La reciente oleada de normativas sobre verificación de edad en plataformas como PlayStation, Meta y TikTok ha destapado un debate técnico que va mucho más allá de la interfaz de un escaneo facial. Detrás de cada selfie enviado para confirmar la mayoría de edad se esconde una infraestructura de recolección de datos biométricos que, en muchos casos, almacena fotografías de documentos de identidad y métricas faciales durante años. Este modelo, lejos de ser inocuo, convierte a las empresas en custodios de un activo extremadamente sensible: la huella digital única de cada usuario. Desde la perspectiva de la ciberseguridad, el principal riesgo no reside en el algoritmo de comparación, sino en las políticas de retención de terceros y en la falta de minimización de datos. Cuando un sistema guarda la imagen completa de un carné de identidad junto con el vector matemático del rostro, se crea un blanco perfecto para atacantes. La filtración de decenas de miles de identificaciones en una brecha reciente demuestra que el eslabón débil suele ser la API del proveedor externo, no el modelo de inteligencia artificial en sí mismo.
Para quienes trabajamos en el desarrollo de software a medida, esta situación plantea una pregunta inevitable: ¿estamos construyendo herramientas de verificación o bases de datos de vigilancia? La diferencia arquitectónica es fundamental. Un proceso de comparación facial uno a uno, diseñado para confirmar si dos fotografías corresponden a la misma persona, puede ejecutarse sin necesidad de almacenar el rostro de forma permanente. Basta con extraer los vectores de distancia euclidiana, realizar el análisis y descartar inmediatamente la fuente. Sin embargo, muchas soluciones comerciales optan por conservar estos datos durante años para entrenar modelos o como comodidad del servicio, generando un pasivo de seguridad que tarde o temprano se materializa. En nuestros servicios de ciberseguridad y pentesting hemos observado que la mayoría de las vulnerabilidades en sistemas de identidad no están en la lógica de comparación, sino en la gestión del ciclo de vida de los datos recolectados.
La alternativa técnica pasa por adoptar arquitecturas que preserven la privacidad desde el diseño. Sistemas basados en tokens o pruebas de conocimiento cero (Zero-Knowledge Proofs) permiten que un verificador confirme un atributo —por ejemplo, «el usuario es mayor de 18 años»— sin acceder jamás a la fuente biométrica original. Este enfoque, aunque más complejo de escalar, elimina de raíz el problema de la retención masiva. Para las empresas que desarrollan aplicaciones a medida con requisitos de cumplimiento normativo, implementar estas técnicas supone una ventaja competitiva y una reducción significativa del riesgo legal. No se trata solo de evitar multas millonarias, sino de diseñar productos que respeten la soberanía del usuario sobre sus propios datos.
En el ámbito de la inteligencia artificial aplicada a la verificación facial, el reto actual es equilibrar precisión y privacidad. Los modelos más avanzados logran tasas de acierto elevadas, pero su despliegue en entornos productivos exige infraestructura robusta y un control granular sobre los pipelines de datos. Aquí entra en juego la posibilidad de combinar servicios cloud aws y azure para desplegar entornos efímeros de procesamiento, donde las imágenes se analizan y se destruyen sin persistencia. Además, la incorporación de servicios inteligencia de negocio permite monitorizar en tiempo real las métricas de privacidad y detectar fugas o accesos no autorizados. Las organizaciones que apuestan por ia para empresas deben entender que la verdadera madurez tecnológica no está en recolectar más datos, sino en extraer valor sin comprometer la seguridad.
El concepto de agentes IA también está emergiendo como una solución para automatizar los flujos de verificación sin intervención humana, reduciendo el riesgo de exposición. Un agente puede orquestar la comparación facial, validar la autenticidad del documento y generar un informe de resultado, todo ello sin almacenar la imagen original. Esta aproximación, combinada con dashboards de power bi para auditoría y cumplimiento, ofrece a los equipos de desarrollo una visibilidad total sobre el comportamiento del sistema. La clave está en diseñar procesos donde la recolección sea mínima, la retención esté justificada y la transparencia sea la norma.
Frente al modelo tradicional de «relevo» —donde el usuario entrega su dato a la aplicación, esta lo reenvía al verificador y este a su vez lo comparte con analíticas—, la industria necesita una nueva generación de aplicaciones a medida que integren la privacidad como requisito funcional, no como añadido posterior. En nuestro enfoque de desarrollo de software a medida priorizamos arquitecturas que separan la verificación del almacenamiento, permitiendo a los investigadores y a las empresas obtener respuestas precisas sin convertir cada consulta en una huella permanente. La decisión está en manos de los desarrolladores: podemos seguir alimentando bases de datos que serán el próximo gran objetivo de los ciberdelincuentes, o podemos construir sistemas que verifiquen sin espiar, que comparen sin almacenar y que protejan la identidad de quienes confían en nuestra tecnología.
