La adopción de cascos de realidad virtual podría acarrear problemas de privacidad

Los datos sobre el movimiento de la cabeza y las manos recogidos por los cascos de realidad virtual (RV) podrían ser tan eficaces para identificar a las personas como las huellas dactilares o los escáneres faciales, según han demostrado varios estudios, lo que podría poner en peligro la privacidad del usuario cuando interactúa en entornos virtuales inmersivos.

Dos estudios recientes realizados por investigadores de la Universidad de Berkeley, en California, han demostrado que los datos recogidos por los cascos de realidad virtual pueden utilizarse para identificar a las personas con un alto nivel de precisión y revelar una serie de atributos personales, como la altura, el peso, la edad e incluso el estado civil, según un informe de Bloomberg publicado el jueves.

La demanda de cascos de realidad virtual ha crecido significativamente en los últimos años, a medida que se ofrecían dispositivos cada vez más potentes a precios más bajos. Según los analistas de IDC, se prevé que las ventas de cascos de realidad virtual y aumentada alcancen los 10 millones este año y los 25 millones en 2026.

A pesar de las reacciones en contra del concepto del llamado metaverso, grandes empresas tecnológicas como Meta, Apple y HTC siguen invirtiendo anualmente decenas de miles de millones de dólares en el desarrollo de dispositivos de RV y RA en un intento de impulsar su adopción generalizada.

Los dispositivos contienen una serie de cámaras y sensores que pueden seguir los movimientos corporales, oculares y faciales. Sirven de entrada para las aplicaciones de software de RV y permiten a los usuarios interactuar con entornos virtuales. Los datos se procesan en un dispositivo, pero también pueden compartirse con servidores externos, aplicaciones de software como juegos y plataformas de reuniones virtuales, con el consiguiente riesgo de filtración de datos personales.

Datos de movimiento e identificadores únicos

Un estudio, publicado por los autores de la Universidad de Berkeley en febrero, examinó cómo los datos de movimiento generados en dispositivos de RV pueden utilizarse para "identificar de forma única" a un usuario que, de otro modo, sería anónimo.

En el estudio se utilizaron datos recopilados de más de 55.000 cuentas de usuario de Beat Saber, un popular juego de RV basado en el ritmo que ha vendido millones de copias desde su lanzamiento. Los investigadores analizaron los datos públicos de 2,5 millones de grabaciones del juego utilizando algoritmos de aprendizaje automático y lograron identificar a personas de un grupo de 50.000 con una tasa de precisión del 94% utilizando sólo 100 segundos de datos de movimiento de la cabeza y las manos.

Desde hace décadas se sabe que los datos de movimiento pueden utilizarse para identificar a personas, pero los investigadores de la Universidad de Berkeley afirman que este es el primer estudio que demuestra la magnitud de la amenaza para la privacidad. La mayor adopción de cascos de realidad virtual y de juegos como Beat Saber ofrece ahora acceso a un conjunto de datos mucho mayor que el de estudios anteriores, que se basaban en grupos mucho más pequeños de participantes (el mayor fue de 511 usuarios), afirman los investigadores, haciendo referencia a un estudio de 2020.

"Este trabajo es el primero en demostrar realmente hasta qué punto la biomecánica puede servir como identificador único en la RV, al mismo nivel que la biometría ampliamente utilizada, como el reconocimiento facial o de huellas dactilares", afirma el documento de investigación. La diferencia es que el reconocimiento facial y de huellas dactilares no son necesarios para acceder a los servicios de Internet existentes, señalan los investigadores en un documento PDF relacionado con los estudios, mientras que los datos de movimiento son una "parte fundamental" del funcionamiento de los dispositivos de RA y RV y deben compartirse con "diversas partes para permitir experiencias en el metaverso".

Otro estudio, publicado en junio, consistió en una encuesta a más de 1.000 participantes que respondieron a una serie de preguntas sobre 50 atributos relacionados con antecedentes personales, datos demográficos, patrones de comportamiento e información sanitaria. Los resultados mostraron que más de 40 podían inferirse de forma "consistente y fiable" cuando se aplicaron algoritmos de aprendizaje automático y aprendizaje profundo a los datos de movimiento generados por los jugadores de Beat Saber.

El propósito del estudio era demostrar que "se puede inferir una amplia variedad de variables personales y sensibles a la privacidad a partir del movimiento de la cabeza y las manos", afirmaron los investigadores. Los resultados deberían servir para poner de relieve la "urgente necesidad de mecanismos que preserven la privacidad en las aplicaciones de RV multiusuario".

Aunque mucha gente está acostumbrada a la recopilación de datos en las plataformas de Internet existentes, los investigadores sostienen que hay poca conciencia de los problemas de privacidad en los entornos virtuales inmersivos, y una falta de herramientas disponibles para preservar el anonimato.

La privacidad de la realidad virtual, una prioridad para las empresas tecnológicas

Los problemas de privacidad no son nuevos, pero los dispositivos de RA/VR y los entornos virtuales presentan una nueva frontera. "Como hemos visto, el aumento de la digitalización introduce nuevos riesgos en la exposición de información privada", afirma Tuong Nguyen, director analista de Gartner. Además de crear experiencias personalizadas para los usuarios, los datos de los cascos de realidad virtual también pueden "reconstruirse en un perfil de comportamiento, otro vector muy detallado de información privada", explica Nguyen.

Leo Gebbie, analista de CCS Insight, afirma que "al llevarse en la cara, los cascos de realidad virtual son intrínsecamente íntimos". Dispositivos cada vez más sofisticados que "ven lo que ve el usuario gracias a cámaras externas y pueden seguir sus movimientos y comportamientos, gracias a su arsenal de sensores", dijo. "Esto genera claramente preguntas en torno a los datos del usuario y la privacidad, ya que se trata posiblemente de una forma más invasiva de tecnología wereable que cualquier otra que hayamos visto antes".

A medida que crece su adopción, los fabricantes de cascos de realidad virtual ya están trabajando para resolver los problemas de privacidad. Esto incluye "limitar la cantidad de datos biométricos disponibles para aplicaciones de terceros, procesar y conservar datos de seguimiento adicionales en el dispositivo, anonimizar y agregar los datos compartidos, etc.", detalla Nguyen.

La cuestión de la privacidad de los usuarios será "enormemente importante" para el sector de la realidad virtual, afirma Gebbie. "Ya estamos viendo cómo las empresas intensifican sus esfuerzos para adelantarse a las preocupaciones en este sentido". Gebbie citó los próximos auriculares Vision Pro de Apple, que incluyen 12 cámaras, cinco sensores y seis micrófonos, pero "mantendrán los datos vitales del usuario, como el seguimiento ocular y el escaneado del iris, totalmente encriptados y en el dispositivo, para calmar las preocupaciones de los usuarios".

"Espero que esto se convierta en un área de interés cada vez más importante para rivales como Meta, que también querrá demostrar que respeta la privacidad de los usuarios", afirma. En una entrevista reciente, el jefe de producto de Meta para la plataforma Horizon Workrooms habló del compromiso de la empresa con la privacidad de los usuarios en su dispositivo premium Quest Pro.

La privacidad de los empleados en el lugar de trabajo también preocupa

En los últimos años, varios proveedores de cascos de RV han centrado su atención en los casos de uso empresarial, cuyos índices de adopción siguen siendo bajos. Hasta la fecha, los usos empresariales se han centrado sobre todo en la formación de los empleados y la asistencia remota, aunque los proveedores esperan que la RV acabe utilizándose también para la colaboración y la productividad en el lugar de trabajo.

Según Gebbie, la preocupación por la privacidad de los datos podría provocar la resistencia de los empleados. "Los empleados pueden sentir que los cascos de realidad virtual invaden su intimidad, sobre todo ahora que muchas personas trabajan de forma flexible y pueden resistirse a la idea de llevar un dispositivo con múltiples cámaras y sensores a su casa", afirma.

La capacidad de identificar a las personas a través de los datos de seguimiento del movimiento podría plantear diversos problemas. Por ejemplo, podría impedir la separación de los perfiles laborales y personales, según los investigadores de la citada universidad. "Pensemos en un personaje público que utilice habitualmente un sistema de RV con sus credenciales corporativas para celebrar reuniones y realizar trabajos profesionales. Por la tarde, se conecta con otra cuenta para jugar a juegos de RV multijugador (en los que puede que no se comporte de la forma más profesional) y, más tarde, utiliza una tercera cuenta para experiencias de RV para adultos", explican los investigadores.

"La mayoría de las personas en esta situación preferirían razonablemente que los proveedores de servicios no pudieran vincular estas cuentas entre sí. Sin embargo, tal y como están las cosas, los patrones de movimiento únicos del usuario permitirían a cualquier observador (o grupo de observadores confabulados) hacerlo".

En el pasado, los usuarios de teléfonos inteligentes y servicios en la nube han mostrado una notable disposición a cambiar privacidad por comodidad. Lo mismo puede ocurrir con la RV.

"Hubo un tiempo en que los empleados no querían tener un teléfono inteligente en el trabajo, ya que este dispositivo también tiene cámaras, micrófonos y hace que la gente esté más localizable fuera de las horas de trabajo; pero esto se ha ido normalizando gradualmente como un comportamiento", dijo Gebbie. "La RV puede seguir un camino similar, donde podría haber cierta resistencia inicial, que se relaja con el tiempo".

Desde una perspectiva empresarial, los riesgos para la privacidad de los datos son hasta ahora limitados, dada la escasa adopción de la RV por parte de las empresas hasta la fecha. "El uso de la RV en las compañías es todavía incipiente", afirma Nguyen. "Hay preocupaciones tanto de privacidad como de seguridad, pero por el momento la pequeña escala mitiga en cierto modo el riesgo potencial". Como ejemplo, dijo, el despliegue de seis teléfonos inteligentes en comparación con un despliegue en toda la empresa significa diferentes niveles de riesgo. "Hay riesgo en ambos, pero la magnitud de estos últimos cambios aumenta el riesgo sustancialmente de forma no lineal", concluyó.