David M. Calduch

Gobernanza IA · Privacidad · EU · Compliance

La UE vuelve a permitir que escaneen los correos de tu empresa y de tus clientes. Y la mayoría del Parlamento votó en contra.

13 de julio de 2026 · David M Calduch

La UE vuelve a permitir que escaneen los correos de tu empresa y de tus clientes. Y la mayoría del Parlamento votó en contra.

El 9 de julio pasó algo poco habitual en el Parlamento Europeo: una norma salió adelante con la mayoría en contra. 314 eurodiputados votaron contra la prórroga de Chat Control, 276 a favor. Pero el rechazo exigía mayoría absoluta de 361 votos, no la alcanzó, y el escaneo de comunicaciones privadas queda habilitado hasta abril de 2028 (Baylos, 2026).

Antes de sacar conclusiones, conviene precisar qué se ha aprobado exactamente, porque hay mucho titular confundiendo dos normas distintas.

Lo aprobado es la prórroga de Chat Control 1.0, la excepción al reglamento ePrivacy que desde 2021 permite a plataformas como Gmail, Outlook o Messenger escanear de forma voluntaria las comunicaciones de sus usuarios en busca de material de abuso infantil, sin sospecha previa ni orden judicial (Reglamento 2021/1232; El Salto, 2026).

Chat Control 2.0, la versión que impondría el escaneo obligatorio a todas las plataformas, sigue en negociación. La decisión se espera en el Consejo de Justicia e Interior de mediados de octubre (El Salto, 2026).

Ese matiz cambia el análisis. Y cambia lo que una empresa debe hacer ahora.

Qué pueden hacer exactamente (y qué no)

Tres preguntas que me han hecho esta semana, con respuesta directa:

¿Tienen acceso a todo? No. Solo a lo que pasa por sus servidores sin cifrado de extremo a extremo. Lo que va cifrado E2E, como WhatsApp o Signal, queda fuera, y no solo por imposibilidad técnica: el propio Parlamento aprobó ese mismo día una enmienda que excluye expresamente los servicios cifrados de extremo a extremo del ámbito de la prórroga (The Register, 2026). Pero dentro del perímetro escaneable el acceso es al contenido completo. No hablamos de metadatos: el sistema analiza el texto y las imágenes de la comunicación en sí.

¿Sin permiso? Sí. No hay consentimiento individual, no hay sospecha previa y no hay orden judicial. La base jurídica es la norma europea más los términos de servicio de la plataforma.

¿Sin notificación? Sí. No te avisan de que escanean, no te avisan cuándo lo hacen y no te avisan si un falso positivo tuyo pasa a revisión humana. Te enteras solo si el caso escala a las autoridades y estas actúan.

Un matiz honesto: es escaneo algorítmico, no lectura humana masiva. Una persona solo ve tu contenido si el clasificador lo marca. El problema es el tamaño de ese “si”: la propia Comisión Europea ha reconocido en su informe de implementación tasas de falsos positivos de hasta el 20% en los clasificadores de material desconocido. Una de cada cinco conversaciones marcadas no corresponde a material ilícito (The Register, 2026). Volveremos a esto.

A qué canales afecta

La norma cubre los servicios de comunicaciones interpersonales independientes de la numeración. En la práctica de una empresa:

Email sin cifrado de extremo a extremo, que es la práctica totalidad del correo corporativo: Gmail, Outlook, Yahoo. Mensajería sin E2E como Facebook Messenger, los mensajes directos de Instagram, Skype o Google Chat. Chats integrados en plataformas de gaming y apps de citas.

Las videollamadas y sus chats también entran cuando no van cifrados de extremo a extremo. Y aquí conviene ser concretos, porque son las herramientas de trabajo diarias: Teams, Meet y Zoom cifran en tránsito, pero por defecto ninguna de las tres es E2E. El cifrado de extremo a extremo existe como opción en Teams (solo llamadas 1 a 1) y en Zoom, y como cifrado del lado del cliente en Meet, pero hay que activarlo expresamente y casi nadie lo hace. Con la configuración estándar, el proveedor tiene acceso técnico al contenido y esas comunicaciones quedan dentro del perímetro de la norma.

Caso aparte: Telegram. Mucha gente lo asume cifrado de extremo a extremo y no lo es. Los chats normales de Telegram se guardan en sus servidores con claves que controla la propia plataforma, así que técnicamente sí puede leerlos. Solo los “chats secretos”, que hay que iniciar manualmente y casi nadie usa, van cifrados E2E. Otra cosa es que Telegram participe en el escaneo voluntario de chats privados que habilita esta norma: históricamente no lo ha hecho, aunque desde 2024 colabora bastante más con las autoridades de lo que su reputación sugiere. Traducción: en Telegram tu protección no es técnica, es una decisión de política de empresa de la plataforma. Que puede cambiar.

¿Y tus ficheros en la nube? Por esta ley, no te preocupes: a Drive, OneDrive o iCloud sin protección avanzada no les aplica, porque ePrivacy no cubre archivos almacenados. La noticia menos tranquilizadora es el motivo: los proveedores llevan años escaneándolos como hosting sin necesitar ninguna excepción. Tu Drive corporativo ya se analizaba antes de esta votación y seguirá igual.

Primero: tu registro de tratamiento ya no está actualizado

Si tu organización usa Google Workspace, Microsoft 365 o Meta para comunicación interna o con clientes, un tercero privado puede volver a analizar el contenido de esas comunicaciones con clasificadores automatizados. Eso es un tratamiento de datos que afecta a información corporativa y que tu DPO debe reflejar en el registro de actividades y, según el caso, en la evaluación de impacto.

Aquí hay una tensión que no se resuelve con una nota al pie: el principio de minimización del RGPD frente a un escaneo indiscriminado autorizado por otra norma europea. El Supervisor Europeo de Protección de Datos y el EDPB ya advirtieron en su opinión conjunta de 2022 que este esquema es “la base para un escaneo de facto generalizado e indiscriminado” de las comunicaciones electrónicas (EDPB-EDPS, 2022). Documentar cómo tu organización gestiona esa tensión no es opcional. Es exactamente lo que un supervisor va a preguntar.

Segundo: la política de canales deja de ser un documento decorativo

La mayoría de empresas tiene una política de comunicaciones que nadie ha leído desde que se aprobó. Este es el momento de revisarla con una pregunta simple: ¿qué información sale de la organización por los canales escaneables de la lista anterior?

Propuestas comerciales, datos de RRHH, información de clientes en sectores regulados, asesoramiento legal. Todo lo que viaje por correo estándar queda expuesto a inspección algorítmica sin aviso. La respuesta razonable no es el pánico, es la clasificación: definir qué categorías de información exigen canal cifrado de extremo a extremo y cuáles pueden seguir donde están. Legal, sanidad y finanzas deberían tener esto resuelto antes que nadie.

Tercero: tus NDAs no obligan a la plataforma

Este es el punto que casi nadie ha señalado y el que más afecta a la relación con tus clientes. Los acuerdos de confidencialidad vinculan a las partes que los firman. No vinculan al proveedor del canal por el que viaja la información, ni a las autoridades que reciben sus reportes. Si un clasificador marca por error un adjunto de una propuesta o de un expediente, ese contenido puede acabar revisado por personas ajenas y remitido a una autoridad sin que ninguna NDA lo impida y sin que tú puedas avisar a tu cliente, porque no te enteras.

Para sectores con deber de secreto reforzado (abogados, sanidad, finanzas) esto no es un matiz: la norma no contiene excepciones para el secreto profesional. La relación abogado-cliente por Gmail corporativo queda dentro del perímetro escaneable igual que cualquier otra conversación.

La consecuencia práctica es que la confidencialidad ya no se garantiza solo con contratos, se garantiza eligiendo el canal. Y eso convierte al proveedor de comunicaciones en un asunto de due diligence: pregunta a tus proveedores si aplican el escaneo voluntario que habilita esta norma (los grandes estadounidenses lo hacen; los europeos de conocimiento cero, como Proton, no pueden hacerlo por arquitectura), e incluye en los contratos una cláusula que obligue al proveedor a notificarte cualquier cambio en su política de escaneo de contenidos. Es una línea en el contrato que hoy casi nadie tiene y que un comprador informado va a empezar a exigir.

Cuarto: el riesgo real para tu empresa son los falsos positivos

Los sistemas de detección que autoriza esta norma son clasificadores automatizados cuyo error nadie audita públicamente, con la cifra de la propia Comisión (hasta un 20%) como única referencia. Una foto médica, un documento de un caso legal o una conversación legítima pueden acabar marcados, revisados por personas ajenas a tu organización y, en el peor escenario, remitidos a autoridades. Sin que nadie te lo notifique.

Aquí está la paradoja que más me interesa como consultor de gobernanza: el EU AI Act obliga a documentar, auditar y supervisar los sistemas de IA de alto riesgo que despliegan las empresas. Y al mismo tiempo, Europa autoriza clasificadores opacos operando sobre las comunicaciones de 450 millones de personas sin ninguno de esos controles. Si tu empresa usa un sistema de scoring, tiene que justificar cada decisión del modelo. Estos sistemas, no.

Esa incoherencia no es un argumento contra la protección infantil, que es un objetivo legítimo y urgente. Es un argumento a favor de exigir a estos sistemas el mismo estándar de gobernanza que exigimos a cualquier otro.

Quinto: octubre es la fecha que importa

Chat Control 1.0 recupera un statu quo que ya existía entre 2021 y abril de 2026. El cambio estructural llegaría con la 2.0: escaneo obligatorio, un centro europeo de protección infantil y estándares de “seguridad desde el diseño” para las aplicaciones de mensajería (El Salto, 2026).

Técnicamente, imponer detección en plataformas cifradas de extremo a extremo solo es posible escaneando en el dispositivo del usuario, antes de cifrar. Eso rompe la premisa del cifrado tal y como lo conocemos. La industria ya ha marcado su posición: Signal ha declarado que prefiere salir del mercado europeo antes que implementar escaneo en el dispositivo (The Register, 2026). Si ese escenario se materializa, la arquitectura de comunicaciones de cualquier empresa europea tendrá que rediseñarse, no ajustarse.

Mi recomendación es no esperar. Auditar canales ahora, clasificar información ahora, revisar contratos de proveedores ahora, y seguir la negociación de octubre con la misma atención que le dedicaste a la entrada en vigor del AI Act. Las empresas que documenten hoy su posición llegarán a 2027 con los deberes hechos. Las demás improvisarán, que es lo que llevamos años viendo con cada norma europea.

He preparado un informe ejecutivo gratuito con todo lo anterior ampliado: el mapa completo de canales escaneables, las cinco implicaciones y un checklist de actuacion por rol (DPO/Legal, IT/Seguridad y Direccion), con actualizacion incluida tras la decision de octubre.Descarga el informe ejecutivo + checklist

David M Calduch

Fuentes: