El último lugar privado
Empecemos por lo que cambió hoy, porque es pequeño y preciso y apunta a algo enorme.
Desde el 1 de julio de 2026, la Connecticut Data Privacy Act trata sus datos neuronales como sensibles. En la mecánica de una ley estatal de privacidad eso es un movimiento estrecho: los "datos sensibles" son un escalón que exige consentimiento expreso en lugar de la más débil exclusión voluntaria que rige los datos personales ordinarios y — bajo la misma reforma, la Senate Bill 1295 — suprime los umbrales de tamaño que normalmente eximen a las empresas pequeñas. En términos llanos, una empresa que lea la señal cerebral de un residente de Connecticut tiene ahora que preguntar primero, y tiene que volver a preguntar antes de venderla. Connecticut es el cuarto estado de Estados Unidos en hacerlo, después de Colorado, que aprobó la primera ley de datos neuronales del país en el verano de 2024, y luego California y Montana. Cuatro estados. En todos los demás sitios, sus datos cerebrales se rigen por lo que el fabricante del dispositivo pusiera en una política que usted no leyó.
Lo que se regula no es un laboratorio ni un hospital. Es un estante de productos de consumo que ya existe y que se vende a sí mismo como lo contrario de la vigilancia: dispositivos para la calma, para la concentración, para dormir mejor. Una diadema de EEG promete profundizar su meditación mostrándole cuándo se le va la cabeza. Un auricular asegura medir su concentración para que pueda protegerla. Una banda de sueño puntúa su noche por los ritmos eléctricos de su cerebro. Cada uno funciona colocando electrodos cerca de su cuero cabelludo, leyendo el débil voltaje de sus neuronas y enviando esa señal a una aplicación de su teléfono — es decir, fuera de su cuerpo y hacia los servidores de una empresa. Y como el dispositivo se vende para el bienestar y no para la medicina, no es un producto sanitario, sus datos no son datos médicos, y HIPAA — la ley que casi todo el mundo supone que monta guardia sobre cualquier cosa relacionada con el cerebro — no tiene nada que decir al respecto. HIPAA obliga a hospitales, clínicas, aseguradoras y a sus contratistas. No obliga a una empresa de diademas, y una empresa de diademas no se convierte en hospital por tocarle a usted el cerebro.
En ese hueco entró el mercado exactamente como entra siempre. En 2024 la Neurorights Foundation leyó la letra pequeña de treinta empresas de neurotecnología de consumo y halló que veintinueve de ellas — todas menos una — "parecen tener acceso a los datos neuronales del consumidor y no establecen limitaciones significativas a ese acceso". La mayoría de las políticas son demasiado vagas para saber si una transferencia cuenta como una "venta". Solo una de cada cinco menciona siquiera cifrar la señal; solo una de cada diez aplica todas las salvaguardas básicas que un profesional de la privacidad consideraría mínimas. Su actividad cerebral, recogida para la calma y la concentración, es en casi todos los casos un activo sobre el que la empresa se ha reservado el derecho de traspaso. Esa es la situación a la que responden las cuatro leyes estatales, y la situación que los otros cuarenta y seis estados dejan exactamente como está.
Ni el pánico ni el encogimiento de hombros
Aquí la edición tiene que ir con cuidado, porque los datos neuronales son la rara historia de privacidad que atrae a partes iguales exageración y desdén, y ambos se equivocan de formas instructivas.
Primero el desdén, porque suena más sofisticado y contiene una verdad real. El EEG de consumo no puede leerle la mente. Es un puñado de electrodos secos apretados contra una cabeza llena de pelo, leyendo un promedio borroso y de baja resolución de miles de millones de neuronas a través del hueso del cráneo, corrompido por cada parpadeo y cada apretón de mandíbula. Puede decir, a grandes rasgos, si usted está relajado o alerta, somnoliento o enganchado; puede clasificar fases del sueño; puede aventurar el clima emocional general. No puede recuperar una frase que usted esté pensando, una imagen en su cabeza ni un secreto que guarde — y ese límite no es una carencia de software que un modelo mejor cierre el año que viene, está más cerca de un techo físico, fijado por cuánta señal sobrevive al viaje de la neurona al cuero cabelludo. Quien le diga que la diadema conoce sus pensamientos le está vendiendo o la diadema o el miedo a ella, y el marco de la "lectura cerebral" halaga a la vez al vendedor de neurotecnología y al mercader del pánico. Tómeselo en serio: un régimen de privacidad construido sobre la premisa de que la mente ya es un libro abierto estaría construido sobre arena.
Los lugares donde las máquinas descodifican genuinamente algo parecido al lenguaje demuestran el punto por lo lejos que están de una diadema. El resultado más llamativo — un sistema de 2023 en UT Austin que reconstruye la esencia de lo que una persona está oyendo o imaginando — funciona sobre un escáner de fMRI del tamaño de una habitación, necesita unas dieciséis horas de datos de entrenamiento de esa persona concreta, recupera la esencia y no las palabras, y se le puede derrotar con solo pensar el sujeto en otra cosa. Las interfaces del habla implantadas que permiten volver a hablar a pacientes con parálisis meten electrodos dentro de la corteza; un grupo de 2025, trabajando en descodificar el habla interior, encontró la señal lo bastante fuerte como para incorporar una contraseña mental — el paciente piensa una frase elegida para activar el descodificador —, lo que le dice a la vez que la frontera es real y que vive, por ahora, al otro lado de la neurocirugía. Lo que Meta comercializa como una "interfaz neuronal" lee señales musculares en la muñeca, no el cerebro; lo que Apple ha patentado es un auricular de EEG que todavía no existe como producto. Las demostraciones que dan miedo son un escáner o una cirugía. La cosa que está en el estante lee su estado de ánimo.
Y ahora la parte que el desdén se deja fuera, que es la trayectoria. La razón para escribir el derecho ahora no es que los dispositivos lean pensamientos; es que leen estados de ánimo, que los estados de ánimo ya bastan para vender, y que los vectores de mejora no son sutiles — la matriz de Neuralink tiene más de mil electrodos donde una diadema de meditación tiene cuatro, el aprendizaje automático mejora cada año y la sensórica multimodal apila el EEG con otras señales. Toda frontera de datos anterior — su ubicación, su cara, su genoma, su identidad — se dejó sin regular mientras la tecnología era tosca y el daño era hipotético, y para cuando el daño fue innegable el mercado ya se había formado alrededor de los datos y la ley se pasó la década siguiente perdiendo frente a él. Los datos neuronales son, por una vez, una frontera que los legisladores están nombrando mientras los sensores siguen siendo débiles. Eso no es pánico. Es la única vez que el derecho de la privacidad tiene una oportunidad de llegar pronto.
Así que el marco honesto no es ni "las máquinas pueden leerte la mente" ni "es solo un artilugio de bienestar, relájate". Es este: la señal más íntima que emite un cuerpo es ya un flujo de datos de consumo, queda fuera de la ley que todo el mundo supone que la cubre, las empresas que la recogen se han reservado abrumadoramente el derecho a venderla, y la ventana para convertir "el interior de su cráneo" en una categoría jurídica — antes de que el mercado lo convierta en un producto — está abierta ahora mismo y no seguirá abierta mucho tiempo.
Cuatro estados, tres definiciones
La trampa de "escribir el derecho ahora" es que nadie está seguro de qué escribir exactamente, y las cuatro leyes estatales ya discrepan — lo que no es una razón para esperar, sino un mapa del trabajo real.
Colorado fue primero, en 2024, integrando los datos neuronales en el escalón de datos sensibles de su ley de privacidad y exigiendo consentimiento expreso. California siguió reformando su ley de privacidad del consumidor — pero California, la única de las cuatro, protege los datos neuronales mediante el más débil "right to limit" —derecho a limitar— de exclusión voluntaria en lugar de un consentimiento expreso previo, y excluye la información meramente inferida a partir de señales no neuronales. Montana usó el consentimiento expreso. Connecticut, hoy, usa el consentimiento expreso y define los datos neuronales de la forma más estrecha de todas: solo la actividad del sistema nervioso central — el cerebro y la médula espinal —, mientras que California y Montana alcanzan también el sistema nervioso periférico, los nervios y músculos que transportan, entre otras cosas, las señales de muñeca alrededor de las cuales Meta está construyendo un producto de consumo. Cuatro estados; consentimiento expreso en tres y exclusión voluntaria en uno; solo central en uno y central más periférico en dos. Las mismas dos palabras, "datos neuronales", significan cuatro cosas distintas.
El Future of Privacy Forum llama a esto el problema Ricitos de Oro de los datos neuronales, y es real. Defina la categoría demasiado amplia y barrerá dentro cada banda de frecuencia cardiaca y cada rastreador ocular que infiera un estado mental, y probablemente buena parte de la investigación médica ordinaria, congelando trabajo que nada tiene que ver con el daño. Defínala demasiado estrecha — solo sistema nervioso central, pongamos — y se le escapa la interfaz muscular de muñeca que una gran plataforma está entregando a millones. No hay línea limpia, porque el cerebro no emite una señal limpia, y una ley tiene que trazar un límite a través de un borrón. Pero "la definición es difícil" es un argumento para hacer el trabajo definitorio con cuidado, en público, ahora — no para dejar la categoría de datos más íntima de la economía de consumo gobernada por una casilla y una política que nadie lee. La respuesta a una definición difícil es una definición mejor. Nunca es la ausencia de protección.
La economía de las emociones
Para ver por qué esto merece la molestia, siga el dinero, porque el modelo de negocio que impulsa casi todo el internet de consumo apunta directamente al cerebro.
La economía publicitaria funciona con inferencias: no necesita leerle la mente para valer miles de millones, necesita adivinar su atención y su estado de ánimo lo bastante bien como para vender contra ellos. Durante veinte años lo ha hecho de forma indirecta, a partir de clics, tiempo de permanencia y el acelerómetro de su bolsillo. Un dispositivo que informa de su concentración y de su activación emocional directamente, desde la fuente, no es un negocio distinto — es el mismo negocio con un sensor mejor, la capa de detección del afecto que la economía publicitaria siempre quiso y nunca llegó a tener del todo. Por eso existe la industria del reconocimiento de emociones, por eso las firmas de "neuromarketing" ya cablean grupos de discusión con EEG, y por eso la trayectoria importa más que la fidelidad de hoy: el incentivo para convertir una ayuda a la meditación en un canal de estados de ánimo no es hipotético, es la gravedad por defecto de todo el sector, y lo único que hay entre el sensor y ese uso es una política que la empresa escribió y puede cambiar.
Los reguladores han empezado a notar que la inferencia de emociones es peligrosa incluso cuando funciona mal. El Reglamento de Inteligencia Artificial de la Unión Europea, cuyas prohibiciones entraron en vigor en febrero de 2025, prohibió de plano el uso de sistemas de reconocimiento de emociones en centros de trabajo y en centros educativos — y lo llamativo del razonamiento es que los reguladores calificaron la tecnología tanto de poco fiable como de coercitiva, que es exactamente correcto y exactamente el punto. No hace falta que funcione para hacerle daño. Una puntuación de ánimo equivocada puede hacer que lo marquen como desenganchado; una puntuación de ánimo acertada puede hacer que lo gestionen por sus sentimientos. En cualquiera de los dos casos el daño no espera a que la ciencia madure.
El cerebro en el trabajo
El lugar donde el problema de la coerción deja de ser abstracto es aquel en el que usted no puede decir que no: el trabajo.
El consentimiento que supuestamente hace aceptable la neurotecnología de consumo — usted eligió llevarla puesta — desaparece calladamente cuando quien le ofrece el dispositivo le firma la nómina. Las gorras de monitorización de fatiga que leen las ondas cerebrales de un conductor o de un minero para detectar microsueños ya están desplegadas en el transporte por carretera y en la minería, vendidas como equipo de seguridad, y como equipo de seguridad tienen un argumento real; pero un dispositivo que puede saber cuándo está usted somnoliento puede saber cuándo está aburrido, y el mismo flujo que evita un accidente puede calificar su implicación. Reportajes desde China han descrito equipos de cabeza de "monitorización cerebral" por EEG probados en trabajadores de fábricas y del transporte para rastrear estados emocionales. La cuestión no es que ningún despliegue concreto sea distópico; es que el "consentimiento expreso", el mecanismo en el que se apoyan las leyes estatales, significa una cosa en una aplicación de meditación y algo completamente distinto al otro lado de la mesa de su jefe, donde la opción de rechazar el sensor es la opción de parecer el empleado que tiene algo que ocultar. La protección real en el trabajo no es una casilla de consentimiento. Es un suelo — del tipo que trazó la UE cuando prohibió la IA de emociones en el trabajo con independencia del consentimiento — porque el consentimiento obtenido bajo la amenaza del desempleo no es consentimiento.
Solo lectura, por ahora
Todo lo anterior trata de leer el cerebro. La frontera más profunda, y la razón por la que la palabra "privacidad" puede acabar quedándose pequeña para esto, es escribir en él.
Los dispositivos masivos de hoy solo sensan. Pero la neuromodulación — estimular el cerebro para cambiar su estado en lugar de limitarse a medirlo — es el siguiente pasillo de la misma industria, ya vendido en formas más burdas como dispositivos de consumo que aseguran mejorar la concentración o el ánimo haciendo pasar corriente por el cuero cabelludo, y perseguido mucho más en serio en medicina. Un derecho a que no le lean los datos neuronales es un derecho de privacidad, continuo con todo lo que esta publicación sostiene sobre la ubicación y la identidad. Un derecho a que no le alteren el estado neuronal sin consentimiento es algo más antiguo y más hondo — más cercano a la integridad corporal, al derecho a que no le operen la propia mente. El mercado de consumo no está ni cerca de una escritura cerebral fiable, y la honestidad exige decir que las afirmaciones de eficacia de los artilugios de estimulación actuales son discutidas en el mejor de los casos. Pero las dos capacidades crecen en el mismo árbol, de los mismos electrodos y de las mismas empresas, y una categoría jurídica construida solo en torno a la lectura descubrirá, dentro de una década, que trazó su límite un pasillo demasiado pronto. Nombrar hoy la privacidad mental es también la forma de dejar sitio para nombrar mañana la libertad cognitiva.
La respuesta más endeble
Ponga la ambición del problema junto a la escala de la respuesta, y la brecha es su propio argumento.
En el plano federal, la respuesta es un estudio. La MIND Act, presentada en septiembre de 2025 por los senadores Cantwell, Schumer y Markey, es el primer proyecto de ley de la historia del Congreso de Estados Unidos que aborda la neurotecnología — y lo que hace en realidad es encargar a la Federal Trade Commission que investigue el campo y presente un informe, con alguna orientación de la oficina científica de la Casa Blanca. No crea ningún derecho nuevo para el consumidor. Vale la pena decirlo con claridad, no para burlarse — una definición federal es el objeto al que se enganchará toda regla futura, así que empezar a tener una importa — sino porque la distancia entre "el primer proyecto de ley del Congreso sobre la frontera de datos más íntima" y "un informe de la FTC" es una medida justa de lo temprano y lo endeble que sigue siendo todo el esfuerzo.
El resto del mundo está, en algunos lugares, más avanzado en ambición aunque no en aplicación. Chile reformó su constitución en 2021 para proteger los neuroderechos, el primer país en hacerlo. La UNESCO adoptó en noviembre de 2025 una norma mundial de ética de la neurotecnología, basada en derechos y no vinculante. El marco intelectual se remonta a una propuesta de 2017 del neurocientífico Rafael Yuste y sus colegas de cinco "neuroderechos" — privacidad mental, identidad personal, agencia, acceso igualitario a la potenciación y protección frente al sesgo algorítmico — y el movimiento tiene críticos reales a los que hay que escuchar: académicos que advierten del "inflacionismo de derechos", de tratar el cerebro como mágicamente excepcional cuando el derecho vigente de protección de datos podría estirarse para cubrirlo, y que sostienen, de forma persuasiva, que el daño más concreto ahora mismo no es la lectura de la mente sino que las empresas hagan afirmaciones engañosas sobre lo que pueden hacer sus artilugios. Esos críticos tienen razón en que el pánico está sobredimensionado. No tocan la afirmación más estrecha que hace esta edición, que sobrevive a toda la deflación: defina la categoría antes de que lo haga el mercado, y refínela en público, porque la alternativa es hacerlo como hemos hecho todas las demás fronteras de datos — demasiado tarde.
La arquitectura antes que la ley
El hilo conductor al que esta serie vuelve una y otra vez se sostiene también aquí, y es el límite honesto de la ley que cambió hoy. Una ley gobierna lo que una empresa puede hacer con una señal cerebral después de haberla recogido. No detiene la recogida, y no sigue a los datos una vez han salido del estado en cuya ley usted confía.
La contramedida del lado del usuario es la versión neuronal de la minimización de datos, y tiene dos mitades que se necesitan mutuamente. La primera es la arquitectura: la forma más limpia de mantener sus datos cerebrales fuera de los servidores de una empresa es que la señal en bruto nunca salga de su cabeza — procesamiento en el dispositivo que convierta la lectura del electrodo en un "ha dormido bien" sin emitir jamás el flujo subyacente, tal como ya funcionan los sensores más respetuosos con la privacidad. La trampa, y la razón por la que la arquitectura no basta por sí sola, es que normalmente usted no puede verificar la afirmación de una empresa de que procesa en el dispositivo; la promesa es una línea de marketing hasta que una ley o una auditoría la hacen real. La segunda mitad es esa ley — consentimiento expreso por defecto, un límite duro a la venta de datos neuronales, el suelo que las leyes estatales empiezan a trazar. Ninguna de las dos mitades basta por sí sola. Una promesa de procesamiento en el dispositivo que usted no puede comprobar vale poco sin un respaldo jurídico; un respaldo jurídico vale poco si la señal en bruto va camino de un servidor en un estado que nunca aprobó la ley. Lleve menos puesto, exija que lo que lleve mantenga la señal en su cuerpo, y respalde ambas cosas con una regla que diga que los datos más íntimos que usted emite no están a la venta. Eso es toda la defensa, y cada una de sus piezas sigue en construcción.
Llegar pronto, por una vez
Aquí está el argumento, reducido al marco que sobrevive a sus críticos más fuertes.
Los alarmistas se equivocan al decir que las máquinas pueden leerle la mente; no pueden, y no lo harán desde una diadema de consumo en un buen tiempo. Los que lo desdeñan se equivocan al decir que eso significa que no hay nada que hacer; la señal se está recogiendo ahora, queda fuera de la ley que todo el mundo supone que la cubre, el noventa y siete por ciento de las empresas se ha reservado el derecho a venderla, y el incentivo para convertir un artilugio de bienestar en un canal de estados de ánimo es la gravedad por defecto de toda la economía de internet. Entre el pánico y el encogimiento de hombros está lo que de verdad es cierto: los datos más íntimos que emite un cuerpo se han convertido en un producto de consumo mientras los sensores siguen siendo toscos, y esa tosquedad no es una razón para esperar — es la oportunidad.
Todas las demás peleas de privacidad que cubre esta publicación son peleas por ponerse al día. El cifrado se puso al día con la interceptación de lo que usted dice. Chatrie, la semana pasada, fue la Constitución poniéndose al día con el rastreo de adónde va usted, años después de que el rastreo se volviera total. Los datos neuronales son la única frontera donde el ponerse al día todavía no ha ocurrido, porque el daño todavía no ha ocurrido del todo — lo que significa que, de forma única, la ley puede llegar primero. Nombre la categoría ahora, mientras es barato. Refine la definición en público, mediante exactamente esos desacuerdos entre Colorado y Connecticut que parecen desorden y son en realidad el trabajo. Prohíba su venta. Y deje caer el teatro de la lectura de la mente, tanto el de los vendedores que lo usan para vender maravilla como el de los defensores que lo usan para vender miedo, porque el argumento real no necesita ninguno de los dos: no que le estén leyendo los pensamientos, sino que están construyendo la carretera hacia sus estados de ánimo, y por una vez estamos al principio del camino y no una década más allá.
El interior de su cráneo era el último lugar al que la economía de los datos no podía llegar. Hoy un estado ha dicho que no puede llegar allí sin preguntar. Es una cosa pequeña, y es la primera vez que la valla se levantó antes que el rebaño.
URnetwork es una red superpuesta entre pares para transporte resistente a la censura, diseñada para resistir la inspección profunda de paquetes a nivel de red; su servidor MCP, publicado el 19 de febrero de 2026, permite a clientes agénticos establecer sesiones VPN sobre la red superpuesta entre pares. El código de URnetwork es abierto y auditable. No puede impedir que un sensor le llegue a la cabeza — eso es arquitectura y ley, no transporte —, pero sostiene el mismo principio que esta edición defiende para el cerebro: los datos más íntimos que usted emite deberían quedarse de su lado del cable, minimizados en el origen, y nunca calladamente a la venta.
https://ur.io