Esta semana la señora presidenta de la República negó que alguna institución pública haya contratado, tramite o planifique adquirir el programa Pegasus. Conviene recibir esa negativa como lo que es: una buena noticia. Que la más alta autoridad del Ejecutivo se pronuncie públicamente sobre una herramienta de esa naturaleza es preferible al silencio, y así debe reconocerse.
Dicho eso, hay que señalar algo que la discusión de estos días ha dejado de lado: la pregunta nunca fue si el Estado iba a comprar Pegasus.
Declaro mi interés antes de seguir. Soy el ciudadano que en junio presentó ante el Ministerio de Hacienda la solicitud de información que originó este debate, y el recurso de amparo que la Sala Constitucional declaró con lugar. En esa solicitud —cuyo texto es público y consta en la sentencia— no aparece la palabra Pegasus. No aparece ningún nombre comercial. Y no aparece por una razón deliberada: no sé cuál herramienta se estaba evaluando, y afirmar lo contrario habría sido especular.
Discutir marcas es la forma más eficaz de no discutir reglas
Pegasus es un producto entre cientos. La organización Privacy International contabilizó 246 empresas de tecnología de vigilancia en el mundo en 2012, y más del doble cuatro años después. Un mercado de esa dimensión no depende de un solo proveedor, y ningún país queda protegido por el hecho de no haber contratado a uno en particular.
Por eso, cuando el debate público se organiza alrededor de un nombre comercial, ocurre algo previsible: la conversación se agota en confirmar o desmentir esa marca, y las preguntas de fondo quedan sin formular. Descartar un producto no responde bajo qué norma opera un sistema, qué datos trata, con quién los comparte ni dónde terminan almacenados.
Las cuatro preguntas que planteé en junio siguen siendo las mismas, y ninguna depende de la marca del software:
Primera, bajo cuál ley, reglamento o decreto se respalda el tratamiento masivo de datos de los habitantes. Segunda, si el sistema emplea inteligencia artificial para perfilamiento automatizado o puntajes predictivos sobre la conducta de las personas, y si recolecta datos de fuentes públicas, semipúblicas, redes sociales o registros privados. Tercera, qué garantías existen y si habría intercambio de información con órganos de inteligencia del Estado. Cuarta, si se evaluó el impacto en la protección de datos y si la información quedaría en servidores nacionales o saldría del país.
Un sistema desarrollado internamente, comprado a un proveedor discreto o recibido en donación puede plantear exactamente los mismos riesgos que uno de nombre conocido. La afectación de derechos no depende del logotipo.
La lección de UPAD apunta en esa dirección
En la misma conferencia, la presidenta afirmó que no piensa traer «otra UPAD» al país. La referencia me parece pertinente, y vale la pena desarrollarla, porque enseña justamente lo que aquí se discute.
La Unidad Presidencial de Análisis de Datos no fue un programa espía extranjero ni un producto de marca. Se propuso como una unidad estatal que concentraba y cruzaba información de los habitantes. Lo que la hizo constitucionalmente problemática no fue su tecnología, sino la ausencia de un marco jurídico claro que delimitara su finalidad, sus accesos y sus controles. Ese es el punto: para lesionar la autodeterminación informativa no hace falta comprar nada caro en el extranjero. Basta con tratar datos sin reglas conocidas.
Si la lección de aquel episodio se toma en serio, la conclusión no es «no compraremos Pegasus», sino «ningún tratamiento masivo de datos comenzará sin marco legal expreso, evaluación previa y controles verificables». Eso es lo que evitaría una segunda UPAD; descartar un producto, no.
El presupuesto no es una garantía jurídica
Se ha argumentado también que el país no tendría los recursos para adquirir una herramienta de ese costo, y que su venta está sujeta a autorizaciones del país de origen. Ambas cosas pueden ser ciertas. Ninguna de las dos es una garantía de derechos.
Un límite presupuestario cambia con un presupuesto extraordinario. Una restricción de exportación depende de decisiones de un gobierno extranjero. Y el mercado ofrece capacidades análogas a precios muy distintos: la analítica masiva de datos, el perfilamiento y la ingesta de fuentes abiertas están disponibles en escalas y presupuestos de todo tipo. Las garantías que protegen a las personas no son económicas ni diplomáticas: son jurídicas, y se escriben antes.
Lo que consta por escrito
Hay una diferencia que en esta materia importa mucho. Una declaración en conferencia de prensa tiene valor político y comunica una intención; una respuesta institucional escrita compromete a la Administración y queda en el expediente.
A la fecha, lo que consta por escrito es que el Ministerio de Hacienda informó que la iniciativa «no se ha desarrollado y se encuentra en una fase de exploración y análisis», que no existe una solución definida y que, por ello, no procedía referirse al marco legal ni a las garantías. Añadió —y esto sí es un compromiso exigible— que cualquier iniciativa que eventualmente se adopte se desarrollará conforme al ordenamiento vigente, incluida la Ley N.º 8968.
Esa es la frase que conviene retener, porque es verificable el día que la iniciativa exista. Y por eso mismo he consultado, por la vía ordinaria, sobre esa fase de exploración que la propia Administración reconoce: si hay procedimientos de contratación, estudios de mercado, previsiones presupuestarias o coordinaciones en materia de protección de datos. Son preguntas que se responden con un sí o un no, y cuyas respuestas pueden contrastarse con fuentes públicas.
Mover la discusión
Que el Gobierno descarte un producto específico es una información útil y hay que agradecerla. Pero el país ganaría más si la conversación se desplazara de cuál software a bajo cuáles reglas.
La inteligencia artificial aplicada a la fiscalización llegó para quedarse, y bien gobernada puede servir al interés general: perseguir la evasión y el contrabando es una obligación del Estado que nadie razonable discute. La condición es que esas herramientas operen a la vista, con normas expresas, evaluación previa y rendición de cuentas.
Mientras tanto, la pregunta pendiente sigue siendo tan sencilla como al principio, y no menciona ninguna marca: cuando el Estado use una tecnología capaz de perfilar personas, ¿bajo qué ley lo hará y qué pasará con nuestros datos?