La verificación de identidad dejó de ser una simple comprobación de documentos hace ya tiempo. Hoy en día puede tratarse perfectamente de una decisión basada en inteligencia artificial, obtenida a partir de docenas de señales —datos biométricos, huellas digitales de dispositivos, patrones de comportamiento, puntuaciones de riesgo de terceros— que se sintetizan en una única aprobación automatizada. Esa evolución ha agudizado la detección del fraude. También ha creado un problema de auditabilidad que la mayoría de los equipos de seguridad no han valorado en su totalidad.
La mayoría de las organizaciones pueden explicar cómo sus sistemas de identificación funcionan. Son mucho menos los que pueden demostrar qué datos procesó el sistema en el momento de la decisión, cómo ponderó esas pruebas y si el registro no ha variado desde. En este artículo se explica por qué las estructuras de identidad fragmentadas y basadas en la inteligencia artificial han creado esa brecha, por qué el registro de datos por sí solo no la subsana y cómo es una capa probatoria —una que se suma a los controles existentes, sin sustituirlos—.
La IA ha transformado la verificación de identidad, pero también ha cambiado lo que hay que demostrar
Antes, las decisiones sobre la identidad eran binarias: un documento era auténtico o falso, y un examinador cualificado tomaba la decisión. Ese modelo ya no refleja cómo funciona la verificación. Los sistemas modernos calculan un puntuación de confianza a partir de un conjunto de señales probabilísticas —comprobaciones de vitalidad, nivel de confianza en la coincidencia facial, contexto del dispositivo, duración de la sesión, biometría conductual— y ninguna de esas señales por sí sola demuestra la identidad. Se acumulan, y el sistema aprueba o rechaza la solicitud en función de cómo se sitúa el resultado agregado respecto a un umbral.
El estudio de Gartner sobre los «deepfakes» generados por IA muestra por qué esto es importante a gran escala. La empresa prevé que, en un par de años, Aproximadamente tres de cada diez empresas dejarán de confiar en la verificación biométrica facial como medida de control independiente., ya que los ataques de "deepfake" hacen imposible estar seguro de que el «rostro» que se ve al otro lado sea el de una persona real. Gartner también ha señalado un fuerte aumento de los ataques de tipo «injection», en los que se introducen contenidos sintéticos directamente en el proceso de verificación, en lugar de mostrarlos ante una cámara. El efecto práctico no es solo que el fraude resulte más difícil de detectar. Es que ahora cada aprobación automatizada se basa en un combinación de señales, lo que hace mucho más difícil reconstruir, meses después, exactamente por qué una decisión se tomó de la forma en que se tomó.
Cuantas más señales y sistemas intervengan en la toma de una sola decisión, más difícil resulta determinar —con certeza, a posteriori— qué ocurrió exactamente.
La brecha de auditabilidad oculta en las pilas de identidad modernas
Ya son pocas las organizaciones que confían la verificación de identidad a un único proveedor. Una estructura típica combina un proveedor de verificación de documentos, un motor biométrico y de detección de vida, una fuente de inteligencia de dispositivos, una plataforma de puntuación de fraude y una capa de coordinación interna que integra los resultados en una única decisión de aprobación o denegación. Cada componente genera su propio resultado, su propio formato y su propio calendario de conservación. La responsabilidad se extiende a lo largo de toda esa cadena, al igual que las pruebas..
Estudio de Deloitte «Digital Trust» lo señala directamente: a medida que los ecosistemas digitales se han vuelto más interconectados, la responsabilidad de mantener la confianza se ha repartido entre numerosos equipos internos y proveedores externos, en lugar de recaer en un único responsable. En una pila de identidades, esto significa que los registros de ningún proveedor por sí solos ofrecen una visión completa de lo ocurrido, y conciliar cinco registros parciales tras un incidente es un ejercicio muy diferente a obtener un único registro completo.
Aquí es donde el registro operativo se queda discretamente corto respecto a lo que esperan los organismos reguladores. Los registros están pensados para la resolución de problemas: le indican a tu equipo qué ha hecho el sistema. Por sí solos, no demuestran que un registro almacenado no haya sido alterado desde que se creó, y esa distinción es la base sobre la que se asientan las normas de conservación de registros. El La Norma 17a-4 modificada de la SEC, que regula el mantenimiento de registros de las sociedades de valores, exige a las empresas que utilicen bien un almacenamiento WORM inmutable, bien un sistema de registro de auditoría; y la ruta del registro de auditoría solo se considera válida si la empresa puede reconstruir la versión original de cualquier registro que haya sido modificado o eliminado posteriormente. El regulador no solo pregunta qué dice el registro, sino si se puede demostrar que no ha sido modificado.
Marco de gestión de riesgos de la IA del NIST señala la misma laguna desde el punto de vista de la gobernanza de la IA, citando responsable y transparente como características fundamentales de un sistema de IA fiable: no solo explicables en principio, sino también demostrablemente auditables en la práctica.
El coste de no disponer de esa prueba se hace patente cuando algo sale mal. Estudio de IBM sobre 2025 Estiman que el tiempo medio que tardan las organizaciones en identificar y contener una filtración es de unos ocho meses —el periodo más corto registrado en nueve años de seguimiento—, pero sigue siendo lo suficientemente largo como para que cada autorización que tu sistema de gestión de identidades haya concedido durante ese periodo quede en una zona gris: ¿es segura o ha sido objeto de un ataque? Sin un registro verificable de forma independiente, responder a esa pregunta puede llevar meses, si es que se puede responder.
Esa es la pregunta que debería quitarte el sueño, no "¿fallaron nuestros controles?", sino: ¿Puede demostrar que este expediente de decisión no ha sido modificado desde que se concedió la autorización? Para la mayoría de las organizaciones, la respuesta sincera es «no».
Reducir las diferencias gracias a los registros de decisiones verificables
La prevención del fraude y la integridad probatoria resuelven dos problemas distintos. Tu sistema de identificación de usuarios (IDV) y de puntuación de fraude responde a la pregunta "¿es legítima esta identidad?" en el momento de la transacción. Prácticamente nada de ello responde, seis meses después, a la pregunta "¿puedes demostrar que el registro de esa decisión no ha cambiado desde entonces?". Esa segunda pregunta es precisamente lo que la capa probatoria está llamada a resolver.
Este es el puesto Truth Enforcer funciona. Se trata de un sistema de integridad de datos respaldado por blockchain y basado en un modelo de «crear, sellar y verificar»: genera una huella criptográfica (hash) de un archivo o registro, ancla esa huella a una cadena de bloques pública en un momento concreto y, posteriormente, permite que cualquiera pueda verificar de forma independiente si el registro ha cambiado desde entonces, sin almacenar ni revelar nunca su contenido real. Funciona como base de cualquier plataforma de identidad o motor de detección de fraudes que haya tomado la decisión, y no afecta a la precisión de la detección. No hace que tu modelo de detección de fraudes sea más inteligente. Hace que el registro lo que decidieron tus sistemas, y cuándo, de forma que se pueda demostrar de manera independiente - un registro de auditoría de conocimiento cero que resulte válido tanto para un auditor interno como para un organismo regulador o la parte contraria.
Antes de tu próximo ciclo de auditoría, evalúa tu propia infraestructura planteándote estas tres preguntas:
- ¿Podrías reconstruir toda la documentación relacionada con una aprobación de identidad de hace seis meses?
- ¿Puedes demostrar que ese registro no ha cambiado desde que se creó?
- ¿Aceptaría un auditor o un organismo regulador tus pruebas como verificables de forma independiente, y no solo como coherentes internamente?
Si alguna respuesta te resulta dudosa, la falla no está en tus controles de detección, sino en tu capacidad para defender las decisiones que esos controles ya han tomado.
.
¿Quieres ver cómo se lleva a cabo en la práctica una verificación independiente de la integridad?
Pruébalo gratis, sin compromiso:
Verificador de la verdad para creadores de PI: https://truth-verifier.com/landing
Verificador de la verdad para periodistas: https://truthverifier.news/landing
Ponte en contacto con nosotros para hablar sobre la implantación de Truth Enforcer en tu empresa: https://www.connecting-software.com/truth-enforcer-sign-up/
Por Francisco RodriguesJefe de producto
"Escribo sobre cómo las integraciones de software pueden adaptarse a los entornos empresariales y responder a las demandas específicas del sector. Quiero mostrar a las empresas el camino para agilizar los procesos, eliminar los cuellos de botella y garantizar el cumplimiento de las normativas dotando a los equipos y a los ejecutivos de la C-suite de las herramientas adecuadas."
Lecturas relacionadas
Cuando actúan los agentes de IA, las pruebas son fundamentales: creación de la capa de integridad para el cumplimiento de la normativa de la UE en materia de IA
La próxima crisis de cumplimiento normativo no comenzará con un ciberataque, sino con un PDF
El segundo pilar de la confianza digital: por qué la integridad de las pruebas debe ir de la mano de la cartera EUDI