La verificación de edad (leyes y reglamentos que exigen a las plataformas y los sitios web asegurar o estimar que una persona que busca usar un servicio en línea tiene determinada edad) está en todas partes. Al momento de escribir estas líneas, cerca de la mitad de los estados de Estados Unidos tiene alguna ley de verificación de edad en internet, y a nivel federal avanzan propuestas peligrosas, desde la Ley KIDS hasta la Ley de Seguridad Infantil en Línea (KOSA, por sus siglas en inglés). Los Estados miembros de la Unión Europea avanzan hacia tener la verificación de edad en una aplicación centralizada antes de fin de año. Australia, como es sabido, ya tiene en vigor una restricción amplísima.

La mayoría de las leyes de verificación de edad suele fracasar en su objetivo principal, que es impedir que niños, niñas y adolescentes estén en línea o que ingresen a zonas que no sean las especialmente designadas para ellos; por si fuera poco, representan una amenaza considerable para la privacidad de todo el mundo. Algunas de las personas que impulsan estas restricciones de internet basadas en la edad creen haber encontrado la solución mágica: las pruebas de conocimiento cero (ZKP, por sus siglas en inglés). Escribimos sobre las ZKP cuando se empezaron a implementar en el contexto de la verificación de edad el año pasado. Sin embargo, ejemplos más recientes muestran que nuestras preocupaciones no eran mera conjetura: los esquemas de verificación de edad centrados en ZKP son burlables, vulnerables a ataques y no son la cura milagrosa que algunos afirman.

Las ZKP en la verificación de edad solo centralizarían el poder y generarían más daños

Antes de entrar en cómo funcionan estos sistemas, hay que decirlo: crear un único punto de falla para el acceso a internet contradice la idea misma de un internet libre y abierto. 

Los mecanismos que sustentan las ZKP representan una amenaza existencial para los derechos digitales de todas las personas, no solo de la niñez. La idea detrás de las ZKP es que se te emite un "token" que da fe de tu edad cada vez que inicias sesión, lo que crea un vínculo permanente con la entidad que te verificó. Quien emite los tokens de los que dependen estos esquemas de verificación de edad podría rastrear cada uso de esa credencial y generar así un peligroso rastro de metadatos sobre cualquier persona que quisiera vigilar. Esa misma entidad emisora podría ser presionada por gobiernos autoritarios para quitarle a una persona el acceso a un servicio, lo que en la práctica equivaldría a dejarla sin acceso a internet por completo. Sin una supervisión de quién tiene la facultad de implementar y operar estos sistemas, este enfoque centraliza infraestructura crítica de internet en manos de muy pocos actores. 

Cómo funcionan las ZKP

Las ZKP son herramientas criptográficas matemáticamente impresionantes, pero no se desarrollaron pensando en la verificación de edad. En esencia, permiten que una computadora dé fe rápidamente de la validez de una pregunta formulada por otra computadora sin revelar ningún dato privado subyacente. 

La Computadora A (por ejemplo, el dispositivo que usa una persona que intenta acceder a un sitio web) puede probarle a la Computadora B (por ejemplo, el servidor del sitio web al que esa persona intenta acceder) que algo es cierto sin compartir efectivamente el contenido de esa información. La Computadora A fija un "compromiso" con la información que necesita transmitir. La Computadora B, que quiere verificar esa información, genera "desafíos" matemáticos que solo pueden responderse correctamente si la información es verdadera. Tradicionalmente, esto ocurre a lo largo de muchos "desafíos" distintos, hasta que no queda margen de duda de que el "compromiso" de la Computadora A es verdadero.

Como ese ida y vuelta prolongado ralentizaría drásticamente las cosas en internet, existe una versión abreviada de este intercambio que es "no interactiva". En ese caso, la ZKP se verifica al instante. La respuesta misma se somete a hash (se convierte matemáticamente en una cadena de caracteres más corta y de longitud fija), y el hash resultante es, en teoría, impredecible y resistente a manipulaciones. Esta versión abreviada del intercambio de ZKP se llama "zk-SNARK" y es el método preferido actualmente para la verificación de edad.

En el escenario ideal, esto significa que las ZKP pueden dar fe de la condición de una persona como adulta o menor de edad sin revelar ninguna otra información privada sobre ella. Dicho de otro modo, una sola entidad recopilaría esa información privada, normalmente en el dispositivo de la persona usuaria, en lugar de que lo haga cada sitio web o aplicación que necesite comprobar su edad. Lamentablemente, las pruebas recientes de estos sistemas en el mundo real demuestran que las ZKP no son la solución mágica que esperaban quienes impulsan las leyes de verificación de edad.

La implementación de la verificación de edad en la UE revela lo defectuosa que es

Para fines de 2026, se espera que los 27 Estados de la Unión Europea cuenten con la infraestructura necesaria para hacer verificación de edad dentro de una aplicación de "minicartera" que funcionará dentro de la Cartera EUDI (identidad digital europea). Esto viene recibiendo muchas críticas justificadas de expertos en derechos digitales. La versión de "minicartera" ya se está implementando, con la promesa de que las ZKP funcionan correctamente. Pero análisis recientes muestran que las funciones de ZKP todavía no están activadas, salvo en la versión cerrada de demostración o prototipo (no en la versión de la aplicación que la gente usa "tal como viene"), a la que la enorme mayoría de las personas usuarias no puede acceder. 

Peor aún, un investigador de seguridad descubrió que podía burlar el sistema de la aplicación con una extensión de Chrome hecha en poco tiempo, que engañaba a la aplicación para que aceptara una y otra vez el mismo token de "mayor de 18". Y lo hacía sin solicitar nunca una verificación nueva. 

Más de 400 investigadores de seguridad firmaron una carta abierta en la que sostienen que los puntos de control de comprobación de edad, incluso si se implementan pensando en la privacidad, causarían más daño que beneficio. Una de sus principales preocupaciones, que compartimos, es que un sistema centralizado de verificación de identidad crea un único punto de falla extremadamente vulnerable tanto a los ciberataques como a los abusos de gobiernos autoritarios.

Una vez que la versión de "minicartera" quede plenamente integrada a la Cartera EUDI, replicará estas mismas fallas, y quizá más, pero a una escala mucho mayor. Para entonces, esas fallas involucrarán muchas más piezas de información sensible contenidas en la Cartera EUDI: pasaportes, licencias de conducir, datos de viaje e información financiera, por nombrar solo algunas.

Las ZKP no son la solución mágica

Como hemos dicho una y otra vez, ningún método de verificación de edad en línea protege la privacidad, es plenamente preciso y garantiza una cobertura universal sin introducir riesgos graves de seguridad. 

Quienes legislan y están preocupados por las fallas de privacidad de los mandatos de verificación de edad tienen que entender que las ZKP no son una solución mágica. No resuelven la paradoja de la verificación de edad; simplemente patean la carga de la confianza hacia adelante, apoyándose en la ignorancia técnica y en el pensamiento mágico sobre cómo funciona realmente internet.  

La verificación de edad obligatoria en línea, de cualquier tipo, es una idea peligrosamente defectuosa. Díselo a tus legisladores de nuestra parte.