Octubre mes de la Ciberseguridad - Día 10: No compartas tus datos biométricos, ni siquiera "por diversión"

[jorgesdb]

Tu rostro, tu voz, tus huellas o tu iris no son solo una imagen: son identificadores únicos e irreemplazables.
Si los compartes con una empresa o servicio sin garantías sólidas, podrías estar cediendo una parte de tu identidad digital para siempre.

Qué son los datos biométricos​

Son datos que te identifican de forma unívoca: rostro, voz, iris, huella, forma de andar, incluso los movimientos del rostro o los patrones de escritura.

A diferencia de una contraseña, no se pueden cambiar. Si se filtran o se usan indebidamente, no hay forma de revocar esa “clave”.

Por qué no deberías compartirlos​

1. Riesgo de filtración
   Si un servicio que almacena plantillas faciales, de voz o iris sufre una brecha, esos datos pueden ser robados.
   A diferencia de una contraseña filtrada, no podrás “cambiar tu cara” ni tu iris.
   Esos datos podrían ser usados para:
   • Suplantarte en sistemas de reconocimiento facial o voz.
   • Entrenar modelos de IA sin tu consentimiento.
   • Crear deepfakes más creíbles o manipular tu identidad digital.
2. Uso futuro no previsto
   Cuando aceptas los términos de servicio de una plataforma, estás dando permiso para usos actuales… y futuros.
   Si la empresa cambia su política —por ejemplo, para usar tus datos en publicidad, IA o reventa— podrían hacerlo legalmente si aceptas las nuevas condiciones sin leerlas.
   Tu imagen podría acabar en bases de datos o entrenamientos de modelos sin control.
3. Cesión de derechos sobre tu imagen y voz
   Muchos servicios de creación de avatares, “videos IA” o clonación de voz incluyen cláusulas que ceden derechos de uso y modificación de tu imagen o voz, a menudo sin límite de tiempo.
   Eso significa que tu cara o tu voz podrían ser reutilizadas para fines distintos (comerciales, publicitarios o políticos) sin que puedas impedirlo.

Casos recientes y por qué son preocupantes​

1. El nuevo servicio de Meta con generación de deepfakes y avatares IA
Meta está experimentando con herramientas que permiten crear videos y personajes digitales basados en rostros reales y modelos entrenados con datos de usuarios.
El riesgo está en que estas plataformas podrían almacenar modelos biométricos derivados de tu cara o tu voz para “personalizar” resultados, y esos modelos podrían usarse posteriormente para publicidad o entrenamiento de IA, incluso después de cerrar tu cuenta.

2. Sora (OpenAI)
Sora permite generar vídeos realistas a partir de texto, pero el entrenamiento de este tipo de modelos se basa en millones de clips e imágenes, muchos con rostros humanos.
El problema no es que el usuario final comparta su cara directamente, sino que las empresas puedan entrenar modelos con contenido biométrico extraído de internet, incluyendo fotos o vídeos que los usuarios publicaron sin imaginar ese uso.
Si además entregas tu rostro o tu voz para personalizar contenidos, estás facilitando material que podría alimentar futuras generaciones de modelos generativos sin tu control.

3. Worldcoin y el escaneo del iris
Worldcoin ofrece una verificación de identidad basada en escanear el iris con un dispositivo físico (“Orb”). Aunque promete anonimato, el sistema genera una plantilla biométrica (código único) derivada del iris.
El riesgo es que, aunque no almacenen la imagen completa, esa plantilla es un identificador permanente.
Si el sistema fuera hackeado o los datos se usaran con otros fines, podría servir para rastrear a personas o vincular su identidad digital a movimientos financieros o geográficos.
Además, si en el futuro se modifican los términos del servicio, los usuarios podrían haber cedido derechos sobre un identificador que no pueden modificar.

Y hay muchos más servicios similares no tan conocidos.

Qué podría pasar si estos servicios son hackeados​

• Se filtran bases de datos con plantillas biométricas (rostros, voces, iris).
• Esas plantillas podrían combinarse con IA generativa para crear deepfakes hiperrealistas.
• Los delincuentes podrían usar esas copias para:
  • Suplantar tu voz en llamadas o fraudes telefónicos.
  • Crear vídeos falsos tuyos pidiendo dinero o diciendo cosas que nunca dijiste.
  • Engañar sistemas de autenticación facial o vocal.
  • Rastrear tu identidad en otras plataformas.

Qué podría pasar si las empresas cambian los términos de servicio​

Los términos de uso suelen incluir frases ambiguas como “podemos usar tus datos para mejorar nuestros servicios” o “podemos compartir información con socios tecnológicos”.
Eso significa que, aunque hoy te prometan privacidad, mañana podrían usar tu rostro o voz para entrenar modelos de IA comerciales, vender datos agregados o licenciar representaciones digitales tuyas.
Y legalmente podrían hacerlo si no lees o rechazas las nuevas condiciones.

Qué puedes hacer​

1. No entregues datos biométricos salvo obligación legal o absoluta necesidad.
   No hay ningún motivo legítimo para subir tu cara, tu voz o tu iris a una empresa para “probar una IA” o “crear tu avatar” si no puedes controlar cómo los usará.
2. Lee los términos de servicio y privacidad antes de subir fotos, voz o vídeo a plataformas de IA.
   Si menciona “entrenamiento”, “uso comercial” o “cesión a terceros”, no lo uses.
3. Usa versiones locales o sin conexión de aplicaciones de edición o generación de imágenes si quieres experimentar sin subir tus datos a la nube.
4. Si ya compartiste datos biométricos, contacta con la empresa para solicitar su eliminación y ejercer tu derecho de supresión.
5. Evita publicar contenido personal en exceso, especialmente con tu rostro o tu voz, en servicios que usen IA generativa o herramientas de clonación.

Ejemplo claro​

Una usuaria sube su rostro a un servicio para crear “videos realistas con IA” y acepta los términos sin leer.
A los meses, la empresa amplía sus condiciones y usa ese material para entrenar un modelo comercial.
Más adelante, una versión generada de su cara aparece en anuncios que no autorizó.
No hubo “hackeo”: fue uso permitido por los nuevos términos.

En resumen​

• Los datos biométricos son únicos y permanentes: no se pueden cambiar.
• Si una empresa que los guarda es hackeada, pierdes el control de tu identidad digital.
• Si cambian sus políticas, podrían usar tu rostro, tu voz o tu iris con fines comerciales o de entrenamiento IA.
• No entregues tu biometría por curiosidad, moda o comodidad.

Más información sobre estos nuevos servicios de Meta y OpenAI en este artículo de Maldita Tecnología publicado ayer y en el que he colaborado.