Bajo la premisa de proteger a los menores de la adicción al celular, gobiernos y agencias de seguridad avanzan con leyes de verificación de identidad universal. El riesgo es enorme: abrir la puerta a un mayor control y digitalizar la vigilancia masiva.
Las agencias de seguridad (como Interpol y Europol) y grupos conservadores vienen perdiendo la pelea sobre el control de Internet desde mediados de los noventa. Acaban de encontrar la forma de ganarla: a través del argumento de la "adicción" al celular y la protección infantil.
Desde el 17 de marzo de 2026 rige en Brasil la Ley 15.211/2025, conocida como ECA Digital. Prohíbe la autodeclaración (el simple botón de "tengo más de 18") y obliga a tiendas de aplicaciones y sistemas operativos a verificar la edad, bajo pena de hasta cincuenta millones de reales o bloqueo del servicio por incumplimiento. En Argentina hay varios proyectos y pedidos de ONGs en curso. Australia, Dinamarca, Francia, España, el Reino Unido, varios estados de Estados Unidos: todos avanzaron con alguna versión.
Las agencias de seguridad y grupos conservadores vienen perdiendo la pelea sobre el control de Internet desde mediados de los noventa. Acaban de encontrar la forma de ganarla: a través del argumento de la "adicción" al celular y la protección infantil.
La conversación pública está dominada por los daños a chicos y adolescentes en plataformas digitales. A pesar de discusiones sobre su alcance y obvios factores que se dejan de lado, es probable que los haya. La intención declarada de los legisladores es protegerlos y en muchos casos es genuina. Pero la arquitectura técnica que se está creando bajo esa premisa implica casi siempre terminar con el anonimato. La excepción que se anunció como prueba de que se podía hacer de otro modo, una app europea con supuestos estándares de privacidad adecuados, fue hackeada en dos minutos editando un archivo de configuración el día siguiente del lanzamiento (profundizaré sobre esto más adelante). Y los funcionarios, en lugar de abandonar la idea, redoblan la apuesta.
Si todo el sistema funcionara como promete, ¿qué se perdería?
En 2021, una filtración masiva en el RENAPER (el Registro Nacional de las Personas) expuso datos de decenas de millones de ciudadanos argentinos. La promesa de "los datos están seguros" en este país, y en otros de la región, puede significar la diferencia entre la seguridad o la represión y el asesinato. En 2024, según Voces del Sur, hubo 3.700 agresiones documentadas contra periodistas en 17 países de la región; el 49% provino de actores estatales. Catorce periodistas fueron asesinados. Esa es la realidad institucional sobre la que se propone montar identificación universal en Internet.
Casi cualquier implementación de verificación de edad que toque una base estatal (Mi Argentina, una API del RENAPER, o sistemas futuros de ID digital) deja un registro central de qué ciudadano verificó su edad para acceder a qué aplicación y en qué momento. Ese registro de verificaciones, cruzado con otros datos, puede servir para inferir qué se usa: foros de pacientes, plataformas porno, apps de salud sexual, comunidades LGBT, lo que sea. Y la promesa de "este sistema no va a usar esos datos" en manos exclusivas del Estado vale lo que vale el decreto que la sostiene. Si la aplicación cambia, si la arquitectura se modifica por resolución interna o si una orden judicial lo pide, las reglas cambian sin que nadie tenga que hackear nada. Esto ya pasó: en 1942, el gobierno de Estados Unidos usó datos del censo civil de 1940 (recolectados con promesa explícita de confidencialidad) para discriminar a 120.000 personas de origen japonés. No hubo hackeo. Solo cambió para qué se usaban los datos.
Y todo esto ocurre en un contexto institucional que conviene no perder de vista. En abril, Peter Thiel visitó Buenos Aires; circularon versiones sobre contratos para que Palantir gestione información de organismos públicos argentinos. Lo discutimos en 421 antes y el punto es éste: la pregunta dejó de ser si los datos del Estado existen. Es quién los opera, bajo qué reglas y con qué retórica. Los nombres importan. Cuando se llama "protección" a la identificación universal, "seguridad" a la vigilancia y "puerta trasera para los buenos" a una vulnerabilidad para todos, la pelea se da en el lenguaje antes que en la arquitectura.
Las dificultades (lógicas) que hoy existen para identificar a alguien en internet (dado que requiere investigación, existen garantías, y son necesarias órdenes judiciales) es lo que protege al individuo contra los abusos en una democracia funcional. Una sociedad en la que la identificación de una persona es el estado por defecto y mantener el anonimato es la excepción que hay que justificar es una sociedad cualitativamente distinta. No solo incrementa la vigilancia: la institucionaliza.
Juan Brodersen
El avance contra el anonimato en internet no es una pelea nueva. A mediados de los noventa, la administración Clinton intentó imponer una puerta trasera para el gobierno en sistemas cifrados (el Clipper Chip); la industria, los criptógrafos y el público forzaron a retirarlo. En 2014, cuando Apple cifró por defecto los iPhones, el director del FBI James Comey lanzó la campaña Going Dark: dijo que el cifrado hacía imposible investigar el crimen. En 2016 el FBI exigió a Apple ayuda para desbloquear el iPhone del atacante de San Bernardino; Apple se negó. Más recientemente, EARN IT en Estados Unidos y Chat Control en la Unión Europea propusieron escanear comunicaciones cifradas en nombre del abuso infantil; pero no pudieron aprobarse aun. Cientos de criptógrafos firmaron cartas abiertas explicando lo de siempre: las puertas traseras "solo para los buenos" son matemáticamente imposibles.
El patrón es siempre igual. La justificación es un daño real y serio. La herramienta propuesta es general: vigilancia o debilitamiento del cifrado para todos, no solo para los sospechados. Los críticos lo señalan; los proponentes ajustan el discurso; vuelven con la misma idea con otro nombre. La verificación universal de edad es la versión 2026 de estas soluciones excesivas.
Cuando se llama "protección" a la identificación universal, "seguridad" a la vigilancia y "puerta trasera para los buenos" a una vulnerabilidad para todos, la pelea se da en el lenguaje antes que en la arquitectura.
Los actores que hoy impulsan la verificación de edad son heterogéneos. Las agencias de seguridad y los grupos por la decencia online no se fueron, encontraron un envoltorio que la opinión pública aprueba. Pero hay un actor más, menos comentado: las propias plataformas. En mayo de 2025, Meta, Spotify, Match Group y Garmin armaron un lobby conjunto para que la verificación de edad caiga sobre Apple y Google a nivel de tienda de aplicaciones. Cada una calcula distinto. Algunas (Meta, YouTube) ya operan sistemas internos de inferencia de edad basados en analizar el comportamiento de cada cuenta: un dato más para perfilar usuarios y entrenar modelos. Otras quieren simplemente que el problema legal lo tenga otro. La convergencia contra la privacidad no requiere conspiración. Requiere que muchos actores, por razones diferentes, lleguen al mismo punto.
El 15 de abril de 2026, la presidenta de la Comisión Europea, Ursula von der Leyen, presentó la app europea de verificación de edad como "técnicamente lista" y "completamente anónima". Anunció su entrada en fase piloto en siete países, la comparó con la aplicación del certificado COVID y dijo que las plataformas "ya no tienen excusas". La Comisión publicó el código fuente en GitHub.
Lo que la app europea promete es genuinamente diferente de lo que existe hoy en el mercado y es el caballo de batalla de los defensores de la verificación de edad. Cuando un sitio te pide verificar la edad, lo más probable es que termines subiendo la foto del DNI y una selfie a una empresa privada como Persona o Yoti, que procesa esos datos en sus servidores. El alcance de ese procesamiento es bastante peor y menos seguro de lo que la mayoría imagina: en febrero de este año, investigadores descargaron 53 megabytes de código fuente desde un servidor mal configurado de Persona, la empresa que provee verificación de identidad para OpenAI, LinkedIn y otros. El análisis del código mostró que el sistema corre 269 chequeos sobre cada persona, cruza el rostro contra una base de políticos y líderes mundiales, escanea contenido online buscando vínculos con catorce categorías de delito y reporta a una plataforma paralela conectada al Tesoro de Estados Unidos. La biometría facial se retiene hasta tres años. Los documentos, más. Eso es lo que hay.
Frente a eso, la app europea tiene una arquitectura interesante. Se lee un documento oficial por NFC en el teléfono. El procesamiento ocurre en el enclave seguro del dispositivo. Las credenciales son de un solo uso y rotan, lo que dificulta que sitios distintos puedan armar el mismo perfil cruzando información. Y se diseñó con doble ciego: el verificador de tu edad no sabe a qué sitio vas; el sitio no sabe quién te verificó. La especificación además prevé en su Anexo B una capa criptográfica que permitiría probar que sos mayor de 18 sin revelar tu edad ni tu identidad. Es la promesa de la criptografía de conocimiento cero, zero-knowledge proof o ZKP: la matemática lo permite hace años. La política, hasta ahora, no la usa.
Yo escribí ese mismo día un análisis del prototipo. Reconocí el avance respecto al modelo Persona. Le veía algún uso a la app europea, en una configuración estricta y para un propósito limitado: confirmar que un adulto es un adulto, una sola vez, y dejar que después el control parental opere a nivel del sistema operativo del dispositivo, sin transmitir un solo dato a las plataformas.
Tendría que haber esperado un poco antes de escribirlo.
Veinticuatro horas después del anuncio, el consultor de seguridad Paul Moore mostró que la implementación pública de la app contenía errores que permitían que cualquiera con acceso físico a un dispositivo rooteado pudiera traspasar las defensas locales en menos de dos minutos. La capa ZKP que figura en la especificación todavía no estaba integrada y figura apenas como "experimental".
La respuesta oficial llegó cinco días después en una conferencia de prensa. El vocero de la Comisión Europea sostuvo que el repositorio público es un demo, que el código se va a actualizar y que abrir el código sirve precisamente para que la comunidad encuentre fallas. Lo problemático no es que el demo tenga problemas. Lo problemático es que ese demo se anunció siete días antes como solución técnicamente lista, se presentó al mundo como modelo a copiar y la única consecuencia política del hackeo fue insistir en el camino. Y la mayoría de los países no van a esperar la versión final ni a discutir los detalles técnicos antes de imitarla.
Y, aún en el mejor escenario imaginable (NFC + ZKP + doble ciego, todo funcionando), los incentivos institucionales tiran para otro lado. En Australia se descubrió que, en ausencia de directrices estrictas, los proveedores estaban anticipando las necesidades regulatorias y construyendo capacidades para que las fuerzas del orden pudieran rastrear las verificaciones individuales. Nadie se los había pedido, pero los incentivos de la política ya están ahí y las empresas se preparan. Y aprovechan para recolectar datos.
Sumemos lo que tenemos: criptografía buena que existe en teoría pero no se implementa, una larga lista de filtraciones, intereses convergentes de Estados, plataformas y grupos conservadores, errores no forzados de gobiernos y empresas, y un patrón documentado de funciones que crecen más allá de su propósito original. El costo que se le exige a la sociedad civil para resolver un problema que admite soluciones menos invasivas es, mirado de cerca, desproporcionado. Errare humanum est, perseverare autem diabolicum, escribió Séneca. Equivocarse es humano. Perseverar en el error, cuando los daños son previsibles y las alternativas existen, directamente genera sospechas.
Si hace falta una prueba de que estos proyectos exceden la mera protección de los menores, basta mirar lo que pasa con las VPN.
La Online Safety Act británica entró en vigor en 2025. En el primer mes de aplicación de las reglas de verificación, las descargas de aplicaciones de VPN en el Reino Unido subieron 1.400 por ciento. La Children 's Commissioner para Inglaterra calificó la situación como "una laguna que hay que cerrar". La ministra delegada francesa para Inteligencia Artificial y Asuntos Digitales dijo, en abril, que las VPN son "el próximo tema" de su agenda.
Los pedidos de prohibir VPN no son nuevos. Hasta hoy, los países que sostuvieron bloqueos masivos eran regímenes claramente identificados con el control de la información: China, Rusia, Bielorrusia, Irán. El Reino Unido, Francia, Estados Unidos y la Unión Europea están entrando en esa zona, paso a paso, en nombre de la protección infantil.
Hay que ser honestos: aplicar medidas diferenciadas para menores requiere algún mecanismo para distinguirlos. Pero "alguno" no es lo mismo que "verificación universal de identidad". Hay un espectro entre el botón de autodeclaración (que no hace nada) y la identificación civil obligatoria (que destruye la privacidad de todos). En el medio hay lugar para el control parental a nivel del sistema operativo, donde un padre o tutor configura el dispositivo una sola vez y las plataformas no se enteran de nada (Apple, Google y proyectos como GrapheneOS ya lo implementan). Estimación de edad por inferencia de comportamiento, lo que Meta y YouTube ya hacen, que es imperfecta pero auditable. Para que la inferencia sea aceptable haría falta controlar lo más sensible: la minimización de datos y el uso específico al que se destinan. De paso se audita todo lo demás que las plataformas hacen con la información de sus usuarios, que ya es problemático sin que nadie haya pedido nada. Pero lo más importante, y lo más simple, es esto: si el problema es que las plataformas exponen a menores a daños, la respuesta adecuada no es solo identificar a los menores, sino dejar de diseñar productos abusivos. Eso protege a los chicos, a otras poblaciones vulnerables y protege a los adultos, sin pedirle a nadie que escanee su documento.
La otra advertencia importa porque toca el reverso del mismo problema. Una internet donde todo contenido tiene que pasar por un filtro de aptitud para menores produce incentivos pésimos. Las plataformas, expuestas a responsabilidad por cualquier cosa que un menor pueda ver, ajustan algoritmos hacia lo seguro. Eso ya pasa hoy con la moderación automática: castigo a cualquier mención de drogas, suicidio o violencia sexual en redes sociales donde nos ahogamos en eufemismos. Las víctimas son, casi siempre, las voces que más necesitan visibilidad: la sátira política, la denuncia de violaciones a derechos humanos, el periodismo de investigación, la reducción de daños, la educación sexual integral. La verificación universal no resuelve eso. Lo amplifica.
Si el problema es que las plataformas exponen a menores a daños, la respuesta adecuada no es solo identificar a los menores, sino dejar de diseñar productos abusivos.
¿Qué se puede hacer concretamente, entonces? Imponer mejores mecanismos de control parental a nivel de dispositivos y servicios, para que los padres puedan decidir lo mejor para sus hijos. Regular mecanismos de inferencia de edad y otros esfuerzos técnicos que no piden datos extra (como documentos), con control férreo del uso de esos datos. Prohibir los dark patterns. Prohibir la publicidad dirigida a menores. Exigir transparencia sobre los algoritmos de recomendación. Permitir timelines no algorítmicos como opción accesible y por defecto. El propio ECA Digital brasileño prohíbe los dark patterns y la publicidad conductual a menores. Es la mejor parte de la ley. El Reino Unido tiene desde hace años un Age-Appropriate Design Code que obliga a las plataformas a diseñar pensando que puede haber menores presentes, sin necesidad de identificar a cada usuario.
Estas medidas existen y son técnicamente viables. Lo que les falta es atractivo político. Una conferencia de prensa con una app es más vendible que una resolución regulatoria sobre algoritmos de recomendación.
Soldan
La pregunta no es si proteger a chicos y adolescentes o no. La respuesta es obvia y nadie en esta discusión (ni los legisladores ni los críticos) se opone.
La pregunta es qué Internet les estamos dejando para cuando crezcan. El anonimato y el seudónimo no son lujos de hackers o activistas de película. Son las condiciones en las que una adolescente busca información sobre su identidad de género en una familia que no la aceptaría. En las que alguien con un diagnóstico que prefiere no compartir entra a un foro de pacientes. En las que un denunciante de corrupción habla con un periodista sin ir preso o ser perseguido. Y son, antes que cualquier caso especial, la posibilidad ordinaria de leer algo (cualquier cosa) sin que la lectura quede asentada en un registro permanente.
Si el día que cumplan dieciocho años se encuentran con un sistema en el que cada acceso requiere identificarse contra una base estatal, donde leer sobre algo deja un rastro, donde la diferencia entre "ciudadano" y "sospechoso" la define un módulo automatizado cuyo criterio nadie audita, donde la herramienta para preservar algo de anonimato es ilegal o sospechosa porque alguien la asoció a la pornografía, lo que llamamos soberanía cognitiva (la capacidad de leer, pensar y comunicarse sin que cada movimiento quede asentado en un registro) se vuelve la excepción que hay que justificar.
Eso es lo que se está construyendo. No por mala fe de cada legislador particular (muchos creen sinceramente que están haciendo lo correcto) sino por convergencia entre actores que hace décadas tienen otros objetivos y encontraron un envoltorio que la opinión pública no rechaza.
La protección que necesitan los chicos pasa por regular cómo funcionan las plataformas, no por identificar a todos los usuarios. La privacidad, el anonimato y la soberanía cognitiva que necesitamos todos significan preservar esas condiciones por defecto, no como excepciones que haya que justificar.
