Una prueba de autoría se pone a prueba una sola vez, el día en que alguien tiene motivos para dudar de ella. Es el peor momento para descubrir que lo que tenía era una afirmación disfrazada de prueba.
Cuatro elementos distintos deciden si un registro digital supera ese examen: un hash que lo vincula a un archivo exacto, un sello de tiempo que fija cuándo existió, una firma que lo vincula a una identidad real, y un certificado que permite a un desconocido comprobar los tres sin preguntarle nada. Falta uno, y el registro puede seguir pareciendo completo. Simplemente deja de funcionar en el momento en que alguien tiene motivos para comprobarlo.
El hash: prueba de qué archivo exacto
Un hash criptográfico es un valor de longitud fija calculado a partir de los bytes de un archivo. Cambie un carácter, un píxel, una línea de metadatos ocultos, y el hash deja de coincidir. Ese es todo su propósito: un hash no describe un archivo en términos generales, identifica una versión concreta de él.
La mayoría de las disputas no giran realmente en torno a si usted creó algo. Giran en torno a qué versión creó, y cuándo. Un nombre de archivo y una descripción son afirmaciones que alguien escribió. Un hash es un valor derivado del propio archivo, y por eso resiste una impugnación de un modo que una etiqueta nunca logra.
Un hash también funciona en un solo sentido. No puede usarse para reconstruir el archivo del que procede. Eso es lo que permite que un hash de contenido resida en una base de datos pública y consultable, un identificador de tipo ISCC que hace rastreable una obra para controles de infracción y licencias de entrenamiento de IA, sin que el archivo original salga jamás de su posesión.
El sello de tiempo: prueba de cuándo, procedente de alguien distinto a usted
Una fecha en su propio sistema es una fecha que usted mismo fijó. Reside en una base de datos que usted administra, en un servidor que controla, y cualquiera con los accesos adecuados podría cambiarla. Eso no la hace falsa. La vuelve inservible como prueba frente a una contraparte escéptica, porque la parte que afirma y la parte que escribió la fecha son la misma parte.
Un sello de tiempo electrónico cualificado procede de fuera de ese círculo. Un prestador cualificado de servicios de confianza lo emite sobre el hash, y con arreglo a eIDAS, un sello de tiempo cualificado goza de presunción legal respecto de la fecha y la hora que indica y de la integridad de los datos a los que está vinculado. La fecha deja de ser algo que usted afirma y pasa a ser algo que un tercero atestiguó, con independencia de sus propios sistemas.
Ese es el elemento que convierte "lo teníamos el tres de marzo" de una frase en un hecho que otra persona puede comprobar.
La firma: prueba de quién
Un hash prueba qué archivo. Un sello de tiempo prueba cuándo. Ninguno de los dos dice quién lo creó, y esa es precisamente la función de la firma, razón por la cual los tres no son intercambiables, sino acumulativos.
Una firma electrónica cualificada emitida a través de un prestador de servicios de certificación acreditado produce, conforme al derecho suizo, el mismo efecto jurídico que una firma manuscrita, con arreglo a ZertES. Ese efecto depende de que la firma esté vinculada a una identidad verificada en el momento de su emisión, no de que el firmante escriba su propio nombre en un formulario. Un nombre en un campo de texto es una afirmación sobre una identidad. Una firma cualificada solo se emite después de que esa identidad haya sido verificada por una parte distinta del firmante.
El certificado: prueba que cualquiera puede realmente comprobar
Los tres primeros elementos pueden ser todos ciertos y el registro puede fallar igualmente, si comprobar cualquiera de ellos exige confiar en la parte que afirma o contactarla directamente. Un certificado que agrupa el hash, el sello de tiempo y la firma en un solo documento, con un enlace que lleva a una página de verificación pública, es lo que cierra esa brecha.
La prueba es sencilla. Envíe el enlace a alguien sin cuenta, sin relación con usted y sin motivo para creer su palabra. Si esa persona puede abrirlo y confirmar el archivo, la fecha y la identidad sin enviarle un solo mensaje, el registro resiste. Si la verificación exige primero un correo a su equipo, lo que tiene es una afirmación mejor formateada, no una prueba.
Un ejemplo práctico
Una diseñadora entrega un concepto de marca a una clienta un martes. Tres meses después aparece un diseño casi idéntico procedente de otra fuente, y la diseñadora tiene que demostrar que su versión existía antes, sin cambios, y que era suya.
Un correo electrónico con el archivo adjunto muestra una fecha, pero esa fecha reside en un servidor de correo que la remitente no controla por completo, y el archivo adjunto podría en teoría insertarse en un hilo más antiguo. Un hash calculado a partir del archivo exacto entregado, con sello de tiempo de un prestador cualificado de servicios de confianza el día de la entrega, y firmado bajo una identidad verificada, responde a las tres preguntas a la vez: este archivo, esta fecha, esta persona. Quien compruebe el certificado más tarde no necesita creer el relato de la diseñadora. Comprueba el registro en su lugar.
Por qué una prueba parcial falla en el peor momento
Un archivo con solo un hash prueba que existe una versión, no cuándo ni por quién. Un archivo con solo un sello de tiempo interno prueba una fecha que alguien podría haberse fijado a sí mismo. Un archivo con solo una firma prueba una identidad, pero no qué versión de la obra firmó realmente esa identidad. Cada elemento responde a una pregunta distinta, y una disputa rara vez se limita a la única pregunta que responde su registro concreto.
Esto también explica por qué una casilla marcada no es lo mismo que un registro. Una declaración de "generado por IA" o "escrito por una persona" es tan cierta como la confianza que se deposite en quien la escribió. Vincule esa misma declaración a un hash y a un sello de tiempo cualificado, y deja de ser una afirmación que usted hizo para convertirse en un hecho sobre un objeto concreto, fechado por alguien que no era usted.
Por qué esto viaja a través de fronteras, y qué no hace
En virtud del Convenio de Berna, el derecho de autor surge automáticamente con la creación en más de 180 países, sin que se requiera ningún trámite en ninguno de ellos. Eso es un derecho, y ya cruza cada una de esas fronteras por sí solo. La prueba de cuándo y cómo lo ejerció no cruza una frontera de forma tan automática como lo haría una afirmación sin registrar, pero un hash, un sello de tiempo cualificado y una firma verificada son datos comprobables, y los datos comprobables funcionan igual dondequiera que alguien abra el enlace.
Dicho de forma acotada, porque aquí lo acotado es lo exacto: una página de verificación confirma que un archivo concreto coincidía con un hash concreto en un momento concreto, firmado por una identidad concreta. No es admisibilidad legal automática ante cualquier tribunal. Cómo trate un tribunal determinado una prueba determinada es cuestión de su propio procedimiento, y ninguna tecnología cambia eso. Lo que el registro le da es el mismo hecho subyacente, comprobable de la misma manera, sin importar en qué frontera acabe la disputa.
Una comprobación breve para sus propios registros
Antes de confiar en cualquier prueba de autoría que ya posea, cuatro preguntas deciden si resiste una impugnación: si identifica un archivo exacto en lugar de una simple descripción de él; si la fecha la fijó una parte distinta de usted; si la identidad que hay detrás está verificada por alguien distinto de quien la escribió; y si un desconocido puede comprobar todo eso sin enviar antes un correo a nadie. Un registro que responde sí a las cuatro preguntas es prueba. Uno que responde sí a una o dos es un conjunto de afirmaciones bien organizado.
La mecánica completa para producir un registro como este, desde la subida hasta el enlace de verificación, se explica en cómo funciona el proceso.
