Cuándo una foto se convierte en dato biométrico

¿Alguna vez desbloqueaste tu teléfono con la cara y te preguntaste qué pasa con esa imagen después? Un dato biométrico nace justo en ese procesamiento invisible, cuando un sistema transforma tu rostro o tu voz en algo que ya no puedes cambiar nunca más.

Aquí subimos un nivel respecto a la clasificación de datos personales, identificables y sensibles. Los datos biométricos son un tipo especial de dato sensible, pero tienen una diferencia que lo cambia todo: no se pueden reemplazar. Si se filtra tu correo, creas otro. Si se compromete tu documento, lo renuevas. Pero tienes una sola cara, un juego de huellas y dos iris. No hay botón de reinicio [00:52].

Cuándo un dato se convierte en biométrico

Para que un dato sea biométrico, tiene que cumplir tres condiciones al mismo tiempo. No basta con una sola.

• Viene de una característica física o conductual.
• Se puede medir y convertir a formato digital, es decir, una máquina lo captura y lo compara.
• Se usa para identificar o verificar automáticamente a una persona.

Si se cumplen las tres, estás frente a un dato biométrico [01:32]. Y aquí viene lo interesante: una foto de tu cara no es automáticamente un dato biométrico. Es un dato personal, sí, pero el punto clave es la transformación.

¿Una foto de mi rostro es un dato biométrico? No por sí sola. Es un dato personal. Se convierte en biométrico cuando un sistema extrae un mapa matemático de tus rasgos y lo transforma en un vector numérico llamado embedding.

Cuando un sistema toma esa foto y extrae distancias, proporciones y contornos, y los convierte en números, ahí aparece el embedding. Ese embedding no es una imagen, es un vector numérico que representa rasgos únicos de una persona [02:11]. Lo mismo pasa con la voz: una grabación es dato personal, pero un perfil vocal procesado ya es dato biométrico.

Por qué guardar solo el embedding no te salva

Aquí está uno de los errores más peligrosos. Alguien dice: "No guardamos la foto, solo el embedding, así que no es biométrico". Incorrecto.

Imagínate que conviertes la llave de tu casa en un plano exacto y después destruyes la llave física. ¿Estás seguro de que nadie puede entrar? El plano es la llave [03:15]. Un embedding no se parece a tu cara, pero permite identificarte igual.

Esto no es teórico. En Buenos Aires, Argentina, el sistema de reconocimiento facial de prófugos fue cuestionado por esto mismo. El argumento era "son solo fotos", pero cuando el sistema generó embeddings, el tribunal determinó que eso era dato biométrico. El formato cambió, por ende, la naturaleza del dato también [03:40].

Qué miden estos sistemas y qué pasa si fallan

En reconocimiento facial se mide la distancia entre ojos, la forma de la nariz, la mandíbula y los pómulos. En reconocimiento de voz se captura tono, frecuencia, ritmo, formantes y los MFCC, formas matemáticas de representar cómo suena tu voz de manera única [04:15].

La lógica es simple: dos audios tuyos generan vectores similares, dos personas distintas generan vectores diferentes. Pero ¿qué pasa cuando esos datos caen en manos equivocadas? Los casos reales asustan.

• Un empleado en Hong Kong recibió una videollamada de su CFO que era un deepfake y transfirió más de 25 millones de dólares.
• En Ferrari clonaron la voz del CEO, pero un empleado sospechó, hizo una pregunta personal y evitó el fraude.
• A escala masiva aparecen deepfakes de figuras públicas promoviendo estafas y videos falsos en contextos políticos.

Esa pregunta personal literalmente salvó millones [05:05]. Y cuando combinas cara, voz y contexto, tienes identificación total. Si además hay sesgos, los errores no se compensan: se acumulan.

Cómo evaluar un producto que usa biometría

Te proponen autenticación por voz en una app bancaria en Colombia. El usuario llama, habla y el sistema decide si es él. Puedes evaluarlo con cuatro cosas concretas [05:45].

1. Propósito: si es autenticar antes de transferir, se puede validar. Si dicen "después vemos otros usos", eso es una red flag.
2. Alternativas: pregúntate si logras lo mismo con menos riesgo, como un PIN más verificación de dispositivo.
3. Procesamiento: saber quién procesa la voz y dónde están los datos. Si no lo sabes, no avanzas.
4. Revisión humana: siempre debe existir alguien que pueda intervenir si el sistema falla.

¿Necesito biometría para autenticar usuarios? Para la mayoría de los casos, no. Puedes usar passkeys, llaves físicas o códigos temporales. Consigues la misma seguridad con mucho menos riesgo.

Si de todas formas necesitas biometría, como mínimo no guardes el audio crudo, solo el perfil vocal, con consentimiento explícito, cifrado y siempre un segundo factor. Nunca confíes en una sola capa [06:50].

Controles mínimos que no son negociables

Existen controles que debes exigir antes de que cualquier producto procese una cara o una voz.

• Acceso: roles claros, registro y revocación inmediata.
• Retención: borrar los datos cuando dejen de ser necesarios.
• Uso: no reutilizar la información para otros fines.
• Consentimiento explícito y reversible.
• Auditoría independiente.

¿Por qué la auditoría debe ser independiente? Porque si el mismo equipo que construye el sistema es el que lo audita, no es una auditoría, es una autoevaluación.

Después de esa lista, piensa en un caso práctico: trabajas en una fintech en Perú y el equipo propone reconocimiento facial para el login guardando embeddings, no fotos. Además quieren reutilizar esos embeddings para detectar emociones del usuario [08:40].

¿Esto sigue siendo solo autenticación o cambió el propósito? ¿Qué riesgos nuevos aparecen? ¿Hay algún uso que debería estar prohibido o al menos separado? Déjame en los comentarios tu análisis o algún caso similar que hayas visto en tu trabajo.