Computación cuántica: la carrera comercial choca con la urgencia criptográfica

Panorama actual: hitos comerciales recientes

El laboratorio de Google en Santa Bárbara huele a helio líquido y a historia en ciernes. Suspendido a un metro del suelo, el chip Willow —105 cúbits superconductores enfriados a una milésima de grado sobre el cero absoluto— resolvió en minutos un problema de referencia que a la mejor supercomputadora clásica le habría llevado 10 septillones de años (más de un billón de billones de años, varias edades del universo).

Pero el hito que Hartmut Neven, jefe de IA Cuántica de Google, celebra con más énfasis no es la velocidad bruta: es la corrección de errores. Willow demostró que rondas repetidas de reparación reducen la tasa de fallos a medida que crece el sistema, rompiendo la barrera que condenaba a la cuántica a ser eternamente "ruidosa". Según Peter Knight, presidente del consejo asesor británico, eso acerca la máquina a escala industrial —un millón de cúbits— a siete u ocho años, no a las dos décadas que se suponían.

A 9.000 kilómetros, en el edificio Ikerbasque de Donostia, el IBM Quantum System Two está a punto de dejar de ser un instrumento de física para convertirse en infraestructura de producción. A partir de septiembre de 2026, entre 40 y 50 empresas vascas —Multiverse, Ayesa, LKS, una gran eléctrica y otras decenas en cola— comenzarán a ejecutar cargas de trabajo reales. El Gobierno Vasco ha reservado aproximadamente la mitad de la capacidad para investigación y la otra mitad para proyectos con "impacto competitivo e industrial". La computación cuántica ha cruzado el umbral del paper al pipeline comercial.

En paralelo, la cadena de suministro europea se mueve. El proyecto SEMIQLEAP, liderado por la finlandesa Vexlum con 3,46 millones de euros (2,43 M€ de la UE), ha validado una línea de láseres semiconductores compactos (la plataforma VXL) listos para fabricación en serie. Esos láseres —longitud de onda ultraestable, ruido óptico mínimo— son el sistema nervioso de los ordenadores cuánticos basados en iones y átomos neutros, y de los relojes atómicos ópticos. Europa busca autonomía en un componente que hoy depende de pocos proveedores globales.

Principales actores y modelos de negocio

Tres modelos coexisten y compiten:

• Big Tech integrado verticalmente: Google, IBM, Microsoft. Google apuesta por cúbits superconductores (Willow, 105 cúbits). IBM despliega System Two (arquitectura modular, enfoque en utilidad comercial a corto plazo). Microsoft persigue cúbits topológicos (8 cúbits hoy, promesa de menor ruido intrínseco). Venden acceso vía nube (IBM Quantum Platform, Azure Quantum, Google Cloud) y full-stack: hardware, compiladores, bibliotecas de aplicaciones, servicios profesionales.
• Startups especializadas: Multiverse Computing (software cuántico para finanzas, energía, logística), Rigetti, IonQ, PsiQuantum, Alice & Bob. Muchas cotizan vía SPAC o rondas tardías; su apuesta es software-first o arquitecturas nicho (fotónica, átomos neutros).
• Ecosistemas nacionales/regionales: BasQ (País Vasco) combina infraestructura IBM, talento universitario (UPV/EHU, Mondragon Unibertsitatea) y política industrial. China concentra ~15.000 M$ en una empresa estatal (Origen Quantum, bajo Pan Jianwei), vetando a Baidu y Alibaba. Reino Unido anuncia cientos de millones para ser tercera potencia. EE. UU. canaliza fondos via NIST, DOE, DARPA y la National Quantum Initiative.

Hoy, el modelo de negocio dominante no es vender ordenadores cuánticos —nadie compra uno—, sino vender tiempo de cómputo cuántico híbrido (QPU + CPU/GPU) y capas de software que traduzcan problemas de optimización, simulación química o machine learning a circuitos cuánticos. Jensen Huang (Nvidia) lo resume: "en el futuro se añadirá un procesador cuántico a una computadora". La QPU como acelerador, no como sustituto.

Inversión pública y privada: cifras y tendencias

Los datos dispersos dibujan una asimetría geopolítica:

• China: ~15.000 M$ de fondos públicos (Plan Quinquenal XIV), más que el resto de gobiernos juntos. Publicaciones científicas: líder desde 2022. Estrategia: centralización, comunicaciones cuánticas por satélite (Micius), soberanía total.
• EE. UU.: National Quantum Initiative Act (2018, renovado 2024), ~3.000 M$ federales directos + I+D de Big Tech (Google, IBM, Microsoft, AWS, Intel invierten miles de millones propios). Enfoque: ecosistema abierto, propiedad intelectual, estándares (NIST).
• UE: Programa Quantum Flagship (1.000 M€, 2018-2028) + proyectos EIC/Horizon Europe (ej. SEMIQLEAP 2,4 M€). Foco: cadena de suministro soberana (láseres, criónica, electrónica de control), quantum key distribution (QKD) terrestre y espacial.
• Reino Unido: National Quantum Technologies Programme (fase 2: 1.000 M£, 2024-2034). Hubs académicos (Oxford, Cambridge, Glasgow) + catapult centres para transferencia industrial.
• España/Euskadi: BasQ (50 M€ iniciales, 2021-2026) + PERTE Chip (12.000 M€, parte para fotónica/cuántica). El System Two de Donostia es el ancla visible.

La inversión privada global en quantum startups superó los 2.300 M$ en 2023 (PitchBook), aunque 2024 mostró enfriamiento por tipos de interés y expectativas de plazo (quantum winter relativo). La apuesta corporativa (JPMorgan, Goldman, Volkswagen, BASF, Roche, TotalEnergies) crece: contratos plurianuales de exploración, no proof-of-concepts puntuales.

Aplicaciones empresariales ya en producción

"Producción" en cuántica 2026 significa híbrido y heurístico: la QPU resuelve subrutinas (optimización combinatoria, sampling de estados cuánticos, valor propio de Hamiltonianos) que el clásico no escala. Casos documentados:

• Finanzas: Multiverse Computing con BBVA y Banco Santander —optimización de carteras con restricciones cardinalidad/riesgo, stress testing de escenarios macro via quantum annealing y algoritmos variacionales (VQE/QAOA). JPMorgan usa IBM para option pricing y análisis de riesgo de contraparte.
• Energía: Repsol e Iberdrola exploran unit commitment (arranque/parada de centrales) y diseño de materiales para baterías/hidrógeno verde via simulación cuántica de moléculas (VQE en IBM/Google).
• Logística/Fábrica: Volkswagen (desde 2017) optimiza rutas de flotas y pintura de carrocerías con D-Wave/IBM. Ayesa (ingeniería vasca) prueba planificación de mantenimiento predictivo en infraestructuras críticas.
• Farma/Química: Roche, BASF, Merck simulan estados excitados de moléculas (fotosensibilizadores, catalizadores) en hardware IBM/Google. El objetivo: reducir ciclos wet-lab de años a meses.
• Telecom/Red: Telefónica y Deutsche Telekom pilotan QKD (distribución cuántica de claves) en fibra propia + satélite (EAGLE-1, 2026) para enlaces gubernamentales y banca. No es PQC: es física cuántica para intercambio de claves simétricas.

Ninguna de estas aplicaciones rompe RSA-2048 hoy. Todas construyen quantum readiness: código, datos, talento y proveedores listos para el día Q (cuando una máquina rompa factorización/discreto log).

La amenaza criptográfica: algoritmos vulnerables y plazos

No es teórica la amenaza. Shor (1994) rompe RSA, Diffie-Hellman, ECC (curvas elípticas) en tiempo polinómico en un ordenador cuántico tolerante a fallos. Grover reduce a la raíz cuadrada la seguridad simétrica (AES-256 → 128 bits efectivos; SHA-256 → 128 bits). El consenso de expertos (Michele Mosca, NIST, ENISA, BSI alemán) sitúa la probabilidad de máquina criptográficamente relevante (CRQC) en:

• < 5% antes de 2030
• ~15-30% entre 2030-2035
• > 50% hacia 2040

Pero el vector de ataque real es "Harvest Now, Decrypt Later" (HNDL): agencias de inteligencia y actores sofisticados capturan y almacenan hoy tráfico TLS/VPN/SSH, firmas de código, blockchains, secretos diplomáticos, propiedad intelectual, datos genómicos, comunicaciones militares. Cuando exista CRQC, retroactivamente descifran todo lo que no haya migrado. El horizonte de seguridad de muchos secretos (clasificados, patentes, identidades) supera 20-30 años. El día Q para la confidencialidad ya pasó: lo que se transmite hoy con RSA/ECC será legible mañana.

El NIST lo tiene claro. Su proceso de estandarización PQC, lanzado en diciembre de 2016, cerró su cuarta ronda en marzo de 2025 con la selección de HQC (Hamming Quasi-Cyclic) como único KEM adicional (NIST IR 8545). HQC es basado en códigos correctores (problema de decodificación de cuasi-cíclicos), distinta suposición matemática que ML-KEM (redes/módulos-LWE). Diversidad criptográfica: si fallan las redes, quedan los códigos. Los otros tres candidatos de cuarta ronda —BIKE (códigos), Classic McEliece (códigos, claves públicas enormes: ~1 MB), SIKE (isogenias, roto en 2022 por Castryck-Decru)— no se estandarizan como KEM primarios.

Los tres estándares FIPS ya publicados (agosto 2024) son:

• FIPS 203 (ML-KEM, antes CRYSTALS-Kyber): KEM primario, redes módulo-LWE, claves ~1-2 KB, rápido en SW/HW.
• FIPS 204 (ML-DSA, antes CRYSTALS-Dilithium): firma primaria, redes módulo-LWE, firmas ~2-4 KB.
• FIPS 205 (SLH-DSA, antes SPHINCS+): firma backup stateless hash-based, firmas ~8-17 KB, más lento, seguridad solo hash.

En proceso: FALCON (FN-DSA), firma compacta basada en NTRU/redes, y HQC (KEM backup código). El borrador SP 800-227 (enero 2025) guía la transición de KEM clásicos a PQC.

Estrategias de migración a criptografía post‑cuántica

La migración no consiste en un patch, sino en un cambio de infraestructura criptográfica completa. Tres pilares:

1. Inventario y priorización (ahora)

• Mapear dónde viven claves RSA/ECC: TLS (servidores, load balancers, API gateways, IoT), VPN (IPsec, WireGuard), SSH, firma de código/firmware/SBOM, certificados X.509 (PKI interna, public CA), blockchain (wallets, smart contracts), cifrado de datos en reposo (BBDD, backups, object storage), email (S/MIME, PGP), zero-trust (mTLS, SPIFFE).
• Clasificar por vida útil del secreto: datos que deben seguir confidenciales en 2040 → prioridad máxima. Sistemas legacy sin actualización posible (SCADA, médicos, satélites) → plan compensatorio (QKD, aislamiento, re-encriptado periódico).

2. Híbrido clásico-PQC (transición 2024-2030)

• KEM híbrido: X25519 + ML-KEM (o HQC) en TLS 1.3 (RFC 9370, borradores IETF). El secreto de sesión deriva de ambos; romper uno no basta. Navegadores (Chrome, Firefox, Safari), servidores (nginx, Apache, Cloudflare, AWS ALB), bibliotecas (OpenSSL 3.2+, BoringSSL, AWS-LC, liboqs) ya lo soportan en experimental o draft.
• Firma híbrida: RSA/ECDSA + ML-DSA/FALCON/SLH-DSA en certificados X.509 (borrador IETF composite signatures). Permite PKI dual sin flag day.
• Rendimiento: ML-KEM añade ~1-2 KB por handshake TLS, ~0,5-1 ms CPU en x86_64 (AVX2). HQC: claves/cifrados ~2-3× mayores, ~2-3× ciclos. SLH-DSA: firmas grandes, verificación lenta. Benchmark real en su hardware objetivo (x86, ARM Cortex-M, RISC-V, FPGA/ASIC) antes de decidir.

3. Agilidad criptográfica by design (permanente)

• Abstracción: no hardcodear algoritmos. Usar crypto providers intercambiables (Java JCA, .NET Cryptography, Go crypto/tls, Rust ring/aws-lc-rs, OpenSSL EVP_API).
• Identificadores: OIDs para cada algoritmo híbrido (NIST/IANA), versionado de cipher suites, named groups, signature schemes.
• Automatización: rotación de claves/certificados via ACME (Let's Encrypt, private CA), cert-manager (Kubernetes), spiffe/spire (mTLS). Plazos: certificados hoja ≤ 90 días, CA intermedias ≤ 2 años.
• Pruebas de interoperabilidad: PQC Interop (NIST, Cloudflare, Google, AWS, Mozilla, Cisco) —eventos periódicos para validar handshake híbrido entre implementaciones distintas.

Perspectivas a 5‑10 años: regulación y estandarización

Mandatos regulatorios (ya en marcha)

• EE. UU.: NSM-10 (mayo 2022) → agencias federales deben inventariar sistemas vulnerables (2023), plan de migración (2024), completar transición PQC prioritaria 2035. OMB M-23-02, CISA Post-Quantum Cryptography Initiative. Contratistas federales (DFARS/CMMC) tendrán cláusulas PQC.
• UE: CRA (Cyber Resilience Act, 2024) exige crypto agility en productos con elementos digitales. NIS2 (octubre 2024) obliga a entidades esenciales/importantes a gestionar riesgo criptográfico. eIDAS 2.0 (2026) incluirá PQC en wallets de identidad digital. ENISA publica guías PQC 2024-2025.
• Alemania (BSI): Technische Richtlinie TR-02102 y TR-03116 ya recomiendan híbrido ML-KEM + X25519 para TLS gubernamental. Migración obligada 2028 para clasificación VS-NfD.
• Reino Unido (NCSC): Whitepaper PQC 2023 → migración prioritaria 2028, completa 2035. Public Sector first.
• China: Estándares nacionales (SM9, SM2 post-quantum variants) + ley de seguridad de datos (2021) + commercial cryptography law (2020). Control estatal de algoritmos y claves.
• Japón/Australia/Canadá/Israel: hojas de ruta alineadas con NIST/NSM-10.

Estandarización técnica (2025-2030)

• NIST: SP 800-227 (guía KEM), SP 800-56A Rev 3 / 56B Rev 2 / 186-5 (integran PQC), FIPS 206/207 (FALCON, HQC) esperados 2025-2026. Perfiles para constrained IoT (MCU, 32 KB RAM) y high-assurance (HSM, tarjetas inteligentes).
• IETF: TLS 1.3 hybrid key exchange (RFC 9370 base), composite certificates, post-quantum HPKE (RFC 9180 + PQC), PQC en DNSSEC (claves de zona KSK/ZSK), PQC en SSH/IPsec/WireGuard.
• PKI/CA: CA/Browser Forum ballot para OIDs híbridos, plazos de expiración RSA/ECC en raíces públicas (debate 2028-2030). WebPKI vs Private PKI ritmos distintos.
• Hardware: HSM (Thales, Utimaco, Yubico, Nitrokey) con firmware PQC certificado FIPS 140-3 Nivel 3. Secure Enclaves (Apple SE, Google Titan, AMD PSP, Intel PTT/TSG) con aceleración ML-KEM/HQC. RISC-V extensiones Zk (crypto) + Zkr (PQC) en especificación.
• Side-channels: La implementación constante-tiempo y enmascarada (masking, shuffling) de ML-KEM/HQC/ML-DSA/FALCON/SLH-DSA es crítica. El paper IEEE (Truong et al., 2026) dedica sección entera a contraataques de canal lateral (potencia, EM, tiempo, fallo) en SW/HW. Sin contra-medidas validadas, el algoritmo matemático seguro falla en silicio.

Escenario 2030-2035: dos mundos

• Mundo migrado: TLS 1.3 híbrido por defecto, certificados compuestos, HSM PQC, firmware actualizable over-the-air con firmas PQC, blockchains hard-forkeadas a firmas PQC (Ethereum EIP-7781 en discusión, Bitcoin BIP-360 propuesto), code signing obligatorio PQC en app stores y secure boot.
• Mundo rezagado: Legacy expuesto a HNDL retroactivo, ransomware cuántico (amenaza de descifrado futuro como extorsión), supply chain comprometida (firmware sin firma PQC), seguros cyber que excluyen riesgo cuántico no mitigado.

No es tecnológica la brecha —los estándares existen, el código abierto (liboqs, Open Quantum Safe, PQClean, AWS-LC, BoringSSL) funciona—. La brecha es organizativa, presupuestaria y de gobernanza. Quien espere a 2030 para empezar, habrá perdido la partida de la confidencialidad retroactiva. El ordenador cuántico no necesita romper RSA hoy para que el dato de hoy sea vulnerable mañana: basta con que exista alguien dispuesto a guardarlo.

Willow y el System Two de Donostia son la prueba de que la física avanza. El NIST IR 8545 y los FIPS 203/204/205 son la prueba de que la criptografía respondió. El siguiente movimiento no es de los físicos ni de los criptógrafos: es de los CISO, CTO y consejos de administración. La ventana de migración ordenada se cierra en 2028-2030. Después, solo queda la urgencia.