Callum Voge. Usada con autorización.

Global Voices entrevistó a Callum Voge, director de Asuntos Gubernamentales e Intercesión de Internet Society, para hablar sobre los desafíos de legislar la tecnología. La entrevista ha sido editada para mayor claridad y brevedad.

Global Voices (GV): ¿Cuáles son las características distintivas de una buena legislación en lo que respecta a internet?

Callum Voge (CV): Good legislation with the internet happens when both policymakers and the public are informed. That's at the most simple. It's really important that digital policy is developed in consultation with experts.
Policymakers should be asking certain questions. First, is the proposal actually technologically feasible? Then second, are there any consequences of this legislation that might not be obvious — unexpected negative consequences? And if those do exist, how can they be rectified? How can they be addressed?

At the Internet Society, we developed something called the Internet Impact Assessment Toolkit to help with this process, by identifying what the internet needs to exist and what it needs to thrive. Just as it is standard in many countries to do an environmental impact assessment when a big project is launched, this should be done for internet or digital policies too. We're very happy that it has been used, for example, by the EU recently.

There are four main principles that we, with our community, identified as key for the internet: it must be open, global, secure, and trustworthy. Some other features that describe what the internet needs to thrive and reach its potential are: accessible, unrestricted, collaborative, decentralized, common, technology-neutral, confidential. These are key principles.

We are glad to see governments, activists and civil society using this toolkit. And then, through the policymaking process, we hope for positive change. The goal, of course, is to move the internet closer to a resource for everyone that benefits everyone.

Callum Voge (CV): Una buena legislación con internet ocurre cuando los legisladores y el público están informados. Esa es la base. Es muy importante que la política digital se desarrolle en consulta con expertos.

Los responsables de la formulación de políticas deberían hacerse algunas preguntas. En primer lugar, ¿es realmente factible tecnológicamente la propuesta? En segundo lugar, ¿hay alguna consecuencia de esta legislación que no sea obvia? Y si existen, ¿cómo se pueden rectificar? ¿Cómo se pueden abordar?

En Internet Society, desarrollamos algo llamado Internet Impact Assessment Toolkit —juego de herramientas para evaluar el impacto en internet— para ayudar con este proceso, que identifica lo que internet necesita para existir y lo que necesita para prosperar. Así como es estándar en muchos países hacer una evaluación de impacto ambiental cuando se lanza un gran proyecto, esto también debería hacerse para internet o las políticas digitales. Estamos muy contentos de que lo haya utilizado, por ejemplo, la Unión Europea recientemente.

Hay cuatro principios fundamentales que, junto con nuestra comunidad, identificamos como clave para internet: debe ser abierta, global, segura y confiable. Algunas otras características que describen lo que internet necesita para prosperar y alcanzar su potencial son: ser accesible, colaborativa, descentralizada, común, tecnológicamente neutral, confidencial y sin restricciones. Estos son principios claves.

Nos complace ver que los Gobiernos, los activistas y la sociedad civil utilizan este juego de herramientas. Y luego, a través del proceso de formulación de políticas, esperamos un cambio positivo. El objetivo, por supuesto, es hacer de internet un recurso para todos y que beneficie a todos.

GV: Legislar en internet es complicado, pues equilibra cosas muy importantes pero diferentes, casi contradictorias, como permitir la libertad de expresión, pero limitar la desinformación y el discurso de odio. ¿Qué opinas de caminar por esta cuerda floja?

CV: It's a really tricky thing, right? Because the issues that we're seeing as you mentioned, disinformation or harmful content online horrible things like child sexual abuse, they're there and they need to be addressed in some way. And of course, we're supportive of governments trying to find ways to make the internet safer.

But, at the same time, some of the approaches are, from our view, not proportional and not effective. Two that we've been doing a lot of work on are the UK Online Safety Bill and the EU proposal to counter child sexual abuse online.

Both of these have very positive goals and are at different places in the legislative process. The UK Online Safety Bill was passed in September and has gone for royal assent to become law. The EU process is at an earlier stage; the council and the parliament and the commission will negotiate and try to find a common ground.

But, with both of these proposals, we see new obligations for platforms in the form of detection orders. This means that platforms would be pressured to either weaken encryption or to create encryption backdoors or something called client-side scanning to gain access to private messages. Their view is that private messages need to be monitored, and they need to moderate this kind of content.

That is a very scary ask and one that is not restricted to countries with nondemocratic governments.

The idea with “encryption backdoors” is that a key is created for the government so that they can decrypt messages and data, like a TSA lock that can be opened by the TSA but remains locked otherwise — as if the government has never been known to poke its nose into people's business. Even if you really trust your government would not abuse those powers, there are other issues, too, because what we always try to hammer home is that when you create an encryption backdoor, that's a systemic weakness in the encryption. So it means that not only the government but also criminals can exploit this weakness. And the government should also worry about so-called hostile state actors — other governments also exploiting those weaknesses. What we always try to emphasize is that there's no such thing as a backdoor that only works for the good guys and not the bad guys. A backdoor is a backdoor.

The UK government claims that there's a way to do this safely without violating end-to-end encryption. The technologists disagree. There's no known technology to do that. If you break encryption, you break it. It's as simple as that.

CV: Es algo realmente complicado, ¿verdad? Porque los problemas que estamos viendo, como mencionaste, la desinformación o el contenido dañino en línea, cosas horribles como el abuso sexual infantil… están ahí y deben abordarse de alguna manera. Y, por supuesto, apoyamos a los Gobiernos que intentan encontrar formas de hacer que internet sea más segura.

Pero, al mismo tiempo, algunos de los enfoques son, desde nuestro punto de vista, no proporcionales y no son efectivos. Dos aspectos en los que hemos estado trabajando mucho son el proyecto de ley de seguridad en línea del Reino Unido y la propuesta de la Unión Europea para contrarrestar el abuso sexual infantil en línea.

Ambos tienen objetivos muy positivos y se encuentran en diferentes puntos del proceso legislativo. El proyecto de ley de seguridad en línea del Reino Unido se aprobó en septiembre y ha pasado por la aprobación real para convertirse en ley. El proceso de la Unión Europea está en una fase más prematura; el Consejo, el Parlamento y la Comisión negociarán e intentarán encontrar un terreno común.

Pero, con estas dos propuestas, vemos nuevas obligaciones para las plataformas en forma de órdenes de detección. Esto significa que las plataformas se verían presionadas para debilitar el cifrado o crear puertas traseras de cifrado, o algo llamado escaneo del lado del cliente para obtener acceso a mensajes privados. El punto de vista es que los mensajes privados deben ser supervisados y deben moderar este tipo de contenido.

Es una petición aterradora y que no se limita a los países con Gobiernos no democráticos.

La idea con las «puertas traseras de cifrado» es que se crea una clave para que el Gobierno pueda descifrar mensajes y datos, como un candado TSA, que puede abrir la Administración de Seguridad en el Transporte, pero que permanece bloqueado de otra manera, como si el Gobierno no se hubiera hecho conocido por meter la nariz en los asuntos de la gente. Incluso si realmente confías en que tu Gobierno no abusaría de esos poderes, también hay otros problemas, porque lo que siempre tratamos de recalcar es que cuando creas una puerta trasera, es una debilidad sistémica en el cifrado. Por lo tanto, significa que no solo el Gobierno, sino también los delincuentes pueden explotar esta debilidad. Y el Gobierno también debería preocuparse por los llamados actores estatales hostiles, ya que otros Gobiernos también explotan esas debilidades. Lo que siempre tratamos de enfatizar es que no existe tal cosa como una puerta trasera que solo funcione para los buenos y no para los malos. Una puerta trasera es una puerta trasera.

El Gobierno de Reino Unido afirma que hay una manera de hacer esto de manera segura, sin violar el cifrado de extremo a extremo. Los tecnólogos no están de acuerdo. No se conoce ninguna tecnología que pueda hacerlo. Si rompes el cifrado, lo rompes. Simple.

GV: ¿Existen alternativas a las puertas traseras de cifrado?

CV: An alternative to the encryption backdoor is client site scanning. Basically, it's a system where something is embedded on a user's device, and it scans the content of your text, images, files, and so on, and compares it to a database of objectionable content before messages are even sent. Law enforcement is notified when there’s a match.
Policymakers are pointing to this because they say it does not break encryption. And they're maybe right on the technicality that the scanning happens on our phones before encryption even starts, but it defeats the whole purpose of encryption. The metaphor we like to give is that if breaking encryption is like steaming open a letter, a physical letter when it goes through the sorting office at the post office, client-side scanning is like someone reading your letter as you write it over your shoulder.

So, in the end, the result is the same. Your privacy is dead.

What’s more, this isn’t even an effective way to scan. For one thing, real true criminals will circumvent it easily. It's normal people that will all be scanned. And then the second part is that more data doesn't mean more arrests or more convictions because more data also needs more resources for it to be processed.

These threats to encryption and to private messaging, they're being led by established democracies, including the UK and the EU. This is really dangerous because it normalizes and legitimizes this approach, and other governments around the world will pass similar laws, and more repressive governments can use those powers to crack down on dissidents, journalists, and activists.

CV: Una alternativa a la puerta trasera de cifrado es el escaneo del sitio del cliente. Básicamente, es un sistema en el que algo está incrustado en el dispositivo de un usuario, y escanea el contenido de su texto, imágenes, archivos, etc., y lo compara con una base de datos de contenido objetable incluso antes de que se envíen los mensajes. Se notifica a las autoridades cuando hay una coincidencia.

Los legisladores destacan esto porque dicen que no rompe el cifrado. Y tal vez tengan razón en el tecnicismo de que el escaneo ocurre en nuestros teléfonos incluso antes de que comience el cifrado, pero anula todo el propósito del cifrado. La metáfora que nos gusta dar es que, si romper el cifrado es como abrir una carta al vapor, una carta física cuando pasa por la clasificación en la oficina de correos, el escaneo del lado del cliente es como alguien que lee tu carta mientras la escribes por encima de tu hombro.

Así que, al final, el resultado es el mismo. Tu privacidad está muerta.

Es más, ni siquiera es una forma eficaz de escanear. Por un lado, los verdaderos delincuentes lo eludirán fácilmente. Son personas normales las que serán analizadas. Y, por otro lado, está la conjetura de que más datos no significan más arrestos o más condenas, porque más datos también necesitan más recursos para ser procesados.

Estas amenazas a la encriptación y a la mensajería privada están siendo lideradas por democracias establecidas, como Reino Unido y la Unión Europea. Esto es realmente peligroso porque normaliza y legitima este enfoque, y otros Gobiernos de todo el mundo aprobarán leyes similares, y Gobiernos más represivos pueden usar esos poderes para reprimir a disidentes, periodistas y activistas.

GV: ¿Qué opinas de la inteligencia artificial y su regulación? ¿Tiene alguna idea sobre cómo deberíamos regular o simplemente vuelve a las dos cosas principales que mencionó, que es hablar con expertos y preguntarles qué funcionará y cuáles son las implicaciones?

CV: It's really interesting because, as we know, artificial intelligence does present opportunities, but also lots of challenges and lots of risks. And of course, for us, the interest is that If AI is not trustworthy, that will also make the internet untrustworthy. We see it very much interlinked. As this is such a fast-moving area, unfortunately, the Internet Society does not have the capacity to lead in this policy area, but we recognize it as an important area because, if ethics and values are not considered when AI is being developed, that will decrease trust in the internet.

I think diverse views are needed because one of the big issues a lot of people identify with is the potential for bias and also repeating the biases that exist in society. To really understand these biases, we need to speak, of course, to the technologists, of course, to the policymakers and interest groups, but especially to groups that are disadvantaged within our societies and our communities to understand, if technology would replicate those. It's all about the ethics, and preventing these kinds of mistreatments from being repeated in digital space.

CV: Es muy interesante porque, como sabemos, la inteligencia artificial presenta oportunidades, pero también muchos desafíos y riesgos. Y, por supuesto, para nosotros, el interés es que, si la IA no es confiable, eso también hará que internet no sea confiable. Lo vemos muy interrelacionado. Desafortunadamente, al tratarse de un rubro que avanza tan rápidamente, Internet Society no tiene la capacidad de liderar en este rubro política, pero reconocemos que es un rubro importante porque, si no se tienen en cuenta la ética y los valores cuando se desarrolla la IA, eso disminuirá la confianza en internet.

Creo que se necesitan puntos de vista diversos porque uno de los grandes problemas con los que mucha gente se identifica es el potencial de sesgo y también el de repetir las predilecciones que existen en la sociedad. Para entender realmente estos sesgos, tenemos que hablar, lógicamente, con los tecnólogos y, por supuesto, con los responsables políticos y los grupos de interés, pero en especial con los grupos que están en desventaja dentro de nuestras sociedades y comunidades para entender si la tecnología los replicaría. Se trata de la ética y de evitar que este tipo de malos tratos se repitan en el espacio digital.

GV: ¿Has visto alguna tendencia en la legislación, hacia dónde se ha inclinado en los últimos tres años?

CV: Yeah, definitely. There is the risk of internet fragmentation, as different countries pass different laws governing the internet, and it will be increasingly difficult to offer the same services across the board. A really connected trend we're seeing is digital sovereignty, which is a buzzword that many governments have used — there are different variations: digital sovereignty, internet sovereignty, sovereignty in the digital space, it's all synonyms used by different governments.

It means different things to different governments. For some countries, it simply means diversifying their supply chain; they don't want to rely on imported technology. For other countries, it's more about competition — in the European case, they want to make sure that local service providers do exist and that there are legitimate alternatives to the big foreign providers.

But then the final definition, which is, of course, more common with more authoritarian governments, is state sovereignty in the digital realm — the ability to control the flow of information on the internet. Whatever the reasons for it, it is ultimately the state deciding what is legitimate and what is not, sometimes through the lens of what is a threat to their legitimacy as the government.

So when we talk about our digital sovereignty policies as naturally good or bad, it's impossible to say because there's such a wide range of policies that come out of it. What we can say, though, is that this trend is concerning. It takes the existing global internet that we know and rely on and applies geographic boundaries to it. As this view becomes normalized by policymakers, we can expect to see new policies that would turn our global internet into a series of fragmented intranets that do not fully connect with each other.

CV: Sí, definitivamente. Existe el riesgo de fragmentación de internet, ya que los diferentes países aprueban diferentes leyes que rigen internet y será cada vez más difícil ofrecer los mismos servicios en todos los ámbitos. Una tendencia realmente conectada que estamos viendo es la soberanía digital, término que está de moda y que muchos Gobiernos han utilizado, hay diferentes variaciones: soberanía digital, soberanía de internet y soberanía en el espacio digital, todos son sinónimos utilizados por diferentes Gobiernos.

Significa cosas diferentes para diferentes Gobiernos. Para algunos países, simplemente significa diversificar su cadena de suministro; no quieren depender de la tecnología importada. Para otros países, se trata más bien de la competencia, en el caso europeo, quieren asegurarse de que existan proveedores de servicios locales y de que haya alternativas legítimas a los grandes proveedores extranjeros.

Pero la definición final, que es, por supuesto, más común en los Gobiernos más autoritarios, es la soberanía estatal en el ámbito digital: la capacidad de controlar el flujo de información en internet. Sean cuales sean las razones, en última instancia es el Estado el que decide qué es legítimo y qué no lo es, a veces a través de la lente de lo que representa una amenaza a su legitimidad como Gobierno.

Entonces, cuando hablamos de nuestras políticas de soberanía digital como naturalmente buenas o malas, es imposible decirlo porque hay una amplia gama de políticas que surgen de ahí. Lo que sí podemos decir, sin embargo, es que esta tendencia es preocupante. Toma la internet global existente que conocemos y en la que confiamos y le aplica límites geográficos. A medida que esta visión se normalice por parte de los responsables políticos, podemos esperar ver nuevas políticas que convertirían nuestra internet global en una serie de intranets fragmentadas que no se conectan completamente entre sí.