Hace unos años, mientras trabajaba como gerente de producto responsable de una aplicación empresarial de verificación de identidad que comparaba documentos con selfies, revisé cientos de miles de transacciones bajo los controles adecuados de seguridad, privacidad y operaciones para comprender cómo funcionaba el algoritmo biométrico facial en el mundo real.
En algunos casos de fraude, la comprobación de los rostros funcionaba exactamente como se esperaba. La selfie coincidía con el rostro del documento de identidad.
Pero el documento de identidad en sí era falso, había sido manipulado o no estaba vinculado con la identidad real de la persona que estaba detrás de la solicitud.
Esa experiencia me enseñó una lección importante: la biometría puede confirmar que dos muestras biométricas coinciden, pero, por sí sola, no puede demostrar la verdadera identidad de una persona.
Este es uno de los mayores conceptos erróneos sobre la biometría. Muchas organizaciones suponen que añadir una comprobación de los rostros refuerza automáticamente la identidad. En realidad, la biometría es solo una señal dentro de un marco de confianza más amplio. Para establecer un mayor grado de confianza en una identidad, debe funcionar junto con la validación de documentos, la inteligencia de dispositivos, el riesgo asociado al teléfono y al correo electrónico, las señales de comportamiento, el historial de fraude y otros datos contextuales.
Suscríbase para recibir un resumen quincenal del blog de Regula
Concepto erróneo 1: la biometría puede revelar por sí sola la verdadera identidad
La biometría facial puede responder una pregunta específica: ¿este rostro coincide con otro rostro?
No puede responder por completo: ¿se trata de una persona real y legítima con una identidad confiable?
En los ataques de suplantación de identidad que ocurren en la práctica, el sistema biométrico puede seguir funcionando según lo previsto, pero el contexto que rodea a la muestra biométrica puede ser engañoso. Recuerdo un caso en el que la selfie enviada parecía mostrar a un hombre tomando una fotografía de su esposa o novia mientras ella dormía a su lado. Era la solicitud de ella para abrir una cuenta, pero la captura biométrica no representaba una participación intencional, informada y en vivo por parte de la solicitante. Bien podría tratarse de un ataque de suplantación de identidad.
Esta es una distinción importante. Un rostro puede coincidir, pero eso no siempre significa que la persona correcta esté participando conscientemente en el proceso.
Del mismo modo, si el documento de identidad es sintético, robado, alterado u obtenido de manera fraudulenta, una comprobación de los rostros exitosa puede limitarse a confirmar que la misma persona está vinculada con evidencias de identidad comprometidas.
Por eso, la biometría no debe considerarse una solución de identidad independiente. Es potente, pero debe estar conectada con otras señales que validen la identidad detrás de la muestra biométrica, la integridad de la sesión y la legitimidad de la participación del usuario.
Concepto erróneo 2: la biometría funcionará igual de bien para todas las personas
Otro concepto erróneo es pensar que un sistema biométrico que funciona bien en una demostración funcionará igual de bien para todos los usuarios.
Los casos del mundo real muestran el riesgo de esa suposición. Robert Williams, residente de Detroit, fue detenido injustamente después de que un sistema de reconocimiento facial asociara incorrectamente la fotografía de su licencia de conducir con imágenes de videovigilancia. La tecnología produjo una posible coincidencia, pero el proceso más amplio falló.
Esto es importante porque los sistemas biométricos pueden funcionar de manera diferente según los grupos de edad, géneros, etnias, tonos de piel, calidad de las imágenes y entornos de captura. Una única cifra de precisión no cuenta toda la historia.
Las organizaciones deben preguntarse: ¿para quién funciona bien este sistema, en qué condiciones y dónde es más probable que falle?
Sin pruebas demográficas, análisis de sesgos y salvaguardas operativas, la biometría puede generar resultados injustos para determinados grupos de personas. En un proceso de onboarding digital, esto puede significar que algunos usuarios tengan más probabilidades de ser rechazados, derivados a una revisión manual o requeridos a intentarlo varias veces. En entornos de mayor riesgo, las consecuencias pueden ser mucho más graves.
Concepto erróneo 3: el reconocimiento facial resuelve automáticamente los ataques de presentación e inyección
La comprobación de los rostros y la prueba de vida suelen considerarse lo mismo. No lo son.
La comprobación de los rostros responde: ¿estos dos rostros coinciden?
La prueba de vida responde: ¿esta muestra proviene de una persona viva?
La detección de ataques de presentación determina si alguien está utilizando una fotografía impresa, una máscara, la reproducción de un video o una imagen mostrada en una pantalla.
La detección de ataques de inyección determina si la imagen o el video se capturaron realmente mediante el flujo de cámara previsto o si se inyectaron digitalmente en el sistema.
En implementaciones reales, uno de los ataques más frecuentes que observé consistía en que las personas tomaban una selfie de una fotografía mostrada en otro teléfono. Capturar selfies desde la pantalla de una computadora era otra forma habitual en que los atacantes intentaban engañar a los sistemas biométricos faciales.
Un sistema básico de reconocimiento facial puede hacer coincidir esa imagen mostrada con el rostro del documento de identidad. Pero eso no significa que hubiera una persona viva presente en el proceso.
A medida que los estafadores utilizan deepfakes, emuladores, cámaras virtuales, herramientas para eludir la cámara y contenido multimedia sintético, las organizaciones necesitan algo más que la comprobación de los rostros. Necesitan prueba de vida, detección de ataques de inyección, comprobaciones de la integridad del dispositivo y seguridad a nivel de sesión.
La biometría puede confirmar la similitud entre rostros. Por sí sola, no puede confirmar que la muestra biométrica se haya capturado de una persona viva mediante un proceso de captura confiable.
Concepto erróneo 4: la biometría puede decidir las políticas empresariales
Un sistema biométrico puede generar una puntuación. Puede devolver un resultado de coincidencia, no coincidencia o no concluyente.
Pero no puede decidir las reglas empresariales de un caso de uso.
Por ejemplo, la verificación facial en un quiosco de un aeropuerto es muy diferente de la captura facial en una oficina del Departamento de Vehículos Motorizados (DMV). En el aeropuerto puede haber una iluminación deficiente, fondos con mucha actividad, usuarios con prisa y ángulos de cámara inconsistentes. El entorno de una oficina del DMV puede ser más controlado, asistido y estandarizado.
Ambos utilizan la comprobación de los rostros, pero requieren diferentes umbrales, opciones alternativas, modelos de consentimiento, políticas de retención y procesos operativos.
La biometría no decide durante cuánto tiempo deben almacenarse los datos, si los usuarios pueden optar por no participar, cuándo es necesaria una revisión manual ni qué ocurre cuando el sistema falla. Esas decisiones requieren la participación de los equipos de privacidad, seguridad, asuntos legales, cumplimiento normativo, riesgos, producto, operaciones y gobernanza.
El sistema biométrico puede respaldar las decisiones sobre políticas, pero no puede sustituirlas.
Concepto erróneo 5: la biometría puede superar un contexto de implementación deficiente
Incluso el mejor algoritmo puede rendir por debajo de lo esperado si el entorno de implementación es deficiente.
La calidad de la cámara, la iluminación, el fondo, el desenfoque por movimiento, las instrucciones al usuario, el canal, la captura asistida frente a la no asistida, las condiciones en interiores frente a exteriores y la calidad de la imagen afectan al rendimiento biométrico.
He visto a usuarios capturar selfies en condiciones de poca luz dentro de sus hogares. En esas situaciones, funciones de la cámara como la exposición automática, el enfoque, la detección del rostro predominante y las comprobaciones de calidad de la imagen pueden desempeñar un papel importante para mejorar la captura antes incluso de que el algoritmo biométrico realice la comparación.
Otro ejemplo se remonta a 2018, cuando trabajaba como consultor para un proveedor de verificación de identidad. Mi equipo observó que algunos usuarios enviaban fotografías de la portada de sus pasaportes en lugar de la página con la fotografía. Al principio, estábamos confundidos. ¿Por qué enviaría alguien la portada del pasaporte cuando el sistema necesitaba la página con la fotografía para realizar la comparación?
Después de analizarlo más a fondo, descubrimos que las instrucciones en pantalla decían algo parecido a “escanee su pasaporte y, a continuación, su selfie”. Algunos usuarios lo interpretaron literalmente y escanearon la portada del pasaporte. En esos casos, no había ninguna imagen del rostro procedente del documento que pudiera compararse con la selfie.
La capacidad biométrica existía, pero el diseño de la implementación impedía que el sistema biométrico funcionara correctamente.
Por eso, los equipos de producto no deberían limitarse a preguntar: “¿Qué tan preciso es el algoritmo?”.
Deberían preguntar: ¿qué tan preciso es para nuestros usuarios, nuestro entorno, nuestro flujo de cámara, nuestras instrucciones, nuestra tolerancia al riesgo y nuestro proceso operativo?
Esa es la diferencia entre comprar una herramienta biométrica e implementar un sistema biométrico.
Qué puede resolver la biometría
La biometría sí puede resolver problemas importantes.
Puede ayudar a vincular a una persona con un documento de identidad. Puede reducir el riesgo de apropiación de cuentas. Puede facilitar la autenticación sin contraseña. Puede detectar registros duplicados. Puede mejorar las experiencias de acceso físico, viajes, banca e identidad digital.
Pero la biometría no es un motor universal de confianza.
- No demuestra automáticamente la identidad.
- No elimina automáticamente el fraude.
- No funciona automáticamente igual de bien para todas las personas.
- No detecta automáticamente la suplantación ni los ataques de inyección.
- No satisface automáticamente los requisitos de privacidad o legales.
- No corrige automáticamente un diseño de implementación deficiente.
La forma correcta de entender la biometría
La cuestión no es si la biometría es buena o mala.
La pregunta más adecuada es si se utiliza para el problema correcto, en el entorno correcto y con las salvaguardas adecuadas.
Un programa biométrico responsable debería incluir contexto de identidad, pruebas del rendimiento demográfico, protección mediante prueba de vida y contra ataques de inyección, políticas claras de consentimiento y retención, pruebas de implementación específicas para cada caso de uso, procesos de revisión humana y alternativas, así como supervisión continua después del lanzamiento.
- Una comprobación de los rostros no equivale a una identidad verdadera.
- Un algoritmo de alto rendimiento no equivale a un sistema justo.
- Una puntuación biométrica no equivale a una decisión empresarial.
- Una demostración exitosa no equivale a una implementación lista para producción.
La biometría es más eficaz cuando no se considera simplemente un algoritmo, sino una parte de un sistema de confianza más amplio.
Las organizaciones que tengan éxito con la biometría serán aquellas que comprendan tanto su potencial como sus limitaciones.
