La Comisión Federal de Comunicaciones (FCC) ha prohibido la comercialización y venta en Estados Unidos de una cámara para salpicadero y un transmisor de vídeo inalámbrico tras descubrir que ambos contenían chips con capacidad de vigilancia fabricados por HiSilicon, filial de Huawei. Esta medida constituye la primera aplicación por parte de la agencia de una nueva normativa que abarca los componentes "inteligentes" de los dispositivos de consumo terminados, según el comunicado de la FCC y un informe independiente de Reuters.
La FCC no identificó las marcas ni los números de modelo de los dos dispositivos. Indicó que su Oficina de Ingeniería y Tecnología determinó que cada modelo contenía un chip fabricado por HiSilicon, empresa controlada por Huawei. La agencia describió el componente como destinado a aplicaciones de vigilancia y con capacidad para la detección facial. The Verge identificó el componente como un sistema en chip Hi3516CV610 utilizado para procesar imágenes de cámaras, aunque señaló que el gobierno no reveló los nombres de los productos terminados.
Una norma dirigida a los componentes, no solo a las marcas
La decisión es importante porque el marco de seguridad de equipos anterior de la FCC se centraba principalmente en productos terminados fabricados por entidades incluidas en su Lista de Dispositivos Cubiertos. La última norma de la agencia cierra lo que describió como una laguna legal en los componentes: un fabricante no puede obtener autorización para un dispositivo terminado si contiene hardware con lógica de una entidad incluida en la lista, y el mismo dispositivo habría estado prohibido si dicha entidad hubiera producido el producto completo. La norma federal indica que dichos componentes pueden permitir la interceptación, la interrupción, el sabotaje o el acceso no autorizado, independientemente del nombre que figure en el dispositivo terminado.
La nueva norma abarca circuitos integrados, módulos, subconjuntos y otros componentes de hardware que realizan procesamiento digital, almacenamiento o transferencia de datos. Excluye componentes pasivos o mecánicos como carcasas, sujetadores, cableado, resistencias y baterías comunes. La norma se aplica de forma prospectiva a las nuevas solicitudes de autorización de equipos y, por lo general, no afecta a los productos previamente autorizados, un límite que también se refleja en la ley federal que rige el programa de equipos cubiertos de la FCC.
Esa distinción es importante para los consumidores. La medida impide que los dos modelos reciban las aprobaciones federales necesarias para su comercialización y venta legales; no se trata de un anuncio de retirada que abarque todas las cámaras de salpicadero, cámaras de seguridad doméstica o transmisores de vídeo ya en uso. La FCC tampoco ha afirmado que los dos productos rechazados fueran detectados transmitiendo datos, ni que se haya demostrado que sus chips contuvieran software espía activo. Su argumento se basa en la condición de seguridad nacional del fabricante y en las capacidades técnicas de los componentes, en lugar de en un hallazgo que indique que un cliente en particular fue objeto de vigilancia.
Lo que la FCC está tratando de evitar
El Congreso creó el marco de la Lista de Equipos Protegidos mediante la Ley de Redes de Comunicaciones Seguras y Confiables y, posteriormente, ordenó a la FCC que dejara de revisar o aprobar nuevas solicitudes de autorización para equipos incluidos en dicha lista. El texto legal se centra en equipos que pueden exponer el tráfico de los usuarios, permitir la interrupción remota o, de otro modo, generar un riesgo inaceptable para la seguridad nacional o la seguridad pública. Huawei ha figurado desde hace tiempo dentro de este marco de seguridad federal, y la FCC ahora considera que los componentes lógicos relevantes de las entidades incluidas en su lista conllevan el mismo riesgo en los productos ensamblados por otras empresas.
El presidente de la FCC, Brendan Carr, afirmó que los dispositivos que contienen chips de vigilancia de entidades incluidas en la Lista de Dispositivos Protegidos representan un riesgo inaceptable y elogió a la oficina de ingeniería por impedir que estos modelos llegaran al mercado. Reuters informó que Huawei no respondió de inmediato a su solicitud de comentarios y que no fue posible contactar con HiSilicon. Esta información faltante es importante, ya que los documentos públicos no incluyen una refutación técnica del fabricante de chips ni de los fabricantes de dispositivos no identificados.
Esta medida también impone mayores exigencias de cumplimiento a fabricantes, importadores y vendedores en línea. Los fabricantes de dispositivos que buscan la autorización de la FCC deben saber quién produjo los componentes digitales relevantes dentro de sus productos. La norma general aclara que los mercados en línea pueden enfrentar sanciones cuando comercializan dispositivos de radiofrecuencia no autorizados, e introduce gradualmente los requisitos para mostrar o verificar los números de identificación de la FCC en el punto de venta. Estas disposiciones para los mercados en línea entrarán en vigor en diferentes fechas en 2027, según el Registro Federal.
¿Qué sigue?
El alcance inmediato es limitado: se denegó el acceso al mercado estadounidense a dos modelos de dispositivos no identificados. El precedente es más amplio. Al aplicar la norma a los componentes en lugar de solo a los productos terminados, la FCC ha demostrado que una empresa no puede necesariamente eludir las restricciones de seguridad nacional al integrar un chip sujeto a la normativa en un dispositivo vendido bajo otra marca. La cobertura del sector realizada por Light Reading también describió el caso como la primera acción coercitiva en virtud de las normas sobre componentes que entraron en vigor recientemente.
Para los compradores, la señal práctica será cada vez más la identificación válida de la FCC del producto, en lugar de las suposiciones basadas en la marca impresa en la caja. Para los fabricantes y vendedores, este caso convierte el origen de los componentes en parte del riesgo de autorización. La FCC no ha revelado si hay otras solicitudes en revisión, por lo que se desconoce la cantidad de productos que podrían verse afectados. Lo que queda claro del primer caso es que la agencia pretende examinar los chips dentro de los dispositivos conectados, no solo a las empresas que los ensamblan y comercializan.
