No podemos escanear lo que no tenemos.

No podemos escanear lo que no tenemos.

La propuesta de reglamento de la UE sobre prevención y lucha contra el abuso sexual infantil — conocida en toda Europa como UE Chat Control, o formalmente CSAR (COM/2022/209) — exigiría a los proveedores de mensajería escanear las comunicaciones privadas en busca de material conocido de abuso sexual infantil (CSAM), e introducir medidas de mitigación "efectivas y proporcionadas" contra el riesgo de grooming.

Chat Control: la próxima votación

El reglamento CSAR permanente sigue en negociación. En la próxima votación de la UE se decidirá si el escaneo del lado del cliente — el Chat Control — será obligatorio. uOS está diseñado para no verse afectado: lo que no podemos descifrar, no podemos escanearlo.

uOS rechaza esta propuesta en principio y, lo que es más importante, no puede aplicarse a nuestra arquitectura en la práctica. No podemos escanear lo que no tenemos. Esa es toda la situación.

Qué pide realmente la propuesta

En su forma más controvertida, CSAR exigiría a los proveedores de mensajería — incluidos los servicios cifrado de extremo a extremo — que:

• —Evalúen anualmente el riesgo de que su servicio se utilice para la distribución de CSAM o el grooming;
• —Implementen medidas de mitigación "efectivas y proporcionadas";
• —Ejecuten "órdenes de detección" emitidas por una autoridad judicial contra usuarios o grupos específicos;
• —Eliminen el contenido CSAM denunciado;
• —Informen del contenido detectado a EUROPOL o a las autoridades nacionales;
• —Publiquen un informe de transparencia anual.

Dónde está esto — julio de 2026

El 9 de julio de 2026, el Parlamento Europeo votó 314 en contra y 276 a favor de prorrogar Chat Control 1.0 — y se aprobó de todos modos. La votación fue una segunda lectura, en la que rechazar el texto requería una mayoría absoluta de todos los eurodiputados; los opositores no alcanzaron ese umbral. Por lo tanto, el escaneo sin sospechas vuelve a ser legal en la UE hasta 2028 en el marco voluntario, en servicios como Gmail, Messenger, Snapchat y Skype.

El reglamento permanente — CSAR, o "Chat Control 2.0" — todavía se está negociando. Cinco rondas de trílogo no han logrado un acuerdo; la quinta colapsó el 29 de junio de 2026 precisamente por esta cuestión del escaneo sin sospechas. Se espera una sexta ronda bajo la Presidencia irlandesa, alrededor de septiembre de 2026. La disputa central no se ha movido: escaneo generalizado a discreción de la plataforma, frente a detección selectiva ordenada por un juez.

Por qué la propuesta no puede aplicarse a uOS

uOS se basa en los siguientes hechos técnicos:

1. 01
   Sin texto plano en nuestros servidores.Cada mensaje intercambiado entre usuarios de uOS está cifrado de extremo a extremo con XChaCha20-Poly1305, con claves de sesión derivadas mediante HKDF-SHA256 de un secreto compartido intercambiado a través de ML-KEM-768 (FIPS 203). Nuestros servidores solo retransmiten tramas de texto cifrado.
2. 02
   Sin claves privadas en nuestros servidores.La identidad del usuario se genera en el cliente a partir de secretos que solo el usuario controla, produciendo el par de claves de firma ML-DSA-65 y el par de claves ML-KEM-768 localmente. Las claves privadas nunca salen de la memoria del dispositivo del usuario.
3. 03
   Sin datos persistentes en los dispositivos de los usuarios.Cada sesión del navegador comienza desde un estado borrado — IndexedDB, localStorage y cachés se limpian deliberadamente al arrancar. No hay estado en el dispositivo que pueda ser incautado.
4. 04
   Sin metadatos más allá del enrutamiento del transporte.Solo registramos lo necesario para reenviar la trama WebSocket: user_pub, platform_id, counter, timestamp. No registramos cuerpos de mensajes, grafos de contacto ni hashes de contenido.

Ningún componente de esta pila puede modificarse para realizar escaneo de contenido sin romper la confidencialidad de todos los usuarios de la plataforma. La propuesta pide lo imposible. No lo decimos como desafío — lo decimos como un hecho arquitectónico.

Nuestra posición

1. 01
   No implementaremos escaneo en el cliente.La Carta de la UE (artículos 7 y 8) y el Convenio Europeo de Derechos Humanos (artículo 8) protegen las comunicaciones privadas como un derecho fundamental. Cualquier mecanismo técnico que permita el escaneo de contenido antes del cifrado es una puerta trasera, independientemente de su propósito declarado.
2. 02
   Defenderemos el hecho arquitectónico en los tribunales.Apoyamos los recursos existentes contra CSAR ante el Tribunal de Justicia de la Unión Europea y los tribunales constitucionales nacionales. Cuando una orden nos exija actuar sobre contenido que no podemos leer, buscaremos revisión judicial antes de cualquier cumplimiento.
3. 03
   Publicaremos lo que se nos pida.Publicaremos un Informe de Transparencia que enumere las órdenes que hemos recibido de las autoridades, las que hemos cumplido dentro de los límites de lo técnicamente ejecutable y las que hemos impugnado.
4. 04
   Nos quedaremos en Europa.No nos trasladaremos al extranjero para evitar este debate. La soberanía digital europea se defiende dentro de las instituciones europeas, no desde un exilio suizo o islandés.
5. 05
   Apoyamos restringir cualquier detección a individuos identificados por una autoridad judicial.Esa es la posición del Parlamento, y es la única versión de CSAR compatible con los derechos fundamentales. Los servicios cuya arquitectura hace técnicamente imposible el escaneo deberían estar exentos explícitamente, por construcción y no por una excepción política.

Qué significa esto en lenguaje sencillo

Si un regulador viene a uOS y dice: "escanea a tus usuarios en busca de CSAM" — respondemos: "no podemos, no tenemos nada que escanear".

Si el regulador responde: "entonces sal de Europa" — respondemos: "nos quedaremos y impugnaremos esa orden".

Si el regulador responde: "te multaremos" — respondemos: "pagaremos la multa, si es legal y proporcionada, y seguiremos defendiendo nuestra posición por todas las vías legales disponibles".