Hace casi veinte años elegí el software libre como tema de investigación porque planteaba un problema que me resultaba particularmente interesante: las categorías jurídicas tradicionales debían aplicarse a una tecnología cuya lógica primero había que comprender.
Antes de decidir qué regla corresponde, hay que entender el objeto, su funcionamiento, las relaciones que transforma y los riesgos que introduce.
Con el tiempo cambiaron las tecnologías sobre las que trabajo y también las responsabilidades. Software, seguridad de la información, datos personales, proveedores tecnológicos e inteligencia artificial plantean problemas jurídicos diferentes. Sin embargo, mirando el recorrido en perspectiva, algunas preguntas permanecieron sorprendentemente estables.
Entender antes de gobernar
El software libre fue una buena escuela para aprender que el análisis jurídico de una tecnología no puede empezar y terminar en la norma.
Una licencia puede establecer derechos y obligaciones sobre un programa, pero para interpretarla correctamente es necesario comprender qué significa acceder al código fuente, modificarlo, distribuirlo o incorporar componentes desarrollados por terceros.
Lo mismo ocurre hoy en otros ámbitos.
No se puede analizar adecuadamente una transferencia de datos sin comprender por dónde circulan. Es difícil evaluar el riesgo de un proveedor sin conocer qué servicio presta y de qué depende. No se puede gobernar un sistema de inteligencia artificial sin entender qué información recibe, qué función cumple y cómo se integra a los procesos de la organización.
El abogado no necesita reemplazar al especialista técnico. Necesita comprender suficientemente la tecnología para identificar dónde empieza el problema jurídico y poder trabajar con quienes deben resolverlo.
Cambian los objetos, permanecen algunas preguntas
Código, infraestructura, datos personales y modelos de inteligencia artificial no son jurídicamente equivalentes. Tienen regulaciones, riesgos y responsables diferentes.
Pero al gobernarlos reaparecen algunas preguntas:
¿Qué tenemos? ¿Para qué lo utilizamos? ¿De qué depende? ¿Qué reglas le aplican? ¿Quién es responsable? ¿Qué riesgo introduce? ¿Qué evidencia tenemos de las decisiones tomadas?
Por eso el inventario aparece una y otra vez en disciplinas aparentemente diferentes.
Inventariamos activos para gestionar seguridad. Registramos actividades de tratamiento para gobernar datos personales. Identificamos componentes y dependencias para gestionar la cadena de suministro del software. Construimos inventarios de sistemas y modelos para gobernar inteligencia artificial.
Los inventarios no son iguales ni responden a las mismas obligaciones. Comparten, sin embargo, una función elemental: es difícil gobernar aquello cuya existencia desconocemos.
Anticipar en lugar de reconstruir
Hay otra continuidad.
El copyleft y la privacidad por diseño no son instituciones equivalentes ni una es evolución de la otra. Pero ambas permiten observar una lógica que después reaparece en seguridad y gobernanza tecnológica: determinadas reglas funcionan mejor cuando se incorporan antes de que exista el conflicto.
En protección de datos significa intervenir desde el diseño del tratamiento. En seguridad, incorporar controles desde la arquitectura. En contratación tecnológica, prever obligaciones, continuidad y condiciones de salida antes de depender del proveedor. En inteligencia artificial, evaluar datos, finalidad, riesgos y controles antes del despliegue.
Anticipar no significa conocer cuál será la próxima regulación ni intentar sustituir al legislador. Significa tomar decisiones con los principios, obligaciones y riesgos que ya podemos identificar.
Del asesoramiento jurídico a la gobernanza tecnológica
Ese cambio también transformó algunos roles profesionales.
Funciones como DPO o CDPO, GRC, gestión de riesgos tecnológicos o gobernanza de inteligencia artificial operan precisamente en las intersecciones. Requieren interpretar normas, pero también convertirlas en políticas, controles, responsabilidades, procesos y evidencia.
El trabajo no consiste solamente en responder si algo está permitido o prohibido.
Muchas veces la pregunta relevante es anterior: ¿cómo hacemos esto de una manera jurídicamente defendible, técnicamente razonable y compatible con el nivel de riesgo que la organización está dispuesta a asumir?
Eso requiere diálogo entre áreas que históricamente hablaron lenguajes diferentes: legales, seguridad, infraestructura, desarrollo, datos, negocio y gestión.
La función de gobernanza está, en buena medida, en traducir entre ellas.
Un mismo método, distintos problemas
Mi recorrido profesional no fue una línea recta desde el software libre hasta la protección de datos o la gobernanza tecnológica. Los objetos fueron cambiando y las responsabilidades también.
Lo que permaneció fue una forma de abordar el problema: comprender primero la tecnología, identificar las reglas y los riesgos que introduce y convertir ese análisis en decisiones, controles y responsabilidades concretas.
Quizás por eso, después de tantos años, aquella primera investigación todavía conserva algo de actualidad. No porque las respuestas de entonces sigan siendo las mismas, sino porque la pregunta de fondo continúa siendo útil.
Cambió la tecnología. Cambiaron las normas. El método siguió siendo entender antes de gobernar.