La directiva
En febrero de 2026, el general de brigada Mattias Hanson, director de sistemas de información de las Fuerzas Armadas suecas, emitió una directiva. Las llamadas y los mensajes de texto que no afecten a información clasificada deben hacerse, en la medida de lo posible, con la aplicación de mensajería Signal. La directiva no era una sugerencia. Era una decisión del máximo responsable informático del ejército sueco, motivada por una amenaza concreta y bien documentada: la vulnerabilidad de las redes telefónicas convencionales a la escucha y a la suplantación de números.
El razonamiento del general Hanson era operativo. «Reforzar a Suecia militarmente y actuar como parte de una defensa colectiva exige que aumentemos nuestras capacidades defensivas», declaró. «Necesitamos utilizar la tecnología más reciente y toda la fuerza innovadora del sector privado sueco». Signal, con su protocolo de cifrado de extremo a extremo de código abierto, representa esa tecnología más reciente. El ejército sueco lo adoptó porque los canales de comunicación convencionales no son lo bastante seguros.
Ese mismo mes, el gobierno de Suecia impulsaba una ley que dejaría funcionalmente ilegal la tecnología central de Signal: su cifrado de extremo a extremo.
El proyecto, con la designación formal Ju2024/02286, "Datalagring och åtkomst till elektronisk information" —almacenamiento de datos y acceso a la información electrónica—, obligaría a los servicios de mensajería, Signal y WhatsApp entre ellos, a almacenar todas las comunicaciones de sus usuarios y a ponerlas a disposición de las fuerzas de seguridad suecas. El gobierno sueco propuso que la ley entrara en vigor el 1 de marzo de 2026, con una votación en el Riksdag prevista para la primavera.
La respuesta de Signal fue inmediata y tajante. Meredith Whittaker, presidenta de la Signal Foundation, dijo al medio sueco SVT Nyheter que Signal se marcharía de Suecia antes que cumplir. «Preferiríamos salir del mercado a crear vulnerabilidades que puedan ser explotadas por terceros», afirmó Whittaker. «No vamos a dar marcha atrás».
En un solo mes, el ejército sueco dijo a su personal que usara Signal porque es seguro. El gobierno sueco dijo a Signal que se volviera insegura o se fuera. Y las Fuerzas Armadas suecas —en su informe formal sobre el anteproyecto— advirtieron de que la norma «no puede materializarse sin introducir vulnerabilidades y puertas traseras que podrían explotar terceros».
El mismo gobierno está reforzando a la vez la seguridad de las comunicaciones de su ejército y proponiendo socavarla. La contradicción no es sutil. Y no es exclusiva de Suecia.
La matemática de lo imposible
El anteproyecto otorga a las fuerzas de seguridad suecas un acceso ampliado a las comunicaciones electrónicas. Su mecanismo es sencillo: todos los proveedores de servicios de comunicación electrónica que operen en Suecia estarían obligados a almacenar los datos de comunicación de los usuarios y a ponerlos a disposición de la policía cuando esta los solicite.
Para los servicios que no usan cifrado de extremo a extremo, cumplir es técnicamente trivial. El proveedor ya tiene acceso al contenido de los mensajes, almacenado en sus servidores. Una obligación legal de conservar y entregar ese contenido cuando se le requiera cambia las obligaciones jurídicas del proveedor, pero no su arquitectura técnica.
Para los servicios cifrados de extremo a extremo, el requisito es técnicamente imposible de cumplir sin romper el cifrado. No es una cuestión de dificultad de ingeniería. Es una certeza matemática.
Cifrado de extremo a extremo significa que los mensajes se cifran en el dispositivo del remitente y solo se descifran en el del destinatario. El proveedor del servicio —Signal, en este caso— nunca posee las claves de cifrado y, por tanto, no puede leer los mensajes ni aunque quisiera. No hay clave que entregar. No hay puerta trasera que abrir. El sistema está diseñado para que el proveedor sea técnicamente incapaz de acceder al contenido de los mensajes.
Para cumplir con la ley sueca, Signal tendría que rediseñar su sistema de modo que o bien el proveedor conserve una copia de las claves de cifrado, o bien la conserve un tercero, o bien el cifrado se debilite de alguna forma que permita el acceso. Cada uno de estos enfoques introduce lo que los criptógrafos llaman un "single point of failure" —un punto único de fallo—: un mecanismo que, si alguien lo compromete, compromete la seguridad de todos los usuarios.
El consenso entre criptógrafos no está dividido en este punto. No se conoce ningún método de dar al gobierno acceso a comunicaciones cifradas que no dé simultáneamente acceso a cualquier otro que descubra o comprometa ese mecanismo de acceso. Una puerta trasera para Suecia es una puerta trasera para Rusia, para China, para el crimen organizado y para cualquier otro actor con la motivación y la capacidad de explotarla.
Las Fuerzas Armadas suecas dijeron exactamente esto. En su evaluación formal del anteproyecto, el ejército afirmó que «los requisitos de acceso a las comunicaciones cifradas de extremo a extremo no pueden materializarse sin introducir vulnerabilidades y puertas traseras que podrían ser explotadas por terceros». No es una organización de defensa de la privacidad. No es una empresa tecnológica protegiendo su modelo de negocio. Es el ejército del país más reciente en entrar en la OTAN, con experiencia operativa sobre las consecuencias de unas comunicaciones comprometidas, diciéndole a su propio gobierno que esta ley hará a Suecia menos segura.
La coalición
Las Fuerzas Armadas suecas no estuvieron solas en su valoración. Una coalición de 237 organizaciones de la sociedad civil, expertos en ciberseguridad y grandes empresas tecnológicas firmó una carta conjunta instando al Riksdag sueco a rechazar la norma. La carta fue coordinada por miembros de la Global Encryption Coalition, una red de más de 400 organizaciones en 108 países que defiende el cifrado fuerte en todo el mundo.
Entre los firmantes estaban Mozilla, Proton, Wire, Tuta Mail y la propia Signal. El Center for Democracy and Technology respaldó la oposición. La Internet Society publicó su propio análisis advirtiendo de las implicaciones para la seguridad.
El argumento de la coalición estaba técnicamente fundamentado. Crear una puerta trasera criptográfica genera vulnerabilidades que dejarían a Suecia menos segura frente a las ciberamenazas y a los adversarios extranjeros. Quienes más dependen del cifrado —periodistas que protegen fuentes, activistas que se organizan bajo amenaza, supervivientes de violencia doméstica que se comunican con servicios de apoyo, personal militar en operaciones— saldrían desproporcionadamente perjudicados.
La carta abordaba de frente el argumento policial. Sí, el cifrado hace más difícil que la policía acceda a las comunicaciones de sospechosos de delitos. Pero debilitar el cifrado no afecta selectivamente a los delincuentes. Afecta a todo el mundo. Y los delincuentes que son el objetivo declarado de la norma se pasarán sin más a otras herramientas: servidores autoalojados, software de cifrado propio o plataformas operadas desde jurisdicciones fuera del alcance de Suecia. Quienes no pueden cambiar fácilmente de herramienta son los ciudadanos corrientes, que se quedarán con una seguridad debilitada mientras los objetivos criminales se adaptan y desaparecen.
El gobierno sueco no ha respondido públicamente con una réplica técnica ni a la valoración de las Fuerzas Armadas ni a la carta de la coalición. No ha explicado cómo podría aplicarse la ley sin introducir las vulnerabilidades que ha identificado su propio ejército. La norma parece avanzar sobre el supuesto de que, como el gobierno quiere el acceso, tiene que existir una forma segura de proporcionarlo: un supuesto que ha rechazado todo criptógrafo cualificado que ha examinado la cuestión.
Signal traza una línea
La afirmación de Meredith Whittaker de que Signal se marcharía de Suecia no era una táctica negociadora. Era una declaración de principio técnico y organizativo, coherente con la respuesta de Signal a una presión idéntica del Reino Unido.
«No vamos a dar marcha atrás», dijo Whittaker refiriéndose tanto a la situación sueca como a la británica. «La posición de Signal es muy clara: no vamos a dar marcha atrás, ni a adulterar, ni a perturbar de ningún otro modo las sólidas garantías de privacidad y seguridad de las que depende la gente».
No es un compromiso filosófico abstracto. Signal es una fundación sin ánimo de lucro. No vende publicidad. No monetiza los datos de sus usuarios. Su único producto es la comunicación segura. Si no puede ofrecer comunicación segura, no tiene producto ni razón de existir. La decisión de abandonar un mercado antes que comprometer el cifrado es, para Signal, un imperativo existencial más que una elección estratégica.
El precedente es la propia historia de Signal. En 2016, un gran jurado federal del Distrito Este de Virginia citó a Signal para que entregara datos de usuarios. Signal cumplió con la citación y entregó exactamente dos datos: la fecha en que se creó la cuenta y la fecha en que se conectó por última vez a los servidores de Signal. Eso era todo lo que Signal tenía. Ningún contenido de mensajes, ningún contacto, ninguna pertenencia a grupos, ninguna información de perfil. El sistema está diseñado para que Signal no pueda entregar lo que no posee.
Si la ley sueca se aprueba y Signal se marcha, aproximadamente 2,2 millones de usuarios suecos de Signal —incluido el personal militar al que se acaba de ordenar que la use— perderán el acceso a la aplicación. La herramienta que su propio ejército eligió como la mejor opción disponible para la comunicación segura dejará de estar disponible en su país porque su gobierno le exigió volverse insegura.
Apple ya cedió
Para entender qué pasa cuando un gobierno presiona con éxito a una empresa tecnológica en materia de cifrado, hay que mirar al Reino Unido.
El 24 de febrero de 2025, Apple anunció que retiraría su función Advanced Data Protection a los usuarios británicos. Advanced Data Protection proporcionaba cifrado de extremo a extremo a las copias de seguridad de iCloud, de modo que ni siquiera Apple podía acceder a los datos guardados en la cuenta de iCloud de un usuario. El gobierno británico, mediante un Technical Capability Notice al amparo de la Investigatory Powers Act de 2016, había ordenado en secreto a Apple que mantuviera la capacidad de facilitar el acceso a los datos de iCloud.
La respuesta de Apple no fue construir la puerta trasera. Fue retirar por completo la función de cifrado a los usuarios británicos. Desde el 21 de febrero de 2025, los usuarios del Reino Unido ya no podían activar Advanced Data Protection. Quienes ya la tenían activada estaban obligados a desactivarla. Las diez categorías de datos de iCloud cubiertas por la ADP —entre ellas fotos, notas y copias de seguridad del dispositivo— volvieron al cifrado estándar, lo que significa que Apple guarda las claves y puede entregar los datos a la policía cuando se le requiera.
Apple prefirió reducir la seguridad de millones de usuarios británicos antes que construir una puerta trasera que pudiera comprometer la seguridad de todo el mundo. Esto suele describirse como que Apple «plantó cara» al gobierno británico. No fue así. Apple cumplió con el efecto práctico de la exigencia. Los usuarios británicos perdieron el cifrado. El gobierno consiguió lo que quería: acceso a los datos de los usuarios británicos.
El Reino Unido no se detuvo ahí. En septiembre de 2025, el Ministerio del Interior emitió un segundo Technical Capability Notice, esta vez exigiendo específicamente acceso por puerta trasera a las copias de seguridad cifradas de iCloud de los usuarios británicos. Privacy International presentó un recurso ante el Investigatory Powers Tribunal, junto con Liberty y dos demandantes individuales, con una vista de siete días fijada para 2026.
El precedente de Apple demuestra el patrón. Un gobierno emite una orden secreta exigiendo acceso a datos cifrados. La empresa se enfrenta a una elección imposible: cumplir y comprometer la seguridad de todos los usuarios, o retirar la función de seguridad a los usuarios de esa jurisdicción. En cualquiera de los dos casos, los usuarios pierden. El cifrado o se rompe o se retira.
Signal ha declarado que no seguirá el camino de Apple. No retirará el cifrado a los usuarios suecos manteniéndolo en otros sitios. No construirá una puerta trasera específica para Suecia. Se marchará del todo. Es una respuesta distinta —posiblemente más íntegra—, pero el resultado para los usuarios suecos es parecido. Pierden el acceso a la comunicación segura.
La semana en que Europa eligió
Las situaciones sueca y británica no son incidentes aislados. Forman parte de un patrón que solo se hace visible cuando se ven los hechos simultáneos.
El 26 de marzo de 2026 —dieciocho días antes de la publicación de este artículo—, el Parlamento Europeo votó 311-228 para rechazar la prórroga de la excepción a la Directiva sobre privacidad electrónica conocida como Chat Control. Esa excepción, en vigor desde agosto de 2021, había dado a Google, Meta, Microsoft y TikTok una base legal para escanear voluntariamente miles de millones de mensajes privados en busca de material de abuso sexual infantil. El Parlamento la mató por un margen de ochenta y tres votos, después de que el Grupo conservador del PPE intentara forzar una nueva votación y de que surgiera un plan paralelo para obtener la aprobación del Consejo a través de una reunión de ministros de Pesca.
La votación fue, en palabras del eurodiputado del Partido Pirata Patrick Breyer, que lideró la oposición durante cuatro años, «un día histórico que trae lágrimas de alegría». La Electronic Frontier Foundation la calificó de «la primera vez que una gran jurisdicción revierte activamente una vigilancia masiva de las comunicaciones privadas sancionada por el Estado».
Desde el 3 de abril de 2026, la base legal para escanear los mensajes privados de la ciudadanía europea está caducada. Google, Meta, Microsoft y Snap anunciaron de inmediato que seguirían escaneando de todos modos.
Y la ley que la sustituirá de forma permanente —Chat Control 2.0, el Reglamento sobre Abuso Sexual Infantil— retoma las negociaciones a tres bandas el 4 de mayo, con un acuerdo político previsto para julio. La posición del Consejo sigue incluyendo una verificación de edad obligatoria que, advierten los defensores de la privacidad, acabaría en la práctica con la comunicación anónima en línea en Europa.
En Bélgica, un proyecto de ley de puerta trasera criptográfica se retiró después de que 107 organizaciones se movilizaran en contra, y el texto final declara que «el uso del cifrado es libre». En Francia, el artículo 8 de la ley contra el narcotráfico, que habría exigido acceso por puerta trasera a las comunicaciones cifradas, fue rechazado en marzo de 2025.
Cada una de estas batallas se ganó. Cada victoria fue estrecha. Cada una habrá que defenderla otra vez.
Los tres frentes
Da un paso más atrás y el patrón se vuelve geopolítico.
Mientras Europa debate si escanear los mensajes, China se mueve para cortar las conexiones físicas que los transportan. Una notificación filtrada de Shaanxi Telecom, fechada el 8 de abril de 2026, ordena a los proveedores de internet detener todas las conexiones salientes más allá de la China continental, incluidas las dirigidas a Hong Kong, Macao y Taiwán. El Ministerio de Industria y Tecnologías de la Información celebró una reunión sobre el «refuerzo de la gestión de las conexiones a internet no autorizadas mediante líneas de datos transfronterizas dedicadas». El mecanismo coercitivo no es el bloqueo ni el filtrado. Es la desconexión. Las operadoras se exponen a cierres permanentes.
Mientras Suecia debate si exigir puertas traseras, Rusia está desplegando inteligencia artificial para hacer imposible la elusión. Roskomnadzor, el regulador ruso de comunicaciones, está gastando 2.270 millones de rublos —más de 29 millones de dólares— en un sistema de censura con IA que integra aprendizaje automático en su infraestructura de inspección profunda de paquetes. El sistema no se limita a bloquear por dirección IP. Detecta patrones de tráfico que se parecen a conexiones VPN y los bloquea automáticamente. Roskomnadzor ya ha restringido el acceso a 469 servicios de VPN, un 70 por ciento más en tres meses. El bloqueo de contenidos relacionados con VPN aumentó un 1.235 por ciento interanual.
Tres modelos. China corta los cables. Rusia despliega IA para detectar la elusión. Los gobiernos democráticos exigen que las propias herramientas se debiliten desde dentro. Los enfoques difieren en el método. Convergen en el resultado: un mundo en el que la comunicación privada es arquitectónicamente imposible.
La defensa que no exige confianza
La lección de la contradicción sueca no es que los gobiernos sean malintencionados. Las fuerzas de seguridad suecas tienen necesidades operativas legítimas. Los delincuentes sí usan comunicaciones cifradas. Las investigaciones son más difíciles cuando los mensajes no se pueden leer.
La lección es que la solución propuesta —debilitar el cifrado de todo el mundo para atrapar a delincuentes concretos— no funciona. El propio ejército sueco explicó por qué. Las 400 organizaciones de la Global Encryption Coalition explicaron por qué. Todo criptógrafo cualificado que ha estudiado la cuestión explicó por qué.
Las herramientas que protegen a los soldados suecos de la inteligencia rusa son las mismas que protegen a los periodistas de la vigilancia gubernamental, a los activistas de la represión autoritaria, a las supervivientes de violencia doméstica de sus maltratadores y a los ciudadanos corrientes de las filtraciones de datos. No existe una versión del cifrado que sea fuerte para el ejército y débil para el gobierno. La matemática no negocia.
El cifrado de extremo a extremo funciona porque nadie en el medio —ni el proveedor, ni la operadora, ni el gobierno— puede acceder a la comunicación. En el momento en que creas una excepción, la arquitectura falla. Por eso Signal eligió el diseño que eligió. Por eso el ejército sueco eligió Signal. Y por eso la exigencia del gobierno sueco no es solo una discrepancia política. Es una petición de debilitar la defensa nacional.
Las redes descentralizadas llevan este principio más lejos. Los proveedores de VPN tradicionales enrutan el tráfico a través de servidores centralizados, servidores que pueden ser blanco de órdenes judiciales, de technical capability notices o de una desconexión a nivel de infraestructura. Las arquitecturas descentralizadas reparten el tráfico entre nodos independientes sin un punto único de interceptación. No hay servidor central que comprometer, ni proveedor único al que notificar una orden judicial, ni cable que cortar. La arquitectura es la defensa.
El patrón de la última década es claro. Los servicios centralizados pueden ser presionados, comprometidos o cerrados. Apple cedió en el Reino Unido. Signal se marchará de Suecia antes que ceder. La próxima empresa puede no tener los principios de Signal. La única defensa duradera es una arquitectura que no dependa de la voluntad de ninguna empresa de resistir la presión gubernamental: una arquitectura que haga técnicamente imposible, y no solo organizativamente incómodo, cumplir una orden de puerta trasera.
La pregunta para Suecia
El Riksdag sueco todavía no ha celebrado la votación definitiva. El calendario se ha retrasado respecto del objetivo inicial del gobierno, marzo de 2026, y la intensidad de la oposición —del ejército, de la industria tecnológica, de la sociedad civil y de los aliados internacionales de Suecia— ha generado incertidumbre política.
Pero las dinámicas que empujan hacia las puertas traseras criptográficas no han cambiado. Las fuerzas de seguridad quieren acceso. Los políticos quieren dárselo. Y la pregunta de fondo —qué le pasa a la seguridad de 10 millones de suecos cuando un Estado miembro de la OTAN debilita deliberadamente la infraestructura de comunicaciones que su propio ejército identificó como esencial— sigue sin respuesta.
Si la ley se aprueba, Signal se marcha de Suecia. El personal militar sueco pierde la herramienta de comunicación segura que eligió su director de sistemas de información. Los periodistas suecos pierden la capacidad de proteger a sus fuentes. Los ciudadanos suecos pierden el cifrado que las propias Fuerzas Armadas de su gobierno dijeron que era necesario. Y los delincuentes a los que la ley pretendía atrapar siguen comunicándose con herramientas que no responden ante la jurisdicción sueca, desde servidores que no están en suelo sueco, usando protocolos que no obedecen a la ley sueca.
El ejército sueco lo entendió. Signal lo entendió. Las 237 organizaciones que firmaron la carta de la coalición lo entendieron. Todo criptógrafo que ha examinado la cuestión lo entendió.
La pregunta es si el parlamento sueco lo entenderá antes de la votación.
Fuentes: Cyber Insider, "Swedish Armed Forces Adopt Signal for Secure Communications" (febrero de 2026); Cyber Insider, "Signal Threatens to Leave Sweden Over Encryption Backdoor Law"; Infosecurity Magazine, "Signal May Exit Sweden If Government Imposes Encryption Backdoor"; TechRadar, "Signal would rather leave the UK and Sweden than remove encryption protections"; Cyber Insider, "Global Coalition Warns Sweden Against Encryption Backdoor Legislation"; carta conjunta de la Global Encryption Coalition (abril de 2025, 237 firmantes); Tuta Blog, "Swedish Armed Forces: Use Signal to defend against interception"; Privacy International, "PI Apple TCN Challenge" y "Update: Our case against UK Government's secret surveillance orders to be heard in 2026"; Computer Weekly, "Home Office issues new backdoor order over Apple encryption" (septiembre de 2025); Apple Support, "Apple can no longer offer Advanced Data Protection in the United Kingdom to new users" (febrero de 2025); Element.io, "Why the Swedish Armed Forces' switch to Signal misses the mark"; State of Surveillance, "Signal Would Rather Leave the UK and Sweden Than Break Encryption"; Patrick Breyer, "End of Chat Control: EU Parliament Stops Mass Surveillance in Voting Thriller" (26 de marzo de 2026); Electronic Frontier Foundation, "EU Parliament Blocks Mass-Scanning of Our Chats -- What's Next" (abril de 2026); Center for Democracy and Technology, "CDT Europe's Response to the European Parliament Rejection of Chat Control 1.0's Extension"; Vision Times, "China's Telecom Crackdown May Block All Overseas Internet Access, Leaked Notice Suggests" (11 de abril de 2026); United24 Media, "Russia to Launch AI-Powered Internet Censorship System in 2026"; Forbes/Pravda, "Roskomnadzor will create an AI system to block VPNs for 2.3 billion rubles" (enero de 2026).