El Manual de Tallin, el CICR y la doctrina militar: quién puede ser atacado, durante cuánto tiempo y quién decide dónde está el límite.
Una guerra nueva, una pregunta antigua
Imaginemos a una persona civil que dispara con un AK-47 contra una patrulla y después abandona el arma y se mezcla con la población. O a quien coloca un artefacto explosivo improvisado —un IED, en la terminología militar— y se marcha antes de que estalle. O a quien proporciona información para facilitar un ataque y vuelve después a su vida cotidiana hasta la siguiente operación. ¿Cuándo deja de ser un objetivo legítimo de ataque? ¿En el instante en que termina de disparar? ¿Cuándo se aleja del lugar? ¿Cuándo puede considerarse que ha abandonado definitivamente las hostilidades? ¿Y qué ocurre cuando la información disponible permite sospechar que volverá a participar?
No son preguntas nuevas. Tampoco tienen respuestas tan sencillas como podría sugerir una lectura apresurada del derecho internacional humanitario (DIH). El nombre parece remitir a la protección de las víctimas, la asistencia a los heridos o el trato a los prisioneros; pero también regula algo bastante menos amable: quién puede ser atacado, en qué circunstancias y durante cuánto tiempo. Por eso se conoce también como Law of Armed Conflict (LOAC), una denominación que, sin eufemismos, recuerda que el derecho no solo trata de proteger a quienes sufren la guerra, sino también de establecer los límites dentro de los cuales se puede hacer la guerra.
La aparición de las operaciones cibernéticas no ha creado el problema, aunque sí ha multiplicado las dificultades para identificar a sus autores, determinar sus efectos y establecer su relación con las hostilidades.
Quien interfiere en una red militar, facilita información para seleccionar un objetivo o ejecuta una operación informática que perjudica la capacidad militar del adversario puede plantear problemas jurídicos comparables a los del combatiente que utiliza un fusil o un explosivo. Comparables, no idénticos: en el ciberespacio pueden ser inciertas la autoría, la conexión con una operación militar y hasta la existencia de un daño material. Pero el interrogante de fondo sigue siendo reconocible: qué conducta permite considerar que alguien participa directamente en las hostilidades y qué consecuencias jurídicas tiene esa participación.
El derecho no necesita inventar una categoría completamente nueva cada vez que aparece un arma o un procedimiento diferente. Necesita determinar qué reglas existentes son aplicables, qué cuestiones resuelven y dónde comienzan las incertidumbres. El problema es que las interpretaciones de esas reglas no siempre coinciden, especialmente cuando la protección de la población civil entra en tensión con las necesidades operacionales de las fuerzas armadas.
Tallin: interpretar el derecho no es legislar
El Manual de Tallin constituye uno de los intentos más conocidos de analizar la aplicación del derecho internacional a las operaciones cibernéticas. Su primera edición, publicada en 2013, se concentraba en el derecho aplicable a la ciberguerra; la segunda, de 2017, amplió el análisis a cuestiones que también se plantean fuera de un conflicto armado, como la soberanía, la responsabilidad internacional y las contramedidas.
Conviene aclarar desde el principio qué es y qué no es. El Manual de Tallin es una obra de expertos, no un tratado internacional ni una norma aprobada por la OTAN. Sus reglas y comentarios ofrecen interpretaciones jurídicas de las normas existentes, pero no convierten por sí mismos esas interpretaciones en derecho vinculante. Que un grupo de especialistas considere que una determinada regla refleja el derecho internacional no demuestra automáticamente que todos los Estados compartan esa conclusión.
Esta distinción es esencial. Una cosa es que el derecho internacional humanitario se aplique a las operaciones cibernéticas vinculadas a un conflicto armado; otra, que exista acuerdo sobre cómo aplicar cada una de sus reglas a situaciones nuevas. La primera afirmación cuenta con un respaldo mucho más amplio que muchas de las respuestas concretas que se proponen para la segunda.
¿Es un ataque cibernético un «ataque» en el sentido del DIH cuando interrumpe temporalmente el funcionamiento de una infraestructura, pero no destruye físicamente nada? ¿Qué sucede si altera datos esenciales para el funcionamiento de un hospital? ¿Puede considerarse objetivo militar un sistema informático civil que también presta servicios a las fuerzas armadas? ¿Qué grado de daño permite hablar de un uso de la fuerza o de un ataque armado en el sentido de la Carta de las Naciones Unidas?
No todas estas preguntas tienen una respuesta universalmente aceptada. El Manual de Tallin resulta valioso precisamente porque permite localizar las zonas de acuerdo y de controversia. Sería un error utilizarlo como si fuese un código jurídico internacional recién promulgado.
El CICR y la participación directa en las hostilidades
El Comité Internacional de la Cruz Roja (CICR) aborda el problema desde una posición institucional diferente. Su cometido humanitario le lleva a insistir en la protección de las personas que no participan, o han dejado de participar, en las hostilidades. Su Interpretive Guidance on the Notion of Direct Participation in Hostilities under International Humanitarian Law, publicada en 2009, propone criterios para distinguir la participación directa de otras formas de apoyo a una parte en conflicto.
La guía utiliza tres elementos: un umbral de daño, una relación causal directa entre el acto y el daño esperado, y un nexo beligerante, es decir, una conexión del acto con las hostilidades entre las partes. La propaganda política, el apoyo general a una causa o cualquier actividad económica relacionada con una parte no convierten automáticamente a quien las realiza en objetivo militar. Tampoco todo trabajo técnico o informático en beneficio de una fuerza armada equivale necesariamente a participación directa.
La guía sostiene, además, que los civiles pierden la protección frente al ataque directo durante el tiempo en que participan directamente en las hostilidades. Es la llamada revolving door, la «puerta giratoria»: la protección puede perderse durante una participación concreta y recuperarse cuando esta termina. La interpretación del CICR comprende las fases integrales de preparación, despliegue y retirada, pero no considera suficiente la mera repetición de actos para prolongar automáticamente la pérdida de protección entre ellos.
Debe añadirse una precisión que a menudo se pierde en las discusiones sobre el documento: la guía expresa la posición interpretativa del CICR, no un consenso jurídico vinculante de todos los Estados. El proceso de expertos que precedió a su publicación no consiguió unanimidad sobre todas las cuestiones. La autoridad humanitaria de la institución no sustituye la necesidad de justificar jurídicamente cada conclusión.
La puerta giratoria: el derecho y las necesidades operacionales
Aquí comienza el desacuerdo más interesante. El Departamento de Defensa estadounidense aborda expresamente la cuestión en su Law of War Manual, actualizado en julio de 2023. El apartado 5.8.4.2 lleva un título inequívoco: «No “Revolving Door” Protection». El manual rechaza que quien participa repetidamente en las hostilidades recupere necesariamente la protección en cada intervalo entre actos. Una pauta de participación directa puede justificar, según la interpretación estadounidense, que la pérdida de protección se prolongue entre sucesivas participaciones.
La posición tiene una lógica operacional comprensible. Si un individuo participa reiteradamente en ataques, se retira durante un tiempo y vuelve a participar, la interrupción material de su actividad no demuestra por sí sola que haya abandonado las hostilidades. Exigir que el adversario vuelva a tratarlo como civil en cada pausa puede dificultar la respuesta militar.
Pero el argumento también tiene un coste jurídico potencial. Si la reiteración pasada se convierte en razón suficiente para mantener la condición de objetivo durante los intervalos, la protección puede dejar de depender de la participación efectiva y pasar a depender de una inferencia sobre la conducta futura. Cuanto más amplia sea esa inferencia, mayor será el riesgo de que una persona quede expuesta a un ataque por su historial, aunque en el momento considerado no esté participando directamente.
El desacuerdo con el CICR no reside necesariamente en la aceptación de la regla general, sino en el alcance que se le atribuye cuando llega el momento de aplicarla. Se puede coincidir en que los civiles que participan directamente en las hostilidades pierden la protección frente al ataque directo durante el tiempo de esa participación y discrepar sobre qué significa exactamente ese intervalo. Para el CICR, la protección se recupera cuando termina la participación directa; el manual estadounidense admite que una pauta de participación repetida puede justificar que la pérdida de protección se prolongue entre actos. La diferencia no es puramente académica: delimita de manera distinta las personas que pueden ser objeto de un ataque.
La cuestión no se resuelve diciendo que el militar necesita actuar con eficacia ni, en el extremo contrario, que cualquier pausa restablece automáticamente la protección. Hay que determinar qué permite inferir que la participación continúa, qué información sustenta esa conclusión y qué conexión existe entre los actos sucesivos. El problema consiste en evitar tanto una regla mecánica de protección intermitente como una pérdida de protección indefinida basada únicamente en el pasado. La regla puede parecer la misma mientras no se examinan sus consecuencias operativas.
Israel: la misma tensión ante un tribunal
La sentencia del Tribunal Supremo de Israel de 14 de diciembre de 2006, en el asunto Public Committee Against Torture in Israel v. Government of Israel (HCJ 769/02), ofrece un contraste particularmente útil.
Al examinar la política de asesinatos selectivos, el Estado defendió, entre otros argumentos, una interpretación que permitía considerar la participación sistemática en actividades hostiles como fundamento para atacar a una persona más allá del instante concreto en que ejecutaba un acto. El Tribunal Supremo consideró que el requisito temporal de la participación directa reflejaba derecho internacional consuetudinario, aunque Israel no fuese parte del Protocolo adicional I de 1977.
La sentencia no convirtió, sin embargo, la repetición de actos en una autorización ilimitada. Distinguió entre la participación esporádica que ha cesado y una serie de operaciones conectadas, con interrupciones breves que pueden formar parte de la misma secuencia hostil. En las situaciones intermedias exigió examinar las circunstancias concretas y disponer de información fiable. La resolución tampoco declaró lícito de antemano cualquier asesinato selectivo: reclamó una evaluación individual de las operaciones y la posibilidad de revisión posterior.
El paralelismo con la doctrina estadounidense es evidente, pero no es total. Ambos enfoques reconocen que la continuidad entre operaciones puede ser jurídicamente relevante. No formulan, sin embargo, una regla idéntica ni justifican de la misma manera la duración de la pérdida de protección. La sentencia israelí reconoce expresamente la existencia de zonas grises; el manual estadounidense formula una posición institucional más general contra la protección intermitente cuando existe un patrón de participación directa.
La comparación muestra algo más importante que una coincidencia terminológica: la regla básica puede ser ampliamente aceptada y, al mismo tiempo, existir desacuerdo sobre cómo delimitar temporalmente sus consecuencias. El conflicto se desplaza hacia la definición de participación directa, la prueba de la continuidad y la amplitud de la inferencia que puede extraerse del historial de una persona.
¿Y si el combatiente utiliza un ordenador en lugar de un AK-47?
Volvamos al punto de partida. Un combatiente que dispara con un AK-47 y se mezcla con la población, quien coloca un IED y se marcha, y quien participa en una operación cibernética no son necesariamente equivalentes desde el punto de vista jurídico. Pero la tecnología no elimina las preguntas que plantea su conducta.
Un ataque informático dirigido a inutilizar un sistema militar puede estar estrechamente vinculado a las hostilidades. La transmisión de información de inteligencia destinada a un ataque concreto puede tener una conexión directa con el daño esperado. En cambio, el mantenimiento informático general, la propaganda o el apoyo técnico sin una relación suficientemente directa con el daño no convierten automáticamente a su autor en objetivo militar.
En los casos difíciles, la dificultad consiste en identificar al responsable, conocer su relación con la operación y establecer cuándo empieza y termina su participación. En el ciberespacio puede resultar especialmente complicado: la actividad puede ejecutarse a distancia, a través de equipos de terceros o desde una infraestructura compartida por usuarios civiles y militares. La apariencia técnica de una operación no determina por sí sola su calificación jurídica.
Por eso la analogía con el combatiente que se mezcla entre civiles resulta útil, pero también tiene límites. No todo operador informático es un combatiente, ni toda actividad cibernética hostil constituye un ataque en el sentido del DIH. La categoría jurídica depende de la naturaleza de la conducta, de sus efectos y de su relación con las hostilidades, no de que la herramienta utilizada sea un fusil, un explosivo o un ordenador.
Hay una escena de la guerra de Ucrania que permite salir del laboratorio conceptual de la ciberguerra y volver a la calle. En territorios ocupados por las fuerzas rusas, civiles ucranianos contaron que los soldados les requisaban los teléfonos, les exigían las claves de acceso y los interrogaban por sus contactos, fotografías y mensajes. En algunos lugares, conservar un teléfono operativo podía acarrear amenazas de muerte. En otros casos, la sospecha de que alguien transmitía información al ejército ucraniano desembocaba en la detención y desaparición de esa persona. Human Rights Watch documentó estos testimonios durante los primeros meses de la invasión a gran escala, y las investigaciones sobre Bucha describieron registros dirigidos expresamente a localizar supuestos informantes y observadores militares.
El teléfono, por tanto, se encontraba a mitad de camino entre dos mundos. Era un objeto de uso cotidiano, pero también podía servir para fotografiar posiciones, transmitir coordenadas o advertir de los movimientos del enemigo. Una persona que proporcionase deliberadamente información de localización para facilitar un ataque concreto podría estar participando directamente en las hostilidades, dependiendo de las circunstancias y de la función efectiva de esa información. Pero llevar un móvil en la mano, tener fotografías militares almacenadas o mantener contactos con alguien del ejército no demuestra, por sí solo, que se esté participando directamente en el combate.
Ahí reside la diferencia entre identificar una conducta militarmente relevante y convertir una sospecha en una presunción de culpabilidad. El derecho humanitario no autoriza a tratar a todos los civiles como combatientes potenciales porque dispongan de una herramienta que también puede utilizarse con fines militares. Y ni siquiera la participación directa en las hostilidades equivale a una licencia para ejecutar a una persona que ya está detenida o bajo control del adversario. La distinción no desaparece porque el arma sea un fusil, un explosivo improvisado o un teléfono conectado a una red: lo que importa es la conducta concreta, su relación con las hostilidades y la situación en que se encuentra la persona.
La escena sirve, además, para recordar que la ciberguerra no transcurre necesariamente en un espacio virtual separado del campo de batalla. La información puede circular por una red digital y terminar convertida en un proyectil que alcanza una vivienda, un vehículo o una persona. El civil que transmite coordenadas y el operador militar que las utiliza ocupan posiciones distintas en esa cadena; pero, para aplicar el derecho, hay que examinar qué hace cada uno, qué efecto produce su conducta y qué puede saberse legítimamente sobre ella. El teléfono no convierte automáticamente a su dueño en combatiente, del mismo modo que un ordenador no convierte automáticamente a quien lo maneja en un objetivo militar.
La identificación de una persona como objetivo lícito de ataque tampoco resuelve todas las cuestiones. El DIH no impone una obligación general de intentar capturar a un combatiente antes de recurrir a la fuerza letal, ni exige que las fuerzas propias asuman cualquier riesgo para evitar su muerte. Pero la dificultad de la captura no constituye una autorización automática para matar: siguen siendo aplicables las reglas sobre distinción, proporcionalidad y precauciones, así como la prohibición de atacar a quien esté fuera de combate. La licitud del objetivo y la licitud de la operación son cuestiones distintas
Ucrania: la doctrina también depende de las instituciones
La comparación con Ucrania añade una dimensión institucional. Las Fuerzas Armadas ucranianas cuentan con instrucciones ministeriales sobre la aplicación del DIH y han elaborado materiales de formación y planificación en colaboración con el CICR. Esa cooperación constituye un indicio relevante de que se busca integrar el derecho humanitario en la instrucción militar y en los procesos de decisión operacional.
No demuestra por sí sola que Ucrania acepte todas las interpretaciones del CICR, ni que las reglas se cumplan siempre en la práctica. Conviene distinguir la colaboración institucional, la incorporación de una interpretación concreta a los manuales y el comportamiento efectivo durante las operaciones. Son niveles distintos y requieren pruebas distintas.
El contexto de la guerra también importa. En una guerra convencional entre fuerzas armadas identificables, la determinación de quién constituye un objetivo militar suele ser más sencilla que en una contrainsurgencia en la que combatientes y civiles comparten espacios, apariencia y redes sociales. La invasión rusa a gran escala iniciada en 2022 transformó el contexto operacional ucraniano, aunque el conflicto armado en el este del país ya existía desde 2014. Ninguno de esos contextos elimina la obligación de distinguir entre objetivos militares y personas protegidas.
La cooperación ucraniana con el CICR contrasta con la divergencia expresamente formulada por el Departamento de Defensa estadounidense en materia de «puerta giratoria». No permite concluir que un Estado respete el derecho y otro no; sí permite estudiar cómo distintas instituciones militares incorporan, matizan o rechazan interpretaciones jurídicas propuestas por una organización humanitaria.
¿Un derecho nuevo o una prueba de resistencia del derecho existente?
El Manual de Tallin, la guía del CICR, el manual estadounidense y la sentencia israelí no ofrecen una doctrina única. Muestran distintas formas de aplicar el derecho internacional a situaciones en las que la identificación del objetivo, la duración de la participación y la protección civil plantean dificultades.
Hay un peligro en ambas direcciones. Por un lado, convertir la interpretación del CICR en una regla universal sin demostrar suficientemente su fundamento convencional o consuetudinario. Por otro, presentar las necesidades operacionales como una razón suficiente para ampliar la categoría de personas atacables más allá de lo que permite el derecho aplicable. La autoridad de una institución humanitaria no crea por sí sola una norma; la necesidad militar tampoco dispensa de justificar jurídicamente una interpretación.
El ciberespacio no ha inventado la tensión entre la protección civil y la eficacia militar. La ha trasladado a un entorno en el que la autoría puede ser opaca, los efectos difíciles de medir y las actividades civiles y militares pueden compartir infraestructuras. El problema sigue siendo el mismo que con el AK-47 y el IED: quién participa en las hostilidades, qué relación tiene su conducta con el daño y cuándo puede afirmarse que esa participación ha terminado.
La pregunta decisiva no es si debemos aplicar a la tecnología nueva categorías antiguas sin más. Es si somos capaces de adaptar su interpretación sin vaciarlas de contenido. Porque el principio de distinción no sirve para prometer una protección absoluta en cualquier circunstancia. Sirve para impedir que la incertidumbre, la sospecha o la conveniencia operacional conviertan a la población civil en un objetivo indistinto.
Y esa es una prueba que el derecho internacional humanitario lleva mucho tiempo afrontando. El ciberespacio no hace más que obligarnos a plantearla de nuevo.