El alemán al que acusan de engañar a media Europa con 'apps' contra el coronavirus

A Hans Christian Boos le han llamado de todo esta última semana. Le han acusado de poner en marcha una organización opaca, de ser un caballo de Troya al servicio de los gobiernos con el único fin de espiarnos, de tener intereses económicos ocultos y de mentir sobre el número de científicos y gobiernos que apoyan su iniciativa, el consorcio europeo PEPP-PT. La bola se hizo tan grande que Boos recibió incluso una llamada del Gobierno español pidiendo explicaciones. La Secretaría de Estado de Digitalización e Inteligencia Artificial había anunciado hace una semana su apoyo formal a su proyecto para crear una aplicación de rastreo de contactos que ayude a identificar infectados por coronavirus tras el confinamiento. Y, de repente, todo estalló. "No se crea, a mi también me sorprende lo que está ocurriendo", dice Boos con un risa sarcástica al otro lado del teléfono.

Este emprendedor alemán, fundador hace 20 años de la empresa tecnológica Arago, ha pasado del completo anonimato a estar en boca de todos los gobiernos europeos, incluido el Parlamento Europeo, por liderar una iniciativa para evitar un nuevo brote de coronavirus tras el confinamiento. Se trata de las 'apps' de rastreo de contactos mediante Bluetooth para dectectar rápidamente posibles nuevos contagios (más sobre su funcionamiento aquí). Hay consenso sobre su necesidad pero no sobre cómo desarrollarlas para que no se conviertan en una herramienta de espionaje masivo de los gobiernos a sus ciudadanos.

TE PUEDE INTERESAR

El plan del Gobierno para rastrear a 30M de españoles con una 'app' tras el confinamiento

Manuel Ángel Méndez

Boos apareció de la nada a comienzos de abril y montó el consorcio PEPP-PT con el objetivo de ofrecer una solución única y privada para toda Europa. Alemania, Francia, España, Reino Unido... varios países se lanzaron de lleno a abrazarlo. Su propuesta era además muy sólida tecnológicamente: ponía a disposición un protocolo privado y descentralizado llamado DP-3T, liderado por especialistas en cifrado y ciberseguridad de la Escuela Politécnica Federal de Lausana (EPFL), en Suiza. Todo marchaba sobre ruedas hasta que hace cinco días el EPFL abandonó el barco acusando a Boos de apropiarse de su proyecto y engañar a todo el mundo.

Tras el EPFL, varios de los miembros y científicos de mayor prestigio que se habían unido al PEPP-PT le retiraron su apoyo. El EPFL ha ido incluso más allá: acusa a Boos de promover un nuevo protocolo centralizado denominado NTK que supone, según este centro y más de 300 investigadores y tecnólogos, un riesgo de espionaje masivo para los ciudadanos. Alemania ya ha comenzado a probar una polémica 'app' usando este protocolo y Francia hará algo similar. De salvador a diablo en apenas una semana.

PREGUNTA. ¿Quién está detrás del consorcio PEPP-PT?

RESPUESTA. Permítame dejar esto muy claro. El PEPP-PT se creó el 1 de abril y todas las instituciones asociadas a esta iniciativa están en la página web. Ahora algunas se han marchado. Hemos publicado la documentación necesaria sobre nuestra propuesta tecnológica y hemos tardado porque estas cosas necesitan revisiones internas y de seguridad. La clave aquí es construir un sistema que al final acepte el público en general y este debate público que está teniendo lugar está perjudicando la adopción de ese sistema. Una discusión muy técnica se está produciendo de forma pública y las autoridades gubernamentales asisten a esto con miedo, dudas e incertidumbre. Por eso creo que toda esta polémica se debería realizar de forma privada. La comunidad de tecnólogos debería ser responsable y admitir que hay formas diferentes de abordar la privacidad.

P. ¿Se refiere al debate de modelo centralizado vs descentralizado? Ustedes apuestan por el primero pero muchos expertos dicen que es un peligro para la privacidad. El otro modelo, el descentralizado, es el que defienden desde el EPFL de Suiza con el protocolo DP-3T, cuyos desarrollo le acusan a usted de engañar.

R. Si hacen esas acusaciones las tendrán que probar y no pueden probar nada. Nosotros no nos oponemos a un modelo descentralizado. De hecho, hasta hace poco el único modelo que teníamos en nuestra web era ese, el descentralizado, el del DP-3T. Lo eliminamos de la página en un error de comunicación, todo hay que decirlo, las cosas pasan muy rápido y se pudo hacer mejor, pero lo eliminamos porque hay otros modelos que están siendo usados por grandes países que les ayudan mejor a gestionar una pandemia. Pero creemos que tanto un modelo centralizado como descentralizado pueden ayudar a preservar la privacidad. Y creemos que ambas opciones tienen que estar disponibles para que los gobiernos escojan. Son los gobiernos los que tienen que decidir cómo estas 'apps' de rastreo funcionan con sus sistemas sanitarios. No se trata de crear la solución más cifrada del mundo, se trata de tener los menores riesgos posibles. Es absolutamente irresponsable plantearlo como una guerra tecnológica y abrirlo a debate público.

P. Muchos países, entre ellos España, han mostrado su apoyo al proyecto DP-3T. De hecho apoyaron al PEPP-PT pensando que era lo mismo que el DP-3T. ¿Qué ha pasado para que sus creadores se hayan ido criticándole tan duramente?

R. Son libres de hacer lo que hicieron, por supuesto, pero creo que es irresponsable. Nosotros creemos que su trabajo es sólido desde el punto de vista académico, que respeta la privacidad, es un gran trabajo. Pero para algunos gobiernos esta propuesta no es suficiente para gestionar la privacidad. Y el problema es que están siendo demasiado, digamos, religiosos sobre el modelo de cifrado a usar, y eso es un error. Al final no son los tecnológos los que deben decir a un gobierno qué hacer. En todo caso, deberían ser los epidemiólogos los que escojan, no los tecnólogos. Nosotros ofrecemos diversas opciones y dejamos a los gobiernos escoger lo que mejor les conviene. Nadie dice que el protocolo DP-3T sea una mala tecnología, todo lo contrario. Pero también creo que el otro protocolo que hemos presentado, llamado NTK, es muy bueno.

P. Habla todo el rato en primera persona del plural. ¿Quién es ese "nosotros"? Toda la información pública disponible del PEPP-PT indica que ese nosotros es en realidad básicamente usted.

R. Hay una larga lista de instituciones en la web que nos han dado su apoyo. Vamos a publicar pronto un documento de gobernanza, de cómo nos organizamos. Hay mucha gente que lleva trabajando unas cinco semanas en esto, creando la infraestructura, no hablando en Twitter en público. Muchos no quieren aparecer. Pero esté seguro que publicaremos estos documentos, no soy solo yo.

P. ¿Hay alguien de España involucrado en el PEPP-PT?

R. De momento no. El equipo español que está trabajando en esto lo está haciendo desde el punto de vista técnico puramente, pero daremos la bienvenida a cualquier país que quiera participar.

P. ¿Por qué aparece entonces el logo del Ellis Institute de Alicante en su web? ¿Ha hablado con alguien allí para poner su logo en la web?

R. No he hablado con nadie del Ellis Institute. El PEPP-PT comenzó como una red de expertos y científicos que a su vez conocen a otros expertos y científicos. Así es cómo surge la red de participantes y como acaban apareciendo los logos. Pero puedo mirar el nombre exacto de la persona que contactó con ellos y por qué apareció. No se preocupe por esto, no ponemos logos en la web sin más.

***

Tres días después de realizarse esta entrevista (el sábado 18 de abril), y tras una nueva petición de este diario para recibir los nombres, Boos no había enviado aún la información prometida. Sin embargo, el logo del Ellis Institute de Alicante desapareció misteriosamente de la web del PEPP-PT solo 24 horas después de preguntarle a Boos por sus contactos con este organismo.

No conozco a Hans, no sé quién es este señor ni de dónde sale, desde luego no del ámbito científico

Consultada por El Confidencial, Nuria Oliver, científica de datos, cofundadora del Ellis Institute a nivel europeo y responsable de la unidad de Alicante, asegura que sí estuvo en contacto con algunos de los impulsores iniciales del PEPP-PT. "No conozco a Hans, no sé quién es este señor ni de dónde sale, desde luego no del ámbito científico. Nuestro apoyo al PEPP-PT surgió porque un día hablé con Marcel Salathé, Ciro Cattuto y Thomas Wiegand, me comentaron el proyecto y me pareció interesante. Por eso se puso nuestro logo allí. Sin embargo, al ver que en los últimos días la situación había degenerado, que ha habido un cisma interno y que ni Marcel ni Ciro formaban parte ya del proyecto [ambos decidieron abandonar el PEPP-PT acusando también a Boos de opacidad], decidí pedirles que retiraran el logo de la web", aclara Oliver.

***

P. ¿Ha hablado con alguien del Gobierno español?

R. No, no he hablado con nadie del Gobierno español. Sé que ellos han estado en contacto con gente de la organización, pero yo hasta ahora no. Sí puedo decir que me escribieron desde la Secretaría de Estado de Digitalización para tener una llamada este lunes.

***

"Hemos estado en contacto con gente del PEPP-PT antes pero no con Hans. Ahora solicitamos una llamada para entender qué estaba pasando con todo este jaleo del que nos enteramos por Twitter", confirman fuentes del Ejecutivo conocedoras de la conversación este lunes con Hans Christian Boos. Estas mismas fuentes aseguran que la llamada con Boos fue cordial y se limitó aclarar lo ocurrido. "Nos dijo que como el DP-3T ya no formaba parte del PEPP-PT, nos presentaría pronto otra opción de modelo descentralizado. Estamos esperando a verla. De momento vamos a dejar pasar unos días para que se asiente toda esta confusión, que se sepa más sobre el piloto de Alemania, y luego tomaremos una decisión. Nuestra apuesta sigue siendo un modelo descentralizado", explican.

***

P. El Gobierno español hasta ahora ha sido muy claro en una cosa: apuestan por un modelo descentralizado, que garantice al máximo la privacidad. Ahora que el DP-3T, que era el protocolo descentralizado más avanzando, se ha desligado del PEPP, ¿cuál es la propuesta del consorcio en este frente?

R. Todas las propuestas descentralizadas son muy parecidas, todas siguen el mismo principio. Tenemos ahora mismo un proceso abierto para ver quién ocupará su sitio, y va a ocurrir muy pronto. ¿Está seguro que el Gobierno español ha pensado también en la parte epidemiológica y no solo en la tecnológica? Porque si solo piensan en la parte tecnológica y de seguridad, llegaría a la misma conclusión que ellos. Pero si piensas en lo que realmente puedes hacer con estas soluciones, igual buscan alternativas.

P. ¿Quién está detrás de este otro protocolo que han presentado, el NTK (Need To Know)?

R. Es un conglomerado de especialistas en seguridad informática del Fraunhofer Institute, en Munich. Ya se está haciendo un piloto en Alemania con una 'app' basada en este sistema. No han publicado nada antes porque no lo ven solo como un proyecto científico, es un tema de gestión de pandemias. Es un modelo semicentralizado, solo centraliza los IDs anónimos de los contactos de la gente, lo que te permite construir un gráfico social de contactos. Eso es lo que los epidemiólogos están pidiendo. Esta es la gran diferencia: un modelo descentralizado como el del DP-3T no te permite construir ese gráfico social de contactos.

P. Pero el Parlamento Europeo ha sido muy claro en sus recomendaciones: apuesta por un modelo descentralizado.

R. Mi trabajo no es decirle al Parlamento Europeo o a los Gobiernos qué hacer. El Parlamento Europeo puede decidir lo que quiera. Ahora parece que lo tienen claro, que prefieren modelos descentralizados. No estoy seguro que eso funcione para todos los países. Y son los gobiernos nacionales los que al final tienen que decidir. Pero nosotros no tomamos una posición. Decimos que ambos modelos crean privacidad. Hasta ahora, de todas las conversaciones que he tenido, nunca he oído que un modelo semicentralizado como el que hemos propuesto infrinja la privacidad. Y si lo hiciera, lo reemplazaríamos inmediatamente con otro sistema.

P. ¿Tiene el consorcio PEPP- PT apoyo formal o informal del Gobierno alemán?

R. No somos una organización gubernamental. Si un gobierno nos apoya, genial, si no lo hace, también. El gobierno alemán nos ha mencionado varias veces en sus documentos, pero no somos una organización gubernamental ni recibimos dinero de ellos ni de nadie hasta el momento. La única organización que ha recibido donaciones en este frente es el EPFL de Suiza. Nosotroso no hemos recibido un solo euro de nadie.

P. ¿Por qué necesitamos una iniciativa como el PEPP-PT? Los líderes de cada sistema en el EPFL o el Fraunhofer Institute pueden hablar directamente con los Gobiernos y estos decidir. ¿Qué aporta el PEPP-PT en todo esto?

R. En nuestro modelo hay 12 variables necesarias para construir un sistema de rastreo de contactos. La seguridad informática es solo una de esas 12 variables. Imagine 12 proyectos hablando entre sí para coordinarse y los Gobiernos hablando con ellos. Es imposible. PEPP-PT es un paraguas para organizar todo esto de forma que funcione y para tener debates científicos internos sin que afecten a la confianza de los ciudadanos sobre esas 'apps'.

P. El PEPP-PT es un consorcio cuyo miembro principal, el Fraunhofer Institute, es el que está creando el protocolo por el que apuestan. ¿No hay conflicto de interés ahí?

R. Lo era también el EPFL, y debían haberse quedado en el PEPP-PT y no actuar como un niño que se va del parque porque no son el único juguete. Nosotros funcionamos como un sistema para promocionar las diferentes opciones, ellos ahora están promocionánse a sí mismos. Es un poco triste e irresponsable.

P. Esta pelea pública ha hecho nucho daño a la imagen del PEPP-PT. ¿Es irreparable?

R. Si el juego se acaba para el PEPP-PT, entonces el juego se acaba para las 'apps' de rastreo de contactos, porque eso es lo que en el fondo se estaría dañando. Por eso tenemos que tener mucho cuidado y recuperar esa confianza. Sabíamos que vendría este debate sobre seguridad y privacidad, por eso creamos PEPP-PT antes de que hubiera ninguna 'app' disponible.

P. Apple y Google apuestan claramente por un modelo descentralizado, al revés del que han propuesto ustedes. ¿Qué le parece?

R. Es genial que Apple y Google se unan y hagan algo, pero creo que no deberían decir a los Gobiernos qué deben hacer. Ya son dueños de los sistemas operativos, y no estoy seguro que sea una buena idea que sean dueños de otras cosas. Creo que quieren ayudar y no aumentar su poder, pero también creo que ellos mismos deberían de ofrecer elección. ¿Quiénes son ellos para decidir cómo deben gestionar los Gobiernos sus sistemas sanitarios?