La ciberseguridad del futuro debe proteger personas, no solo datos

A veces, entre tantos términos anglosajones, algoritmos de última generación y gráficos de rendimiento financiero, olvidamos una verdad fundamental: detrás de cada bit de datos hay una vida humana. Detrás de una cuenta bancaria bloqueada está el esfuerzo de una familia; detrás del sistema operativo de un hospital están los latidos de un paciente; y detrás de un software de seguridad corporativo están trabajadores que merecen respeto, no sospechas perpetuas.

Como apasionado del derecho digital, suelo observar cómo los comités directivos debaten sobre "proteger activos tecnológicos" como si las máquinas operaran solas. La tecnología en este 2026 es asombrosa, y la Inteligencia Artificial (IA) es capaz de levantar murallas infranqueables ante los ciberdelincuentes. Sin embargo, cuando la obsesión por la seguridad nos ciega, corremos el riesgo de construir cárceles de cristal en lugar de refugios seguros.

No se trata de una preocupación teórica

Cuando en 2025 ciberataques masivos comprometieron los sitios web de 18 entidades públicas de Paraguay y expusieron aproximadamente 6 millones de registros de ciudadanos, la respuesta institucional llegó con la promulgación de la Estrategia Nacional de Ciberseguridad 2025-2028 mediante el Decreto N° 3900. El propio presidente Santiago Peña reconoció entonces que "la ciberseguridad deja de ser un tema técnico para convertirse en una cuestión humana", subrayando que "se trata de proteger la libertad, la seguridad y la paz de nuestra gente". Esas palabras, sin embargo, deben traducirse en prácticas concretas que coloquen a la persona —no a la máquina— en el centro del diseño de cada política de seguridad.

El peligro de convertir el miedo en un algoritmo

El miedo es un pésimo arquitecto. Cuando una empresa o un gobierno vive bajo el temor constante de un ciberataque, la primera tentación es vigilarlo todo. Es fácil caer en la trampa de pensar que, para estar seguros, debemos monitorear cada clic, cada gesto y cada movimiento de las personas.

Allí es donde la IA puede volverse peligrosamente desalmada. Si entrenamos a un algoritmo para buscar amenazas basándose únicamente en estadísticas frías del pasado, el sistema empezará a automatizar los prejuicios humanos:

Catalogará como "sospechoso" al empleado que trabaja a horas inusuales porque cuida a un familiar enfermo.

Encenderá alarmas ante comunidades o minorías que históricamente han sido marginadas, perpetuando su exclusión. Tratará la diferencia y la diversidad como si fuesen virus informáticos.

Criminalizar la vulnerabilidad para proteger la infraestructura no es ciberseguridad; es un fracaso ético que rompe el tejido social y destruye el valor más difícil de recuperar en la economía: la confianza de la gente.

Este peligro no ha pasado desapercibido para los legisladores. El Reglamento (UE) 2024/1689 sobre Inteligencia Artificial, conocido como AI Act, prohíbe expresamente el uso de sistemas de IA que utilicen características sensibles como origen étnico, orientación sexual o creencias religiosas para evaluar el riesgo de que una persona cometa un delito. Más aún, su Artículo 14 establece la obligatoriedad de la supervisión humana efectiva en todos los sistemas de IA clasificados como alto riesgo, exigiendo que las personas designadas puedan "descartar, invalidar o revertir" las decisiones generadas por el algoritmo, e incluso detener el sistema mediante un "botón de parada". La norma reconoce explícitamente el riesgo del llamado sesgo de automatización: esa tendencia humana a confiar ciegamente en la salida de una máquina y renunciar al juicio crítico.

La lección es clara: ningún sistema, por sofisticado que sea, puede sustituir la deliberación ética de un ser humano cuando lo que está en juego es la libertad o la reputación de una persona.

El respaldo de la norma: ni vigilancia absoluta ni vulnerabilidad aceptable

Podría pensarse que el debate entre seguridad y privacidad es un lujo de juristas europeos. No lo es. Paraguay cuenta hoy con un arsenal normativo —en construcción, pero significativo— que respalda la idea de que la ciberseguridad y los derechos humanos no son contradictorios, sino complementarios.

La Constitución Nacional de 1992, en su Artículo 33, consagra que "la intimidad personal y familiar, así como el respeto a la vida privada, son inviolables" y garantiza "el derecho a la protección de la intimidad, de la dignidad y de la imagen privada de las personas". Esta cláusula no es una sugerencia retórica: es el cimiento constitucional sobre el cual debe construirse cualquier política de vigilancia o monitoreo en entornos digitales.

Sobre esa base, la Ley Nº 7.593/2025 "De Protección de Datos Personales", promulgada el 27 de noviembre de 2025, representa el marco legal más relevante en la materia. Aunque entrará en pleno vigor en noviembre de 2027, la norma ya establece obligaciones que redefinen la relación entre organizaciones y personas: incorpora los principios de licitud, transparencia, minimización y responsabilidad proactiva, exige la designación de un Oficial de Protección de Datos en los casos correspondientes, y obliga a realizar evaluaciones de impacto cuando el tratamiento pueda afectar los derechos de los titulares. La ley reconoce el concepto de "incidente de seguridad" —acceso no autorizado, pérdida, alteración o destrucción de datos— y establece que la protección de datos no es solo una obligación técnica, sino "una redefinición de la relación entre las organizaciones y las personas".

En el plano específico de la ciberseguridad, la Estrategia Nacional de Ciberseguridad 2025-2028 (Decreto N° 3900) establece siete objetivos específicos y 78 líneas de acción que incluyen el desarrollo del talento técnico, la cooperación intersectorial, la protección de infraestructuras críticas y el combate al cibercrimen. Paralelamente, un proyecto de ley presentado en el Congreso prevé la creación de la Dirección Nacional de Ciberseguridad (DNCI), dependiente del Ministerio de Defensa, que actuaría como órgano rector en la materia; el proyecto enfatiza expresamente que la persecución de ciberdelitos debe realizarse "siempre respetando los derechos fundamentales y la protección de datos personales".

Paraguay es además Estado parte del Convenio de Budapest sobre Cibercriminalidad (aprobado mediante Resolución N° 158-12), instrumento internacional que tipifica delitos informáticos y establece medidas de cooperación internacional, pero cuyo preámbulo y disposiciones buscan explícitamente "equilibrar la acción penal con el respeto a los derechos humanos fundamentales". El Convenio no es un cheque en blanco para la vigilancia: es un marco que armoniza la persecución del delito con la protección de las libertades.

El marco internacional: la persona como sujeto, no como objeto de datos

La tendencia global refuerza esta dirección. A nivel internacional, múltiples instrumentos convergen en un mismo principio: la tecnología debe servir a la dignidad humana, no al revés.

El Reglamento General de Protección de Datos (RGPD) de la Unión Europea, vigente desde 2018, establece en su Artículo 5 que los datos personales deben ser tratados de manera "lícita, leal y transparente", recogidos con "fines determinados, explícitos y legítimos", y limitados a lo estrictamente necesario —el principio de minimización—. Además, impone el principio de responsabilidad proactiva: el responsable del tratamiento debe ser capaz de demostrar el cumplimiento de estos principios en todo momento. No basta con ser seguro; hay que poder demostrarlo de manera transparente.

El Convenio 108+ del Consejo de Europa, versión modernizada del primer tratado internacional vinculante sobre protección de datos personales, incorpora el principio de proporcionalidad, obliga a notificar incidentes de seguridad, amplía el concepto de datos sensibles para incluir datos genéticos y biométricos, y establece condiciones especiales para el tratamiento de datos de niños y niñas. Es el único instrumento multilateral vinculante en su género, y su filosofía es inequívoca: la protección de datos no es un obstáculo para la seguridad, sino una condición de su legitimidad.

La Directiva NIS2 (UE) 2022/2555, por su parte, refuerza las obligaciones de ciberseguridad para entidades esenciales y importantes en Europa, exigiendo medidas técnicas, operativas y organizativas de gestión de riesgos, pero sin desconocer la necesidad de equilibrar la seguridad con los derechos fundamentales. Su liga con el Reglamento de IA es evidente: si un sistema de detección de amenazas utiliza IA, ambos marcos normativos se aplican simultáneamente.

En el ámbito iberoamericano, la Carta Iberoamericana de Principios y Derechos en los Entornos Digitales (2023) constituye un esfuerzo regional por "poner a las personas en el centro de la transformación digital" y orientar a Estados, empresas, sociedad civil y academia en el desarrollo y aplicación de tecnologías. No es vinculante, pero su valor es enorme como referente ético y político compartido por toda la región.

Brasil, país vecino y socio en el Mercosur, aprobó en 2014 el Marco Civil da Internet (Ley N° 12.965), que establece principios, garantías, derechos y deberes para el uso de internet, consagrando la protección de la privacidad, la libertad de expresión y la neutralidad de la red como pilares del ecosistema digital. Su enfoque centrado en el usuario sirvió de inspiración para debates similares en toda América Latina.

Humanismo Digital: la tecnología al servicio de la dignidad

El Humanismo Digital no es romanticismo abstracto para filósofos; es una guía de supervivencia para el mundo de los negocios y una exigencia jurídica. Significa recordar que el ser humano es el fin, y la tecnología es solo el medio.

Para blindar nuestras organizaciones sin perder nuestra humanidad, el enfoque debe cambiar radicalmente:

Cuidar, no espiar: Las defensas inteligentes deben concentrarse en las debilidades del software y en los flujos de procesos anómalos, no en desmenuzar la vida privada de las personas. La seguridad debe basarse en el contexto de la red, jamás en el control de la identidad. El principio de minimización de datos, consagrado tanto en el RGPD como en la Ley Nº 7.593/2025 paraguaya y en el Convenio 108+, obliga a recopilar solo lo estrictamente necesario. La vigilancia masiva no es proporcional; es excesiva por definición.

La mirada humana como última palabra: Ningún algoritmo, por más avanzado que sea, posee empatía, intuición o sentido de la justicia. Las decisiones críticas de exclusión o bloqueo tecnológico siempre deben pasar por el filtro y la responsabilidad de un ser humano. El Artículo 14 del Reglamento de IA europeo lo establece con precisión quirúrgica: la supervisión humana debe permitir "entender adecuadamente las capacidades y limitaciones" del sistema, "ser conscientes de la posible tendencia a confiar automáticamente" en sus resultados, y "decidir no utilizar el sistema o revertir sus resultados".

La Ley paraguaya de Protección de Datos, al exigir evaluaciones de impacto, refuerza esta misma lógica: el riesgo para los derechos de las personas debe evaluarse antes de desplegar la tecnología, no después.

Transparencia que sana: Un entorno seguro es aquel donde el usuario entiende cómo se protegen sus datos, en lugar de sentirse constantemente observado por un ojo invisible. El principio de transparencia, recogido en el Artículo 5 del RGPD y en la Ley Nº 7.593/2025, obliga a que el tratamiento de datos sea comprensible para el interesado. La Estrategia Nacional de Ciberseguridad paraguaya, al promover la "cultura de seguridad digital" y la concientización ciudadana, apunta en la misma dirección.

Hacia una economía con alma

Mirar el futuro con optimismo implica entender que las empresas más valiosas del mañana no serán las que tengan los sistemas de vigilancia más agresivos, sino aquellas que logren que sus clientes y colaboradores se sientan profundamente seguros y respetados. La normativa internacional va en esa dirección: el Reglamento de IA europeo premia la confianza y castiga la opacidad; el RGPD sanciona con multas de hasta el 4% de la facturación global a quienes vulneren los principios de transparencia y minimización; el Convenio 108+ obliga a notificar incidentes, porque el silencio no es seguridad, es encubrimiento.

Paraguay no está exento de esta corriente. Con la Ley Nº 7.593/2025 en pleno periodo de adecuación y la Estrategia Nacional de Ciberseguridad recién implementada, el país tiene una ventana de oportunidad para diseñar un modelo de ciberseguridad que sea eficaz sin ser invasivo, robusto sin ser desalmado. El proyecto de ley que crearía la DNCI debe incorporar, desde su génesis, garantías de control democrático, transparencia y respeto a los derechos fundamentales; no basta con perseguir delincuentes si en el proceso se erosionan las libertades que precisamente queremos proteger.

La verdadera ciberseguridad no es una demostración de fuerza o de control absoluto; es un acto de cuidado. Al final del día, ninguna infraestructura estará realmente a salvo si, para defenderla, terminamos sacrificando la dignidad, la libertad y los derechos de las personas que la habitan. La Constitución Nacional, en su Artículo 33, lo recordó hace más de tres décadas: la dignidad y la intimidad son inviolables. La tecnología de 2026 no debería contradecir lo que el derecho ya sabía en 1992.