Deepfake y datos personales: ¿sabes con quién compartes tu foto?

¿Has visto últimamente la foto de algún famoso vestido como si fuera un estudiante de los años 90? ¿Has subido un selfi para ver cómo serás dentro de muchos años?

Existen apps que utilizan algoritmos de aprendizaje profundo para cambiar de contexto la imagen de una persona y construir lo que se conoce como un deepfake. Lo hacen tan bien que cuesta distinguirlas de la realidad y esa es, precisamente, la clave de su éxito.

Las aplicaciones que hacen posibles los ejemplos del principio se han vuelto tremendamente populares. La primera de ellas, EPIK, ha sumado más de 90 millones de descargas en todo el mundo. Son divertidas y se viralizan con facilidad, lo que les permite recabar información personal de millones de usuarios.

El problema es que no siempre se sabe exactamente qué hace este tipo de apps con los datos personales de las personas que las utilizan.

¿Es la imagen un dato personal?

Cuando pensamos en la protección de nuestros datos personales, rara vez lo hacemos en nuestra propia imagen o nuestra voz. Normalmente, asociamos el concepto de dato personal a información como el nombre, los apellidos, la dirección de nuestra vivienda o nuestro número de teléfono. Y no debería ser así.

La propia Agencia Española de Protección de Datos aclara que «la imagen, así como la voz de una persona, es un dato personal al igual que lo será cualquier información que permita determinar, directa o indirectamente, su identidad, como por ejemplo una matrícula de vehículo, una dirección IP, etc.».

Esto significa que tanto la imagen de una persona como su voz están protegidas por la legislación de protección de datos. Esto es algo especialmente importante en un momento en el que la imagen de una persona puede utilizarse para recrear fotografías y vídeos en contextos dañinos, como son los casos de deepfake pornográfico, o para otras prácticas cuestionables como el reconocimiento de rostros en aplicaciones de videovigilancia.

Ya sabemos que la propia imagen es un dato personal más que debemos proteger. Entonces, ¿por qué la compartimos con tanta ligereza? En el caso de las apps de deepfake, la respuesta es clara: porque el resultado es muy atractivo y nos cuesta ver el peligro que hay detrás de algunas de ellas.

Política de privacidad y origen

Es importante conocer para qué se van a utilizar los datos personales que compartimos. Se trata de evitar problemas que van desde el bombardeo de nuestro teléfono móvil con llamadas comerciales molestas a la suplantación de nuestra identidad, un problema que se puede agravar en el caso de los deepfake.

Esta es una precaución que conviene mantener también con las apps que manipulan nuestra imagen (o la de cualquier otra persona) para crear memes, gifs o estampas graciosas. El origen de las aplicaciones también debe tenerse en cuenta, ya que puede estar en un país con una legislación más laxa en cuanto a protección de datos personales que el territorio de la Unión Europea.

Este es el caso de EPIK, la aplicación que ha triunfado recientemente en el reto viral #YearBookChallenge y que animaba a los internautas a convertir su imagen en la de un estudiante de instituto de los años 90 y compartirla.

Según explica El País, EPIK exige a los usuarios aceptar sus condiciones de uso y política de privacidad antes de poder abrirla. Unas condiciones que incluyen la recopilación de datos del teléfono incluso cuando la app está funcionando en segundo plano y habilitan a la empresa a ceder datos de usuarios a terceros con gran libertad. Además, la sede central de la compañía se encuentra fuera de la Unión Europea y, por tanto, es más difícil que cumpla con los estándares comunitarios sobre recopilación de datos personales.

Otro ejemplo similar es el de FaceApp, la aplicación que simula el envejecimiento de los rostros y que triunfó en 2019. Su política de privacidad incluía la posibilidad de acceder a las imágenes de la galería del usuario y de sus redes sociales, sin aclarar bien para qué se usarían posteriormente. Además, los datos se guardaban en Estados Unidos y se podían compartir con empresas de Rusia.

Pensar antes de actuar

Todo esto puede suponer que un gesto tan inocente como subir un selfi a una aplicación para participar en un reto viral abra las puertas de nuestros datos personales a una empresa que no sabemos dónde está ni para qué los va a utilizar.

La conjunción de apps de deepfake y retos virales puede resultar peligrosa. Las ganas de participar pueden llevarnos a descuidar nuestros datos personales y aceptar una política de privacidad excesivamente ambigua o poco clara sin pararnos antes a leerla bien.

Por esta razón, conviene pararse a pensar antes de subir una imagen, tanto de uno mismo como de otra persona, y leer detenidamente las condiciones que estamos a punto de aceptar. Es nuestra propia identidad la que está en juego.