En los últimos años, gobiernos de todo el mundo han implementado diferentes opciones de identificación digital, y ahora se están realizando esfuerzos para alentar a las empresas en línea a implementar requisitos de verificación de identidad y edad teniendo en cuenta la identificación digital. Este blog es el segundo de una breve serie que explica la identificación digital y el caso de uso pendiente de la verificación de edad. En próximas publicaciones se evaluará qué protecciones reales podemos implementar con los marcos de identificación digital actuales y se discutirá cómo una mejor privacidad y controles pueden mantener a las personas más seguras en línea.

La identidad digital abarca varios aspectos de la identidad de una persona que se presentan y verifican a través de Internet o en persona. Esto podría significar una credencial digital emitida por un organismo de certificación o un permiso de conducir móvil proporcionado a la cartera móvil de una persona. Pueden presentarse en texto plano en un dispositivo, como un código QR escaneable, o tocando tu dispositivo con algo llamado lector de comunicación de campo cercano (NFC). Hay otras formas de presentar la información de las credenciales que preservan un poco más la privacidad, pero en la práctica esos tres métodos son los que vemos hoy en día en el uso de la identificación digital.

Los defensores de la identificación digital suelen utilizar un marco que denominan «triángulo de confianza». Este se presenta normalmente como un triángulo de intercambio entre el titular de una identificación, es decir, quienes utilizan un teléfono o una aplicación de cartera para acceder a un servicio; el emisor de una identificación, que suele ser una entidad gubernamental, como los Departamentos de Vehículos Motorizados de los Estados Unidos, o un sistema bancario; y el verificador de una identificación, la entidad que quiere confirmar tu identidad, como las fuerzas del orden, una universidad, una oficina de prestaciones gubernamentales, un sitio web pornográfico o un minorista en línea.

Este triángulo implica que el emisor y el verificador —por ejemplo, el gobierno que proporciona la identificación y el sitio web que comprueba tu edad— nunca necesitan comunicarse entre sí. En teoría, esto evita las amenazas de rastreo y vigilancia que surgen al impedir que tu identificación, por diseño, llame a casa cada vez que verificas tu identidad con otra parte.

Pero también hace muchas suposiciones cuestionables, como por ejemplo:

1) El verificador solo pedirá una cantidad limitada de información.

2) El verificador no almacenará la información que recopile.

3) El verificador siempre es de confianza.

La tercera suposición es especialmente problemática. ¿Cómo puedes confiar en que el verificador protegerá tu información más personal y no la utilizará, almacenará o venderá más allá de lo que tú has consentido? Cualquiera de los siguientes podría ser un verificador:

• Las fuerzas del orden cuando realizan una parada de tráfico y verifican que tu identificación es válida.
• Una oficina de prestaciones sociales que requiere la verificación de la identidad para inscribirte en las prestaciones de la seguridad social.
• Un sitio web pornográfico en un estado o país que requiere la verificación de la edad o la identidad antes de permitir el acceso.
• Un minorista en línea que vende productos como alcohol o tabaco.

Si volvemos a fijarnos en el triángulo, no se trata de un intercambio equitativo. Tu identificación personal, como el carné de conducir o el documento de identidad, es uno de los documentos más centralizados y sensibles que tienes: no puedes controlar cómo se emite ni crear uno propio, sino que tienes que pasar por tu gobierno para obtenerlo. Esta relación siempre será desequilibrada. Pero tenemos que asegurarnos de que la identificación digital no agrave estos desequilibrios.

El esfuerzo por responder a las preguntas de cómo evitar el abuso de los verificadores está en curso. Sin embargo, en lugar de trabajar en los daños que causan estos sistemas, los gobiernos de todo el mundo están acelerando la implantación de esta tecnología, apresurándose a resolver lo que consideran una crisis de daños en línea mediante la imposición de la verificación de la edad. Y las implementaciones actuales del Triángulo de Confianza ya han demostrado ser desastrosas.

Un ejemplo clave de la rapidez de la implementación, que supera a las protecciones adecuadas, es la API de credenciales digitales. Lanzada inicialmente por Google y ahora respaldada por Apple, esta implementación permite la verificación masiva y sin restricciones por parte de aplicaciones y sitios web que utilizan la API para solicitar información de tu identificación digital. La introducción de esta tecnología en los dispositivos de las personas no vino acompañada de límites ni controles sobre la información que pueden solicitar los verificadores, lo que los incentiva a solicitar información de identificación más allá de la cuestión de si el titular es mayor de cierta edad, simplemente porque pueden hacerlo.

La API de credenciales digitales también incentiva a una variedad de sitios web a solicitar información de identificación que no es necesaria y que antes no solían solicitar. Por ejemplo, los servicios de entrega de comida a domicilio, los servicios médicos y los sitios de juegos, y literalmente cualquier otra persona interesada en ser verificador, pueden convertirse en uno mañana mismo con la identificación digital y la API de credenciales digitales. Esto supone tanto una erosión de la privacidad personal como una vía para una mayor vigilancia. Deben establecerse limitaciones y un ámbito de aplicación, entre los que se incluyen:

• que los verificadores establezcan quiénes son y qué piensan pedir a los titulares. También debe establecerse un plan de transparencia sobre los verificadores y sus políticas de conservación de datos.
• formas de identificar y denunciar a los verificadores abusivos, así como consecuencias reales, como revocar o bloquear a un verificador para que no pueda solicitar identificaciones en el futuro.
• presentaciones no vinculables que no permitan la colusión entre el verificador y el emisor. Además, no se compartirán datos entre los verificadores que tú certifiques. Se evitará el seguimiento de tus movimientos en persona o en línea cada vez que certifiques tu edad.

Otro motivo de preocupación surge en casos de abuso o engaño. Un verificador malintencionado puede enviar una solicitud sin mecanismos de limitación ni controles, y el usuario que rechace la solicitud podría quedar completamente bloqueado del sitio web o la aplicación. Debe haber disposiciones que garanticen que las personas tengan acceso a servicios vitales que requieran la verificación de la edad de los visitantes.

Los esfuerzos del Gobierno para hacer frente a los posibles abusos de las solicitudes de identificación digital por parte de los verificadores aún no han dado sus frutos. Por ejemplo, la Comisión Europea ha lanzado recientemente su «miniaplicación» de verificación de la edad, adelantándose a la cartera de identificación de la UE prevista para 2026. La miniaplicación no contará con un registro de verificadores, tal y como habían prometido los reguladores de la UE y luego retiraron. Sin la responsabilidad de los verificadores, la cartera no puede determinar si una solicitud es legítima. Como resultado, los verificadores y los emisores exigirán la verificación a las personas que quieran utilizar los servicios en línea, pero esas mismas personas no podrán insistir en la verificación y la responsabilidad de las otras partes del triángulo.

Aunque la identificación digital se promueve como la solución al problema de subir los documentos de identidad a cada sitio al que acceden los usuarios, la seguridad y la privacidad de los mismos varían en función de su implementación. Pero cuando se trata de la privacidad, los reguladores deben dejar margen para la negociación. Deberían existir medidas más reflexivas y protectoras para los titulares que interactúan con un número cada vez mayor de verificadores potenciales a lo largo del tiempo. De lo contrario, las soluciones de identificación digital no harán más que agravar los daños y las desigualdades existentes, en lugar de mejorar la accesibilidad a Internet y el acceso a la información para todos.