RGPD. Mientras tanto, las arquitecturas mismas (recolección masiva, inferencias algorítmicas, asimetrías radicales de información) permanecen intactas. La CNIL sanciona a posteriori, con multas que hacen portada dos días antes de ser absorbidas como gastos de funcionamiento. No desmonta nada, no abre los capós, nunca desarma públicamente un sistema diciendo: «he aquí precisamente cómo nos vigiláis, línea de código por línea». No tiene ni la cultura, ni los medios, ni sobre todo el mandato político real.
Frente a ella, la EFF y el Chaos Computer Club juegan en otra categoría. La EFF es jurídico-política: ataca, defiende, crea jurisprudencia, transforma las libertades digitales en derechos oponibles. Actúa en la arena donde se escriben las reglas, sabiendo muy bien que el derecho es lento pero que cuando falla, falla duraderamente. El CCC, por su parte, opera aguas arriba: prueba. Muestra que el rey está desnudo, que la máquina de votar está rota, que la biometría es una farsa peligrosa, que la seguridad proclamada es una mentira de marketing. Donde la CNIL pide garantías, el CCC saca un osciloscopio, un dump de memoria y una demostración pública. La diferencia es brutal: la CNIL moraliza, el CCC falsifica los discursos oficiales con la prueba. Y una institución que no puede ni auditar profundamente ni hacer visibles los mecanismos de dominación técnica está condenada a la impotencia cortés.
Los "bug bounties" se inscriben exactamente en esa misma lógica de impotencia maquillada de modernidad. Sobre el papel, es brillante: las empresas remuneran a quienes encuentran fallas. En los hechos, es una privatización cínica de la crítica técnica. Se le autoriza a buscar, pero únicamente donde se le dice que busque, únicamente sobre lo que se ha decidido hacer visible y, sobre todo, a condición de cerrar la boca una vez pagado. El bug bounty no es una herramienta de seguridad, es una herramienta de control narrativo. Transforma al investigador en prestador silencioso, la falla en incidente aislado, e impide todo debate público de las elecciones de arquitectura. Encontrar una vulnerabilidad crítica en un sistema de vigilancia o de pago nunca abre la cuestión política de saber si ese sistema debería existir bajo esa forma. Se tapa, se pagan algunos miles de euros, y se continúa como antes. El CCC, al contrario, considera que ciertas fallas no son bugs sino síntomas. Y un síntoma se muestra, se discute, se politiza. He ahí por qué es odiado por los departamentos jurídicos y adorado por quienes piensan todavía que la técnica no es neutra.
En cuanto a la Unión Europea, mira todo eso con fascinación y miedo mezclados. Admira al CCC por su capacidad de anticipar las derivas, de entender antes que los demás lo que va a salir mal. Pero es incapaz de asumir su método. La UE prefiere legislar a posteriori, producir reglamentos masivos, verbosos, a menudo inteligentes en la intención, pero construidos sobre una abstracción del real técnico. El DMA, el DSA, el AI Act: textos necesarios, a veces valientes, pero siempre con una guerra de retraso. Europa intenta imitar al CCC por la norma, sin aceptar nunca la idea central: que hacen falta actores capaces de romper públicamente los juguetes tecnológicos para que lo político recupere la mano. Ahora bien, romper un juguete es aceptar el conflicto, la incomodidad diplomática, la cólera de los industriales y a veces incluso el ridículo temporal de las propias instituciones. La UE quiere la virtud sin el sudor, la regulación sin la confrontación, la soberanía sin el coraje de mirar sus propios sistemas desplomarse bajo una demostración técnica.
Al fondo, todo se juega ahí. La CNIL tranquiliza, los bug bounties anestesian, la UE regula. El CCC, él, incomoda. Y mientras las instituciones europeas prefieran el confort procedimental a la prueba de la prueba, seguirán corriendo detrás de tecnologías que solo entienden cuando ya es demasiado tarde. No es un problema de competencia individual, es un problema de columna vertebral política. Y eso, ningún reglamento lo corregirá.