“El tamaño de un país no determina su poder digital"

Nuestro entrevistado, Kenneth Pugh, oficial en retiro de la Armada de Chile y exsenador por Valparaíso, estuvo de paso por Madrid para presentar su más reciente libro, « Poder Digital». El evento tuvo lugar en Casa de América, y convengamos que no dejo a nadie indiferente. Si bien el senior investigador del centro de pensaminro iberoamericano, Athena Lab, tiene un diagnóstico de alerta, pero en ningún caso de pesimismo. Tras una destacada carrera naval, que lo llevó a ocupar altas posiciones institucionales, incluida la dirección de inteligencia de la marina suramericana, pasó al Congreso durante ocho años, en donde entre otras cosas fue autor de la ley marco sobre ciberseguridad en Chile. Un paso adelante que puso a su país en posiciones de liderazgo continental en la materia.

Para quien escucha por primera vez el término, ¿qué es exactamente el «poder digital»? En su libro, utiliza la figura de una flor, el modelo Trillium para explicarlo.

El Trillium es una flor de tres pétalos: Gobernanza (las reglas), Infraestructura (cables, energía, centros de datos) y Ciberseguridad (la doctrina para defenderlos). Tiene además un tallo, que es la energía y las telecomunicaciones, y una raíz, que es el talento humano. Los pétalos se sostienen y se derrumban mutuamente. Estonia tenía infraestructura excelente e identidad digital, pero carecía de una doctrina de ciberseguridad, y se quedó durante veinte y tres días sin Estado digital, y todo sin que cayera un solo misil. Las capacidades se van de a una y la robustez se desvanece cuando falla la primera de estas dimensiones. La tesis del libro cabe en una frase: la soberanía digital no se pierde en una batalla, se pierde en una serie de decisiones que nadie tomó. Por eso, el poder digital no es la suma de los tres pilares: es lo que emerge cuando los tres funcionan como sistema.

Usted analiza, como ya lo ha indicado, el caso de Estonia tras los ciberataques de 2007. ¿Cómo logró un país tan pequeño convertirse en el referente mundial de estado digital y qué lecciones deja para Iberoamérica?

Estonia decidió en los años noventa que, con 1,3 millones de habitantes y Rusia al lado, no podía competir en territorio ni en economía, y competiría en lo digital. Construyó X-Road en 2001 y la identidad digital obligatoria en 2002. El ataque de 2007 le mostró que había construido un Estado digital sin doctrina para defenderlo. Hizo lo contrario de lo esperable: en lugar de desconectarse, amplió su exposición y construyó la doctrina que faltaba: el centro de ciberdefensa de la OTAN en Tallin, el Manual de Tallin y una embajada de datos en Luxemburgo. Tres lecciones para Iberoamérica: el tamaño de un país no determina su poder digital; una crisis bien gestionada se convierte en activo; y nada de esto sobrevive sin continuidad política a través de gobiernos de distinto signo.

Ante invasiones y recientes conflictos como el de Ucrania, hemos visto a los ciudadanos realizar trámites y acceder a servicios desde sus teléfonos móviles. ¿De qué manera la resistencia digital se ha convertido en una herramienta clave de verdadera supervivencia nacional?

Ucrania no diseñó su aplicación DIIA para la guerra. La diseñó en 2020 con el objeto de mejorar su eficiencia estatal: identidad, licencia de conducir, impuestos, empresas, todo en el teléfono con validez legal. Cuando llegó la invasión, el Estado se trasladó al móvil porque su territorio estaba bajo bombardeo: registro de desplazados, ayudas, alertas, compensaciones por viviendas destruidas. La clave fue una ley aprobada días antes de la invasión que permitió migrar más de quince petabits de registros estatales a la nube fuera del país. El ministro ucraniano Fedorov lo resumió de esta manera: lo que más le gustaba de la nube era que los misiles no podían destruirla. La lección es doble: las decisiones correctas en tiempo de paz son las que salvan en la crisis, y la nube extranjera que salvó al Estado es hoy la dependencia que limita su soberanía en la posguerra.

las decisiones correctas en tiempo de paz son las que salvan ante la crisis digitales

Solemos pensar que internet está «en la nube», pero usted nos recuerda que depende de cables bajo el océano y redes eléctricas. ¿Qué tan vulnerables son nuestras naciones si se cortan o atacan estas infraestructuras invisibles?

Más del noventa y cinco por ciento del tráfico intercontinental de internet viaja por unos quinientos cables del grosor de una manguera tendidos en el fondo del mar. No son del Estado: los financian consorcios privados, y las grandes tecnológicas pagaron cerca del setenta por ciento de los cables nuevos entre 2020 y 2024. En febrero de 2024, cuatro cables dañados en el mar Rojo afectaron un cuarto del tráfico entre Asia y Europa. Y sin electricidad no hay nada: el primer apagón causado por un ciberataque ocurrió en Ucrania en 2015, y el apagón ibérico de abril de 2025 mostró, en España y Portugal, lo rápido que cae lo digital cuando cae la red. Lo invisible no es lo secundario.

Con el crecimiento descontrolado de la inteligencia artificial, ¿estamos delegando decisiones públicas y gubernamentales en algoritmos sin que la ciudadanía o los parlamentos lo hayan votado?

Sí, y ese es un problema central. Los Estados ya usan algoritmos para asignar beneficios, priorizar atención, vigilar y sancionar, y en la mayoría de los casos esa delegación entró por la vía administrativa, como si fuera un asunto técnico. Nadie la votó. Delegar decisiones a algoritmos también es una decisión política. En el texto propongo una Doctrina de Reserva Democrática Algorítmica, con tres reglas: las funciones que afectan derechos fundamentales solo se delegan por ley debatida en el Parlamento; el Estado debe poder retomar las funciones y sus datos, si el sistema falla; siempre un funcionario con nombre y cargo responde por las decisiones que se adopten.

¿Cómo se resuelve un problema que parece crónico: se suele llegar tarde frente a la velocidad con la que avanza la innovación de las grandes multinacionales tecnológicas?

Eso sucede porque la tecnología y el derecho corren con relojes distintos. La innovación se mide en meses; una ley se debate, se aprueba, se reglamenta y se interpreta en años. Y la lentitud del derecho no es un defecto: protege la deliberación y la seguridad jurídica. El desfase es estructural. La pregunta no es si la regulación llegará tarde, sino cuán tarde y a qué costo. La respuesta no es correr más que la tecnología, sino reducir el desfase con legislación adaptativa y continuidad institucional.

en el índice de poder digital que se elabora España ocupa el segundo lugar mundial tras Estonia.

Varios países Iberoamericanos han sufrido secuestros de datos e intervenciones en sus sistemas financieros. ¿Por qué la ciberseguridad debe ser vista como una política de Estado?

Costa Rica lo aprendió en abril de 2022. Un ataque relativamente rudimentario del grupo Conti paralizó Hacienda y las aduanas: el país dejó de recaudar impuestos y de mover contenedores, con pérdidas por más de 125 millones de dólares en dos días. La ciberseguridad es doctrina de Estado, no departamento de informática empresarial, porque lo que se paraliza no son ordenadores: son funciones soberanas. Hoy solo nueve de treinta países de la región pueden proteger su infraestructura crítica y eso es todavía muy poco.

De cara a la Cumbre Iberoamericana en Madrid, ¿qué oportunidades reales tienen España y los países de la región para construir un modelo propio de soberanía digital frente a gigantes como Estados Unidos y China?

Son veintidós Estados y 660 millones de personas que comparten lengua y cultura jurídica, con un mecanismo de coordinación, la Cumbre, y una Carta Iberoamericana de Derechos Digitales, aprobada en Santo Domingo en 2023. Lo que falta es decisión política sostenida. España es el referente natural: en el Índice de Poder Digital que se elabora en el libro, este país ocupa el segundo lugar mundial tras Estonia. Un modelo propio no significa autarquía: significa autonomía selectiva por capas. Las plataformas de consumo pueden seguir en órbita estadounidense; el cómputo sensible de los Estados, como la identidad y los datos de los ciudadanos deben construirse sobre arquitecturas compatibles con el modelo europeo y con capacidades regionales propias. El primer paso concreto, será la Cumbre Iberoamericana de Ciberseguridad en Santiago de Chile, en marzo de 2027.