Los 5, 9 y 14 Eyes, explicados

Las alianzas de los 5, 9 y 14 Eyes son acuerdos de intercambio de inteligencia, no leyes de hosting. Qué países forman cada nivel y cuánto peso darles.

La definición, con precisión

Los 5, 9 y 14 Eyes son la abreviatura de alianzas de intercambio de inteligencia que descienden del acuerdo de señales UKUSA de la época de guerra: un círculo interior de cinco agencias nacionales de inteligencia de señales que comparten por defecto la inteligencia recogida, más dos círculos más amplios que se incorporan a niveles específicos de intercambio. Los Cinco Ojos (Five Eyes) son Estados Unidos, Reino Unido, Canadá, Australia y Nueva Zelanda. Los Nueve Ojos añaden Dinamarca, Francia, Países Bajos y Noruega. Los Catorce Ojos añaden Alemania, Bélgica, Italia, España y Suecia.

Lo que estas etiquetas no son: normativas de hosting, leyes de protección de datos ni tratados que firme algún proveedor de VPS. Clasifican el grado de cooperación con el que los servicios de inteligencia de un conjunto de países comparten lo que recogen. Es un dato real del mundo y merece sopesarse, pero es un solo dato, y la mayor parte de lo que determina qué ocurre con tu servidor está escrito en leyes que el mapa de los Eyes nunca menciona.

Quién está en cada nivel

Los niveles son concéntricos y la lista de miembros lleva años estable.

Al confrontar la lista con otros datos, los límites de la etiqueta saltan a la vista. Alemania es miembro de los Catorce Ojos y tiene algunas de las protecciones constitucionales de la privacidad más estrictas que existen; Suiza e Islandia no pertenecen a ningún nivel, pero tampoco lo hacen muchas jurisdicciones que nadie pone en su lista corta por razones de Estado de derecho. La pertenencia describe el intercambio de señales entre Estados: nada en la tabla te dice cuál es la ley de retención, la norma de protección de datos ni el procedimiento al que responde realmente un host en ese país.

Cómo tomó forma el mapa

El nivel interior es el más antiguo: el acuerdo UKUSA se remonta a 1946, firmado por Estados Unidos y Reino Unido, con la incorporación de Canadá, Australia y Nueva Zelanda durante la década siguiente. Los niveles más amplios son etiquetas más recientes que sus compromisos: «Nueve Ojos» y «Catorce Ojos» entraron en el vocabulario público durante los años 2000 y en torno a las filtraciones de 2013, para nombrar acuerdos de cooperación bilateral y multilateral que ya existían antes de esos apodos. El mapa es, por tanto, un artefacto histórico tanto como jurídico: creció con la política de alianzas, no con el hosting, y nunca se rediseñó en torno a centros de datos, proveedores de nube ni la forma en que las pruebas cruzan fronteras hoy.

Qué hacen realmente las alianzas

Los miembros comparten inteligencia de señales recogida bajo programas nacionales, dividen las áreas de recolección para reducir duplicaciones y acuerdan reglas de manejo de lo que circula entre ellos. El efecto práctico que preocupa a los usuarios sensibles a la privacidad es el arbitraje de jurisdicciones entre aliados: la inteligencia reunida por un miembro conforme a sus normas internas puede alimentar a otro cuyas propias normas quizá habrían restringido directamente esa recolección. La cooperación documentada de este tipo es precisamente la razón por la que el mapa tiene su lugar en las decisiones de hosting.

Aun así, el intercambio funciona sobre inteligencia recogida sobre objetivos de interés para los Estados, no sobre un flujo permanente de clientes de hosting. Nada en la maquinaria de las alianzas ingiere una factura de VPS, y los miembros son rivales en el comercio aun siendo aliados en señales. Sopesa la etiqueta como una afirmación sobre la facilidad con que la inteligencia viaja entre cinco, nueve o catorce capitales, lo cual es una magnitud real, y resiste la tentación de que sustituya a la ley del país del rack.

En la práctica, los niveles también gradúan cuánto circula en ambos sentidos. Las relaciones bilaterales con el segundo círculo intercambian inteligencia masiva de forma continua; los acuerdos con el tercer círculo son más selectivos, y los socios fuera del mapa operan en acuerdos bilaterales aún más laxos. La traducción útil para un comprador de hosting es aproximada: dentro del círculo interior, la inteligencia viaja con el mínimo de preguntas, y cada anillo exterior añade selectividad. Una aproximación es todo lo que será jamás: las clasificaciones por encima de estos acuerdos superan cualquier cosa que un glosario pueda citar.

Qué no hacen las alianzas

No emiten órdenes judiciales, no anulan tribunales nacionales ni operan un tribunal compartido. Acceder a los datos de un servidor concreto sigue pasando por el procedimiento legal de cada país: requerimientos, órdenes judiciales y tratados de asistencia jurídica mutua cuando el objetivo está en otro lugar. Un host en cualquier país, dentro o fuera del mapa, responde primero al procedimiento legal de su propia instalación; la pertenencia a una alianza ni añade un atajo para los solicitantes extranjeros ni elimina las garantías nacionales que ese solicitante habría enfrentado en su casa.

El límite honesto también va en la otra dirección: la supervisión de los programas clasificados es imperfecta, la historia tiene filtraciones y la profundidad completa de la cooperación no es pública. Trata el nivel Eyes como un factor de riesgo sobre la recolección de metadatos y señales, no como prueba de vigilancia ni como prueba de seguridad. En la capa de hosting en concreto, lo que las alianzas demostrablemente no cambian es la ley que rige los discos, y esa ley es la que rige la operación real de tu proveedor.

Cuánto peso darle al elegir una región

Ordena los factores según la frecuencia con que deciden algo. Primero, la ley del país de la instalación: reglas de retención, norma de protección de datos y disciplina procesal. Islandia no aplica retención obligatoria de datos; Suiza aplica el FADP fuera del marco de la UE; Países Bajos ejecuta el proceso completo del RGPD europeo con el peering más denso de Europa. Esas diferencias pesan en solicitudes reales mucho más que la pertenencia a una alianza, y por eso cada una de nuestras doce ubicaciones publica su línea legal en el pago.

Segundo, tu propia exposición: si vives bajo un sistema jurídico de los Cinco Ojos, cambiar la bandera del servidor cambia poco en lo que te sigue a ti personalmente, y el mapa no dice nada sobre tus propios dispositivos. Tercero, la realidad técnica: el cifrado en reposo y en tránsito reduce lo que cualquier nivel de recolección puede leer de la máquina, según la guía de cifrado de disco completo. Cuarto, la aburrida economía de la latencia, el SLA y el peering, que ningún Eye cuenta. Las selecciones prácticas combinan Islandia, Suiza o Países Bajos con una lectura honesta de los límites del anonimato de un VPS sin KYC: primero la ley, luego el meme.

Una regla que funciona: deja que el mapa de los Eyes no elimine nada por sí solo, y deja que las leyes decidan. Un Estado miembro con fuertes garantías nacionales puede alojar mejor un proyecto legal que una jurisdicción sin clasificación y con un tribunal caprichoso, y ninguna etiqueta de alianza predice el uptime, la calidad del peering ni si el proveedor responde siquiera al correo de abuso. Lee el nivel, luego la ley de retención de datos y luego los términos publicados del proveedor, en ese orden, y solo entonces abre el pago.