Biometría: de la huella dactilar a la cerebral
La actividad neuronal de cada persona es única, por eso la ciencia investiga la posibilidad de utilizarla como sistema de identificación. El Neuro-DNI, en lugar de nuestro rostro o huellas, tendría registrados los patrones eléctricos y metabólicos de nuestro cerebro. «A día de hoy se trata de un concepto en fase de investigación y debate académico, pero no se conocen programas gubernamentales destinados a implantar sistemas de identificación neuronal en población civil. Existen, no obstante, proyectos y empresas como OpenBCI o Neuralink que desarrollan tecnologías de registro y procesamiento de señales cerebrales, las cuales podrían servir de base para futuras líneas de investigación», afirma José Luis Vázquez Poletti, profesor de la Facultad de Informática de la Universidad Complutense de Madrid.
Los chips cerebrales actuales, como Neuralink o el programa de desarrollo anunciado por China para dominar el mercado, parece que, en principio, se centran en aplicaciones médicas, pero han supuesto una alarma a nivel internacional por las posibilidades que abren de leer nuestros pensamientos, interpretar lo que sentimos e, incluso, modificar nuestros patrones de conducta (además de que nuestros patrones cerebrales cambian con el estrés o si sufrimos algún problema de salud mental). «Las interfaces cerebro-máquina permiten descodificar la actividad cerebral en imágenes o textos, pero también son capaces de inducir sensaciones, sentimientos, ideas. Se habla menos de ello, pero pueden funcionar en ambas direcciones. El cerebro es la última barrera de nuestra intimidad», comenta Diego Hidalgo, emprendedor y fundador del Movimiento OFF (red global sin ánimo de lucro que ha impulsado el reto de estar en febrero sin redes).
De hecho, en los últimos años hemos visto cómo se protegía legalmente la actividad cerebral en Chile o en algunos estados americanos como California y Colorado. Rafael Yuste, neurocientífico español, dirige la Fundación Neuroderechos y defiende la privacidad mental como un derecho humano básico. Hace un año la entidad llevó a cabo un estudio sobre 30 compañías de neurotecnología comercial. Todas, decía, acaparan los datos neuronales del consumidor y la mayoría los venden a terceros. Mar España, directora de la Plataforma Control Z y exdirectora de la Agencia Española de Protección de Datos, cuenta que en 2024 la Agencia publicó un informe sobre los neurodatos en colaboración con el Supervisor Europeo de Protección de Datos. «Ahí decíamos que los neurodatos son datos especialmente sensibles. Cualquier sistema tiene que cumplir con el principio de proporcionalidad y un Neuro-DNI no tiene ninguna proporción, legalidad o necesidad».
Reconocimiento facial
La actividad cerebral es la última barrera de nuestra privacidad y el último paso en la carrera de los sistemas biométricos, esos que, en lugar de utilizar claves y contraseñas, usan nuestro iris o nuestra cara como forma de reconocimiento. Ya los usamos para acceder al móvil o a la cuenta del banco para evitar pirateos, así que a medida que avanza la ciberseguridad, aumenta la tendencia al uso de estos datos biométricos. En Estados Unidos, a raíz del 11-S, surgieron en los aeropuertos los primeros sistemas de reconocimiento facial. Según cuenta The New York Times, ya se toman fotos de los ciudadanos que salen del país y, en el caso de extranjeros, las imágenes pueden permanecer en una base de datos hasta 75 años, mientras que para un nacional los datos desaparecen a las 12 horas.
¿Es proporcional usarlos para entrar al gimnasio, hacer un examen online o justificar las horas de trabajo? El Tribunal Superior de Justicia de Galicia acaba de condenar a una empresa a pagar más de 50.000 euros a una trabajadora por obligarla a fichar su jornada laboral a través del reconocimiento facial. El Tribunal ha argumentado que existen otras técnicas menos intrusivas y que el uso de tecnologías biométricas supone una injerencia ilegítima en los derechos fundamentales del trabajador. Le sucedió también a la Universitat Internacional Valenciana, que fue denunciada por imponer el reconocimiento facial y el uso de doble cámara (para vigilar que no hubiera otras personas con el examinado ni copiara) como sistema para monitorizar exámenes a distancia.
Mar España comenta otro caso que pasó por la AEPD: «Un colegio utilizaba datos biométricos para controlar que los niños no se saltaran el comedor y vigilar así posibles problemas de anorexia. Lo que pedimos en esa situación fue que los datos biométricos se quedaran en las tarjetas que usaban los menores. En tal caso, consideramos que podía cumplirse con la proporcionalidad». A día de hoy, la AEPD deja la puerta abierta para el uso de biometría a «una interpretación flexible en contextos de interés público esencial, infraestructuras críticas y seguridad. No obstante, en el sector privado se mantiene la máxima cautela, y la biometría solo se puede utilizar en casos excepcionales, debidamente justificados y con estrictas garantías», dicen en su web.
«Durante los JJ. OO. de París se anunció que se iba a hacer un experimento de videovigilancia por reconocimiento facial. En Barcelona también recuerdo que hubo un proyecto en el paseo de Gracia para instalar cámaras de videovigilancia. Creo que muchas veces subestimamos los riesgos que pueden suponer estos sistemas en nuestras democracias y no solo en países de corte más autoritario, porque vemos muchísimos ejemplos de vulneración de derechos. La tecnología está estableciendo un estado de vigilancia cada vez mayor en todas partes. Lo vimos con las cámaras en la vivienda de Pablo Iglesias; los contenidos de cámaras de seguridad privadas son susceptibles de terminar en internet. Cuando conectamos procesos de nuestras vidas, ponemos en bandeja datos que pueden ser explotados de forma fraudulenta», alerta Hidalgo.
Tener un doble
Nuestros rasgos son únicos, lo que hace que un sistema biométrico sea, en principio, más seguro. Pero ¿qué sucede si los datos son hackeados y nos usurpan nuestra identidad? No es posible restablecer la huella dactilar o los rasgos faciales de una persona como se hace con una contraseña digital, por lo que los expertos hablan de que lo más seguro es combinar la biometría con otros factores de autenticación. «Gracias a la biometría se puede reducir el fraude por suplantación de identidad en canales digitales, como la apertura de cuentas bancarias o las operaciones financieras, al verificar la identidad de quien realiza la transacción. Sin embargo, no se trata de un sistema infalible. Por ejemplo, el reconocimiento facial podía engañarse en algunos sistemas antiguos con fotos o vídeos. La filtración de datos se sitúa en el centro del problema. Ningún sistema puede considerarse completamente inmune a fallos o ataques, y los que gestionan información biométrica no son una excepción. Además, resulta difícil, cuando no imposible, modificar determinados rasgos biométricos una vez comprometidos», comenta Poletti.
«No obstante, existe una estrategia relevante para mitigar este riesgo: que el sistema no almacene los datos biométricos directamente, sino una representación matemática derivada de ellos. También es esencial limitar el impacto de una posible filtración. Para ello, se recurre habitualmente a la combinación de varios factores de autenticación», detalla.
El investigador también recuerda que «En Europa, los datos biométricos (huella, rostro, iris, etc.) son considerados datos altamente sensibles. Esto implica que su uso requiere una justificación legal clara. La normativa intenta evitar usos desproporcionados o formas de vigilancia masiva. En otros países el enfoque regulatorio es diferente. China suele citarse como ejemplo de adopción amplia de tecnologías biométricas, con aplicaciones como el reconocimiento facial en espacios públicos, controles de acceso o verificación de identidad en servicios digitales. Este tipo de tecnologías genera debate porque, si se utilizan de forma extensiva, pueden facilitar la identificación automática de personas, el seguimiento de movimientos o el análisis de comportamientos.
Acceso a redes
Este mes se anunciaba la intención de prohibir a los menores de 16 años el acceso a redes sociales, algo que ya se ha hecho en Australia y está en proceso en Francia, Reino Unido y Portugal. Pero ¿cómo se verificará la edad de un usuario que se conecte? Una de las propuestas es el uso de la biometría.
Mar España comenta que es «bueno insistir en la necesidad de una adecuada verificación de edad. Ahora mismo ninguna red social está cumpliendo con eficacia los criterios de verificación, o bien porque se basan en declaraciones del menor o porque lo verifica una tercera empresa de confianza. Recuerdo un caso, cuando trabajaba en la Agencia, de una empresa de porno que no cumplía este requisito y al final prefirió pagar la multa que cambiar sus sistemas de verificación. No puede ser que les compense pagar las multas a cambio de tener a menores cautivos, en edades muy tempranas en las que su personalidad y su cerebro se están desarrollando. Estamos ante el mayor experimento de modificación de conducta de la historia de la humanidad por lo que es básico que las redes y webs verifiquen efectivamente los accesos».