Así funciona la verificación de edad para acceder al porno en Francia: “No sabrán nada de vos, aparte de que sos un adulto”

Los efectos que produce en los menores el acceso temprano al porno preocupan en cada vez más países. Francia, Alemania o Reino Unido han puesto en marcha sistemas de verificación de edad para acceder a esos contenidos. En EE.UU. ya lo han hecho ocho estados, y varios más lo están considerando. El Gobierno de España prepara su propia herramienta, que deberá estar lista para finales de verano, según adelantó a EL PAÍS el ministro de Transformación Digital y de la Función Pública, José Luis Escrivá.

Existe cierto consenso internacional en torno a retrasar la edad de iniciación de los jóvenes en el porno online, que en España es de media a los ocho años, según la Agencia Española de Protección de Datos (AEPD). Lo que no está tan claro es cómo hacerlo. El gran temor de muchos expertos en privacidad es que estos sistemas acaben con el anonimato digital de los internautas. Tienen motivos para recelar de ello, en tanto que estos mecanismos suelen gestionar datos personales, lo que a su vez ofrece la oportunidad de hackear esa información tan sensible para luego extorsionar a los usuarios. “Los sistemas de verificación de edad son sistemas de vigilancia”, concluye sin medias tintas la Electronic Frontier Foundation, una institución de referencia internacional en la protección de libertades digitales.

¿Qué técnicas se están usando para comprobar que quien intenta acceder a un contenido pornográfico es mayor de edad? Hay tres grandes formas de hacerlo. La primera es que el sitio web con material para mayores solicite al usuario una tarjeta de crédito, lo que suele implicar que el titular de la misma es adulto. La segunda consiste en pedir el carnet de identidad, que deberá ser comprobado manualmente o mediante inteligencia artificial (IA). La tercera opción es usar un sistema automático de reconocimiento facial. En los tres casos, el usuario debe compartir datos sensibles.

Existe una cuarta vía. La Comisión Nacional de Informática y de las Libertades (CNIL), el equivalente francés a la AEPD, está probando desde 2023 un sistema de verificación online de edad más respetuoso con la privacidad. Su estrategia consiste en poner un intermediario digital (un programa) entre el servicio de verificación de edad y la web a la que se le quiere aplicar ese filtro. La idea es que el sistema no tenga acceso a datos que identifiquen al usuario y que el verificador no sepa a qué web está accediendo el usuario.

“No sabrán nada de ti, más allá de que eres mayor de edad y de que alguien les está solicitando que verifiquen su edad”, subraya Olivier Blazy, informático y profesor de la École Polytechnique, desde Palaiseau, a las afueras de París. Blazy ha trabajado con el CNIL en el desarrollo de la vía francesa. “Lo que estamos intentando demostrar es que se puede diseñar una herramienta de verificación de edad que respete el anonimato de los usuarios”, añade este especialista.

Ese trámite se hace a través del portal FranceConnect, donde todos los franceses afiliados a la seguridad social tienen una cuenta. Blazy y sus colegas la usaron de pasarela a través de la cual acceder al programa que han ideado. Este se ocupa de que las autoridades no sepan qué webs está intentando visitar el usuario (es decir, qué web cursa la verificación de edad). “Cuando intentes acceder a un sitio web que requiere verificación, el sitio web te enviará un desafío. Ese desafío se realiza en algún proveedor de verificaciones, que a su vez le da una firma de grupo al usuario. Así que la web de destino solo recibe una firma de grupo, sin detalles del usuario. Se trata de una criptografía muy básica, existente desde hace 15 años, pero que nunca se había utilizado en este contexto”, explica Blazy.

¿Cómo será el sistema español?

El Gobierno ha dado pocos datos sobre el sistema de verificación de edad español. La herramienta “tendrá como punto central los estándares de la cartera digital europea, eIDAS2, especialmente los que tienen que ver con la protección de la identidad, para que la verificación de la edad sea segura y anónima”, dijo Escrivá en una entrevista con este periódico. Por el momento no se sabe cómo se accederá a ese mecanismo de verificación —¿a través de una app ad hoc?, ¿estará integrada en otra?— ni qué arquitectura de seguridad tendrá. Tampoco ha trascendido si el sistema se parecerá o no al francés.

La UE también ha intervenido en este asunto. El Reglamento de Servicios Digitales (DSA, por sus siglas inglesas) afecta a los tres mayores portales de contenidos pornográficos (Pornhub, XVideos y Stripchat), que son considerados “plataformas online muy grandes”, al tener de media unos 45 millones de usuarios mensuales cada una. Entre los requisitos impuestos por la normativa se cuenta verificar la edad de los usuarios, cuestión que por el momento estos portales han resuelto preguntándoles directamente si son o no adultos.

Puntos débiles de los métodos existentes

El método francés presenta mejoras respecto al resto de técnicas. “Es relativamente sencillo hackear los sistemas basados en el escaneado de documentos de identidad. Y sus consecuencias pueden ser graves para los usuarios: se les puede suplantar o pedir créditos a su nombre”, ilustra Blazy. Las implicaciones del uso del reconocimiento facial son todavía más graves. “Almacenar datos biométricos siempre es peligroso”, destaca. Identifican inequívocamente a los usuarios, por lo que son un caramelo para los ciberdelincuentes.

Respecto a la alternativa más usada —el pago de 0 euros para demostrar que se dispone de una cuenta bancaria—, implica que alguien debe guardar los datos de esas cuentas y sus titulares. Y, además, no funciona ya como método de verificación de mayoría de edad, porque algunos bancos permiten tener una cuenta a menores. “También solía pasar que los niños cogían la tarjeta de crédito de los padres y se hacían pasar por ellos. Nuestro método factoriza la autenticación, así que va a ser más difícil que engañen al sistema”, explica Blazy.

La vía francesa tampoco es perfecta. Por ejemplo, a menos que se use una VPN —una conexión a desde una red privada virtual—, las webs a las que se accede se quedan con la IP del usuario, que viene a ser el identificador o matrícula del dispositivo con el que se conecta. “Por tanto, no eres anónimo del todo”, matiza Blazy, quien además explica que los extranjeros que visiten Francia y quieran acceder a contenidos pornográficos deberán abrirse una cuenta en FranceConnect y seguir el proceso ya descrito: “En total, se tarda unos diez minutos. No es mucho tiempo, pero a los usuarios de estos portales les puede parecer un mundo”.