Chat Control 2026: qué implica el escaneo de mensajes privados

El Reglamento para prevenir y combatir el abuso sexual infantil en línea, conocido popularmente como Chat Control, lleva sobre la mesa del Consejo de la UE desde mayo de 2022. Desde entonces ha pasado por múltiples rondas de negociación bajo presidencias rotatorias del Consejo — Bélgica, Hungría, Polonia y Dinamarca presentaron cada una su propio texto de compromiso entre 2024 y 2025 — sin lograr la mayoría cualificada necesaria para su aprobación. El punto de fricción se repite en cada versión: si el escaneo de contenido debe aplicarse también a las comunicaciones cifradas de extremo a extremo, como WhatsApp, Signal o Telegram, o limitarse al contenido que ya circula sin cifrar. La sexta propuesta no resuelve esa disyuntiva de fondo: mantiene la obligación de 'detección' para los proveedores calificados de alto riesgo, con la novedad de ampliar las exenciones para quienes ya aplican verificación de edad y controles voluntarios. Para una empresa española, esto significa que la incertidumbre regulatoria no es un problema teórico de Bruselas: afecta directamente a las herramientas que usas cada día para hablar con clientes, proveedores y tu propio equipo.

Hashing perceptual: comparar sin 'leer', pero con margen de error

El escaneo del lado del cliente (client-side scanning) no lee el contenido de tu mensaje en el sentido literal. Antes de que el archivo se cifre y salga de tu dispositivo, un algoritmo genera un hash perceptual de la imagen o el vídeo — una huella digital comprimida — y la compara contra una base de datos de hashes de material ya catalogado como abuso sexual infantil, gestionada por organismos como el NCMEC en Estados Unidos. Si hay coincidencia, se genera una alerta que se envía a un intermediario antes de que el mensaje llegue a cifrarse por completo. El problema técnico es que un hash perceptual no es una huella dactilar exacta: está diseñado para tolerar recortes, cambios de color o compresión, lo que también lo hace vulnerable a colisiones — imágenes completamente distintas que generan el mismo hash. Investigadores de seguridad demostraron esto públicamente en agosto de 2021, apenas días después de que Apple anunciara su propio sistema NeuralHash para iCloud, generando colisiones deliberadas que habrían disparado falsos positivos. Apple retiró el proyecto en diciembre de 2022 sin haberlo desplegado nunca en producción.

Por qué 'no rompe el cifrado' es una media verdad

El argumento oficial es que el escaneo ocurre antes del cifrado, así que el cifrado en sí no se toca — sigue siendo matemáticamente inviolable de extremo a extremo. Es cierto en un sentido estricto, pero irrelevante en la práctica: si el propio dispositivo del usuario tiene instalado un componente que inspecciona el contenido y lo reporta a un tercero antes de protegerlo, el modelo de amenaza del cifrado ya no importa, porque el punto de fuga se movió al terminal. Cualquier fallo, vulnerabilidad o uso indebido de ese componente de escaneo — por parte de un atacante, un gobierno o el propio proveedor — expone contenido que el usuario creía protegido. No es una puerta trasera al algoritmo de cifrado, pero funciona exactamente como una puerta trasera al sistema completo. Esta es la razón técnica por la que compañías como Signal han declarado repetidamente que preferirían dejar de operar en la UE antes que implementar esta obligación en su aplicación.

El reglamento no obliga directamente a las pymes a instalar nada: la obligación de 'detección' recae sobre los proveedores de servicios de comunicaciones interpersonales calificados como de alto riesgo por la autoridad de coordinación de cada Estado miembro. Pero eso no significa que tu empresa quede al margen. Si usas WhatsApp Business para atender clientes, Microsoft Teams para tu operativa interna o Slack para coordinar equipos, dependes de que esos proveedores decidan cómo van a cumplir — o si prefieren restringir funciones, salir del mercado europeo o cambiar el cifrado de sus productos. La paradoja es que las herramientas que ya adoptaste por ser más seguras (cifrado de extremo a extremo por defecto) son precisamente las que enfrentan el conflicto legal más difícil de resolver, mientras que servicios que nunca cifraron de extremo a extremo, como Gmail o Facebook Messenger sin cifrado, ya escanean del lado del servidor de forma voluntaria desde hace años y encajan con menos fricción en el nuevo marco. Dicho de otro modo: haber elegido la opción más privada te deja hoy más expuesto a un cambio de reglas que haber elegido la opción menos privada.

Si usas WhatsApp Business, Teams o Slack: qué te toca a ti

• Mapea qué herramientas de comunicación con clientes dependen de cifrado de extremo a extremo y cuáles no — no todas las pymes lo saben con precisión.
• Incluye a estos proveedores en tu evaluación de riesgo de terceros, no solo a tu CRM o tu ERP.
• Revisa si tu política de retención de comunicaciones con clientes ya contempla un escenario de migración forzosa de plataforma.
• Si manejas datos sensibles de clientes por chat (salud, menores, datos financieros), documenta hoy esa práctica: será lo primero que un auditor te pida si la norma se activa.

El propio supervisor europeo de protección de datos ya se pronunció sobre esto. En julio de 2022, el Supervisor Europeo de Protección de Datos (EDPS) y el Comité Europeo de Protección de Datos (EDPB) publicaron un dictamen conjunto — la Opinión 4/2022 — calificando la propuesta original como una medida más intrusiva que cualquier otra implementada hasta la fecha en una sociedad democrática, y advirtiendo de un riesgo real de vigilancia masiva indiscriminada. El conflicto de fondo es estructural: el RGPD exige minimización de datos y limitación de finalidad, mientras que un escaneo generalizado de todas las comunicaciones, para detectar una minoría de casos ilícitos, opera exactamente en la dirección contraria. En noviembre de 2023, la comisión LIBE del Parlamento Europeo votó una posición negociadora que excluye el escaneo obligatorio de comunicaciones cifradas y lo limita a contenido no cifrado con verificación de edad, marcando una distancia clara respecto a la posición del Consejo. Que dos instituciones europeas —el propio regulador de datos y una comisión parlamentaria— hayan marcado distancia técnica con el texto del Consejo no es un detalle menor: es la señal de que el problema no es de redacción, sino de diseño.

En más de una auditoría de compliance nos hemos encontrado empresas que gestionan datos de clientes por WhatsApp sin haberlo incluido nunca en su registro de actividades de tratamiento. La discusión sobre Chat Control está sacando a la luz un problema de gobernanza de las comunicaciones que ya existía antes de que la norma se aprobara.

Aquí toca ser honestos: no recomendamos que ninguna pyme española lance hoy un proyecto de migración masiva de herramientas de comunicación por Chat Control. El texto sigue sin mayoría cualificada en el Consejo, la comisión LIBE mantiene una posición divergente, y cada ronda de negociación desde 2022 ha terminado en un nuevo aplazamiento. Invertir ahora en sustituir Teams o WhatsApp Business por una alternativa 'a prueba de Chat Control' es gastar presupuesto de IT en un escenario que todavía puede cambiar de forma sustancial antes de convertirse en obligación real. Lo que sí tiene sentido — y sale gratis — es la parte de gobernanza: saber qué herramientas usas, qué datos pasan por ellas y qué harías si un proveedor cambia sus condiciones de un día para otro. Esa preparación te sirve pase lo que pase con la sexta, séptima o décima propuesta, porque el problema de fondo — depender de herramientas de comunicación sin haberlas evaluado nunca como parte de tu superficie de riesgo — no lo va a resolver ni a crear Bruselas.

• Inventaría las herramientas de comunicación con clientes y proveedores usadas realmente (no solo las oficiales).
• Clasifica cuáles usan cifrado de extremo a extremo por defecto y cuáles no.
• Añade a estos proveedores a tu matriz de riesgo de terceros, con un plan B documentado.
• Revisa tu registro de actividades de tratamiento RGPD para incluir las comunicaciones por chat con clientes.
• Asigna a alguien la responsabilidad de vigilar el estado legislativo de Chat Control cada trimestre, no solo cuando salte en prensa.