Hoy, 6 de mayo de 2026, Utah se convierte en el primer estado de EE. UU. en poner a los usuarios de VPN en el punto de mira legal de una ley de verificación de edad. La Senate Bill 73, formalmente titulada Online Age Verification Amendments y firmada por el gobernador Spencer Cox el 19 de marzo de 2026, entra hoy en vigor, y su Sección 14 cambia de raíz la relación entre los residentes de Utah, los proveedores de VPN y los sitios web que esos residentes visitan.
Si eres residente de Utah y estás leyendo esto, la ley no convierte tu VPN en algo ilegal. Pero sí marca el momento en que los legisladores de Estados Unidos empezaron a tratar las VPN comerciales no como la herramienta de privacidad estándar que han sido durante dos décadas (utilizada a diario por empresas, periodistas, estudiantes en redes Wi-Fi públicas y cualquiera que se conecte a una app bancaria desde una cafetería), sino como un resquicio normativo que hay que cerrar.
Esto es lo que la SB 73 hace realmente, por qué los defensores de los derechos digitales, desde la Electronic Frontier Foundation hasta NordVPN, la describen como una "trampa de responsabilidad", por qué es casi seguro que no logrará su objetivo declarado y qué significa para tu privacidad en 2026.
Qué hace realmente la SB 73 de Utah
La mayor parte de la SB 73 trata sobre un impuesto del 2 % a los ingresos del contenido para adultos en línea (vigente desde octubre de 2026). Las disposiciones que entran en vigor hoy son distintas: modifican la Sección 78B-3-1002 de la actual ley de verificación de edad en línea de Utah y se dirigen explícitamente al uso de VPN de dos maneras:
- La ubicación sigue al cuerpo, no a la IP. Bajo la nueva ley, se considera que una persona accede a un sitio web desde Utah si está físicamente situada en Utah, sin importar si utiliza una VPN, un servidor proxy o cualquier otra herramienta para disimular su ubicación geográfica. En otras palabras, aunque tu IP indique que estás en Wyoming, la norma te trata como usuario de Utah desde el momento en que tu teléfono está en Salt Lake City.
- Los sitios web tienen prohibido informar sobre las VPN. Las entidades comerciales que alojan "una parte sustancial de material perjudicial para menores" tienen ahora prohibido facilitar o fomentar el uso de una VPN para eludir las comprobaciones de edad. Esto incluye publicar instrucciones sobre cómo usar una VPN, una redacción tan amplia que la EFF la señala como un problema con la First Amendment.
La ley no llega a prohibir explícitamente el uso de VPN en sí mismo. No hay multas para los residentes de Utah que se conecten a través de una VPN comercial. La presión legal apunta directamente a los sitios web, y ahí es donde empiezan los problemas.
La "trampa de responsabilidad" que preocupa a los defensores de la privacidad
La objeción más fuerte de los grupos de derechos digitales es lo que la EFF llama una trampa de responsabilidad: bajo la SB 73, un sitio web es responsable de verificar la edad de cada usuario físicamente situado en Utah, incluso de los usuarios que parecen estar en otro lugar. Como ningún sitio comercial puede detectar de forma fiable la geolocalización real de cada usuario de VPN, quedan dos opciones poco atractivas:
- Bloquear todas las IP de salida de VPN conocidas. Mantener una lista de bloqueo en constante crecimiento, asumir los daños colaterales por falsos positivos (clientes legítimos que usan VPN y quedan fuera) y rezar para mantener el ritmo de los nuevos rangos de IP a medida que los proveedores los rotan.
- Exigir verificación de edad a todos los visitantes a nivel global. Tratar a cada usuario como si pudiera ser un residente de Utah con una VPN, y exigir una prueba de edad de nivel "DNI oficial" a todo el mundo, incluidos los millones de personas que no viven en Utah y no están sujetas a la ley.
El equipo de políticas de NordVPN la calificó exactamente así, de "trampa de responsabilidad", en declaraciones a TechRadar. Ambas opciones expanden el radio de acción de una ley estatal hasta convertirla en un régimen global de verificación de identidad, y las dos imponen costes reales a los periodistas, supervivientes de abusos, viajeros de negocios y usuarios corrientes preocupados por la privacidad que dependen de las VPN comerciales para una seguridad de datos legítima.
El problema con la First Amendment
La segunda disposición, la mordaza a los sitios web sobre compartir información acerca de las VPN, es la parte con más probabilidades de afrontar un desafío constitucional. La SB 73 no se limita a pedir a las plataformas afectadas que apliquen barreras de edad: les prohíbe contar a sus usuarios la existencia de una pieza de software perfectamente legal.
La EFF, el Cato Institute y los defensores de la libertad de expresión señalan que esto restringe el discurso veraz y no engañoso sobre una herramienta de privacidad legal. Como lo expresó el Cato Institute: "Cuando una política de internet puede eludirse mediante una tecnología relativamente común que a menudo aporta importantes beneficios de privacidad y seguridad, quizá el problema sea la propia política".
¿Funcionará realmente la SB 73? La realidad técnica
La respuesta corta es no. La respuesta larga es que incluso un éxito parcial requeriría un nivel de huella digital a nivel de red que ningún estado por sí solo puede imponer y que ningún operador de sitio web puede ofrecer. Esto es lo que harán los usuarios motivados, en cuestión de horas tras la entrada en vigor de la ley, no de meses:
- Migrar a proxies residenciales. Los proxies residenciales enrutan a través de IP reales de ISP de consumo, indistinguibles del tráfico doméstico habitual. Existen desde hace años para casos de uso legítimos como el web scraping, la verificación de anuncios y la protección de marca, y eluden las listas de bloqueo de VPN comerciales sin esfuerzo, porque no figuran en ellas.
- Levantar túneles privados en la nube. Un VPS de 5 $/mes en AWS, DigitalOcean o Hetzner ejecutando WireGuard le da a un usuario con conocimientos técnicos una IP de salida de VPN personal que ninguna lista de bloqueo va a atrapar, porque es una sola IP que ayer no existía y nunca aparecerá en un rango de VPN comercial.
- Usar Tor o Shadowsocks/V2Ray autoalojados. Las herramientas de ofuscación de código abierto desarrolladas para residentes de países con controles estrictos de internet ya derrotan detecciones mucho más sofisticadas que cualquier cosa contemplada en la ley de Utah.
Los daños colaterales recaen sobre el residente medio de Utah que solo quiere que su tráfico bancario vaya cifrado en el Wi-Fi de un hotel, no sobre el menor con conocimientos técnicos del que se suponía que la ley iba a proteger. Como observó la EFF, "estas disposiciones no detendrán a un adolescente con conocimientos técnicos, pero sin duda afectarán a la privacidad de cada residente común de Utah que solo quiere mantener sus datos fuera del alcance de los corredores de datos o de actores maliciosos".
Utah no está sola: el panorama global en 2026
La SB 73 es el techo más alto en EE. UU., pero forma parte de un patrón global de gobiernos que responden al aumento del uso de VPN que sigue a cada mandato de verificación de edad. La historia se ha repetido del mismo modo en más de una decena de jurisdicciones en los últimos tres años:
- Estados de EE. UU. con leyes de verificación de edad que han disparado el uso de VPN: Florida, Missouri, Texas, Utah (desde 2023), Louisiana, Mississippi, Virginia, Tennessee, North Carolina, Idaho y otros. Utah es ahora el primero en responder al auge del uso de VPN apuntando a la propia herramienta.
- Wisconsin: propuso un texto similar dirigido a las VPN; los defensores lograron forzar su retirada por preocupaciones constitucionales y técnicas. Utah siguió adelante pese a las mismas objeciones.
- UK: la Children's Commissioner describió públicamente las VPN como "un resquicio que hay que cerrar" después de que la Online Safety Act provocara un enorme repunte en la adopción de VPN.
- France: la ministra delegada para Inteligencia Artificial y Asuntos Digitales señaló las VPN como el "próximo tema" en la agenda regulatoria, después de que el país aprobara una prohibición de redes sociales para menores de 15 años.
- Australia, Indonesia: ambos han implementado leyes de verificación de edad que han disparado el uso de VPN, con seguimiento regulatorio en discusión activa.
El patrón es coherente: la política crea la demanda de la herramienta, y luego la política se vuelve contra la herramienta. Si la SB 73 supera los desafíos legales o se retira en silencio como la versión de Wisconsin es una de las historias más importantes sobre política de internet en EE. UU. en 2026.
Qué significa esto para los residentes de Utah
Si vives en Utah y usas una VPN hoy por las mismas razones que la mayoría de la gente (banca en Wi-Fi público, teletrabajo desde cafeterías, separar cuentas de trabajo y personales, protegerte de doxing, o simplemente no querer que tu ISP registre cada sitio que visitas), nada de tu uso diario de la VPN es ilegal según la SB 73. La ley apunta a los sitios web, no a los usuarios.
Lo que cambia es la experiencia de usar una VPN para visitar ciertos sitios:
- Algunos sitios para adultos pueden bloquear ahora todo el tráfico VPN. Si un sitio decide que la vía de cumplimiento más segura es banear todas las IP de VPN que pueda identificar, verás muros de CAPTCHA o bloqueos duros aunque vivas en Utah y uses la VPN por motivos legítimos.
- Algunos sitios pueden exigir verificación de edad global. Si en cambio eligen la vía de "verificar a todos", verás solicitudes de verificación de edad con documento oficial que no existían hace una semana, incluso en sitios que claramente no son de contenido para adultos.
- Verás menos información sobre VPN en las plataformas afectadas. La disposición de mordaza implica que tutoriales, recomendaciones e incluso explicaciones básicas sobre VPN pueden desaparecer de los sitios que operan bajo el paraguas de cumplimiento de la SB 73.
Cómo proteger tu privacidad en 2026 (de forma legítima)
Sea cual sea tu opinión sobre la política de verificación de edad, la cuestión técnica, "¿cómo mantengo privado y seguro mi tráfico normal de internet en 2026?", tiene la misma respuesta que tenía hace una semana. Elige una VPN comercial de confianza con estas cualidades:
- Política de no registros (no-logs) verificada con informes de auditoría independientes que puedas leer.
- Soporte para el protocolo WireGuard (baja latencia, criptografía moderna).
- Servidores ofuscados para que el propio tráfico VPN no sea identificable por su huella.
- Kill switch que evite que tu IP real se filtre si el túnel cae.
- Jurisdicción fuera de la alianza de intercambio de inteligencia 14 Eyes: Panamá, las Islas Vírgenes Británicas y Suiza son habituales.
Para los usuarios que quieran ir un paso más allá de los rangos de VPN comerciales, en particular los residentes de Utah que prevén quedar atrapados en listas de bloqueo de VPN comerciales en sitios que adopten el cumplimiento más estricto de la SB 73, un plan de IP residencial dedicada de un proveedor como CometVPN te da una IP de salida fija de un ISP real que parece una conexión doméstica corriente y no aparecerá en las listas de bloqueo de VPN comerciales. CometVPN funciona sobre WireGuard, incluye kill switch, ofrece servidores ofuscados, tiene su sede en Panamá y empieza en 1,89 $/mes en el plan de dos años, con la IP residencial dedicada disponible como complemento.
Los usuarios avanzados que necesiten un control más fino (por ejemplo, para automatización de navegación, flujos multicuenta o scraping) también pueden usar proxies residenciales de MarsProxies o IPRoyal, que ofrecen IPs de origen de ISP reales similares a un nivel de VPN residencial dedicada, pero con enrutamiento por aplicación.
El panorama general
Las VPN son, en esencia, las herramientas que hacen posible la internet moderna preocupada por la privacidad. Atacarlas, ya sea mediante la trampa de responsabilidad de la mordaza de Utah, el marco del "resquicio" del UK o la agenda del "próximo tema" de France, es fundamentalmente un ataque a la arquitectura que protege a periodistas, viajeros de negocios, supervivientes de abusos y usuarios corrientes que simplemente no quieren que sus datos se vendan al mejor postor.
La SB 73 es la primera ley estatal de EE. UU. en dar ese paso. Probablemente no será la última. La pregunta regulatoria para el resto de 2026 es si los desafíos legales, las soluciones técnicas y la reacción pública bastarán para frenar esa tendencia, o si la próxima ronda de proyectos de ley estatales de verificación de edad copiará el manual de Utah palabra por palabra.
Por ahora, el 6 de mayo de 2026 queda registrado como el día en que Estados Unidos cruzó una línea. Estaremos atentos a lo que pase a continuación.
Fuentes: Electronic Frontier Foundation, texto promulgado de la SB 73 de la Utah Legislature, TechRadar / NordVPN, Tom's Hardware, CyberInsider, Cato Institute.
