TikTok anunció el viernes que el 100% del tráfico de usuarios estadounidenses ahora se enruta a través de Oracle Cloud Infrastructure, un cambio significativo en la forma en que la plataforma de videos de propiedad china maneja los datos estadounidenses y una respuesta directa a años de escrutinio por parte de la seguridad nacional. El anuncio se produjo el mismo día en que nuevos informes describieron el acceso reiterado del personal de ByteDance en China a información sobre usuarios estadounidenses, lo que agudizó una pregunta que TikTok ha intentado responder durante gran parte de su expansión en Estados Unidos: ¿quién puede acceder a los datos generados por decenas de millones de personas que usan la aplicación?
En un comunicado oficial sobre gobernanza de datos, TikTok anunció que había cambiado la ubicación de almacenamiento predeterminada para los datos de los usuarios estadounidenses y que estaba trabajando para eliminar los datos privados de dichos usuarios de sus centros de datos en Estados Unidos y Singapur, en el marco de su migración completa a los servidores de Oracle ubicados en Estados Unidos. La compañía indicó que Oracle también colaboraría con TikTok en la definición de protocolos de gestión de datos, los cuales Oracle auditaría y administraría.
Oracle se convierte en el centro de la arquitectura de seguridad de TikTok en Estados Unidos
La migración otorga a Oracle un papel operativo central en una plataforma cuya propiedad ha estado bajo revisión federal desde la administración Trump. TikTok anunció que establecerá una estructura de liderazgo con sede en EE. UU. para gestionar los datos de los usuarios estadounidenses y limitará el número de empleados con acceso a información protegida. La compañía describió estos cambios como parte de un esfuerzo más amplio para construir una cultura centrada en la seguridad, a la vez que preserva un servicio conectado globalmente.
Un informe contemporáneo de TechCrunch señaló que TikTok ya había almacenado una cantidad considerable de datos de EE. UU. en Virginia, pero que estaba trasladando el tráfico de usuarios a la infraestructura de Oracle, manteniendo las instalaciones de Virginia y Singapur como respaldo por el momento. Otro informe de The Guardian citó a funcionarios de TikTok diciendo que la compañía buscaba minimizar el acceso entre regiones y que, en última instancia, los empleados en Asia-Pacífico, incluida China, deberían tener un acceso muy limitado a los datos de los usuarios de EE. UU. y Europa.
Esta medida no resuelve por sí sola el problema de propiedad subyacente. TikTok sigue estando controlada por ByteDance, una empresa con sede en Pekín. La preocupación de Estados Unidos se ha centrado no solo en dónde se almacenan los datos, sino también en si los empleados fuera del país pueden acceder a ellos y si la legislación china podría, en última instancia, exponer a la empresa a las exigencias del gobierno.
Los nuevos informes reavivan la cuestión del acceso
El momento del anuncio de TikTok es significativo porque coincidió con informes basados en grabaciones de reuniones internas. Según un informe de Reuters, TikTok había completado la migración de la información de los usuarios estadounidenses a los servidores de Oracle, mientras los reguladores federales seguían examinando si la propiedad de ByteDance representaba un riesgo para la seguridad nacional. Ese mismo día, otros informes que citaban audios internos filtrados indicaban que, en ocasiones, el personal estadounidense había recurrido a colegas en China para comprender o acceder a los sistemas de datos de Estados Unidos.
TikTok ha declarado reiteradamente que nunca ha proporcionado datos de usuarios estadounidenses al gobierno chino y que no accedería a tal solicitud. En un comunicado de seguridad, la compañía afirmó que los datos de los usuarios estadounidenses se almacenan en Estados Unidos con copias de seguridad en Singapur y argumentó que sus sistemas de moderación de contenido y seguridad de datos no están dirigidos por Pekín.
El nuevo acuerdo con Oracle es, por lo tanto, más que un simple contrato de computación en la nube. Se trata de un intento de crear barreras técnicas y organizativas que puedan ser evaluadas por una empresa estadounidense externa. De implementarse tal como se describe, la arquitectura separaría el almacenamiento de datos predeterminado de EE. UU. de la infraestructura existente de ByteDance y sometería los procedimientos importantes de gestión de datos a la supervisión de Oracle.
Una disputa política que ha sobrevivido a dos administraciones
La preocupación de Washington por TikTok es anterior a la actual administración. En agosto de 2020, el presidente Donald Trump ordenó a ByteDance que se deshiciera de sus intereses relacionados con las operaciones en Estados Unidos de la transacción predecesora de TikTok, alegando riesgos para la seguridad nacional asociados con la adquisición de Musical.ly. La orden de desinversión instruyó a las agencias federales a tomar medidas para proteger los datos recopilados de los usuarios estadounidenses.
Posteriormente, el presidente Joe Biden sustituyó los intentos de la administración Trump de prohibir categóricamente las aplicaciones por un proceso más amplio para evaluar el software controlado por extranjeros. Una orden ejecutiva instruyó al gobierno federal a evaluar las aplicaciones de software conectadas que pudieran representar riesgos inaceptables o indebidos para la seguridad nacional, la infraestructura crítica o los datos personales sensibles. Este marco mantuvo a TikTok bajo escrutinio, al tiempo que amplió la revisión más allá de una sola empresa.
El problema normativo es excepcionalmente complejo, ya que TikTok combina una enorme audiencia de consumidores, un algoritmo de recomendación fundamental para su producto, operaciones de ingeniería globales y una empresa matriz con sede en un competidor estratégico. Si bien trasladar los servidores puede reducir algunos riesgos, es probable que los reguladores examinen quién controla las actualizaciones de software, los sistemas de recomendación, las claves de cifrado, los privilegios de administrador y el proceso de gobernanza en torno a las excepciones a las reglas de acceso.
La ubicación de los datos es solo una capa de control
Para los usuarios, el hecho más evidente es evidente: TikTok afirma que el tráfico estadounidense ahora se enruta a través de la nube de Oracle en EE. UU. Sin embargo, para los reguladores, la ubicación es solo un elemento de la gobernanza de datos. Un sistema puede estar físicamente ubicado en Estados Unidos y, al mismo tiempo, permitir el acceso remoto desde otro país. Por otro lado, un equipo de ingeniería global puede requerir acceso limitado para depuración o tareas de seguridad, sin tener visibilidad ilimitada de los registros de los usuarios.
TikTok intenta demostrar que estas diferencias pueden gestionarse mediante la arquitectura, los permisos y la supervisión de terceros. Su plan para eliminar los datos privados de los usuarios estadounidenses de sus propios centros de datos heredados convertiría el entorno de Oracle en algo más que una simple copia de seguridad; convertiría al sistema estadounidense en el principal repositorio de información confidencial. La compañía también afirma que está reduciendo el acceso entre regiones y creando una organización dedicada a la seguridad de datos en Estados Unidos.
Que estas medidas satisfagan a los funcionarios federales dependerá de los detalles de su implementación y del grado de verificación independiente. No obstante, el cambio inmediato es sustancial. TikTok ha trasladado el flujo de tráfico de usuarios estadounidenses a la infraestructura de Oracle y se ha comprometido públicamente con un modelo de gobernanza de datos más segmentado. La siguiente fase del debate se centrará menos en la ubicación de los servidores y más en quién puede acceder a ellos, quién controla el código que los rodea y si las medidas de seguridad son fiables bajo presión.
