Escáner de iris en el local World ID en São Paulo. Foto: Léu Britto/ Agência Mural/Usada con autorización.

Este texto de Artur Ferreira e Isabela do Carmo se publicó originalmente el 25 de febrero de 2025 en el sitio web de Agência Mural. Global Voices lo reproduce con autorización con algunas ediciones. Los nombres de quienes participaron en el proyecto se han cambiado para preservar su identidad.

¿Vender los datos de tu iris? ¿Biometría ocular? Esos términos, nada comunes hasta hace poco tiempo, se volvieron tema de conversación en grupos de amigos, familias e redes sociales, entre comunidades em São Paulo.

El motivo fueron recientes publicaciones en línea que invitaban al público a escanear sus iris a cambio de 600 reales (cerca de 105 dólares), pagados en la criptomoneda World. Entre noviembre de 2024 y febrero de 2025, por lo menos 400 000 paulistanos entregaron esos datos, según la empresa, considerados los más personales y seguros en cuanto a identificación.

“Lo vi como una oportunidad para comenzar a invertir en criptomonedas”, afirma Débora, de 51 años, que vive en Vila Alpina, en la zona este de São Paulo. Su hijo Bruno, de 26 años, también vendió sus datos. El proceso de recopilación tomó pocos minutos.

Quien compró los iris de madre y hijo fue Tools for Humanity, empresa de tecnología, que administra el proyecto World ID en Brasil.

»No creo que sea ‘tabú’ escanear el iris. Los bancos y sistemas de autenticación en el celular tienen reconocimiento facial y de iris. Cuando me atendieron, dijeron que usaban el iris porque la huella dactilar puede ser burlada», cuenta Bruno.

Su interés real también fueron las criptomonedas. «Ya tenía otras carteras digitales. Puedes dejar que el dinero rinda sin sacarlo”, dice.

Sin embargo, para quien quiera retirar ese dinero no es tan simple: los retiros en el aplicativo que control World es fraccionado y solo se puede hacer una vez al mes.

“Tenemos una población cada vez mayor, un país con problemas socioeconómicos. [Ese proyecto] es un riesgo para las personas que ganan la renta más baja, que pueden convertirse en referencia de una empresa que [ahora] tiene un dato único, y que pueden necesitar en el futuro”, señala Mário Gazziro, profesor del Departamento de Ingeniería e Información de la Universidad Federal del ABC.

Código de barras en la protección de datos

El local de World ID en un centro comercial en Santo Amaro, en la zona sur de São Paulo, es discreto. No tiene logotipo, ni identificación clara. Con las ventanas abiertas se pueden ver las máquinas para escanear, que se asemejan a bolas de cristal con un toque de ciencia ficción.

En el balcón, algunos funcionarios esperaban a los primeros clientes. Los habían invitado a asistir a un video y a descargar el aplicativo de la empresa, y luego los llevaron frente al globo de metal. Segundos después, estaba pronto: el iris estaba escaneado y el crédito quedó registrado en criptomonedas.

Según estimaciones de Agência Mural y la empresa, las imágenes escaneadas del iris se usarían para entrenar sistemas de verificación de identidad de usuarios de sitios web, como plataformas de compras, bancos e inversiones financieros. La empresa dice que la propuesta es elaborar y vender a terceros la tecnología que hace esa verificación y entrena sistemas digitales para diferenciar iris humanas, para evitar fraudes.

El 11 de febrero, apenas cuatro días después de la visita a un local para el reportaje, Tools for Humanity recibió una medida preventiva  que prohibía que se diera compensaciones financieras por los datos obtenidos del iris, impuesta por la Autoridad Nacional de Protección de Datos (ANPD), que depende del Ministerio de Justicia y Seguridad Pública. La práctica contravendría la ley general de protección de datos de Brasil.

A empresa intentó apelar la resolución, pero no lo logró. Tras la transferencia, los usuarios del aplicativo World, que daba acceso a criptomonedas, contaron que tuvieron dificultades para usar los servicios, hacer retiros o verificar saldo, según el portal de noticias G1.

«Por el dinero»

La ley general de protección de datos considera el iris como un dato personal extremadamente sensible. Las huellas dactilares pueden presentar fallas y hasta pueden copiarlas, por lo que se considera que el iris es una forma más fiel y segura para identificar a una persona, dicen los especialistas entrevistados por Agência Mural.

Por eso, explican que, según la ley de recopilación de datos, para reunir esos datos, sería necesario un consentimiento informado y seguro.

Cuando se le preguntó a World ID, informó que la recopilación de datos del iris tiene el objetivo de ayudar a diferenciar interacciones humanas reales de las inteligencias artificiales, “además de aumentar el acceso a la economía digital global”.

“Es como esa famosa frase: cuando la limosna es grande, hasta el santo desconfía”, señala el profesor Gazziro. ¿Por qué alguien pagaría por un dato si no fuera importante?

Gisele lo pensó, pero decidió seguir con el procedimiento. Llegó al local con sus dos hijas. ‘La verdad es que la mayoría aceptar por el dinero. Ya conocía el proyecto, había averiguado y su trato me dio confianza», cuenta.

Días después de esas entrevistas, ella y otros entrevistados  tuvieron dificultades para usar el aplicativo World ID, después del bloqueo de la autoridad de protección de datos.

Entender los riesgos

Isabela do Carmo, periodista de Agência Mural, visitó una tienda de la empresa en Heliópolis, una de las mayores favelas de São Paulo.

“Antes de poder articular mis dudas me llevaron, sin mucha explicación, a una salita. Ahí, un funcionario se preparaba para llevarme a la máquina que registraría la foto de mi iris, y me negué inmediatamente”, cuenta. “Explicó que la idea era recopilar datos para ‘mejorar la tecnología en el futuro'”.

Una señora de aproximadamente 60 años, que vive en Heliópolis y que aceptó hacer el procedimiento, contó al periodista que participó en el proyecto por el pago, pero no tenía idea de qué hacía la empresa realmente.

Usar el iris como forma de identificación de usuarios debe ser cada vez más común en el futuro próximo, principalmente para garantizar más seguridad en esos procesos.

“Se puede usar el iris, por ejemplo, para mejorar técnicas de autenticación de datos bancarios. Esos datos, cada vez más específicos y únicos, también pueden usarse para mejorar técnicas de publicidad personalizadas”, afirma Gazziro.

Para él, lo más ético sería que World ID usara los iris solo para entrenar IA, y que garantizara que no se guarda la información de los ojos de ningún participante.

Por su parte, la empresa informó que “no guardará datos personales, como datos de iris, y los titulares seleccionados de World ID son anónimos”.

Según ella, la tecnología usada permite verificar la “humanidad, no la identidad”, al tiempo que “preserva la privacidad y la seguridad» de los participantes.

Em otros países con leyes similares a la ley general de protección de datos brasileña, como España, Portugal, Corea del Sur y Argentina, Tools for Humanity y World ID también tuvieron dificultades para actuar.

Respuesta de la empresa

Tras la publicación del reportaje, los asesores de prensa de World ID contactaron a Agência Mural para reforzar que no se venden los datos personales ni tampoco se guardan.

Según la respuesta enviada, la máquina para escanear (de nombre Orb) genera un código binario para cada iris que capta y crea un perfil verificado. Las imágenes se encriptan y envían al aplicativo del celular de los usuarios, y se borran de Orb.

La empresa garantiza que «las imágenes biométricas nunca salen de Orb, o que que no se envían a la nube ni a bases de datos», y que usa una tecnología avanzada de privacidad, computación multipartidaria anonimizada.

A empresa dice también que «los datos anonimizados se guardan en bancos de datos operados por terceros confiables, como universidades en Estados Unidos, Zúrich y Alemania».

Sobre los pagos, la empresa dice que parte del pago se hace después de escanear el iris, y que la otra parte se paga mensualmente a lo largo de un año.

“Por parte da World ID, nunca hubo equivalencia de los valores de tokens con la moneda brasileña o cualquier otra”, dice la empresa. “Los valores varían de acuerdo con las condiciones del mercado, nunca por criterios internos de la empresa”.

La empresa afirma que si alguien no pudo acceder a los datos y valores, fue por mal uso del aplicativo. Destaca que actuaron de acuerdo con la legislación brasileña.