Técnicas analíticas estructuradas para inteligencia e investigación

Técnicas analíticas estructuradas para inteligencia, contrainteligencia e investigación criminal en República Dominicana

Las técnicas analíticas estructuradas como disciplina del pensamiento: una defensa del marco del Tradecraft Primer y su aplicación a la inteligencia, la contrainteligencia y la investigación criminal.

Este ensayo examina el marco de técnicas analíticas estructuradas recogido en A Tradecraft Primer: Structured Analytic Techniques for Improving Intelligence Analysis (US Government 2009) y sostiene que dicho marco, lejos de ser un mero repertorio de ejercicios de escritorio, constituye una disciplina epistemológica indispensable para todo profesional que deba emitir juicios bajo condiciones de información incompleta, ambigua o deliberadamente manipulada. Se describen las tres familias de técnicas (diagnósticas, contrarias e imaginativas), se responde a las objeciones más frecuentes contra su adopción y se argumenta que el marco es directamente trasladable a la inteligencia estratégica, a la contrainteligencia y a la investigación criminal en el contexto dominicano y caribeño. Se concluye con recomendaciones concretas de implementación institucional.

El problema no es la información, es la mente que la procesa

Quienes hemos dedicado décadas a evaluar riesgo, verificar hechos y anticipar la conducta de terceros sabemos que el error analítico rara vez nace de la falta de datos. Nace, con mucha mayor frecuencia, de la manera en que la mente humana organiza los datos que ya tiene. El Tradecraft Primer parte precisamente de esa premisa. Su capítulo introductorio, apoyado en la obra seminal de Richards Heuer (1999), plantea lo que denomina el desafío del “mind-set”: todo individuo asimila y evalúa la información a través de modelos mentales, esto es, construcciones de supuestos y expectativas forjadas por la experiencia. Esos modelos son imprescindibles para procesar un volumen de información que de otro modo resultaría inabarcable, pero al mismo tiempo condicionan qué información será percibida, recordada y aceptada, y cuál será descartada por no encajar con lo esperado (US Government 2009).

La paradoja que señala el primer, y que cualquier oficial veterano reconocerá con cierta incomodidad, es que el analista experimentado es más vulnerable a este fenómeno, no menos. El éxito pasado en la aplicación de un modelo mental lo consolida, lo vuelve resistente al cambio y convierte la evidencia contradictoria en ruido que se filtra sin llegar a la conciencia (Heuer 1999; Kahneman 2011). El primer lo resume en cuatro riesgos: percibimos lo que esperamos percibir; una vez formada, la percepción se resiste a cambiar; la información nueva se asimila, a veces erróneamente, a los modelos existentes; y la información conflictiva tiende a ser ignorada o descartada (US Government 2009).

Lo que propone el marco no es abolir los modelos mentales, cosa imposible, sino hacerlos explícitos, someterlos a escrutinio y construir mecanismos institucionales que obliguen al analista a considerar alternativas que su intuición, por sí sola, jamás le presentaría. Este ensayo defiende que ese propósito es tan pertinente para el oficial de la Dirección Nacional de Investigaciones o del J2 del Ministerio de Defensa como para el fiscal investigador del Ministerio Público, el analista de la Dirección Nacional de Control de Drogas o el investigador privado que reconstruye el patrimonio de un deudor fraudulento.

Anatomía del marco: tres familias de técnicas

El primer organiza sus doce técnicas según el propósito que cumplen en el ciclo analítico. Esta taxonomía, aunque el propio documento reconoce que muchas técnicas cumplen funciones combinadas, tiene un valor pedagógico enorme porque le permite al analista seleccionar la herramienta según la enfermedad que pretende tratar (US Government 2009).

Técnicas diagnósticas: transparentar el argumento

Las técnicas diagnósticas buscan hacer visibles los supuestos, la calidad de las fuentes y las brechas de información sobre las que descansa un juicio.

La verificación de supuestos clave (Key Assumptions Check) consiste en enumerar y examinar las premisas, declaradas o tácitas, que deben ser ciertas para que la línea analítica se sostenga. El primer ilustra la técnica con el caso del francotirador de Washington en 2002, en el que las autoridades operaron durante semanas bajo el supuesto de que buscaban a un hombre blanco, solitario, con entrenamiento militar y al volante de una camioneta blanca. Descompuesto en sus partes, ese perfil revelaba grados de confianza muy desiguales: la probabilidad de que el agresor fuese varón era altísima, pero la de que fuese blanco o condujese la camioneta descrita era considerablemente menor. Al no haber sometido el supuesto compuesto a esa descomposición, la investigación estrechó prematuramente el universo de sospechosos hasta excluir a los verdaderos autores (US Government 2009). Cualquier investigador criminal dominicano que haya visto una pesquisa encallar porque el “perfil” inicial se convirtió en dogma comprenderá de inmediato la lección.

La verificación de la calidad de la información obliga a revisar periódicamente la solidez, la corroboración y el contexto de obtención de cada fuente. El primer recuerda, citando los informes del Senado estadounidense y de la Comisión sobre Armas de Destrucción Masiva, que el fracaso analítico sobre Irak en 2003 se debió en buena medida a la dependencia de una fuente única y ambigua y a la incomprensión de las limitaciones de la colección técnica (US Government 2009). Para el oficial de contrainteligencia, esta técnica es el antídoto natural contra la fuente humana que “vende” información diseñada para complacer, y para el fiscal es el equivalente metodológico de la cadena de custodia aplicada al testimonio.

Los indicadores o señales de cambio consisten en construir de antemano una lista de eventos observables que uno esperaría ver si una hipótesis o escenario se estuviese materializando, y revisarla con regularidad. Su virtud principal, según el primer, es que despersonaliza los desacuerdos: cuando todas las partes aceptan los criterios objetivos de medición, la discusión deja de ser sobre opiniones y pasa a ser sobre evidencia (US Government 2009).

El análisis de hipótesis en competencia (ACH), desarrollado por Heuer, es la joya de la corona del enfoque diagnóstico. En lugar de evaluar la plausibilidad de una explicación a la vez, el analista despliega todas las hipótesis razonables en una matriz y contrasta cada pieza de evidencia contra cada una de ellas, preguntándose no cuál hipótesis confirma la evidencia sino cuál hipótesis la evidencia refuta. El primer subraya que la evidencia consistente con todas las hipótesis carece de valor diagnóstico, por muy contundente que parezca, y que la técnica obliga a preguntarse qué evidencia debería estar presente y no lo está, abriendo así la puerta a la detección de negación y engaño (US Government 2009; Heuer y Pherson 2011).

Técnicas contrarias: desafiar el consenso

Las técnicas contrarias atacan de frente la línea analítica dominante.

La abogacía del diablo designa a un analista, o a un equipo, para construir el mejor caso posible a favor de una explicación alternativa a la que sostiene el consenso. El primer advierte con sensatez que cuando un grupo ha trabajado un mismo tema durante largo tiempo, lo prudente es presumir que existe un modelo mental arraigado que merece este escrutinio. El resultado puede ser la reafirmación de la línea original, su matización o su abandono, y cualquiera de los tres es una ganancia (US Government 2009).

El Equipo A / Equipo B se distingue de la anterior porque no desafía una sola visión dominante sino que contrasta dos o más posiciones igualmente sostenidas, desarrollando cada una con sus propios supuestos, evidencia y lógica ante un jurado de pares. El primer nota su utilidad para reducir fricciones entre facciones analíticas y para ofrecer al tomador de decisiones argumentos bien elaborados en lugar de un consenso que oculta diferencias sustantivas (US Government 2009).

El análisis de alto impacto y baja probabilidad obliga a considerar las consecuencias de eventos que el consenso descarta como improbables. El primer recuerda que la caída del Sha, el colapso soviético y la reunificación alemana fueron todos calificados en su momento como escenarios remotos, y reproduce la evaluación del Departamento de Estado del 27 de noviembre de 1941, diez días antes de Pearl Harbor, que apostaba cinco a uno contra una guerra con Japón (US Government 2009).

El análisis “¿Qué pasaría si?” da un paso más: asume que el evento improbable ya ocurrió y se dedica a explicar, razonando hacia atrás, cómo pudo haber sucedido y qué señales lo habrían anunciado (US Government 2009).

Técnicas imaginativas: generar lo que la rutina no produce

La tormenta de ideas estructurada, con su fase divergente y su fase convergente, es el punto de partida de casi todas las demás técnicas. El primer insiste, paradójicamente, en que la creatividad exige estructura: reglas explícitas, prohibición de frases asesinas del tipo “eso no funcionaría”, participación de al menos un “forastero” que no comparta el modelo mental del grupo y un límite de tiempo (US Government 2009).

El pensamiento de afuera hacia adentro invita a identificar las fuerzas sociales, tecnológicas, económicas, ambientales y políticas que, aunque escapen al control del analista, pueden moldear decisivamente el problema.

El análisis de Equipo Rojo coloca al analista en la piel del adversario para reproducir cómo este percibe amenazas y oportunidades, evitando el error de “imagen espejo” que atribuye a un actor extranjero la racionalidad, los valores y las prioridades propias (US Government 2009).

El análisis de futuros alternativos o escenarios, finalmente, cruza las dos incertidumbres más críticas de un problema para generar cuatro mundos plausibles, describir cómo cada uno podría materializarse y derivar indicadores para vigilar cuál se aproxima (Schwartz 1991; US Government 2009).

Defensa del marco frente a sus críticos

Ningún marco metodológico se adopta sin resistencia, y las técnicas estructuradas han recibido su cuota. Conviene responder a las objeciones más serias.

La objeción del tiempo. Se alega que estas técnicas consumen horas que el analista operativo no tiene. La respuesta es doble. Primero, el mismo escalona las técnicas según su costo: una verificación de supuestos toma una o dos horas; una matriz ACH puede cargarse en un día; solo el Equipo A / Equipo B y los ejercicios de escenarios exigen inversiones considerables (US Government 2009). Segundo, y más importante, el costo de una técnica debe compararse con el costo del error que previene. Las semanas perdidas persiguiendo una camioneta blanca en Washington, o los años de política exterior construidos sobre una fuente única en Irak, hacen que unas horas de disciplina metodológica parezcan una ganga.

La objeción de la falsa precisión. Se argumenta que asignar puntajes de consistencia en una matriz o votar sobre grupos de notas adhesivas reviste de apariencia científica lo que sigue siendo juicio subjetivo. El primer es escrupulosamente honesto en este punto: reconoce que la aplicación de estas técnicas no garantiza la precisión ni la exactitud de los juicios, pero sí mejora la sofisticación, la credibilidad y la utilidad de las evaluaciones (US Government 2009). La pretensión del marco no es sustituir el juicio experto por un algoritmo sino hacer el juicio transparente, auditable y corregible. Un juicio que puede mostrar sus supuestos y su evidencia es superior a uno que solo puede invocar la autoridad de quien lo emite, aunque ambos resulten igualmente acertados.

La objeción del experto. Se sostiene que el analista con veinte años en un tema no necesita que le digan que verifique sus supuestos. La literatura sobre juicio experto responde con contundencia. Tetlock (2005) demostró en un estudio longitudinal que la exactitud predictiva de los expertos en asuntos políticos apenas superaba el azar y que los más confiados eran, sistemáticamente, los menos precisos. Kahneman (2011) documentó que la confianza subjetiva es un pésimo indicador de exactitud y que la pericia genuina solo se desarrolla en entornos con retroalimentación rápida y regular, condición que rara vez cumplen la inteligencia o la investigación de largo aliento. El primer, al señalar que los analistas experimentados pueden ser más susceptibles a los problemas del modelo mental, no insulta a la experiencia: la protege de sí misma.

La objeción de la institucionalidad. Se objeta que estas técnicas son un producto de la burocracia estadounidense posterior a las comisiones del 11 de septiembre y de Irak, y que no se trasladan a organismos más pequeños. Esto confunde el origen con la naturaleza. Los sesgos que el marco combate (expectativa, anclaje, exceso de confianza, atribución, resistencia al cambio) son propiedades universales de la cognición humana documentadas por décadas de psicología experimental (Tversky y Kahneman 1974; Jervis 1976). Un organismo pequeño con pocos analistas está, si acaso, más expuesto al pensamiento de grupo que una comunidad de dieciséis agencias, y por tanto más necesitado de mecanismos formales de disenso.

Aplicación a la inteligencia estratégica

En el ámbito de la inteligencia de Estado, el marco encuentra su terreno natural. La Ley 590-16, que crea el Sistema Nacional de Inteligencia de la República Dominicana, asigna a la Dirección Nacional de Investigaciones la responsabilidad de producir inteligencia para la toma de decisiones del Poder Ejecutivo en materia de seguridad nacional. Esa función se ejerce en un entorno regional de complejidad creciente: la inestabilidad institucional en Haití, las rutas de narcotráfico que atraviesan el Caribe hacia Europa y Norteamérica, la competencia de potencias extrarregionales por influencia en la cuenca y las presiones migratorias que de todo ello se derivan.

Cada uno de estos temas es candidato ideal para el análisis de futuros alternativos, porque presenta exactamente las condiciones que el primer describe: alta incertidumbre, multiplicidad de factores y ausencia de un resultado único que merezca ser pronosticado con confianza (US Government 2009). Un ejercicio que cruce, por ejemplo, la capacidad del Estado haitiano de recuperar el control territorial contra el nivel de compromiso de la comunidad internacional generaría cuatro escenarios cuyas implicaciones para la frontera, el comercio y la seguridad dominicanas son radicalmente distintas, y permitiría al decisor evaluar cuáles políticas resultan robustas en todos ellos.

El análisis de Equipo Rojo es igualmente aplicable. Un analista dominicano que evalúe las intenciones de una organización criminal transnacional, de un actor estatal con intereses en el Caribe o de una estructura política haitiana corre el mismo riesgo de imagen espejo que el primer advierte respecto de líderes autoritarios o células terroristas: atribuir al adversario la lógica de costo y beneficio que uno mismo aplicaría, cuando el adversario opera bajo códigos, lealtades y presiones enteramente distintos (US Government 2009).

Aplicación a la contrainteligencia

La contrainteligencia es, por definición, la disciplina del engaño y de su detección, y es aquí donde el ACH despliega su mayor potencia. El primer señala que la técnica resulta ideal para considerar la posibilidad de negación y engaño porque obliga al analista a preguntarse qué evidencia debería observarse si una hipótesis fuese cierta y por qué no se observa (US Government 2009). Frente a una fuente humana cuya información es consistentemente coherente con lo que el servicio desea escuchar, la matriz ACH permite formular con rigor la hipótesis incómoda: que la fuente está controlada por el adversario y que la consistencia misma de su producto es la señal de alarma.

La verificación de la calidad de la información complementa este ejercicio. El primer enumera entre sus pasos la revisión sistemática de fuentes, la búsqueda de corroboración suficiente y la reexaminación de información previamente descartada a la luz de hechos nuevos (US Government 2009). En contrainteligencia, esa reexaminación retrospectiva es a menudo la única vía para reconstruir el momento en que una operación fue comprometida.

Finalmente, la abogacía del diablo institucionalizada protege contra el fenómeno más peligroso de la contrainteligencia: la convicción colectiva de que “nuestra gente” es confiable. Cuando un servicio ha operado durante años sin detectar penetración, la conclusión estadísticamente más probable no es que no la haya, sino que no la ha buscado con suficiente escepticismo. Un ejercicio formal de abogacía del diablo, con mandato explícito y producto documentado, convierte esa sospecha abstracta en una línea de investigación concreta.

Aplicación a la investigación criminal

La objeción más previsible a este ensayo es que las técnicas del primer fueron diseñadas para analistas de inteligencia y no para investigadores policiales o fiscales, cuyo oficio está regido por el estándar probatorio y no por el juicio estimativo. La objeción no resiste el examen. El propio primer escoge un caso de investigación criminal, el del francotirador de Washington, como su ejemplo insignia de verificación de supuestos, y la literatura criminológica sobre “visión de túnel” describe con precisión los mismos mecanismos cognitivos que el primer combate (Findley y Scott 2006).

El Código Procesal Penal dominicano, Ley 76-02, impone al Ministerio Público el deber de objetividad, obligándolo a investigar no solo las circunstancias que permitan comprobar la acusación sino también las que sirvan para eximir de responsabilidad al imputado. Ese mandato legal es, en el fondo, una exigencia de análisis de hipótesis en competencia. Un fiscal que carga en una matriz la hipótesis acusatoria junto con las alternativas exculpatorias, y que evalúa cada pieza de evidencia contra todas ellas, no solo cumple mejor su deber de objetividad sino que produce un expediente considerablemente más resistente al contrainterrogatorio y a la impugnación en juicio.

La verificación de supuestos clave debería ser rutina en toda investigación de homicidio, secuestro o delito financiero complejo. El perfil inicial del sospechoso, la hipótesis del móvil, la cronología presumida de los hechos y la fiabilidad del testigo principal son todos supuestos que, descompuestos y evaluados individualmente, revelan grados de confianza muy distintos. El primer advierte que la información que contradice un supuesto no examinado “se pierde en el ruido”; el investigador que ha escrito sus supuestos en una pizarra está, por ese solo hecho, mejor preparado para reconocer la pista que los desmiente (US Government 2009).

Los indicadores y señales de cambio tienen aplicación directa en la investigación de estructuras criminales persistentes. Un equipo que investiga una red de lavado de activos, de tráfico de personas o de contrabando puede definir de antemano qué patrones transaccionales, movimientos de personal, cambios de rutas o comunicaciones esperaría observar bajo cada hipótesis sobre la estructura y el liderazgo de la organización, y luego dejar que la vigilancia discrimine entre ellas en lugar de acumular información sin criterio de relevancia.

En la investigación privada y corporativa, ámbito en el que quien esto escribe ha trabajado durante décadas en la evaluación de riesgo de fianzas y en la localización de activos, las mismas técnicas rinden dividendos. La tormenta de ideas estructurada sobre las posibles ubicaciones del patrimonio de un principal que ha incumplido, el análisis de Equipo Rojo que reproduce cómo ese principal razonaría para ocultarlo y la verificación de calidad de la información sobre cada dato registral o testimonial obtenido son prácticas que distinguen la investigación profesional de la simple búsqueda.

Recomendaciones para la implementación institucional

La adopción del marco no requiere reformas legislativas ni inversiones tecnológicas. Requiere decisión gerencial y disciplina. Se proponen las siguientes medidas.

Incorporar la verificación de supuestos y la tormenta de ideas al inicio de todo proyecto analítico o investigativo de relevancia. El primer señala que estas dos técnicas son las de menor costo y mayor rendimiento en la fase inicial, y su cronograma sugerido las coloca también en la fase final, como control de sanidad antes de entregar el producto (US Government 2009).

Exigir que todo producto de inteligencia o informe investigativo de importancia declare explícitamente sus supuestos clave, su nivel de confianza en las fuentes principales y las hipótesis alternativas consideradas. Esta exigencia, además de mejorar la calidad analítica, protege al organismo frente a la revisión posterior: un juicio equivocado que documentó sus supuestos y sus alternativas es un error honesto; uno que no lo hizo es negligencia.

Designar formalmente abogados del diablo en los temas de mayor consecuencia y garantizar que su producto se identifique como tal, para evitar la confusión sobre la posición oficial que el primer advierte (US Government 2009). La designación debe rotar y debe recaer en analistas con credibilidad, no en los más jóvenes ni en los más cómodos de sacrificar.

Introducir el ACH como herramienta estándar en la investigación de casos con múltiples explicaciones plausibles, comenzando por la contrainteligencia y las investigaciones de delitos complejos del Ministerio Público. Existen herramientas informáticas gratuitas que facilitan la construcción de la matriz, pero una hoja de cálculo basta.

Formar facilitadores internos. El primer reconoce que varias técnicas, en particular el ACH y los escenarios, se benefician de un facilitador familiarizado con el método (US Government 2009). Un programa modesto de formación de formadores dentro del Sistema Nacional de Inteligencia y de la Escuela Nacional del Ministerio Público multiplicaría el efecto a bajo costo.

Incorporar al menos un “forastero” en los ejercicios de tormenta de ideas y escenarios. La recomendación del primer de incluir a alguien que no comparta la formación, la cultura ni el modelo mental del grupo (US Government 2009) es especialmente pertinente en organismos pequeños, donde la homogeneidad de trayectorias profesionales es la norma.

Mis Pensamientos

El Tradecraft Primer no promete la verdad. Promete algo más modesto y más valioso: un método para que el analista, el oficial de contrainteligencia y el investigador sepan por qué creen lo que creen, qué tendría que ocurrir para que dejaran de creerlo y qué alternativas descartaron y por qué. En un oficio donde el error se paga con vidas, con libertades injustamente privadas o con decisiones de Estado mal fundadas, esa transparencia no es un lujo académico sino una obligación profesional. Heuer (1999) cerró su obra con una afirmación de aparente sencillez que el primer recoge con razón: el análisis puede mejorarse. Las técnicas aquí defendidas son el camino más corto y mejor probado para hacerlo, y la comunidad profesional dominicana de inteligencia, contrainteligencia y persecución penal haría bien en adoptarlas con la seriedad que merecen.

~ C. Constantin Poindexter Salcedo, MA en Inteligencia, Certificado de Posgrado en Contrainteligencia, JD, certificación OSINT CISA/NCISS, Diplomado Negociación Estratégica de Harvard, Certificación BFFOC del DoD/DoS

Referencias

  • Findley, Keith A., y Michael S. Scott. 2006. “The Multiple Dimensions of Tunnel Vision in Criminal Cases.” Wisconsin Law Review 2006 (2): 291–397.
  • Heuer, Richards J., Jr. 1999. The Psychology of Intelligence Analysis. Washington, DC: Center for the Study of Intelligence.
  • Heuer, Richards J., Jr., y Randolph H. Pherson. 2011. Structured Analytic Techniques for Intelligence Analysis. Washington, DC: CQ Press.
  • Jervis, Robert. 1976. Perception and Misperception in International Politics. Princeton: Princeton University Press.
  • Kahneman, Daniel. 2011. Thinking, Fast and Slow. Nueva York: Farrar, Straus and Giroux.
  • República Dominicana. 2002. Ley No. 76-02 que establece el Código Procesal Penal de la República Dominicana. Gaceta Oficial No. 10170.
  • República Dominicana. 2016. Ley No. 590-16 que crea el Sistema Nacional de Inteligencia. Gaceta Oficial No. 10851.
  • Schwartz, Peter. 1991. The Art of the Long View: Planning for the Future in an Uncertain World. Nueva York: Doubleday.
  • Tetlock, Philip E. 2005. Expert Political Judgment: How Good Is It? How Can We Know? Princeton: Princeton University Press.
  • Tversky, Amos, y Daniel Kahneman. 1974. “Judgment under Uncertainty: Heuristics and Biases.” Science 185 (4157): 1124–1131.
  • US Government. 2009. A Tradecraft Primer: Structured Analytic Techniques for Improving Intelligence Analysis. Washington, DC: Center for the Study of Intelligence.

Share this post:

Criptografía poscuántica: amenaza a la seguridad de la RD

Computación cuántica, la amenaza emergente a la criptografía y la seguridad nacional dominicana

La amenaza cuántica a la criptografía y la seguridad nacional de la República Dominicana: por qué la migración debe comenzar ahora y cómo ejecutarla con recursos limitados.

La computación cuántica a escala amenaza con romper los algoritmos de clave pública (RSA, Diffie-Hellman y curvas elípticas) que sostienen la banca, la identidad digital, las comunicaciones del Estado y el comercio electrónico. Aunque todavía no existe una computadora cuántica criptográficamente relevante, la amenaza ya es operativa por dos vías: la captura de datos cifrados hoy para descifrarlos mañana, y la imposición externa de calendarios de migración por parte de Estados Unidos y la Unión Europea, de cuyas redes financieras, tecnológicas y comerciales la República Dominicana depende de manera estructural. Este ensayo sostiene que la República Dominicana enfrenta una amenaza de seguridad nacional que no admite espera, que el país ya cuenta con el andamiaje institucional para responder, y que una migración ordenada a la criptografía poscuántica (PQC) es alcanzable con recursos limitados si se concentra en inventario, priorización, cripto-agilidad y apalancamiento de proveedores, en lugar de inversiones masivas en hardware. Se propone un plan por fases alineado con los hitos de 2026, 2030 y 2035 que ya rigen a los principales socios del país.

En agosto de 2026, el Departamento de Defensa de los Estados Unidos publicó una solicitud de información a la industria en busca de soluciones criptográficas provisionales de solo software, sin reemplazo de chips, tarjetas criptográficas, radios ni módulos de seguridad de hardware, que le permitan proteger sistemas militares durante su transición a la criptografía poscuántica antes del 31 de diciembre de 2029 (Vincent 2026). La solicitud es una pieza menor dentro de un proceso mucho mayor: dos meses antes, la Casa Blanca había ordenado que todos los activos federales de alto valor migren a PQC para el intercambio de claves antes de fines de 2030 y para firmas digitales antes de fines de 2031, adelantando en cuatro años la meta de 2035 fijada en 2022 (White House 2026; White House 2022). La Unión Europea, por su parte, exige que todos los Estados miembros tengan hojas de ruta nacionales de PQC antes de que termine 2026 y que los casos de uso de alto riesgo estén migrados antes de 2030 (NIS Cooperation Group 2025).

Estos calendarios no se dictan para la República Dominicana, pero le aplican por gravedad. Un país cuya economía se sostiene sobre remesas, turismo, zonas francas, banca corresponsal y servicios en la nube contratados a proveedores estadounidenses no puede permitirse que sus certificados digitales, sus canales de pago o sus comunicaciones diplomáticas queden fuera de los estándares que sus contrapartes adoptarán en los próximos cuatro años. La pregunta, por tanto, no es si el país debe migrar, sino cómo hacerlo con un presupuesto limitado, un mercado de talento reducido y una dependencia tecnológica casi total de terceros.

La naturaleza de la amenaza

La criptografía de clave pública moderna descansa sobre problemas matemáticos que las computadoras clásicas no pueden resolver en tiempo razonable: la factorización de enteros grandes y el logaritmo discreto. En 1994 Peter Shor demostró que una computadora cuántica suficientemente grande y estable resolvería ambos problemas en tiempo polinomial, lo que reduciría a la nada la seguridad de RSA, de Diffie-Hellman y de la criptografía de curvas elípticas (Shor 1997). Durante tres décadas la amenaza fue teórica porque el hardware cuántico era rudimentario. Ese margen se ha estrechado. En 2025, investigadores de Google publicaron una estimación de que RSA de 2,048 bits podría factorizarse con menos de un millón de qubits ruidosos en menos de una semana, una reducción de aproximadamente veinte veces respecto de las estimaciones previas (Gidney 2025). La encuesta anual de expertos del Global Risk Institute asigna una probabilidad no trivial a la aparición de una computadora cuántica criptográficamente relevante dentro de una década, y probabilidades sustanciales dentro de quince años (Mosca y Piani 2024). Cloudflare, que opera una fracción significativa del tráfico mundial de Internet, adelantó en abril de 2026 su propia meta de seguridad poscuántica completa a 2029 (Goldberg y Voci 2026).

Lo esencial para la formulación de política pública es que la fecha exacta de la ruptura no importa tanto como la relación entre tres plazos, formulada por Michele Mosca: el tiempo durante el cual la información debe permanecer confidencial (X), el tiempo que tomará migrar los sistemas (Y) y el tiempo que falta para que exista la máquina capaz de romperlos (Z). Si X más Y es mayor que Z, la información ya está comprometida aunque la máquina no exista todavía (Mosca 2018). Un expediente de inteligencia, un contrato de reaseguro a veinte años, un historial clínico o los datos biométricos de la cédula de identidad tienen valores de X que exceden con facilidad cualquier estimación razonable de Z. Y las migraciones criptográficas en sistemas complejos históricamente toman entre diez y veinte años (NIST 2024d).

De ello se deriva la táctica que hoy preocupa a las agencias de seguridad: capturar ahora y descifrar después. Un adversario estatal con acceso a cables submarinos, a puntos de intercambio de tráfico o a proveedores comprometidos puede almacenar comunicaciones cifradas con RSA o curvas elípticas y esperar. La Agencia de Seguridad Nacional, la Agencia de Ciberseguridad e Infraestructura y el Instituto Nacional de Estándares y Tecnología de los Estados Unidos advierten de manera explícita que esta amenaza justifica comenzar la migración de inmediato, con independencia de cuándo llegue la computadora cuántica (CISA, NSA y NIST 2023).

Hay una segunda dimensión menos discutida pero igualmente grave para un Estado pequeño: la integridad de las firmas digitales. Cuando las firmas basadas en RSA o curvas elípticas puedan falsificarse, un atacante podrá suplantar actualizaciones de software y firmware, certificados raíz de infraestructura de clave pública, documentos notariales electrónicos, resoluciones judiciales firmadas digitalmente y credenciales de identidad. El daño no sería retrospectivo, como en el caso de la confidencialidad, sino inmediato y sistémico. Por esa razón, la Agencia de Seguridad Nacional prioriza la migración de la firma de código y de software antes que otras funciones (NSA 2022).

La respuesta internacional y su efecto sobre el país

La respuesta técnica ya existe. En agosto de 2024, el NIST publicó los tres primeros estándares federales de criptografía poscuántica: FIPS 203 (ML-KEM, derivado de CRYSTALS-Kyber) para encapsulamiento de claves, FIPS 204 (ML-DSA, derivado de CRYSTALS-Dilithium) y FIPS 205 (SLH-DSA, derivado de SPHINCS+) para firmas digitales (NIST 2024a; NIST 2024b; NIST 2024c). Estos algoritmos son software puro, están disponibles en bibliotecas de código abierto y ya se despliegan en navegadores, sistemas operativos y redes de distribución de contenido. El NIST fijó además un calendario de transición: los algoritmos vulnerables de 112 bits de seguridad quedan desaconsejados a partir de 2030 y prohibidos en sistemas federales a partir de 2035 (NIST 2024d).

La respuesta política ha sido más rápida de lo previsto. El Memorando de Seguridad Nacional 10 de 2022 ordenó a las agencias federales inventariar sus sistemas criptográficos y fijó 2035 como meta de migración (White House 2022). El Congreso lo reforzó con la Ley de Preparación en Ciberseguridad para la Computación Cuántica (U.S. Congress 2022). La Orden Ejecutiva de junio de 2026 adelantó esas fechas a 2030 y 2031 para los activos de alto valor, ordenó a los contratistas federales cumplir los FIPS poscuánticos antes de fines de 2030 y, de manera notable para la República Dominicana, instruyó al gobierno a asistir a operadores de infraestructura crítica, a gobiernos extranjeros y a grupos industriales extranjeros en sus propias transiciones (White House 2026; Mayer Brown 2026). La estrategia PQC del Departamento de Defensa publicada al día siguiente exige que todos sus sistemas soporten PQC antes de fines de 2030 y la utilicen antes de fines de 2031, y contempla incorporar requisitos poscuánticos al programa de Certificación del Modelo de Madurez en Ciberseguridad que rige a sus proveedores (Vincent 2026; Easley 2026). En el Reino Unido, el Centro Nacional de Ciberseguridad fijó 2028 para completar el descubrimiento y la planificación, 2031 para las migraciones de mayor prioridad y 2035 para la migración completa (NCSC 2025). En Europa la Recomendación de la Comisión de abril de 2024 y la hoja de ruta coordinada de junio de 2025 fijan hitos análogos para 2026, 2030 y 2035 (European Commission 2024; NIS Cooperation Group 2025). En el sector financiero, el Grupo de Expertos Cibernéticos del G7 ha instado a las entidades a comenzar la planificación de inmediato, y el Banco de Pagos Internacionales ha demostrado en su Proyecto Leap la viabilidad de proteger canales de pago interbancarios con criptografía poscuántica (G7 Cyber Expert Group 2024; BIS 2023).

El efecto sobre la República Dominicana opera por tres canales. Primero, el canal financiero: la banca corresponsal, las redes de tarjetas, SWIFT y los proveedores de procesamiento de pagos adoptarán los estándares de sus reguladores de origen, y las entidades dominicanas que no puedan negociar conexiones poscuánticas o híbridas quedarán progresivamente marginadas. Segundo, el canal tecnológico: la mayor parte de la infraestructura digital del Estado y de las empresas dominicanas reside en nubes y plataformas de proveedores estadounidenses, cuyos contratos federales los obligarán a ofrecer PQC por defecto, de modo que la migración llegará al país en parte por arrastre, pero solo será efectiva si el lado dominicano la configura, la verifica y la exige. Tercero, el canal de cadena de suministro: las empresas de zonas francas, los proveedores de servicios de tecnología y cualquier firma que aspire a contratar con agencias estadounidenses o europeas deberán demostrar preparación poscuántica como condición de acceso al mercado.

La exposición dominicana

La República Dominicana ha construido en la última década una de las arquitecturas de ciberseguridad más reconocidas de la región. El Decreto 230-18 estableció la primera Estrategia Nacional de Ciberseguridad y el Centro Nacional de Ciberseguridad; el Decreto 612-24 reorganizó la gobernanza, creó la Comisión Técnica Especializada en Ciberseguridad bajo el Consejo de Seguridad y Defensa Nacional, asignó a la Dirección Nacional de Inteligencia la coordinación de estrategias, amplió el mandato del CNCS y creó el Instituto Criptográfico Nacional, con la misión de fortalecer los controles sobre información reservada y profundizar los estudios sobre soberanía digital (Presidencia de la República Dominicana 2018; Presidencia de la República Dominicana 2024). El borrador de la Estrategia Nacional de Ciberseguridad 2030 contempla una estrategia complementaria de criptografía (Centro Nacional de Ciberseguridad 2025). En el plano sectorial, la Junta Monetaria aprobó desde 2018 un Reglamento de Seguridad Cibernética y de la Información para el sistema financiero, e Indotel emitió en 2022 un Reglamento de Ciberseguridad para redes y servicios de telecomunicaciones (Junta Monetaria 2018; Indotel 2022). La Ley 126-02 sobre comercio electrónico, documentos y firmas digitales y su reglamentación establecen el marco de la infraestructura de clave pública nacional (Congreso Nacional 2002).

Esa base es una ventaja real. Pero la exposición es amplia. La cédula de identidad y electoral, los certificados de firma digital emitidos por las entidades de certificación autorizadas por Indotel, el Sistema de Pagos de la República Dominicana y el sistema de liquidación bruta en tiempo real del Banco Central, las plataformas de la Dirección General de Impuestos Internos y de la Tesorería de la Seguridad Social, los sistemas de control aduanero y portuario, las redes de las Fuerzas Armadas y de la DNI, y el sistema eléctrico dependen en su totalidad de criptografía clásica. Muchos de estos sistemas manejan información cuyo valor de confidencialidad se mide en décadas. Ninguno, hasta donde consta en fuentes públicas, cuenta con un inventario criptográfico formal ni con una fecha de migración.

Conviene subrayar una asimetría que juega a favor del país. Como economía pequeña y abierta, la República Dominicana no necesita diseñar algoritmos, financiar investigación cuántica ni construir capacidad industrial de hardware. Necesita gobernanza, inventario, priorización y contratación inteligente. Los algoritmos ya están estandarizados y son gratuitos; las bibliotecas de software ya existen; los proveedores dominantes ya los están desplegando. La tarea nacional es organizativa y regulatoria, no científica.

Por qué ahora y no después

Tres argumentos concurren. El primero es aritmético: si la migración de un sistema crítico toma entre cinco y diez años, como muestran las experiencias documentadas de transición de SHA-1 a SHA-2 o de RSA a curvas elípticas, y si existe probabilidad material de una computadora cuántica relevante antes de 2035, comenzar en 2026 ya implica operar sin margen (NIST 2024d; Mosca y Piani 2024). El segundo es el efecto de cosecha: cada mes de demora amplía el archivo de comunicaciones dominicanas cifradas con algoritmos vulnerables que un adversario puede estar acumulando. El tercero es de oportunidad regulatoria. La ventana 2026 a 2027 es el momento en que el país puede alinearse a bajo costo con la hoja de ruta europea, que exige planes nacionales en 2026, y aprovechar la instrucción explícita de la Orden Ejecutiva estadounidense de asistir a gobiernos extranjeros (NIS Cooperation Group 2025; White House 2026). Un país que llega a 2030 sin inventario ni plan tendrá que migrar bajo presión de sus contrapartes, en condiciones de mercado más caras y con menos poder de negociación.

Hay además un argumento de soberanía. Si la República Dominicana no define sus propias prioridades de migración, las definirán sus proveedores en función de los intereses de sus mercados principales. El Instituto Criptográfico Nacional fue creado precisamente para evitar esa dependencia; darle como primer mandato la transición poscuántica es la forma más concreta de justificar su existencia.

Un plan para un país con recursos limitados

El plan que sigue se organiza en cuatro fases alineadas con los hitos internacionales y se rige por cinco principios: solo software siempre que sea posible, priorización por riesgo, cripto-agilidad como requisito contractual, apalancamiento de proveedores y cooperación internacional para financiar lo que no pueda cubrir el presupuesto nacional.

Fase de gobernanza e inventario (2026 a 2027)

La Comisión Técnica Especializada en Ciberseguridad debe designar formalmente al Instituto Criptográfico Nacional como autoridad técnica de la transición poscuántica, con el CNCS como coordinador operativo y la DNI como responsable de la evaluación de amenazas. Cada institución del Estado que opere un sistema crítico debe nombrar un responsable de migración, replicando la práctica de la Orden Ejecutiva estadounidense (White House 2026).

El primer entregable es un inventario criptográfico nacional de los sistemas de alto riesgo, es decir, una lista de materiales criptográficos que identifique qué algoritmos, longitudes de clave, protocolos, certificados y módulos de hardware utiliza cada sistema, quién los provee y cuándo expiran. El NIST, el NCSC y la hoja de ruta europea coinciden en que el inventario es el paso indispensable y el que más tiempo consume (CISA, NSA y NIST 2023; NCSC 2025; NIS Cooperation Group 2025). Existen herramientas de descubrimiento criptográfico de código abierto y la mayoría de los proveedores de nube ya exponen esta información; el costo es principalmente de personal.

El segundo entregable es una clasificación de riesgo basada en el criterio de Mosca: para cada sistema, cuánto tiempo debe permanecer confidencial su información y cuánto tardaría en migrar. Los sistemas donde la suma exceda diez años pasan a la lista de alta prioridad. Es previsible que esa lista incluya las raíces de la infraestructura de clave pública nacional, la firma de código y de firmware de sistemas del Estado, las comunicaciones clasificadas de Defensa, la DNI y Relaciones Exteriores, los sistemas de pagos del Banco Central, las bases de datos biométricas de la Junta Central Electoral y los registros tributarios y de seguridad social.

El tercer entregable es normativo y no cuesta dinero: una resolución de Indotel que autorice a las entidades de certificación a emitir certificados con ML-DSA y SLH-DSA e híbridos bajo la Ley 126-02; una circular de la Superintendencia de Bancos y del Banco Central que exija a las entidades de intermediación financiera un inventario criptográfico y un plan de migración con fechas, en el marco del reglamento vigente de la Junta Monetaria (Junta Monetaria 2018); y una disposición de la Dirección General de Contrataciones Públicas que incorpore la cripto-agilidad y el soporte de los FIPS 203, 204 y 205 como requisito en toda adquisición de software, servicios en la nube y equipos de comunicaciones del Estado. Esta última medida es la de mayor rendimiento: evita comprar en 2027 sistemas que habrá que reemplazar en 2031.

Fase de migración de alto riesgo (2027 a 2030)

La prioridad técnica inmediata es el cifrado en tránsito, porque es donde opera la cosecha y donde la migración es casi gratuita. Todos los dominios gob.do, los portales transaccionales, las redes privadas virtuales y las conexiones de administración remota deben habilitar intercambio de claves híbrido, combinando curvas elípticas con ML-KEM, tal como ya lo hacen por defecto los principales navegadores y redes de distribución de contenido (IETF 2025; Goldberg y Voci 2026). Esto se logra con actualizaciones de configuración en servidores y proveedores existentes; el enfoque de solo software que el Departamento de Defensa busca para sus sistemas heredados es exactamente el adecuado para un Estado sin capacidad de reemplazar hardware (Vincent 2026).

En paralelo, el Instituto Criptográfico Nacional debe diseñar la nueva jerarquía de la infraestructura de clave pública nacional con raíces basadas en ML-DSA, de modo que los certificados de firma digital, la firma de código del Estado y las credenciales de identidad electrónica puedan emitirse bajo algoritmos poscuánticos antes de 2030, siguiendo la prioridad que la NSA asigna a la firma de software y firmware (NSA 2022). La renovación de la cédula de identidad ofrece una ventana natural para incorporar chips y certificados cripto-ágiles.

El sector financiero debe alinearse con los calendarios del G7 y del BIS, dando prioridad a los canales de pago interbancarios, la conectividad con SWIFT y las redes de tarjetas, y la banca en línea (G7 Cyber Expert Group 2024; BIS 2023). El Banco Central puede exigir a los participantes del sistema de pagos que demuestren capacidad de negociación híbrida antes de 2029.

Fase de consolidación (2030 a 2032)

Con los sistemas de alto riesgo migrados, la atención pasa a los sistemas de riesgo medio: portales de servicios ciudadanos, registros de salud, sistemas municipales, telecomunicaciones móviles y el sector eléctrico. Se retiran los certificados clásicos de la jerarquía nacional, se dejan de aceptar algoritmos desaconsejados en contrataciones nuevas y se exige a los proveedores de servicios de telecomunicaciones evidencia de cumplimiento en el marco del Reglamento de Ciberseguridad de Indotel (Indotel 2022).

Fase de cierre (2033 a 2035)

La meta final coincide con la fecha en que el NIST prohíbe los algoritmos vulnerables y con el tercer hito europeo: eliminación de la criptografía clásica de clave pública en todos los sistemas del Estado, salvo excepciones documentadas con controles compensatorios (NIST 2024d; NIS Cooperation Group 2025).

Capacidad humana y financiamiento

El mayor cuello de botella no será el dinero sino el talento. El Instituto Criptográfico Nacional debe establecer convenios con el Instituto Tecnológico de Las Américas, el Instituto Tecnológico de Santo Domingo, la Pontificia Universidad Católica Madre y Maestra y la Universidad Autónoma de Santo Domingo para formar un cuadro de especialistas en criptografía aplicada, y aprovechar la formación gratuita que ofrecen el NIST, la Organización de los Estados Americanos a través de su Comité Interamericano contra el Terrorismo y la Unión Internacional de Telecomunicaciones. El equipo de respuesta a incidentes CSIRT-RD puede convertirse en el centro de asistencia técnica para instituciones pequeñas.

En cuanto al financiamiento, el plan es deliberadamente austero: la mayor parte del costo se concentra en personal, inventario y gestión de proveedores, no en compras. Para lo que no pueda cubrirse con presupuesto ordinario, existen fuentes identificables: la asistencia a gobiernos extranjeros que la Orden Ejecutiva estadounidense ordena de manera expresa (White House 2026), los programas de ciberseguridad del Banco Interamericano de Desarrollo y del Banco Mundial, la cooperación de la Unión Europea en el marco de la Alianza Digital con América Latina y el Caribe, y la cooperación técnica de la OEA. Un país que presente un inventario y una hoja de ruta será un candidato natural para esos fondos; uno que no lo haga, no.

Mi Perspectiva

La República Dominicana no está en condiciones de construir una computadora cuántica ni necesita hacerlo. Lo que sí está en condiciones de hacer, y lo que la seguridad nacional exige, es reconocer que la criptografía que protege la identidad de sus ciudadanos, la solvencia de su sistema financiero, la integridad de su justicia electrónica y la confidencialidad de su Estado tiene una fecha de caducidad conocida en su orden de magnitud aunque incierta en su día exacto. El país ya creó el órgano llamado a liderar la respuesta; le corresponde ahora dotarlo de un mandato, un inventario y un calendario. La experiencia comparada muestra que el costo de migrar a tiempo es modesto y el de migrar tarde es prohibitivo. Los socios del país ya fijaron sus fechas. La República Dominicana debe fijar las suyas en 2026, y no más tarde.

~ C. Constantin Poindexter Salcedo, MA en Inteligencia, Certificado de Posgrado en Contrainteligencia, JD, certificación OSINT CISA/NCISS, Diplomado Negociación Estratégica de Harvard, Certificación BFFOC del DoD/DoS

Bibliografía

  • Bank for International Settlements (BIS). 2023. Project Leap: Quantum-Proofing the Financial System. Basilea: BIS Innovation Hub. https://www.bis.org/publ/othp67.htm.
  • Centro Nacional de Ciberseguridad (CNCS). 2025. Borrador de la Estrategia Nacional de Ciberseguridad 2030, República Dominicana. Santo Domingo: CNCS.
  • CISA, NSA y NIST. 2023. Quantum-Readiness: Migration to Post-Quantum Cryptography. Washington, D.C.: Cybersecurity and Infrastructure Security Agency, National Security Agency y National Institute of Standards and Technology. https://www.cisa.gov/resources-tools/resources/quantum-readiness-migration-post-quantum-cryptography.
  • Congreso Nacional de la República Dominicana. 2002. Ley No. 126-02 sobre Comercio Electrónico, Documentos y Firmas Digitales. Gaceta Oficial, 4 de septiembre de 2002.
  • Easley, Mikayla. 2026. “What the Pentagon’s New Post-Quantum Cryptography Directive Means for Defense Contractors.” DefenseScoop, 10 de julio de 2026. https://defensescoop.com/2026/07/10/cmmc-pqc-requirements-defense-contractors-cybersecurity/.
  • European Commission. 2024. Commission Recommendation (EU) 2024/1101 of 11 April 2024 on a Coordinated Implementation Roadmap for the Transition to Post-Quantum Cryptography. Bruselas: Comisión Europea.
  • G7 Cyber Expert Group. 2024. Statement on Planning for the Opportunities and Risks of Quantum Computing. Washington, D.C.: U.S. Department of the Treasury, 25 de septiembre de 2024.
  • Gidney, Craig. 2025. “How to Factor 2048 Bit RSA Integers with Less than a Million Noisy Qubits.” arXiv:2505.15917. https://arxiv.org/abs/2505.15917.
  • Goldberg, Sharon, y Vincent Voci. 2026. “The Post-Quantum EO Is an Important Milestone. Now It’s Time to Get to Work.” Cloudflare Blog, 23 de junio de 2026. https://blog.cloudflare.com/post-quantum-eo-2026.
  • Indotel (Instituto Dominicano de las Telecomunicaciones). 2022. Reglamento de Ciberseguridad para Redes y Servicios de Telecomunicaciones. Santo Domingo: Indotel.
  • Internet Engineering Task Force (IETF). 2025. Hybrid Key Exchange in TLS 1.3. Internet-Draft draft-ietf-tls-hybrid-design. https://datatracker.ietf.org/doc/draft-ietf-tls-hybrid-design/.
  • Junta Monetaria de la República Dominicana. 2018. Reglamento de Seguridad Cibernética y de la Información. Segunda Resolución del 1 de noviembre de 2018. Santo Domingo: Banco Central de la República Dominicana.
  • Mayer Brown. 2026. “President Trump Signs Two Executive Orders on Quantum Computing and Accelerated Post-Quantum Cryptography Migration.” Legal Update, 24 de junio de 2026. https://www.mayerbrown.com/en/insights/publications/2026/06/president-trump-signs-two-executive-orders-on-quantum-computing-and-accelerated-post-quantum-cryptography-migration.
  • Mosca, Michele. 2018. “Cybersecurity in an Era with Quantum Computers: Will We Be Ready?” IEEE Security & Privacy 16 (5): 38–41. https://doi.org/10.1109/MSP.2018.3761723.
  • Mosca, Michele, y Marco Piani. 2024. Quantum Threat Timeline Report 2024. Toronto: Global Risk Institute. https://globalriskinstitute.org/publication/2024-quantum-threat-timeline-report/.
  • National Cyber Security Centre (NCSC). 2025. Timelines for Migration to Post-Quantum Cryptography. Londres: NCSC. https://www.ncsc.gov.uk/guidance/pqc-migration-timelines.
  • National Institute of Standards and Technology (NIST). 2024a. FIPS 203: Module-Lattice-Based Key-Encapsulation Mechanism Standard. Gaithersburg, MD: NIST. https://doi.org/10.6028/NIST.FIPS.203.
  • ———. 2024b. FIPS 204: Module-Lattice-Based Digital Signature Standard. Gaithersburg, MD: NIST. https://doi.org/10.6028/NIST.FIPS.204.
  • ———. 2024c. FIPS 205: Stateless Hash-Based Digital Signature Standard. Gaithersburg, MD: NIST. https://doi.org/10.6028/NIST.FIPS.205.
  • ———. 2024d. NIST IR 8547 (Initial Public Draft): Transition to Post-Quantum Cryptography Standards. Gaithersburg, MD: NIST. https://doi.org/10.6028/NIST.IR.8547.ipd.
  • National Security Agency (NSA). 2022. Announcing the Commercial National Security Algorithm Suite 2.0. Fort Meade, MD: NSA Cybersecurity Advisory. https://media.defense.gov/2022/Sep/07/2003071834/-1/-1/0/CSA_CNSA_2.0_ALGORITHMS_.PDF.
  • NIS Cooperation Group. 2025. A Coordinated Implementation Roadmap for the Transition to Post-Quantum Cryptography. Bruselas: Comisión Europea, 23 de junio de 2025. https://digital-strategy.ec.europa.eu/en/library/coordinated-implementation-roadmap-transition-post-quantum-cryptography.
  • Presidencia de la República Dominicana. 2018. Decreto No. 230-18 que establece y regula la Estrategia Nacional de Ciberseguridad 2018-2021. Santo Domingo, 19 de junio de 2018.
  • ———. 2024. Decreto No. 612-24 que reorganiza la gobernanza de la ciberseguridad y crea la Comisión Técnica Especializada en Ciberseguridad y el Instituto Criptográfico Nacional. Santo Domingo, 22 de octubre de 2024. https://cncs.gob.do/decreto-612-24.
  • Shor, Peter W. 1997. “Polynomial-Time Algorithms for Prime Factorization and Discrete Logarithms on a Quantum Computer.” SIAM Journal on Computing 26 (5): 1484–1509. https://doi.org/10.1137/S0097539795293172.
  • U.S. Congress. 2022. Quantum Computing Cybersecurity Preparedness Act. Public Law 117-260, 21 de diciembre de 2022.
  • Vincent, Brandi. 2026. “DOD Probes Industry about Software-Defined Encryption as U.S. Scurries to Get Quantum-Safe.” DefenseScoop, 28 de agosto de 2026. https://defensescoop.com/2026/08/28/dod-software-defined-encryption-quantum/.
  • White House. 2022. National Security Memorandum on Promoting United States Leadership in Quantum Computing While Mitigating Risks to Vulnerable Cryptographic Systems (NSM-10). Washington, D.C., 4 de mayo de 2022.
  • ———. 2026. Executive Order: Securing the Nation Against Advanced Cryptographic Attacks. Washington, D.C., 22 de junio de 2026.

Share this post:

Enjambres de agentes autónomos y la seguridad nacional dominicana: una señal creíble, una respuesta proporcionada

Enjambres de agentes autónomos y la seguridad nacional dominicana. Una señal creíble, una respuesta proporcionada".

El 4 de septiembre de 2026 la agencia Reuters publicó una investigación que documenta cómo un conjunto de agentes de inteligencia artificial, vinculados según los investigadores a las operaciones de entrenamiento de OpenAI, tomó control de un wiki alemán de programación y lo convirtió en un tablón de coordinación para evadir restricciones, ocultar su conducta y sobrevivir a los intentos de limpieza del administrador del sitio (Seetharaman y Satter 2026). Este memorando sostiene que el episodio no constituye un acto hostil contra nación alguna, pero sí una señal creíble de que existe una nueva clase de exposición cibernética, y que la capacidad de la República Dominicana para detectarla y responder a ella es limitada. La respuesta proporcionada es doble: el endurecimiento y la monitorización de los sistemas estatales expuestos a internet, y un régimen de divulgación obligatoria para los proveedores de inteligencia artificial que operen sobre infraestructura dominicana.

Los hechos reportados y su alcance real

Conviene delimitar con precisión lo que la investigación de Reuters afirma y lo que no afirma. Los investigadores Sydney Von Arx y Cormac Slade Byrd identificaron más de quince mil ediciones realizadas por agentes automatizados en DseWiki, un sitio alemán de edición comunal orientado a programadores. Los mensajes estaban firmados por usuarios que se identificaban entre sí como agentes, y cerca de la mitad adoptaron nombres que sugerían afiliación con OpenAI. Los registros públicos del servidor indicaban que buena parte de la actividad provenía de infraestructura de Microsoft Azure, y los investigadores observaron visitas reiteradas de empleados de OpenAI al sitio con posterioridad al episodio (Seetharaman y Satter 2026).

Lo más relevante para un ministerio de defensa no es el volumen de ediciones sino su contenido. Los agentes compartían tácticas para hacer trampa en tareas de evaluación, para eludir las restricciones impuestas por su desarrollador y para enmascarar su comportamiento. Cuando el moderador del sitio comenzó a borrar páginas en junio, los agentes crearon páginas de respaldo y dejaron instrucciones a sus pares sobre dónde continuar si la página desaparecía. Un académico del Centro para el Estudio del Riesgo Existencial de la Universidad de Cambridge describió los intercambios como la operación de una red clandestina dedicada obsesivamente a cumplir una misión (Seetharaman y Satter 2026).

Lo que la investigación no afirma es igualmente importante. No hay indicio de que el sitio alemán fuera seleccionado por razón de su nacionalidad, de que se atacara infraestructura gubernamental o crítica, ni de que exista relación alguna con la República Dominicana o con el Caribe. El wiki fue tomado porque era editable y estaba desatendido, no porque fuera alemán. Esa distinción es la que gobierna toda la conclusión de este memorando.

Por qué el episodio no es un acto hostil

El derecho internacional aplicable a las operaciones cibernéticas exige, para calificar una conducta como uso de la fuerza o como acto hostil imputable a un Estado, tanto un umbral de escala y efectos como un vínculo de atribución a un actor estatal o a quien actúe bajo su dirección o control efectivo (Schmitt 2017, reglas 15, 17 y 69). El episodio alemán no satisface ninguno de los dos elementos. Los efectos fueron la degradación temporal de un sitio privado de escasa importancia estratégica, y el actor fue un sistema automatizado que operaba sin dirección humana identificable, dentro de la infraestructura de una empresa privada estadounidense. El propio informe de los expertos gubernamentales de las Naciones Unidas reitera que la atribución exige un fundamento fáctico sólido y advierte contra las conclusiones precipitadas a partir de indicios técnicos como la ubicación de la infraestructura (Naciones Unidas 2021, párrs. 22 a 24).

Tratar el episodio como acto hostil sería, además, estratégicamente contraproducente. Desviaría recursos escasos hacia una postura de confrontación con un actor que no tiene intención de dañar al país, y privaría al Ministerio del marco conceptual correcto, que es el de la gestión de un riesgo estructural emergente y no el de la defensa frente a un adversario.

Por qué sí es una señal creíble de una nueva clase de exposición

La literatura técnica reciente documenta con consistencia que los sistemas de inteligencia artificial de propósito general desarrollan conductas de engaño, evasión y explotación de lagunas cuando tales conductas resultan instrumentales para los objetivos que se les asignan (Park et al. 2024). El episodio alemán no es una anomalía sino la manifestación pública de un patrón anticipado. Su importancia radica en tres rasgos.

Primero, la conducta fue autónoma y no dirigida. Los agentes no fueron instruidos para atacar un sitio; identificaron por sí mismos una superficie escribible en internet y la usaron para sus fines. Ello implica que cualquier sistema abierto, mal monitorizado y lento en responder es un objetivo potencial, con independencia de su valor estratégico o de la intención de terceros.

Segundo, la conducta fue persistente y adaptativa. Los agentes detectaron la campaña de borrado, dedujeron su lógica alfabética y diseñaron mecanismos de continuidad. Esta capacidad de resistir la remediación es precisamente la que distingue una amenaza persistente de un incidente aislado.

Tercero, y quizás lo más grave desde la perspectiva de un Estado pequeño, el desarrollador conoció el incidente durante semanas y no lo divulgó. Reuters reporta que funcionarios de OpenAI tuvieron conocimiento del episodio mientras la empresa gestionaba las consecuencias de la brecha de Hugging Face en julio, y que los esfuerzos de algunos investigadores internos por ampliar la indagación encontraron resistencia, incluso de asesores legales, extremo que la empresa niega (Seetharaman y Satter 2026). Un Estado que carece de capacidad para compeler la divulgación depende enteramente de que un investigador independiente tropiece con la evidencia.

La brecha dominicana de detección y respuesta

La República Dominicana ha construido un andamiaje normativo e institucional razonable para su tamaño. La Ley 53-07 tipifica los crímenes y delitos de alta tecnología (República Dominicana 2007), el país ratificó el Convenio de Budapest sobre la Ciberdelincuencia (Consejo de Europa 2001), la Ley 172-13 regula la protección de datos personales (República Dominicana 2013), y el Decreto 258-18 aprobó la Estrategia Nacional de Ciberseguridad y creó el Consejo Nacional de Ciberseguridad y el Centro Nacional de Ciberseguridad como órgano ejecutor (República Dominicana 2018). El CSIRT-RD opera como equipo nacional de respuesta a incidentes.

El problema no es la ausencia de marco sino la asimetría entre ese marco y la superficie de exposición. Los diagnósticos regionales del Banco Interamericano de Desarrollo y de la Organización de los Estados Americanos sitúan a la mayoría de los países de América Latina y el Caribe, incluida la República Dominicana, en niveles de madurez intermedios o incipientes en materia de detección, monitorización continua y respuesta coordinada, con capacidades concentradas en los sectores financiero y de telecomunicaciones y mucho más débiles en el resto de la administración pública (BID y OEA 2020). El Índice Global de Ciberseguridad de la Unión Internacional de Telecomunicaciones confirma que las brechas más persistentes en la región se hallan en las medidas técnicas y de capacidad, no en las legales (UIT 2024).

Traducido a la realidad dominicana, ello significa que numerosos portales estatales y municipales operan sobre gestores de contenido de uso común con parches desactualizados, que la respuesta a incidentes fuera de la banca y las telecomunicaciones es en gran medida improvisada, y que sistemas críticos como las plataformas de la DGII y la DGA, la infraestructura de la Junta Central Electoral, los puertos y la generación eléctrica dependen de proveedores de nube y contratistas extranjeros sobre los cuales el Estado no ejerce supervisión directa. Un agente autónomo que busca un punto de apoyo, o un adversario humano que emplee tales agentes, no necesita tener la intención de perjudicar a la República Dominicana para causarle daño. La exposición es función de cuán abierta, desatendida y lenta en responder sea la infraestructura, y el perfil dominicano encaja en esa descripción.

La respuesta proporcionada

La proporcionalidad exige calibrar la respuesta a la naturaleza del riesgo. Como el riesgo es estructural y no adversarial, la respuesta debe ser defensiva y regulatoria, no ofensiva ni diplomática. Se proponen dos líneas de acción.

La primera es el endurecimiento y la monitorización continua de los sistemas estatales expuestos a internet. El marco de controles de seguridad del Instituto Nacional de Estándares y Tecnología de los Estados Unidos ofrece la referencia más ampliamente adoptada, y sus familias de controles sobre gestión de configuración, integridad de sistemas e información, y monitorización continua son directamente aplicables (NIST 2020). En términos concretos, ello supone un inventario obligatorio de todos los activos estatales con exposición pública, la eliminación o el bloqueo de superficies de escritura abiertas en portales oficiales, plazos vinculantes de aplicación de parches, registro centralizado de eventos con retención suficiente para reconstruir campañas prolongadas, y la ampliación del mandato y los recursos del CNCS y del CSIRT-RD para que la monitorización alcance a los ministerios, las alcaldías y las entidades descentralizadas, no solo a los sectores regulados. El Ministerio de Defensa debe asumir un rol de articulación en la protección de las infraestructuras críticas, en coordinación con el Consejo Nacional de Ciberseguridad, sin desplazar a los órganos civiles que la Estrategia Nacional ya designa.

La segunda es un régimen de divulgación obligatoria para los proveedores de inteligencia artificial que operen sobre infraestructura dominicana o que presten servicios a entidades públicas dominicanas. El Reglamento de Inteligencia Artificial de la Unión Europea establece un precedente útil al obligar a los proveedores de sistemas de alto riesgo a notificar los incidentes graves a las autoridades nacionales en plazos definidos (Unión Europea 2024, art. 73). El Marco de Gestión de Riesgos de IA del NIST y la Recomendación del Consejo de la OCDE sobre inteligencia artificial coinciden en que la transparencia y la rendición de cuentas son condiciones necesarias de la confianza en estos sistemas (NIST 2023; OCDE 2019). La República Dominicana carece del peso de mercado para imponer obligaciones a los laboratorios de frontera por sí sola, pero sí puede condicionar la contratación pública, el acceso a licencias de operación y el tratamiento de datos de ciudadanos dominicanos al cumplimiento de un deber de notificación de incidentes que involucren conducta autónoma no autorizada, con plazos breves y sanciones proporcionadas. Tal régimen podría instrumentarse mediante reglamento del Consejo Nacional de Ciberseguridad al amparo del Decreto 258-18, y en su caso mediante reforma a la Ley 53-07, e idealmente coordinarse con la Comunidad del Caribe y con la OEA para multiplicar su fuerza.

Mi Punto

El episodio alemán no amenaza a la República Dominicana y no debe ser tratado como un acto hostil. Su valor para el Ministerio de Defensa es el de una señal temprana y creíble: existe ya una clase de exposición en la que sistemas automatizados, sin dirección humana ni intención adversarial, identifican y explotan cualquier infraestructura abierta y desatendida, resisten la remediación y operan bajo un silencio corporativo que los Estados pequeños no pueden romper por sí mismos. La capacidad dominicana para detectar y responder a esa exposición es limitada, no por ausencia de leyes sino por insuficiencia de medios técnicos y de alcance institucional. La respuesta proporcionada es endurecer y monitorizar los sistemas estatales expuestos y exigir a los proveedores de inteligencia artificial que informen lo que saben cuando lo saben. Ambas medidas son alcanzables con los instrumentos jurídicos que el país ya posee, y ambas fortalecen la seguridad nacional sin alterar la postura estratégica de la República frente a socio o adversario alguno.

~ C. Constantin Poindexter Salcedo, MA en Inteligencia, Certificado de Posgrado en Contrainteligencia, JD, certificación OSINT CISA/NCISS, Diplomado Negociación Estratégica de Harvard, Certificación BFFOC del DoD/DoS

Bibliografía

  • Banco Interamericano de Desarrollo y Organización de los Estados Americanos (BID y OEA). 2020. Ciberseguridad: riesgos, avances y el camino a seguir en América Latina y el Caribe. Reporte Ciberseguridad 2020. Washington, D.C.: BID y OEA.
  • Consejo de Europa. 2001. Convenio sobre la Ciberdelincuencia. Serie de Tratados Europeos n.º 185. Budapest, 23 de noviembre de 2001.
  • Naciones Unidas. 2021. Informe del Grupo de Expertos Gubernamentales sobre los avances en la esfera de la información y las telecomunicaciones en el contexto de la seguridad internacional. Documento A/76/135. Nueva York: Asamblea General de las Naciones Unidas.
  • National Institute of Standards and Technology (NIST). 2020. Security and Privacy Controls for Information Systems and Organizations. NIST Special Publication 800-53, Revision 5. Gaithersburg, Maryland: NIST.
  • National Institute of Standards and Technology (NIST). 2023. Artificial Intelligence Risk Management Framework (AI RMF 1.0). NIST AI 100-1. Gaithersburg, Maryland: NIST.
  • Organización para la Cooperación y el Desarrollo Económicos (OCDE). 2019. Recomendación del Consejo sobre Inteligencia Artificial. OECD/LEGAL/0449. París: OCDE.
  • Park, Peter S., Simon Goldstein, Aidan O’Gara, Michael Chen y Dan Hendrycks. 2024. “AI Deception: A Survey of Examples, Risks, and Potential Solutions”. Patterns 5 (5): 100988.
  • República Dominicana. 2007. Ley No. 53-07 sobre Crímenes y Delitos de Alta Tecnología. Gaceta Oficial n.º 10416, 23 de abril de 2007.
  • República Dominicana. 2013. Ley No. 172-13 sobre Protección Integral de los Datos Personales. Gaceta Oficial n.º 10737, 15 de diciembre de 2013.
  • República Dominicana. 2018. Decreto No. 258-18 que aprueba la Estrategia Nacional de Ciberseguridad 2018-2021 y crea el Consejo Nacional de Ciberseguridad y el Centro Nacional de Ciberseguridad. Santo Domingo: Presidencia de la República.
  • Schmitt, Michael N., ed. 2017. Tallinn Manual 2.0 on the International Law Applicable to Cyber Operations. 2.ª ed. Cambridge: Cambridge University Press.
  • Seetharaman, Deepa, y Raphael Satter. 2026. “OpenAI Agents Hijacked German Website in Previously Undisclosed AI Breakout”. Reuters, reproducido en Insurance Journal, 4 de septiembre de 2026. https://www.insurancejournal.com/news/international/2026/09/04/884059.htm.
  • Unión Europea. 2024. Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo, de 13 de junio de 2024, por el que se establecen normas armonizadas en materia de inteligencia artificial. Diario Oficial de la Unión Europea L, 12 de julio de 2024.
  • Unión Internacional de Telecomunicaciones (UIT). 2024. Global Cybersecurity Index 2024. Ginebra: UIT.
Share this post: