La Comisión Europea se prepara para presentar el Paquete de Soberanía Tecnológica (Tech Sovereignty Package), el cual incluye la esperada propuesta de la Ley de Desarrollo de la Inteligencia Artificial y la Nube (CAIDA).
En el actual contexto político, una influyente coalición de firmas tecnológicas liderada por la empresa SUSE, ha enviado una carta abierta exigiendo la implementación obligatoria de una directiva «Open Source First» en la contratación pública de los Estados miembros.
La propuesta busca obligar legalmente a las administraciones públicas a evaluar y priorizar las alternativas de código abierto cualificadas antes de adquirir cualquier software propietario de proveedores extranjeros. Sin embargo, detrás de esta retórica de independencia digital se esconde una trampa regulatoria que amenaza con asfixiar a los desarrolladores comunitarios, a los desarrolladores privativos, alterar de manera permanente los cimientos de la tecnología abierta y llenar el bolsillo de unos pocos que no se han podido destacar en el sector.
El espejismo de la soberanía digital y el mandato de contratación
La iniciativa «Open Source First» de Europa tiene como fin revertir décadas de decisiones de compra en el sector público que han perpetuado el bloqueo propietario o vendor lock-in. De acuerdo con el director ejecutivo de SUSE, Dirk-Peter van Leeuwen, la soberanía real no reside simplemente en la ubicación física de un centro de datos en suelo europeo, sino en la capacidad de inspeccionar, modificar y sustituir la arquitectura de software utilizada.
«Los edificios se vuelven europeos; la dependencia, no», advierte el directivo para ilustrar el riesgo de alojar sistemas propietarios inaccesibles bajo leyes locales. Por ello, los firmantes de la carta abierta exigen que cada proceso de licitación pública documente y audite de manera transparente la búsqueda de alternativas de código libre.
Estándares abiertos y software libre, claves para industrializar la tokenización en el mundo
«Proteger» nuestro valor
El objetivo subyacente es transformar estos proyectos de código abierto en competidores comerciales viables frente a los gigantes tecnológicos norteamericanos. Para ello, las autoridades europeas consideran que «gran parte del valor generado por los desarrollos abiertos locales es explotado actualmente fuera de la Unión Europea», beneficiando de forma desproporcionada a grandes corporaciones multinacionales.
Sin embargo, la propuesta comete el error crítico de centrarse exclusivamente en incentivar la demanda pública. Al omitir los mecanismos de soporte en el lado de la oferta, la estrategia europea crea una asimetría que fragiliza el software que pretende defender y que puede terminar por asfixiar el sector, sobre todo por las exigencias regulatorias y de cumplimiento que quiere aplicar a proyectos mayormente comunitarios y con nulo soporte financiero.
La fragilidad del código común y la lección de WordPress
Y es que la premisa fundamental de «Open Source First» asume, muy erróneamente, que la infraestructura abierta necesaria para sustituir los sistemas privativos existirá de manera espontánea. Pero la realidad es mucho más salvaje y cruda. Y esa realidad es que el código libre no equivale automáticamente a la soberanía digital, sobre todo si las bases del ecosistema carecen de soporte financiero real.
Joost de Valk, especialista del sector, señala en un reciente post de su blog personal, que las directivas de contratación canalizan fondos públicos hacia vendedores de productos finales basados en código abierto, pero ignoran la plomería de Internet y todo el entramado comunitario que hay detrás. Elementos críticos como los gestores de paquetes, repositorios federados, registros de lenguaje y autoridades de certificación, continúan operando gracias al trabajo voluntario de equipos sobrecargados y hasta cierto punto, en empresas e instituciones extrajeras que no tienen un reflejo en Europa.
Desconexión con la realidad
Además, la desconexión entre la licencia de software y el control de la infraestructura quedó de manifiesto con la crisis del actualizador de WordPress en el año 2024. En este caso, el control unilateral de la infraestructura de distribución de actualizaciones (por parte de WordPress) bloqueó el acceso de miles de sitios web a parches críticos. Y en este caso, ni las licencias permisivas ni las fundaciones comunitarias, pudieron evitar que un punto único de fallo afectara a la seguridad global de la red.
Y lo peor, es que pese a los esfuerzos por descentralizar y asegurar la neutralidad de estos canales, como el proyecto de Repositorios Federados e Independientes (FAIR), todos fracasaron debido a la falta de apoyo financiero del ecosistema comercial. Dejando claro que sin una inversión directa en el mantenimiento de estos bienes comunes, la propuesta comunitaria recreará el mismo problema de dependencia a gran escala.
¿Dónde estaba Europa en ese momento? Tratando de regular la IA, una tecnología aún incomprendida y de la que no podemos aún estar seguros de su pleno alcance, mientras que la comunidad de WordPress (sobre la que se construyen más del 60% de los sitios Webs del mundo) estaba atravesando una crisis y necesitaba apoyo real. Una muestra absoluta de desconexión de la realidad e ignorancia del sector, llevada a su infinita expresión.
La Ley de Ciber Resiliencia europea amenaza al software libre
«Cosa Nostra, Norma Nostra» o la muerte legal
Sin embargo, la verdadera contradicción del plan europeo se revela cuando se analiza de manera conjunta con la Ley de Ciberresiliencia (CRA) y la actualización de la Directiva de Responsabilidad por Productos Defectuosos (PLD).
Y es que históricamente, el software libre ha prosperado bajo licencias permisivas y de copyleft que incluyen una cláusula de exención de responsabilidad absoluta. Vamos que basta con ver licencia como GPL o BSD y ver cosas como estas:
El principio de que el código se proporciona «tal cual» (as is), ha permitido a miles de desarrolladores independientes colaborar de buena fe sin temor a repercusiones legales catastróficas. Sin embargo, el nuevo marco normativo de la Unión Europea elimina de forma implícita este escudo protector para gran parte de la comunidad.
La Directiva PLD (Directiva UE 2024/2853) clasifica explícitamente al software como un «producto», sometiendo a sus creadores a un régimen de responsabilidad objetiva o sin culpa por daños materiales o inmateriales provocados por defectos de seguridad.
Aunque las directivas aseguran excluir el software desarrollado fuera de una actividad comercial, las definiciones de comercialización adoptadas son sumamente amplias, peligrosamente amplias. Por ejemplo, cualquier desarrollador que acepte donaciones recurrentes, reciba patrocinio empresarial o proporcione servicios de soporte pagados es considerado un actor comercial, por lo que debe asumir la responsabilidad legal por vulnerabilidades que se integren en productos de terceros.
Adicionalmente, la CRA introduce la categoría jurídica del «gestor de código abierto» (open source steward), obligando a las fundaciones comunitarias a implementar políticas de ciberseguridad estrictas y reportar activamente vulnerabilidades explotadas en menos de 24 horas bajo amenaza de sanciones administrativas.
Un ejemplo del peligro
Si no estás muy interiorizado del sector Open Source, esto te parecerá «lógico» y hasta deseable. Pero la realidad es que es una medida que puede por terminar de destruir todo lo que se ha construido en la comunidad. Pongamos algunos ejemplos. Hace poco en el kernel Linux (mayormente desarrollado por empresas estadounidenses, sus trabajadores y una gran comunidad de colaboradores globales) tuvo una serie de fallas graves, entre ellas Copy Fail.
Este fallo fue introducido (no intencionalmente) en 2017 por smuellerDD, un desarrollador de software libre especializado en criptografía (de los que hay muy pocos) y que ha hecho grandes contribuciones al kernel y a lenguajes como Lean, siendo este último muy conocido por su versatilidad para generar pruebas ZKP en blockchain. La contribución buscaba mejorar la capacidad criptográfica del kernel para hacer más seguras las comunicaciones (algo que logro) pero que introdujo un vector local de explotación que dio origen a CopyFail en este 2026.
Pues según la legislación europea, esta persona debería enfrentar consecuencias legales por ese trabajo. Un trabajo que se realizó de forma comunitaria, sin sponsor económico y que se dio de buena fe. Pero nada de eso importar, para la UE, esta persona debe enfrentar las consecuencias legales de un código que introduje en 2017, que ha llevado a un grave fallo de seguridad local, el resto no importa.
Bajo esas condiciones, ninguna persona querría participar en un proyecto por el temor de que sus líneas de código terminen llevándole a tener una multa o peor, ir a la cárcel.
Vitalik Buterin defiende el copyleft para proteger el software libre de la privatización
Padrinazgo institucional para las empresas
Pero ante la perspectiva de que un error de buena fe arruine la vida de un desarrollador independiente, las grandes corporaciones han encontrado su oportunidad de oro. Las empresas se presentarán ahora como «salvadoras» a través de los CLAs (Contributor License Agreements).
El trato es simple, al más puro estilo mafioso: «Tú me cedes la propiedad y los derechos de tu código, y mi departamento legal te protege de las multas de Bruselas». Así, la ley que buscaba proteger al usuario final termina por concentrar todo el poder del software libre en las mismas manos de siempre: las empresas privadas de software.
Para empresas como Canonical o la propia SUSE, creadora de esta carta abierta por el «Open Source First», esta situación es el paraíso perfecto. Canonical por ejemplo, tiene una de las CLAs más brutales y absurdas del ecosistema. Si quieres contribuir a Ubuntu o ellos consideran que tu código es de su interés, te harán firmar esas CLA por todo medio posible.
¿Resultado? Casos absurdos como la toma absoluta y total del desarrollo de LXC/LXD (un sistema de contenedores para Linux) que ahora es una solución desarrollada de forma exclusiva para Ubuntu. Así, un desarrollo comunitario se convierte en una pieza de software privativo controlado por una empresa. Por supuesto, la comunidad ha creado una versión libre llamada Incus, pero a partir de ahora son cosas totalmente distintas.
El caso de SUSE
Ahora bien, el caso de SUSE no se queda atrás. Aunque la firma alemana abandere discursos en defensa del open source genuino, sus movimientos corporativos siguen la misma lógica de control a través del blindaje legal.
Tras la adquisición de Rancher Labs (Kubernetes), SUSE consolidó su dominio sobre una de las herramientas de orquestación de contenedores más utilizadas del mundo. Para los desarrolladores independientes, contribuir a Rancher o a los proyectos del ecosistema de SUSE implica aceptar sus propios acuerdos de contribución (CLA) que transfieren el control comercial de tu código a la compañía. Básicamente, «Haz código para nosotros, mejora nuestra herramienta, pero el control de código, sus derechos de autor y cualquier derecho que puedas tener sobre el mismo, es ahora propiedad de SUSE».
Además, tras la tormenta desatada por Red Hat al cerrar el código de RHEL (aunque mantiene abierto CentOS y Fedora), SUSE movió ficha rápidamente creando OpenELA junto a otros gigantes. Bajo la promesa de «salvar» el ecosistema empresarial, lo que realmente se construye es un búnker corporativo.
Esto deja claro una cosa: las nuevas normativas europeas, no ayudan al software libre, solo sirven para crear versiones de «El Padrino» en sector, corporativizando el mismo y haciéndolo cada vez más peligroso para los desarrollos comunitarios.
Software libre, backdoor y criptomonedas
La era de la vulnerabilidad automatizada y la inteligencia artificial
Y este problema solo se ahonda y se hace más crónico con un nuevo actor: la IA. Aquí, el debate sobre la responsabilidad del software se ha agudizado de forma imprevista debido al desarrollo de modelos de inteligencia artificial capaces de auditar código a escala masiva. Modelos avanzados orientados a la ciberseguridad, como Claude Mythos de Anthropic, han cambiado las reglas del juego al descubrir de manera autónoma miles de vulnerabilidades complejas en sistemas operativos en producción.
Esta capacidad de descubrimiento autónomo representa un punto de inflexión legal para la industria tecnológica y la gestión de activos digitales. Bajo las nuevas normativas europeas, el argumento clásico de que «un error de código era inevitable», pierde validez si una inteligencia artificial comercial puede identificarlo en minutos.
En el ámbito de la infraestructura blockchain y la custodia de cualquier token o criptoactivo, donde la seguridad del código es el único garante de los fondos, las presiones de actualización rápida impuestas por la CRA resultarán insostenibles para equipos de desarrollo pequeños. De hecho, hace poco hablamos de la seguridad en DeFi, y eso es solo un reflejo de este problema.
Un camino insostenible para la tecnología europea
Con todo esto, queda claro que la estrategia de la Unión Europea bajo el estandarte de la soberanía digital sufre de una incoherencia interna fundamental y una total desconexión. Al mismo tiempo que promueve «Open Source First» para escapar de la dependencia de proveedores extranjeros, levanta una muralla burocrática y punitiva que desincentiva la creación y el mantenimiento de proyectos abiertos dentro de sus propias fronteras.
Además, la obligación de asumir responsabilidades legales propias de grandes empresas manufactureras sobre proyectos comunitarios desprovistos de presupuesto solo provocará la asfixia del talento local.
Para que el ecosistema tecnológico europeo prospere, es indispensable que las regulaciones reconozcan la naturaleza no jerárquica y de libre colaboración de la tecnología abierta. Forzar a las comunidades a operar como corporaciones con departamentos de cumplimiento normativo, deteriora la resiliencia del software y fragmenta la red comunitaria global.
Si Europa insiste en convertir la seguridad en una herramienta de coerción jurídica, en lugar de priorizar el financiamiento directo de la infraestructura abierta básica, acabará logrando una región aislada, privada de alternativas seguras y tecnológicamente subordinada, si no a Estados Unidos, a China, pero subordinada igual.