La raíz autofirmada

La madrugada del 6 de febrero de 1989, en un canal que separaba dos mitades de Berlín, un joven de veinte años llamado Chris Gueffroy intentó cruzar hacia el oeste con un amigo. Los guardias de frontera hicieron lo que su servicio establecía: alto, advertencia, fuego. Gueffroy murió en la franja, el último muerto a tiros del Muro. Los guardias no improvisaron nada esa noche — ejecutaron un procedimiento respaldado por el ordenamiento jurídico de su Estado, un Estado reconocido por la ONU, con constitución, códigos y tribunales. Nueve meses después el Muro se abrió. Dos años después, uno de esos guardias estaba sentado en un tribunal de la Alemania unificada, y su defensa fue la más limpia que un abogado puede construir: mi cliente cumplió la ley vigente en el territorio y el momento de los hechos. Eso era verdad. Y el tribunal lo condenó igual, apoyándose en una fórmula que un jurista alemán llamado Gustav Radbruch había escrito en 1946, con las ruinas todavía humeantes de la aplicación anterior: cuando la contradicción entre la ley positiva y la justicia alcanza una medida intolerable, la ley deja de ser derecho. La ley era válida, dijo la defensa. La validez no alcanzó, dijo el tribunal. Y en esas dos frases cabe entera la pregunta que una nota vieja mía cataloga con prolijidad de manual — ¿qué hace válida a una norma? — sin darse cuenta de que estaba haciendo una pregunta de arquitectura de confianza, que es un tema del que sí sé algo.

La validez jurídica es una cadena de firmas, y la raíz está autofirmada. El que mejor lo describió fue Hans Kelsen, y lo describió con una honestidad que su propia disciplina no siempre le agradece. En su teoría pura del derecho, una norma es válida si fue creada conforme a una norma superior: el decreto vale por la ley, la ley por la constitución, la constitución por… y ahí la escalera se queda sin peldaños. Kelsen no hizo trampa: postuló que arriba de todo hay una norma fundamental — la Grundnorm — que no está escrita en ninguna parte y no deriva de nada; simplemente se la presupone, porque sin ella el edificio entero flota. Cualquiera que haya administrado una infraestructura de clave pública reconoce la estructura al primer vistazo, porque es exactamente una cadena de certificados: cada certificado está firmado por el de arriba, la cadena se recorre hacia la raíz, y la raíz — el certificado en el que descansa toda la confianza del sistema — está firmada por sí misma. No hay nada detrás del certificado raíz salvo la decisión de confiar en él. Kelsen describió eso mismo en 1934 sin vocabulario criptográfico: todo ordenamiento jurídico corre sobre un certificado autofirmado que los operadores del sistema acuerdan no mirar demasiado. H.L.A. Hart, un cuarto de siglo después, le puso al asunto un fundamento menos metafísico y más incómodo: la regla que reconoce qué es derecho no es una hipótesis lógica sino una práctica social — es derecho lo que los funcionarios del sistema tratan como derecho. La raíz no está firmada por la razón ni por la naturaleza: está firmada por el hábito de los que la usan. Consenso, no criptografía. Lo cual explica por qué la raíz puede revocarse en nueve meses, sin que nadie recompile nada: alcanza con que los funcionarios dejen de tratarla como raíz.

El programa puede compilar y estar mal, y las dos tradiciones del derecho se reparten esa frase. En mi oficio la distinción existe con nombres propios: verificación es comprobar que el sistema cumple su especificación; validación es comprobar que la especificación era la correcta — que construimos bien la cosa, y que la cosa que construimos era la que había que construir. Son controles distintos, fallan por separado, y confundirlos mata proyectos. El positivismo jurídico es la escuela de la verificación: una norma es derecho si pasó por el procedimiento correcto, con independencia de su contenido moral — compila, los tests del procedimiento están en verde. El jusnaturalismo — de Tomás de Aquino a Locke — es la escuela de la validación: hay una especificación por encima del procedimiento, llámese razón, naturaleza humana o justicia, y la norma que la contradice está mal aunque compile. Puesto así, el pleito de siglos parece fácil de arbitrar: obviamente hacen falta las dos. El problema operativo del jusnaturalismo siempre fue que el oráculo no responde en un formato parseable — todos los bandos de todas las guerras han asegurado tener acceso de lectura a la ley natural, y el historial de lo que se justificó en su nombre no es mejor que el historial del procedimiento. La propuesta más seria que conozco para construir ese oráculo sin apelar al cielo es la de John Rawls, y la aprecio porque es, en el fondo, un protocolo: diseña las reglas detrás de un velo de ignorancia, sin saber qué posición vas a ocupar en el sistema que diseñas. Cualquiera que haya hecho modelado de amenazas entiende la jugada — especifica el sistema asumiendo que no sabes con qué privilegios vas a correr en él; el diseñador que no sabe si le tocará ser root o invitado configura permisos justos por puro interés propio. Como test de laboratorio es brillante. Como práctica tiene el problema de todos los protocolos ideales: nadie ha conseguido instanciarlo con humanos reales, que llegan a la mesa de diseño sabiendo perfectamente qué cuenta tienen.

Mi gremio tiene su propio positivismo, y se llama compliance. La seguridad corporativa vive su versión en miniatura del pleito Kelsen contra Radbruch todos los trimestres. Existe una cadena de firmas — el control implementado, el checklist que lo lista, el auditor que firma el checklist, el sello que emite el organismo — y esa cadena define qué es «seguro» en el sentido positivista: seguro es lo que pasó el procedimiento. Y existe la otra pregunta, la material: ¿este sistema resiste a un adversario real? Las dos preguntas se divorcian con una facilidad que mantiene empleada a media industria — organizaciones impecablemente certificadas caen todos los años frente a ataques que el checklist no describía, porque el atacante, como la justicia de Radbruch, no está obligado por el procedimiento de la casa. Cumplir la norma y estar seguro se parecen igual que ser válido y ser justo: se solapan lo suficiente para confundirse y divergen exactamente donde más duele. Ya escribí en El cliente del pentest sobre la tentación de esconder hallazgos para complacer al que paga; el compliance mal entendido institucionaliza esa tentación — convierte la seguridad en el arte de satisfacer al lector del checklist, igual que el positivismo extremo convierte la justicia en el arte de satisfacer al procedimiento. Y hay una segunda lección jurídica que mi gremio conoce por su lado oscuro: la validez tiene eje temporal y cambia de lector. El guardia del Muro actuó bajo una raíz y fue juzgado bajo otra; el dato que hoy entregas bajo un marco legal amable será leído mañana por el marco que venga, como escribí en Paranoia preventiva — la ley cambia de lector con más frecuencia que de texto.

Ahora desagrego, porque este tema viene con dos historias cómodas y las dos fallan la auditoría. La primera historia cómoda dice: el positivismo alemán habilitó el horror — jueces formados en «la ley es la ley» obedecieron sin pestañear, ergo el positivismo es cómplice. Es la moraleja que se saca fácil del caso Radbruch, y tiene dos problemas. El menor: el régimen nazi no fue un triunfo del procedimiento sino su demolición — decretos secretos, leyes retroactivas, tribunales especiales; el que quiera culpar a la fidelidad procedimental tiene que explicar primero por qué el régimen necesitó romper el procedimiento a cada paso. El mayor: como argumentó Hart en su famoso debate con Fuller, la separación positivista entre derecho y moral es también una herramienta crítica — permite decir «esto es ley y es inmoral, y por eso no la obedezco» sin enredarse en negar que sea ley. La fusión de derecho y moral puede blindar al régimen igual que la separación: si lo legal es por definición justo, el disidente no tiene dónde pararse. La segunda historia cómoda es la del propio caso con el que abrí, y me toca serrucharme la apertura: la condena de los guardias del Muro incomoda a cualquier jurista honesto, porque castigar hoy lo que era legal ayer roza uno de los principios más viejos del derecho — no hay pena sin ley previa. El Tribunal Europeo de Derechos Humanos la sostuvo en 2001 con un razonamiento fino: la propia ley de la RDA, leída de buena fe junto a los tratados que la RDA había firmado, no amparaba matar a un muchacho desarmado por cruzar un canal — la raíz no era tan sólida como la defensa la pintaba. Puede que sea verdad. También puede que sea la racionalización elegante de una decisión ya tomada. El sistema tuvo que doblar un principio para honrar otro, y el que diga que hay una respuesta limpia no ha mirado el expediente: en la revocación de una raíz no hay procedimiento válido, porque el procedimiento era exactamente lo que se revocó.

Así que reformulo la pregunta de la nota, que catalogaba escuelas como quien colecciona estampillas. «¿Qué hace válida una norma?» tiene respuesta técnica y es decepcionante: la firma de arriba, recursivamente, hasta una raíz que se firma sola. Si la pregunta termina ahí, el guardia gana el juicio. La pregunta que trabaja está un nivel más arriba: ¿quién puede revocar la raíz, y cuánto cuesta hacerlo? Esa sí discrimina entre sistemas. Hay ordenamientos donde revocar cuesta una elección, una enmienda, un fallo de corte constitucional — caro, lento, pero pagable en papel; y hay ordenamientos donde la raíz solo se revoca con la sangre de mucha gente, propia y ajena. La diferencia entre ambos no es la validez — las dos cadenas verifican perfecto — sino el costo de la revocación, y ese costo es, me parece, la métrica moral real de un sistema jurídico: no qué tan justa es su norma fundamental, cosa que nadie puede medir desde adentro, sino qué tan barato le sale a la gente corregirla cuando resulta injusta. La confianza sin verificación posible ya la analicé en Zero trust; el derecho es el caso límite — un sistema en el que estamos todos logueados de nacimiento, sin haber aceptado términos, cuya raíz no podemos verificar y solo podemos, a un precio que varía brutalmente según el siglo y la frontera, reemplazar.

Al final vuelvo al canal, porque los esquemas no sangran y el caso sí. Aquella madrugada había dos personas en la franja: una corría hacia una raíz distinta y la otra defendía la vigente, y los dos tenían veintipico de años y el mismo diccionario para la palabra «deber». La cadena del guardia verificaba. La revocación llegó nueve meses tarde para Gueffroy y dos años temprano para su tirador, y ningún tribunal de este mundo tenía una respuesta que no doblara algo. De todo el expediente, la frase que me quedo es la de Radbruch, no por jurídica sino por lo que confiesa sobre todos los sistemas que los humanos firman: hay un umbral pasado el cual el certificado más válido del mundo deja de importar. Nadie sabe escribir ese umbral en una norma — se reconoce a posteriori, como casi todo lo importante. Pero que no se pueda especificar no significa que no exista. Significa que el sistema tiene, en el fondo de la cadena, un control que no es formal sino humano — y que conviene no tener que usarlo nunca, porque su costo de ejecución se mide en Gueffroys.