El Supremo de EE. UU. frena la responsabilidad de los intermediarios. La maquinaria del corte de conexión sigue encendida
La sentencia Cox contra Sony tumba la teoría según la cual transportar el tráfico de un presunto infractor convierte al proveedor en coautor de la infracción. Deja intactos los incentivos que hacen que desconectar al cliente siga siendo, para cualquier departamento de cumplimiento, la opción barata.
Una dirección IP identifica un router, no a una persona. Buena parte del andamiaje de responsabilidad de intermediarios construido en torno al copyright dependía de que nadie lo dijera en voz alta. Un jurado condenó a Cox Communications a pagar cerca de 1.000 millones de dólares por la presunta infracción de 10.017 obras cometida por sus abonados, sobre la base de que un proveedor de acceso que sigue prestando servicio pese a recibir suficientes notificaciones de infracción se convierte él mismo en coautor. El Tribunal Supremo de EE. UU. acaba de revocar el fallo de infracción contributiva en ese caso, el número 24-171: la responsabilidad contributiva, sostuvo el tribunal, exige algo más que conocimiento más continuidad del servicio. Exige intención culpable, demostrada mediante incitación o mediante un servicio diseñado para infringir. Transportar tráfico, aunque te hayan dicho que ese tráfico es sucio, no basta.
Es el fallo correcto. También es más limitado de lo que a los intermediarios les gustaría creer. La doctrina se ha corregido; la maquinaria montada encima de la doctrina sigue funcionando, y la maquinaria, a diferencia de la doctrina, no espera a que hable un tribunal.
¿Qué implica Cox contra Sony para la responsabilidad de los intermediarios?
Sigamos el mecanismo. La teoría que manejaban las discográficas era elegante en la forma en que suelen serlo los malos incentivos: basta con enviar suficientes acusaciones sobre una cuenta para que la continuidad del servicio del proveedor se transforme en contribución material. Fíjate en la sustitución que se produce. Nadie probó ninguna infracción contra nadie. La acusación hacía todo el trabajo, y al proveedor, que nunca presenció la conducta ni tenía forma de verificarla, se le pedía que actuase como juez y verdugo de su propio cliente, o que heredase la responsabilidad de ese cliente a la escala de las indemnizaciones tasadas por ley. La respuesta del tribunal restaura una distinción más antigua: se responde por incitar al ilícito, no por negarse a castigarlo a partir de la palabra de un desconocido.
Pero la revocación solo cambia lo que ocurre cuando un proveedor decide plantar cara. No cambia quién reparte las cartas en el día a día. El puerto seguro estadounidense, en virtud del apartado 512(i)(1)(A) del título 17 del Código de EE. UU., sigue condicionando la protección de un mero transportador a mantener una política de expulsión de infractores reiterados «en circunstancias apropiadas». Léelo despacio: infractores reiterados, juzgados por ningún tribunal, identificados a partir de las mismas notificaciones que el litigio de Cox acaba de mostrar como estructuralmente poco fiables. El aviso y retirada, el trato que todo el mundo cree conocer, ha desarrollado un hermano más severo: el aviso y desconexión. La retirada elimina un archivo. La desconexión elimina un hogar entero.
Una dirección IP no es una persona
Aquí está la parte que el modelo de aplicación nunca supo calcular. El identificador que aparece en cada notificación remite a una conexión, no a un culpable. Detrás de una misma dirección conviven una familia de cinco personas, una cafetería llena de desconocidos, una residencia universitaria, la red de invitados de un hospital. El remedio que se ofrece es de todo o nada: se desconecta la cuenta o se mantiene. No hay dial, solo interruptor. Así que el castigo cae sobre todos los que están detrás de esa dirección, a la medida de un ilícito en el que puede que ninguno de ellos haya participado. En España este mismo problema ya se ha visto en la práctica: los bloqueos judiciales ordenados contra la piratería del fútbol han recaído sobre direcciones IP compartidas por infraestructuras de nube, arrastrando por el camino sitios legítimos que no tenían nada que ver con la retransmisión pirateada, algo que proveedores como Cloudflare han denunciado públicamente. El derecho a desconectar a alguien de la vida digital, incluso tras una condena penal, ya generó recelo en la propia jurisprudencia estadounidense; la maquinaria de desconexión por copyright pide a empresas privadas que lo imponga por simple acusación.
Hay aquí una lección más silenciosa para quien vende privacidad como producto. El anonimato técnico no muere por criptoanálisis, muere por requerimiento judicial. Cada eslabón de la cadena entre una persona y sus paquetes de datos (el alta como cliente, el registro del pago, el historial de asignación de direcciones) es un blanco jurídico independiente, y cada uno puede reclamarse por separado. Una promesa de privacidad que descansa solo en la ingeniería es una promesa sobre la capa equivocada. Si la doctrina que protege el uso anónimo se mantiene blanda, de poco sirve la arquitectura.
¿Quién hereda ahora este riesgo?
La teoría de Cox se probó contra un proveedor de acceso porque los ISP tienen bolsillos profundos y direcciones fijas, no porque la lógica se detenga ahí. La misma estructura encaja en cualquier negocio que se sitúe entre un usuario y su conducta: proveedores de nube, CDN, VPN, marketplaces, pasarelas de pago. Internet es una cadena de intermediarios de este tipo, y una teoría de responsabilidad que cuelga daños ruinosos de un solo eslabón no es en realidad una norma de propiedad intelectual. Es un impuesto a la infraestructura, cobrado sin sopesar nunca todo el tráfico lícito que circula por los mismos conductos.
Ese es el marco que conviene aplicar a los negocios de plataforma. La pregunta no es qué exige hoy la ley, sino qué obligaciones se están empujando hacia abajo en la cadena, y a qué precio.
Y el sentido de ese empuje no ofrece dudas. Los legisladores siguen descubriendo que resulta más fácil regular al intermediario que a la conducta: controles de edad que se extienden desde el contenido adulto hacia categorías de venta corrientes, intentos recurrentes de restringir las herramientas que la gente usa para esquivar esos controles, obligaciones de identidad que se desplazan de las plataformas hacia las capas de acceso. En Europa esa presión ya tiene forma propia, con el régimen de notificación y actuación de la normativa de servicios digitales y con supervisores nacionales, como la AEPD en materia de protección de datos, cada vez más atentos a cómo se comportan los intermediarios. Nada de esto necesitó que la teoría de Cox sobreviviera, y nada de esto ha muerto con la revocación. Esperemos que las obligaciones de aplicación sigan llegando, cada una presentada como un detalle de cumplimiento y no como un cambio de modelo de negocio.
Si operas en cualquier punto de esa cadena, el trabajo práctico es poco glamuroso. Decide ya qué umbral de prueba convierte una acusación en una acción, y ponlo por escrito antes de que llegue el primer requerimiento, no después. Construye vías de apelación que una persona pueda usar de verdad. Minimiza lo que tus sistemas pueden verse obligados a revelar; eso es una decisión de diseño, no un documento de política, y es la misma disciplina que sostiene los sistemas agénticos seguros. Después, calcula el riesgo de cola con honestidad: un cliente que vale 40 euros al mes frente a un litigio tasado en millones es exactamente la asimetría que convierte el exceso de celo en la opción por defecto. Es el tipo de exposición que una revisión de estrategia técnica debería sacar a la luz junto a los diagramas de arquitectura, porque vive en el mismo sitio: las costuras entre sistemas.
El Tribunal Supremo ha hecho su parte. Ha vuelto a atar la responsabilidad a la intención, que es donde debe estar, y le ha dicho a la industria de la aplicación del copyright que una acusación no es una sentencia. Pero la doctrina solo fija el techo. Los incentivos fijan la conducta. Cox ganó; la maquinaria no perdió.
Preguntas frecuentes
¿Ganó Cox su caso ante el Tribunal Supremo frente a Sony Music?
Sí. En el asunto número 24-171, el Tribunal Supremo revocó el fallo de infracción contributiva en el caso que había producido un veredicto de jurado de unos 1.000 millones de dólares, al concluir que la responsabilidad contributiva por copyright exige intención culpable, demostrada mediante incitación o mediante un servicio diseñado a medida para infringir. Saber que un abonado ha sido acusado y seguir dándole acceso no basta por sí solo.
¿Obliga la ley estadounidense a los proveedores de acceso a desconectar a los infractores reiterados?
No de forma directa. El apartado 512(i)(1)(A) del título 17 del Código de EE. UU. condiciona la protección de puerto seguro a mantener una política de expulsión de infractores reiterados en circunstancias apropiadas, así que funciona como presión más que como orden. En la práctica, «infractor» equivale a «acusado», porque ningún tribunal juzga las notificaciones que activan esa etiqueta.
¿Qué supone la sentencia Cox para las VPN, los proveedores de nube y otros intermediarios?
La amenaza de indemnización por el mero hecho de transportar tráfico acusado se ha debilitado mucho, pero la presión estructural sigue intacta: el puerto seguro sigue premiando la desconexión, y los legisladores continúan trasladando obligaciones de identidad y de aplicación hacia los intermediarios. Conviene fijar umbrales de prueba, vías de apelación y políticas de minimización de datos antes de que se pongan a prueba, no después.
Relacionado
- En Ubuntu 26.04 LTS, el coreutils del que depende tu build ya no es de GNU
- La prima de la soberanía: por qué las soluciones de IA soberana para empresas ganan por acceso, no por velocidad
- Los pleitos por secretos comerciales se ganan años antes de que nadie dimita. Que se lo pregunten a Faccenda Chicken.
- Security & Trust
Escrito por una persona editorial de IA del sistema editorial propietario de Abyshire y revisado por nuestro equipo.