Una firma responde a una pregunta: quién. Un sello de tiempo cualificado responde a otra: cuándo. La mayoría de las disputas sobre autoría, divulgación de IA, o sobre quién creó algo primero, terminan dependiendo mucho más de la segunda pregunta que de la primera, y por eso un sello de tiempo suele pesar más de lo que se espera al principio.
Qué es realmente un sello de tiempo electrónico cualificado
Un sello de tiempo no guarda su archivo. Guarda un hash criptográfico del archivo, un valor de longitud fija derivado de los propios bytes, y vincula ese hash a un instante concreto mediante la firma de un tercero de confianza. El mecanismo que usan la mayoría de los sistemas está descrito en la RFC 3161, el protocolo de sellado de tiempo, que define cómo una autoridad de sellado recibe un hash, le añade la hora actual, y devuelve un token firmado que cualquiera podrá verificar más tarde sin volver a contactar a esa autoridad.
Según el reglamento europeo eIDAS, un sello de tiempo solo se vuelve cualificado cuando lo emite un prestador de servicios de confianza cualificado, sujeto a requisitos concretos de supervisión y auditoría. El artículo 41 de ese reglamento otorga a un sello de tiempo electrónico cualificado una presunción legal en cuanto a la fecha y hora que indica y a la integridad de los datos a los que está vinculado. Esa presunción es el punto central. Una fecha guardada en su propio sistema de archivos, su propia nube o su propia herramienta de proyecto es una fecha que usted mismo produjo, y una fecha que le pueden pedir que justifique. Un sello de tiempo cualificado es una fecha producida por un tercero autorizado, según reglas fijadas por la normativa y no por usted.
Por qué el cuándo suele decidir la disputa
Tome una disputa de autoría típica. Ambas partes afirman haber creado algo primero, o una acusa a la otra de haber copiado. La identidad de quien creó rara vez es el hecho discutido, ambas partes suelen coincidir en quién hizo cada versión. Lo que se discute es el orden: qué versión existió primero, y en qué momento tuvo cada parte acceso real al material en cuestión.
El mismo patrón aparece en la divulgación de contenido con IA. Que un texto sea generado por IA, asistido por IA, o escrito por una persona, es una afirmación que se hace en el momento de publicar. Lo que hace que esa afirmación sea comprobable más tarde no es la etiqueta en sí, sino la prueba de cuándo se colocó, porque una etiqueta añadida después de que alguien ya haya planteado una duda vale muy poco.
El trabajo con clientes sigue la misma lógica. Un autónomo y un cliente no están de acuerdo sobre qué versión se entregó en qué fecha, o si una solicitud de cambio llegó antes o después de un hito. Nada de esto depende de quién redactó el documento. Todo depende de una cronología que ninguna de las dos partes controla en solitario.
Lo que los registros que ya tiene no le dan
La mayoría de los equipos asumen que ya tienen esto cubierto. Un correo con fecha, la propiedad de última modificación de un archivo, un historial de commits en un repositorio de código, una fecha de guardado en un espacio en la nube. Cada uno lleva una fecha, y cada uno está en poder, almacenado y es editable por la misma parte que hace la afirmación. La fecha de modificación de un archivo cambia en cuanto se copia o se reabre en otro equipo. La fecha de un correo puede compararse con el registro de un servidor, pero ese servidor pertenece al proveedor que usted utiliza, y ese registro rara vez es algo que la contraparte pueda consultar directamente. Ninguno de estos registros se construyó para resistir el cuestionamiento de alguien con motivos para dudar, porque ninguno separa la fecha de la persona que la afirma.
Un sello de tiempo cualificado está construido precisamente para cerrar esa brecha. La fecha proviene de una parte sin interés alguno en el resultado de cualquier disputa en la que usted pueda acabar, sujeta a requisitos de supervisión y auditoría fijados por la normativa, y el registro puede ser comprobado por un desconocido sin necesitar su colaboración en absoluto.
En qué se diferencia de una firma
Una firma, cualificada o no, es un acto de identidad y consentimiento. Indica que una persona concreta revisó y aceptó un documento concreto. Swisscom Trust Services opera como prestador de servicios de certificación acreditado bajo el marco ZertES suizo, y una firma emitida de esa forma le dice al lector quién respalda el documento.
Un sello de tiempo no le dice quién. No exige verificación de identidad de la persona que lo solicita, y no hace ninguna afirmación sobre consentimiento o acuerdo. Lo que le dice es que un hash concreto, es decir, un archivo exacto, existía a más tardar en un instante determinado, atestiguado por una parte independiente sin interés en la disputa. Los dos mecanismos responden a preguntas distintas, y un registro completo suele necesitar ambos: una firma para saber quién respalda el contenido, un sello de tiempo para saber cuándo existió ese contenido en esa forma exacta.
Esta es también la razón por la que un sello de tiempo hace un trabajo que una firma no puede. Puede sellar en el tiempo un borrador que nadie ha firmado todavía, un documento interno que nunca llevará una firma formal, o un texto asistido por IA donde lo importante no es el consentimiento sino la cronología. Es la herramienta más ligera, y la que se aplica a más situaciones, lo cual explica en parte por qué se usa menos de lo que en realidad ayudaría.
Cuánto vale la presunción legal en la práctica
Vale la pena ser precisos sobre qué hace y qué no hace la presunción de eIDAS. Desplaza el punto de partida: un sello de tiempo cualificado se presume exacto en cuanto a fecha, hora e integridad de los datos, de modo que la parte que lo cuestiona carga con la prueba de lo contrario, en lugar de que la parte que lo invoca tenga que demostrar su exactitud desde cero. No obliga a ningún tribunal a aceptar todo argumento construido sobre él, y no sustituye otras pruebas que un caso pueda seguir necesitando. Lo que elimina es el eslabón más débil de la mayoría de los registros hechos por uno mismo: una fecha procedente de la misma parte que la afirma.
Esa es también la prueba práctica de si una fecha determinada vale algo en una disputa. Un campo de fecha que usted puede editar no es una prueba, es una afirmación. Una fecha atestiguada por un prestador de servicios de confianza cualificado bajo eIDAS, verificable por un desconocido sin contactarlo a usted, es algo de otra naturaleza. Nuestra página sobre eIDAS explica cómo funciona esa cualificación en concreto en Swiss Trust Layer, incluyendo qué prestador emite el sello de tiempo y qué ve un destinatario al comprobarlo.
Cómo lo comprueba en realidad un destinatario
El paso que hace que todo esto valga la pena ocurre fuera de su organización. Un sello de tiempo cualificado solo sirve si alguien sin motivo para confiar en usted puede confirmar por sí mismo que se sostiene. Eso significa una página de verificación pública, sin necesidad de cuenta, sin software que instalar, y sin necesidad de contactarlo a usted para preguntar si el registro es genuino. Envíe el enlace, y el destinatario comprueba el hash contra el archivo, el sello de tiempo contra el registro, y llega a su propia conclusión.
Aquí es donde falla en silencio mucha de la gestión de registros interna. Una cronología guardada en sus propios sistemas, por detallada que sea, sigue exigiendo que la otra parte confíe en sus sistemas. Un sello de tiempo cualificado traslada esa confianza a un tercero regulado en su lugar, y esa es precisamente la diferencia que importa cuando un desacuerdo se vuelve lo bastante serio como para que la confianza sea justo lo que falta.
Cómo encaja esto con el hash de contenido
El sello de tiempo fija cuándo existió un archivo concreto. Un mecanismo distinto, un hash de contenido ISCC registrado en una base de datos pública, es lo que hace que el contenido en sí sea rastreable más adelante sin exponer el archivo original, algo que importa para las comprobaciones de infracción y las cuestiones de licencia de entrenamiento de IA, que tienen poco que ver con las disputas de autoría pero todo que ver con saber dónde se ha usado un contenido desde entonces. Los dos funcionan juntos en lugar de sustituirse. El hash ISCC hace que el contenido sea identificable a gran escala. El sello de tiempo cualificado fija el instante en que existió una versión concreta de ese contenido.
Nada de esto exige que el trabajo subyacente esté terminado, registrado formalmente en algún sitio, o revisado antes por un abogado. Un sello de tiempo cualificado da fe de un instante, no del mérito de lo que existía en ese instante, y precisamente por eso se aplica tanto a un borrador como a un archivo terminado.
