La identidad digital dejó de ser un problema exclusivo de bancos y plataformas tecnológicas. Hoy cualquier empresa que autorice accesos, contratos, pagos, cambios de datos o trámites a distancia enfrenta una pregunta: ¿cómo sabe quién está al otro lado? La inteligencia artificial permite crear rostros, voces, documentos y videos sintéticos convincentes, mientras organizaciones continúan confiando en una fotografía, una videollamada o una validación biométrica como pruebas definitivas. El riesgo no está solamente en que alguien falsifique una identidad, sino en que nuestros procesos estén diseñados para aceptar esa falsificación como verdadera. Por eso, la conversación ya no puede limitarse a comprar una herramienta biométrica. Debemos revisar cómo verificamos, autorizamos, registramos y conservamos evidencia de interacciones. La confianza digital exige arquitectura, controles y criterio humano, no una tecnología aislada que prometa reconocer un rostro. La pregunta empresarial es otra: ¿podemos demostrar después quién realizó la operación crítica? 👉 LEE NUESTRO BLOG...
Durante años construimos una idea relativamente sencilla de la identidad digital: si el rostro coincide con el documento, probablemente estamos frente a la persona correcta.
Después agregamos una fotografía.
Luego una videollamada.
Más adelante apareció la prueba de vida.
Y finalmente empezamos a hablar de biometría facial como una solución suficientemente robusta para determinados procesos de identificación.
El problema es que el entorno cambió.
La inteligencia artificial generativa no solamente permite producir textos o imágenes atractivas. También ha reducido considerablemente las barreras para generar o manipular rostros, voces, documentos y videos capaces de participar en procesos digitales de identificación.
El asunto empresarial, por tanto, no es preguntarnos si la biometría funciona.
La pregunta correcta es mucho más profunda:
¿qué estamos tratando de demostrar cuando verificamos la identidad de una persona?
Porque reconocer un rostro y demostrar una identidad son cosas diferentes.
Una coincidencia biométrica no necesariamente demuestra presencia
Imaginemos una situación aparentemente normal.
Una empresa necesita verificar remotamente la identidad de una persona antes de autorizar una operación. El sistema solicita su documento de identidad, posteriormente captura su rostro y finalmente compara ambas imágenes.
Existe coincidencia.
El sistema aprueba.
Desde una perspectiva tradicional podríamos considerar terminado el proceso.
Pero hay una pregunta que muchas organizaciones todavía no incorporan dentro de su análisis de riesgos:
¿quién garantiza que la imagen que recibió el sistema fue capturada realmente en ese momento desde la cámara que creemos que la capturó?
Ahí aparece una transformación fundamental del problema.
Ya no estamos hablando únicamente de engañar al algoritmo mostrando una fotografía frente a una cámara. Un atacante puede intentar intervenir el flujo digital para que el sistema reciba una imagen, un video o una señal manipulada como si hubiera sido capturada legítimamente.
Los llamados ataques de inyección ilustran precisamente esta vulnerabilidad: el problema puede encontrarse no solamente en el contenido que analizamos, sino también en el camino mediante el cual ese contenido llega hasta nosotros. ComputerWeekly destacaba recientemente este cambio al analizar cómo los deepfakes y la manipulación del flujo digital están obligando a replantear los procesos de onboarding remoto.
Esto modifica completamente la conversación.
Ya no basta con preguntar:
¿el rostro coincide?
También debemos preguntarnos:
¿la captura es auténtica?, ¿el canal es confiable?, ¿la sesión es legítima?, ¿el documento es consistente?, ¿el comportamiento de la operación corresponde al contexto esperado?, ¿qué evidencia conservamos?
Estamos pasando del reconocimiento de una característica física a la construcción de confianza sobre una operación completa.
Y eso requiere arquitectura.
El verdadero problema está en depender de una sola evidencia
Existe un principio que aplicamos permanentemente en TODO EN UNO.NET: una organización se vuelve vulnerable cuando confunde una herramienta con un proceso.
La biometría es una herramienta.
La verificación de identidad es un proceso.
La gestión del riesgo es una capacidad organizacional.
Son tres niveles diferentes.
Cuando una empresa compra una solución biométrica y considera solucionado el problema de identidad, puede estar creando una falsa sensación de seguridad.
El propio NIST exige detección de ataques de presentación —Presentation Attack Detection o PAD— para reconocimiento facial dentro de sus directrices de identidad digital y establece requisitos específicos de desempeño para sistemas biométricos.
Además, investigaciones del NIST sobre mecanismos de detección de ataques de presentación han mostrado que el problema está lejos de ser trivial: distintos algoritmos pueden responder de manera diferente frente a diversas formas de engaño y ningún control debería interpretarse como una defensa universal.
Esto debería interesarle al empresario incluso si su organización no pertenece al sector financiero.
Porque verificar identidad ocurre todos los días en lugares donde pocas veces lo llamamos así.
Cuando autorizamos un cambio de cuenta bancaria de un proveedor.
Cuando recibimos instrucciones de pago.
Cuando restablecemos una contraseña.
Cuando modificamos información de un cliente.
Cuando permitimos el ingreso físico a instalaciones.
Cuando aceptamos una autorización mediante WhatsApp.
Cuando celebramos contratos remotamente.
Cuando entregamos información personal.
Cuando alguien solicita ejercer derechos sobre sus datos.
Cuando autorizamos una operación mediante videollamada.
En todos esos casos existe, explícita o implícitamente, una decisión:
creemos que determinada persona es quien afirma ser.
📅 Si su organización está digitalizando procesos que involucran identificación, autorizaciones, biometría o tratamiento de información personal, conviene revisar primero el riesgo y después la tecnología. Puede conversar con TODO EN UNO.NET desde:
https://t.mtrbio.com/todo-en-unonet
Los deepfakes no crean el problema: revelan procesos débiles
Esta distinción me parece especialmente importante.
Sería sencillo concluir que la inteligencia artificial creó una nueva amenaza y que, por tanto, necesitamos comprar otra tecnología para combatirla.
Ese razonamiento reproduce exactamente el problema que durante años hemos cuestionado:
tecnología para responder a tecnología.
Los deepfakes están evidenciando algo que ya existía: muchos procesos empresariales de identificación fueron construidos suponiendo que determinadas evidencias eran difíciles de falsificar.
Una voz parecía suficiente.
Una fotografía parecía suficiente.
Una videollamada parecía suficiente.
Un documento fotografiado parecía suficiente.
Una coincidencia facial parecía suficiente.
La inteligencia artificial está destruyendo progresivamente esas presunciones.
Y cuando cambia una presunción sobre la cual construimos un proceso, debemos revisar el proceso completo.
No simplemente agregar otra herramienta.
Por eso considero que el desafío debe abordarse desde una Arquitectura de Protección de Datos y Confianza Digital (APDP).
Esta arquitectura parte de una pregunta diferente:
¿qué nivel de certeza necesita realmente la organización antes de permitir determinada acción?
No todas las operaciones necesitan los mismos controles.
Consultar información general no representa el mismo riesgo que modificar una cuenta bancaria.
Actualizar un teléfono no necesariamente tiene las mismas consecuencias que recuperar el control de una cuenta.
Ingresar a una zona administrativa tampoco equivale a acceder a un área crítica.
La verificación debería ser proporcional al riesgo.
La identidad debe verificarse por capas
Una arquitectura madura no debería depender exclusivamente de una señal.
Debería combinar diferentes evidencias dependiendo del nivel de riesgo.
Podemos pensar, por ejemplo, en varias capas.
Una primera capa corresponde a lo que la persona presenta: documento, credenciales o información asociada con su identidad.
Una segunda corresponde a lo que podemos contrastar: consistencia de datos, vigencia documental, coincidencias y validaciones contra fuentes apropiadas.
Una tercera corresponde a la presencia y autenticidad de la interacción: mecanismos de prueba de vida, detección de ataques de presentación y controles destinados a identificar material artificial o manipulado.
Una cuarta corresponde al canal y al dispositivo: necesitamos considerar cómo llegó la información, desde dónde se originó la sesión y si existen señales que indiquen manipulación.
Una quinta corresponde al contexto de la operación.
Aquí comienza a aparecer algo particularmente valioso.
Una persona puede superar técnicamente determinadas verificaciones y, aun así, estar intentando realizar una operación completamente anómala.
Por eso la identidad no debería analizarse aislada de la transacción.
¿La operación es habitual?
¿El dispositivo es conocido?
¿El cambio solicitado es coherente?
¿Existe una modificación simultánea de información sensible?
¿La operación requiere una segunda autorización?
¿Estamos frente a una excepción?
Finalmente existe una sexta capa que frecuentemente olvidamos:
la evidencia.
No basta con controlar.
Hay que poder demostrar qué control se realizó.
Una empresa necesita poder reconstruir lo ocurrido
Supongamos que seis meses después aparece una reclamación:
“Yo nunca autoricé esa operación”.
¿Qué puede demostrar la organización?
Esa pregunta separa un proceso aparentemente digital de un proceso realmente gobernado.
¿Sabemos cuándo ocurrió?
¿Desde qué sesión?
¿Qué mecanismo de identificación se utilizó?
¿Qué información fue presentada?
¿Qué controles fueron aplicados?
¿Qué resultado produjo cada validación?
¿Existió una segunda autorización?
¿Quién tomó la decisión final?
¿Qué evidencia quedó almacenada?
¿Cuánto tiempo debe conservarse?
¿Quién puede acceder a ella?
¿Puede garantizarse su integridad?
Cuando estas preguntas no tienen respuesta, tenemos un problema mucho mayor que un deepfake.
Tenemos una organización incapaz de reconstruir una decisión digital.
La trazabilidad se convierte entonces en parte de la seguridad.
Y también en parte de la responsabilidad empresarial.
📅 En TODO EN UNO.NET podemos revisar estos procesos desde la perspectiva tecnológica, organizacional y de protección de datos, identificando dónde existe dependencia excesiva de una sola evidencia y qué controles deberían fortalecerse según el riesgo:
https://t.mtrbio.com/todo-en-unonet
Hay otro riesgo: la biometría también es un dato que debemos proteger
Existe además una paradoja empresarial importante.
Utilizamos biometría para aumentar la seguridad, pero para hacerlo necesitamos tratar información especialmente sensible.
Una contraseña comprometida puede cambiarse.
Nuestro rostro no.
Nuestra huella tampoco.
Por eso implementar biometría sin una adecuada arquitectura de protección de datos puede solucionar un riesgo mientras crea otro.
La organización debería conocer, entre otros aspectos:
para qué necesita realmente el dato biométrico;
qué riesgo pretende controlar;
si existe una alternativa menos invasiva;
quién realiza el tratamiento;
dónde se almacena la información;
durante cuánto tiempo;
quién puede acceder;
qué terceros participan;
qué medidas de seguridad existen;
qué ocurre cuando termina la finalidad;
y cómo respondería ante un incidente.
La pregunta “¿podemos implementar biometría?” resulta insuficiente.
Debemos agregar otra:
¿debemos implementarla en este proceso y bajo estas condiciones?
Esa diferencia es fundamental.
La revisión humana tampoco puede convertirse en la solución mágica
Ante el crecimiento de los deepfakes podría surgir otra respuesta aparentemente lógica:
“Entonces pongamos una persona a verificar”.
Pero también debemos tener cuidado con esa conclusión.
Una persona puede ser engañada.
Puede trabajar bajo presión.
Puede omitir procedimientos.
Puede interpretar incorrectamente una evidencia.
Puede acostumbrarse a aprobar operaciones rutinarias.
Puede ser víctima de ingeniería social.
El criterio humano continúa siendo fundamental, pero debe ocupar el lugar correcto dentro de la arquitectura.
No necesitamos elegir entre tecnología o personas.
Necesitamos diseñar procesos donde tecnología, reglas, evidencia y criterio humano se complementen.
En operaciones de bajo riesgo, la automatización puede resolver prácticamente todo el proceso.
En situaciones ambiguas, una revisión adicional puede ser necesaria.
Y en operaciones críticas, posiblemente necesitemos controles escalonados, segregación de funciones o una autorización adicional.
Eso es gestión del riesgo.
La seguridad también debe cuidar la experiencia del usuario
Existe un extremo igualmente peligroso: convertir cada interacción digital en una carrera de obstáculos.
Documento.
Fotografía.
Código.
Video.
Correo.
Pregunta.
Segunda autenticación.
Nueva validación.
Esperar aprobación.
Una arquitectura mal diseñada puede ser muy segura en teoría y completamente inútil en la práctica porque termina expulsando al usuario legítimo.
La seguridad empresarial siempre debe buscar equilibrio.
El objetivo no es introducir el máximo número posible de controles.
Es introducir los controles adecuados en los puntos adecuados.
Una operación de mayor riesgo puede justificar una verificación reforzada.
Una operación cotidiana y de bajo impacto debería permitir una experiencia más sencilla.
La arquitectura debe poder diferenciar ambas situaciones.
El deepfake empresarial más peligroso puede llegar por una instrucción aparentemente legítima
Hay otro escenario que merece atención.
No todos los ataques necesitan superar sofisticados sistemas biométricos.
Imagine una videollamada.
Una voz conocida.
Un rostro aparentemente conocido.
Una instrucción urgente.
“Necesito que hagamos esta transferencia inmediatamente”.
Durante décadas entrenamos a las personas para desconfiar de correos extraños, enlaces sospechosos y archivos desconocidos.
Ahora debemos agregar una nueva capacidad:
no asumir que ver y escuchar a alguien constituye automáticamente una prueba suficiente de identidad.
Esto tiene consecuencias organizacionales enormes.
Las empresas deberían establecer procedimientos independientes para operaciones sensibles.
Por ejemplo, determinados pagos o cambios críticos no deberían aprobarse exclusivamente porque alguien los solicitó mediante una llamada o videollamada.
La operación debería activar su propio mecanismo de confirmación.
Eso significa que la seguridad deja de depender de nuestra capacidad para descubrir si un video es falso.
Y empieza a depender de algo mucho más controlable:
un proceso correctamente diseñado.
La pregunta que debe hacerse la gerencia
Frente a esta realidad, considero que cada organización debería realizar un ejercicio sencillo.
Identifique todas las decisiones donde alguien debe demostrar quién es antes de que la empresa haga algo.
No piense solamente en clientes.
Incluya empleados.
Proveedores.
Directivos.
Contratistas.
Usuarios.
Visitantes.
Representantes legales.
Terceros.
Después pregunte:
¿qué evidencia aceptamos actualmente para creer que esa persona es quien afirma ser?
El resultado puede sorprender.
Probablemente encontraremos procesos basados en llamadas telefónicas, mensajes de WhatsApp, correos electrónicos, fotografías de documentos, firmas escaneadas, videollamadas o reconocimientos visuales.
No necesariamente significa que todos sean incorrectos.
Significa que debemos conocer qué riesgo estamos aceptando.
Después clasifiquemos las operaciones según impacto.
Y solamente entonces decidamos qué controles necesitamos.
Esa secuencia cambia completamente la forma de abordar la seguridad.
Primero el riesgo.
Después el proceso.
Finalmente la tecnología.
No al contrario.
La confianza digital será una capacidad empresarial
Durante los próximos años hablaremos cada vez menos de “detectar deepfakes” como un problema aislado y cada vez más de demostrar autenticidad, procedencia e integridad dentro de las operaciones digitales.
La razón es sencilla.
La inteligencia artificial continuará mejorando.
Esperar que una persona pueda distinguir siempre entre contenido real y sintético será progresivamente menos razonable.
Por eso nuestras organizaciones deben dejar de construir confianza exclusivamente sobre aquello que nuestros ojos ven o nuestros oídos escuchan.
Necesitamos construirla sobre arquitectura.
Sobre procesos.
Sobre múltiples evidencias.
Sobre trazabilidad.
Sobre segregación de funciones.
Sobre protección de datos.
Sobre controles proporcionales al riesgo.
Y sobre personas que comprendan por qué esos controles existen.
Ahí aparece nuevamente nuestra filosofía empresarial.
Nunca la tecnología por la tecnología en sí misma; sino la tecnología por la funcionalidad.
La biometría puede continuar siendo extraordinariamente útil.
La inteligencia artificial también.
La automatización también.
Pero ninguna herramienta debería recibir una responsabilidad que pertenece al diseño organizacional.
La verdadera pregunta para un gerente ya no es:
“¿Tenemos reconocimiento facial?”
La pregunta debería ser:
“Si mañana alguien intenta hacerse pasar por un cliente, empleado, proveedor o directivo utilizando inteligencia artificial, ¿nuestros procesos podrían detectarlo, contenerlo y demostrar posteriormente qué ocurrió?”
Si la respuesta depende exclusivamente de una fotografía, una voz, una videollamada o una coincidencia biométrica, probablemente existe algo que revisar.
📅 En TODO EN UNO.NET abordamos este desafío desde la Arquitectura de Protección de Datos y Confianza Digital, integrando personas, procesos, tecnología, protección de datos, trazabilidad y riesgo antes de decidir qué herramienta implementar.
https://t.mtrbio.com/todo-en-unonet
La inteligencia artificial está cambiando nuestra capacidad para fabricar apariencias convincentes.
Las empresas, por tanto, necesitan fortalecer su capacidad para construir evidencias confiables.
Porque en el nuevo entorno digital ver ya no necesariamente significa creer.
Y la confianza empresarial no puede depender de lo convincente que parezca una imagen.
Debe depender de la solidez del proceso que permitió aceptarla.
Arquitectura: Arquitectura de Protección de Datos y Confianza Digital (APDP).