Conegueu els riscos que implica utilitzar reconeixement facial (especialment en vacances)

En les pròximes setmanes molts de nosaltres transitarem per algun aeroport per a viatjar en les tan anhelades vacances d'estiu. I a molts ens oferiran simplificar els tràmits de facturació, control de seguretat o embarcament mitjançant algun sistema que incorpore mecanismes de reconeixement facial.

Quasi segur haurem de fer-nos un selfi, pot ser que amb una app instal·lada en el nostre telèfon mòbil, pot ser que amb un dispositiu del propi aeroport. És probable que hàgem de mostrar o escanejar la fotografia del nostre passaport, o escanejar el xip que incorpora en molts països.

El nostre objectiu serà, probablement, evitar les enutjoses cues que es formen en les hores punta dels dies assenyalats. Però és bona idea utilitzar este tipo de solucions basades en reconeixement facial? Poden tornar-se contra nosaltres en algun moment?

La cara com a atribut per a verificar identitats

L'exemple de l'aeroport és només un dels molts que trobem en les nostres vides personals i professionals. Eixe gest que implica verificar la nostra identitat mitjançant un selfi és cada vegada més comú, i el realitzem cada vegada de manera més inconscient. El que al principi ens podia resultar exòtic, cridaner o fins i tot incòmode, ara és un gest quotidià.

Utilitzem la nostra cara per a desbloquejar el telèfon mòbil, per a obrir una porta, per a demostrar que som els qui diem ser mentre fem un examen o per a contractar un compte bancari en remot. També per a pagar una compra o per a menjar el menú en la cafeteria del treball.

Totes estes solucions dissenyades en principi per a fer les nostres vides més senzilles i segures, es basen en tècniques de reconeixement facial. És a dir, comparen la cara que es captura amb el selfi amb una precargada en el sistema que es pot recuperar d'una base de dades externa o que es proporciona en temps real des del xip d'una targeta o document d'identitat. L'objectiu sempre és el mateix: determinar si la cara que és i la que hauria de ser s'assemblen prou.

En este cas, la identitat de la persona es dona per verificada i té permís per a fer allò que havia sol·licitat. Per contra, si les dues cares no s'assemblen prou, el permís és denegat.

En un món en el qual les contrasenyes s'han convertit en un enfarfec (qui recorda el centenar que hauria d'usar tots els dies?) i, al mateix temps, en un problema de seguretat (perquè es deixen en blanc, es reutilitzen, es comparteixen, s'endevinen), el reconeixement facial sembla la solució ideal.

Els riscos que implica el reconeixement facial

No obstant això, no tot és perfecte quan usem este sistema. Utilitzar un atribut biomètric, com pot ser la nostra cara, per a realitzar processos de verificació d'identitat, implica riscos. El primer té a veure amb la naturalesa de les dades que es processen per a realitzar la verificació d'identitat.

Com ja s'ha esmentat, es tracta de dades biomètriques molt sensibles que poden identificar-nos, és a dir, permetre que un tercer esbrine la nostra identitat real (una cosa senzilla hui dia a partir d'una cara amb un simple cercador d'internet). També permeten lligar la nostra cara a les nostres activitats, i associar, a més, metadades tan crítiques com la geolocalització, una adreça IP, les característiques úniques d'un dispositiu determinat (el nostre mòbil, per exemple). És possible també que no permeten que neguem haver realitzat una activitat o haver estat en un lloc concret a una hora concreta.

El segon risc té a veure amb el desequilibri de poder. Normalment, qui realitza el procés de verificació d'identitat (una aerolínia, un banc, un operador de telecomunicacions) no ofereix altres alternatives per a realitzar-lo: o és mitjançant reconeixement facial o no és. I això fa que el consentiment que proporciona el subjecte no siga lliure, vol agafar el seu vol a temps, necessita obrir-se aqueix compte bancari. I, en molts casos, ni tan sols és informat, ja que no es comprén bé ni quines dades es processen exactament ni per a què. Es queden guardats? Quant temps? S'usen per a alguna cosa més? Es comparteixen amb uns altres?

El tercer risc té a veure amb l'ús de bases de dades centralitzades. Quasi tots aquests processos de verificació d'identitat es basen a emmagatzemar, en un repositori únic, identitats de subjectes i les dades de les seues cares, per a poder realitzar les comprovacions oportunes, les verificacions. I si aquesta base de dades no es protegeix adequadament? Qui pot accedir a ella? Amb quins permisos? I si un atacant la roba?

Multitud de proveïdors i algorismes imperfectes

El quart risc té a veure amb la col·laboració d'una gran quantitat d'entitats diferents en aquests processos. Normalment, qui opera el sistema (l'aerolínia, el banc) confia en proveïdors especialitzats per a realitzar la captura de les dades, per a preprocesarlos, per a realitzar el reconeixement facial, per a emmagatzemar aqueixes bases de dades centralitzades amb tota la informació. Cadascuna d'aquestes entitats té les seues pròpies polítiques de seguretat i privacitat, està afectada per una normativa o legislació diferent, etc. Qui assumeix cada responsabilitat? Tots saben què s'espera d'ells i com han de protegir les dades?

I el cinqué i últim risc té a veure amb el rendiment d'estos processos. Què ocorre amb un fals positiu? Que algú pot suplantar a una altra persona, té permís per a fer el que ha sol·licitat en el seu nom perquè el sistema reconeix la seua cara com l'associada a una identitat que no és la seua realment. I amb un fals negatiu? Què ocorre si per usar ulleres o maquillatge o pels nostres trets o per una cicatriu el sistema no ens reconeix? Se'ns denega el permís per a fer allò que necessitem. El que, com mínim, implicarà un retard, una cua, o molèsties addicionals. Això últim sol passar, en major mesura, amb dones o amb persones la raça de les quals és diferent de la caucàsica perquè els sistemes solen entrenar-se majoritàriament per a reconéixer les cares d'homes blancs.

Faça's preguntes

Què fem llavors? Selfi o no selfi? En aquesta vida tot implica un risc, així que no es tracta d'evitar aquests processos coste el que coste, en tots els escenaris (el que hui dia seria a més, amb tota seguretat, una quimera).

El més assenyat seria, preguntar-nos, en cada cas, si el benefici que obtenim per usar el reconeixement facial compensa els riscos que correm per usar-lo. Tinc altres alternatives per a passar el control de seguretat i agafar el meu vol a temps? Puc desbloquejar el mòbil d'una altra forma o autoritzar el pagament sense usar la meua cara? M'implica moltes molèsties? Altres riscos addicionals? Només fent-nos aquest tipus de preguntes podrem arribar a un equilibri i gestionar els riscos adequadament. Perquè una cosa és segura: canviar de cara és molt complicat.

The Conversation L'autora Marta Beltrán ha realitzat el projecte de investigació "Impacto de las técnicas de reconocimiento facial en la privacidad de las personas"  en colaboració amb l'AEPD.