Discord retira la verificación con reconocimiento facial tras la polémica de privacidad con Persona

En las últimas semanas, Discord está envuelta en una tormenta de críticas por sus nuevos planes de verificación de edad, una medida que iba a apoyarse en reconocimiento facial, documentos oficiales y herramientas de terceros. Lo que empezó como un cambio pensado para «proteger a los menores» ha acabado destapando serias dudas sobre privacidad, vigilancia masiva y gestión de datos sensibles.

La pieza clave de este escándalo es Persona Identity, una empresa externa que Discord eligió como socio para parte de estas comprobaciones. Tras las revelaciones de investigadores y hacktivistas sobre el alcance real de su tecnología, la plataforma ha decidido dar marcha atrás y dejar de trabajar con este proveedor. Sin embargo, el concepto de verificación de edad sigue sobre la mesa y continuará aplicándose con otros métodos y socios.

Cómo arrancó la polémica: pruebas en Reino Unido y aviso a los usuarios

El conflicto saltó a la luz cuando usuarios del Reino Unido comenzaron a recibir un mensaje dentro de Discord pidiéndoles validar su identidad para acceder con normalidad a la aplicación. El texto explicaba que, al continuar, aceptaban que Persona recopilaría, almacenaría y procesaría su información para confirmar su edad.

Discord reconoció más tarde que se trataba de un experimento piloto limitado en el tiempo y en número de personas, orientado a cumplir con exigencias regulatorias como el Online Safety Act británico, que presiona a las plataformas para separar de forma clara a menores y adultos. La empresa afirmó que los datos obtenidos en esta prueba se borrarían en un plazo de siete días, pero el simple hecho de centralizar información tan sensible encendió todas las alarmas.

En paralelo, la compañía anunció a nivel global que su servicio pasaría por defecto a un modo de «experiencias para adolescentes» hasta que el usuario verificase ser mayor de 18 años. Ese proceso, según la propia Discord, podía implicar subir un documento de identidad o realizar una videoselfie gestionada por terceros especializados en verificación biométrica, como Persona.

La reacción de la comunidad fue inmediata: miedo a ceder DNI y rostro a proveedores privados, sospechas sobre la verdadera finalidad de estos sistemas y críticas al riesgo de posibles filtraciones de datos, más aún teniendo en cuenta que el sector de la verificación de identidad ya ha sufrido brechas en el pasado.

Quién es Persona y por qué su sistema inquieta tanto

Persona Identity, Inc. se presenta como una solución de verificación de identidad y KYC/AML (prevención de blanqueo y fraude) para empresas digitales. Su tecnología no se limita a mirar si un documento es auténtico: combina reconocimiento facial, análisis de dispositivos, números de teléfono, datos de navegador y multitud de señales para trazar un perfil del usuario.

Según varias investigaciones citadas por medios tecnológicos, Persona llega a ejecutar más de 260 comprobaciones distintas por cada verificación. Entre ellas se incluirían cruces con registros gubernamentales, bases de datos públicas y otras fuentes de terceros, lo que va bastante más allá de un simple control de edad. La propia política de privacidad del proveedor contempla la posibilidad de retener los datos durante hasta tres años, algo que preocupa especialmente a organizaciones defensoras de la privacidad.

Otro punto que ha encendido el debate es la financiación de la empresa. Persona cuenta con apoyo de fondos como Founders Fund, vinculado a Peter Thiel, cofundador de Palantir, una de las compañías más conocidas en el terreno de la minería de datos para gobiernos y fuerzas de seguridad. Aunque desde Persona insisten en que estos inversores no tienen acceso operativo ni a la información de los usuarios, la mera conexión con el ecosistema de vigilancia norteamericano ha disparado toda clase de suspicacias.

A ello se suma que hacktivistas han localizado la interfaz de Persona desplegada en servidores autorizados por el gobierno de Estados Unidos y miles de archivos accesibles públicamente que describen sus capacidades. Todo ello ha dibujado un panorama en el que un servicio pensado, en teoría, para verificar edades, se parece más a una infraestructura de supervisión masiva capaz de alimentar listas de vigilancia y sistemas de inteligencia.

Lo que descubrieron los hacktivistas: código expuesto y vigilancia avanzada

Un grupo de investigadores, entre ellos la activista conocida como Celeste, se propuso inicialmente encontrar maneras de esquivar el nuevo sistema de verificación de edad de Discord. En lugar de eso, acabaron localizando partes del frontend de Persona expuestas en internet, alojadas en entornos relacionados con administraciones públicas estadounidenses.

Al revisar esos recursos, los analistas identificaron alrededor de 2.400 archivos accesibles que describían flujos de trabajo, tipos de comprobaciones y módulos orientados a algo más que confirmar edades. La documentación apuntaba a un sistema capaz de cruzar selfies con listas de vigilancia mediante reconocimiento facial, etiquetar a personas dentro de 14 categorías de “medios adversos” como crimen organizado o espionaje, y generar informes dirigidos a agencias federales en Estados Unidos y Canadá.

El mismo esquema contemplaba la combinación de información biométrica con reportes financieros, datos bancarios y listas de sanciones, además de la posibilidad de marcar a un usuario directamente como “entidad sospechosa” únicamente por la coincidencia de su rostro con determinadas bases de datos. La magnitud de estas funciones sugiere que Persona opera más como un motor de inteligencia pública-privada que como una simple herramienta comercial de onboarding digital.

A esto se añadió el hallazgo de referencias a dominios como openai-watchlistdb.withpersona.com, interpretados como indicios de que la compañía realiza verificaciones de identidad para plataformas tan masivas como OpenAI, potencialmente comparando perfiles de uso con listas internas de riesgo. Persona ha negado que exista un uso indebido de estos datos, pero la opacidad sobre el alcance exacto de estas integraciones no ha ayudado precisamente a calmar los ánimos.

En paralelo, diferentes informes apuntan a que Persona ya gestiona procesos de control de edad para servicios como Roblox u otros productos de IA, lo que ampliaría el círculo de aplicaciones donde sus sistemas pueden influir en el acceso a contenidos y servicios digitales en Europa y el resto del mundo.

De la teoría a la práctica: qué iba a hacer Discord con estos datos

En el caso concreto de Discord, la idea era apoyarse en proveedores como Persona para dos vías principales de verificación cuando sus modelos internos no pudieran estimar con suficiente fiabilidad si un usuario es adulto:

• Videoselfie procesada mediante IA para calcular la edad aproximada de la persona, sin guardar el vídeo a largo plazo según la versión oficial.
• Carga de un documento de identidad (DNI, pasaporte u otra identificación emitida por el gobierno) para confirmaciones más contundentes.

Discord sostiene que, en estos flujos, solo recibiría el tramo de edad o una confirmación binaria (adulto/no adulto), sin acceso al documento completo ni a la cara del usuario de forma persistente. Además, la compañía asegura que los proveedores deben eliminar la información tras completar la comprobación y que ellos mismos no utilizan el contenido de los mensajes ni de las conversaciones de voz para entrenar sus modelos de inferencia de edad.

Aun así, el hecho de que Persona pueda, por contrato, retener datos hasta tres años y cruzarlos con registros oficiales ha hecho que muchos expertos consideren insuficientes las garantías de Discord. Lejos de tranquilizar, la explicación técnica ha reforzado la sensación de que la verificación de edad sirve también como puerta de entrada a sistemas mucho más intrusivos de seguimiento e identificación.

Por su parte, la responsable de políticas de producto de Discord se ha visto obligada a aclarar que la relación con Persona está “en revisión” y que el experimento en Reino Unido duró menos de un mes y afectó solo a una pequeña fracción de usuarios. No obstante, el daño reputacional ya estaba hecho, y distintos colectivos han señalado la falta de transparencia inicial sobre qué proveedor iba a manejar la información más delicada de la comunidad.

Persona, por su lado, ha emitido comunicados en los que denuncia “afirmaciones engañosas” y teorías de conspiración sobre su trabajo con Discord y sus inversores. Su directora de operaciones, Christie Kim, ha insistido en que, aunque negocian contratos con organismos gubernamentales, esos acuerdos se centran en seguridad de cuentas de empleados y no en programas de vigilancia masiva de ciudadanos. Aun con esas aclaraciones, la desconfianza generalizada no ha remitido.

Ruptura con Persona y giro hacia otros métodos de verificación

Ante la presión continuada de usuarios, prensa especializada y activistas, Discord ha decidido poner fin a su colaboración con Persona una vez concluido el experimento. La empresa ha eliminado menciones a este proveedor en su documentación de ayuda y ha comunicado a medios como Kotaku o The Verge que ya no usará sus servicios para los procesos de verificación de edad.

A los afectados por la prueba en Reino Unido se les ha prometido que la información recopilada será eliminada en cuestión de días, aunque para muchos resulta imposible comprobar de manera independiente que esto se lleve a cabo tal y como se describe. En cualquier caso, la plataforma insiste en que nadie estará obligado a pasar por Persona en el futuro y que su estrategia de seguridad pivotará hacia otros enfoques.

La nueva línea de actuación pasa por una combinación de modelos de IA que analizan patrones de uso (configuración de la cuenta, horarios de conexión, tipo de dispositivos, historial de actividad) y proveedores externos considerados menos invasivos, en teoría sin capacidad de construir gráficos de relaciones tan complejos como los atribuidos a Persona.

Discord recalca que la mayoría de usuarios no tendrá que subir documentos ni vídeos. Según su versión, solo se pedirá una verificación fuerte cuando existan dudas razonables sobre la edad real o cuando el usuario quiera acceder a espacios marcados como adultos donde la ley obliga a establecer barreras de entrada más robustas.

Aunque este paso atrás respecto a Persona se ha interpretado como una pequeña victoria para la comunidad, las medidas de verificación de edad en sí seguirán adelante, especialmente en Europa y Reino Unido, donde la presión regulatoria para proteger a los menores en internet es cada vez mayor.

Privacidad, menores y regulación: un equilibrio cada vez más complicado

El trasfondo de toda esta historia tiene que ver con cómo equilibrar la protección de los menores con el derecho a la privacidad. Normativas como el Online Safety Act en Reino Unido o distintas iniciativas en la Unión Europea presionan a las plataformas para que limiten el acceso de adolescentes a ciertos contenidos y, sobre todo, frenen la actividad de adultos con malas intenciones en comunidades donde hay menores.

Eso implica que ya no basta con un control superficial de edad: los reguladores quieren garantías sólidas de que quien entra en un servidor para adultos es realmente mayor de edad, y que quienes contactan con menores no pueden esconder su identidad tan fácilmente. De ahí el auge de tecnologías que combinan biometría, documentos oficiales y análisis de comportamiento.

El problema es que cuanto más robusto es el método de verificación, más datos sensibles hay que recopilar y almacenar, aunque sea durante periodos limitados. En la práctica, esto genera bases de datos extremadamente valiosas para ciberdelincuentes, como han demostrado filtraciones anteriores de proveedores de identidad en otros servicios. A medio plazo, también abre la puerta a usos secundarios de esos datos que hoy quizá no estén previstos.

Varios investigadores señalan otro riesgo: los sistemas de reconocimiento facial y de inferencia de edad tienden a ofrecer resultados desiguales según la raza, el género o la edad, lo que puede provocar falsos positivos, bloqueos injustos y discriminación algorítmica. Que una IA etiquete a alguien como “sospechoso” o menor de edad por errores de cálculo puede tener consecuencias reales en su experiencia online.

En este contexto, la desconfianza hacia intermediarios como Persona se dispara, especialmente cuando su tecnología está pensada no solo para juegos o chats, sino también para sectores como la banca, las criptomonedas o los servicios gubernamentales, donde las exigencias de auditoría y conservación de registros son más duras.

Discord, como otras plataformas, se encuentra así atrapada entre la exigencia legal de controlar mejor quién entra y quién sale de sus espacios y la demanda de su base de usuarios, que defiende el anonimato relativo y la facilidad de uso que han definido a la aplicación desde sus inicios. La gestión de este conflicto marcará, en buena medida, la percepción pública del servicio en los próximos años.

Con la ruptura con Persona y el compromiso de apoyarse en métodos menos intrusivos, Discord intenta reconstruir la confianza perdida y calmar las críticas, pero el episodio ha dejado claro hasta qué punto la verificación de edad se ha convertido en un campo minado en el que chocan privacidad, seguridad infantil y ambiciones regulatorias. Lo que se ha vivido en Reino Unido y Europa con este caso sirve como aviso de lo que puede venir: una internet en la que demostrar quién eres, con todo lo que eso implica, podría convertirse en el peaje habitual para participar en comunidades que antes bastaba con un simple alias para disfrutar.