[15/08/2023] Los datos sobre el movimiento de la cabeza y las manos que recogen los cascos de realidad virtual (RV) podrían ser tan eficaces para identificar a las personas como las huellas dactilares o los escáneres faciales, según han demostrado varios estudios, lo que podría poner en peligro la privacidad de los usuarios cuando interactúan en entornos virtuales inmersivos.
Dos estudios recientes realizados por investigadores de la Universidad de California en Berkeley han demostrado que los datos recogidos por los cascos de realidad virtual pueden utilizarse para identificar a las personas con un alto nivel de precisión, y revelar una serie de atributos personales, como la altura, el peso, la edad e incluso el estado civil, según un informe de Bloomberg publicado el jueves.
La demanda de cascos de realidad virtual ha crecido significativamente en los últimos años, a medida que se ofrecían dispositivos cada vez más potentes a precios más bajos. Según los analistas de IDC, se prevé que las ventas de cascos de realidad virtual y aumentada alcancen los diez millones este año y los 25 millones en el 2026.
A pesar de las reacciones en contra del concepto del llamado metaverso, grandes empresas tecnológicas como Meta, Apple y HTC siguen invirtiendo anualmente decenas de miles de millones de dólares en el desarrollo de dispositivos de RV y RA en un intento de impulsar su adopción generalizada.
Los dispositivos contienen una serie de cámaras y sensores que pueden seguir los movimientos corporales, oculares y faciales. Sirven de entrada para las aplicaciones de software de RV y permiten a los usuarios interactuar con entornos virtuales. Los datos se procesan en un dispositivo, pero también pueden compartirse con servidores externos, aplicaciones de software como juegos y plataformas de reuniones virtuales, con el consiguiente riesgo de filtración de datos personales.
Movimiento de datos e identificadores únicos
Un estudio, publicado por los autores de UC Berkeley en febrero, examinó cómo los datos de movimiento generados en dispositivos de RV pueden utilizarse para "identificar de forma única" a un usuario que, de otro modo, sería anónimo.
En el estudio se utilizaron datos recopilados de más de 55 mil cuentas de usuario de Beat Saber, un popular juego de realidad virtual basado en el ritmo que ha vendido millones de copias desde su lanzamiento. Los investigadores analizaron datos públicos de 2,5 millones de grabaciones del juego utilizando algoritmos de aprendizaje automático, y fueron capaces de identificar a individuos de un grupo de 50 mil con una tasa de precisión del 94% utilizando sólo 100 segundos de datos de movimiento de la cabeza y las manos.
Desde hace décadas se sabe que los datos de movimiento pueden utilizarse para identificar a personas, pero los investigadores de la Universidad de Berkeley afirman que este es el primer estudio que demuestra la magnitud de la amenaza para la privacidad. La mayor adopción de cascos de realidad virtual y de juegos como Beat Saber ofrece ahora acceso a un conjunto de datos mucho mayor que el de estudios anteriores, que se basaban en grupos mucho más reducidos de participantes (el mayor fue de 511 usuarios), afirman los investigadores, haciendo referencia a un estudio del 2020.
"Este trabajo es el primero en demostrar realmente hasta qué punto la biomecánica puede servir como identificador único en la RV, al mismo nivel que la biometría ampliamente utilizada, como el reconocimiento facial o de huellas dactilares", afirmó el documento de investigación.
La diferencia es que el reconocimiento facial y de huellas dactilares no es necesario para acceder a los servicios de Internet existentes, señalaron los investigadores en un documento PDF relacionado con los estudios, mientras que los datos de movimiento son una "parte fundamental" del funcionamiento de los dispositivos de RA y RV, y deben compartirse con "diversas partes para permitir experiencias metaversales".
Otro estudio, publicado en junio, consistió en una encuesta a más de mil participantes que respondieron a una serie de preguntas sobre 50 atributos relacionados con antecedentes personales, datos demográficos, patrones de comportamiento e información sanitaria. Los resultados mostraron que más de 40 podían inferirse de forma "consistente y fiable" cuando se aplicaron algoritmos de aprendizaje automático y aprendizaje profundo a los datos de movimiento generados por los jugadores de Beat Saber.
El propósito del estudio era demostrar que "se puede inferir una amplia variedad de variables personales y sensibles a la privacidad a partir del movimiento de la cabeza y las manos", afirmaron los investigadores. Los resultados deberían servir para poner de relieve la "urgente necesidad de mecanismos que preserven la privacidad en las aplicaciones de RV multiusuario".
Aunque mucha gente está acostumbrada a la recopilación de datos en las plataformas de Internet existentes, los investigadores sostienen que hay poca conciencia de los problemas de privacidad en los entornos virtuales inmersivos, y una falta de herramientas disponibles para preservar el anonimato.
La privacidad de la RV, prioridad de las empresas tecnológicas
Los problemas de privacidad no son nuevos, pero los dispositivos de RA/VR y los entornos virtuales presentan una nueva frontera.
"Como hemos visto, el aumento de la digitalización introduce nuevos riesgos a la hora de exponer información privada", afirmó Tuong Nguyen, director analista de Gartner. Además de crear experiencias personalizadas para los usuarios, los datos de los cascos de realidad virtual también pueden "reconstruirse en un perfil de comportamiento, otro vector muy detallado de información privada", explicó Nguyen.
Leo Gebbie, analista de CCS Insight, afirmó que "al llevarse en la cara, los cascos de realidad virtual son intrínsecamente íntimos". Dispositivos cada vez más sofisticados "ven lo que ve el usuario gracias a cámaras externas y pueden seguir sus movimientos y comportamientos, gracias a su arsenal de sensores", sostuvo. "Esto genera claramente preguntas en torno a los datos del usuario y la privacidad, ya que se trata posiblemente de una forma más invasiva de tecnología vestible que cualquier otra que hayamos visto antes".
A medida que crece su adopción, los fabricantes de cascos de realidad virtual ya están trabajando para resolver los problemas de privacidad. Esto incluye "limitar la cantidad de datos biométricos disponibles para aplicaciones de terceros, procesar y conservar datos de seguimiento adicionales en el dispositivo, anonimizar y agregar los datos compartidos, etc.", afirmó Nguyen.
La cuestión de la privacidad del usuario será "enormemente importante" para el sector de la realidad virtual, anotó Gebbie. "Ya estamos viendo cómo las empresas intensifican sus esfuerzos para adelantarse a las preocupaciones en este sentido".
Gebbie citó el próximo casco Vision Pro de Apple, que incluye 12 cámaras, cinco sensores y seis micrófonos, pero "mantendrá los datos vitales del usuario, como el seguimiento ocular y el escaneado del iris, totalmente encriptados y dentro del dispositivo, para calmar las preocupaciones de los usuarios".
"Espero que esto se convierta en un área de interés cada vez mayor para rivales como Meta, que también querrá demostrar que respeta la privacidad de los usuarios", indicó.
En una entrevista reciente, el jefe de producto de Meta para la plataforma Horizon Workrooms habló del compromiso de la empresa con la privacidad de los usuarios en su dispositivo Quest Pro de gama alta.
La privacidad de los empleados en el lugar de trabajo también preocupa
En los últimos años, varios proveedores de cascos de realidad virtual han centrado su atención en los casos de uso empresarial, cuyos índices de adopción siguen siendo bajos. Hasta la fecha, los usos empresariales se han centrado sobre todo en la formación de los empleados y la asistencia remota, aunque los proveedores esperan que la RV acabe utilizándose también para la colaboración y la productividad en el lugar de trabajo.
Según Gebbie, la preocupación por la privacidad de los datos podría provocar la resistencia de los empleados. "Los empleados pueden sentir que los cascos de realidad virtual invaden su intimidad, sobre todo ahora que muchas personas trabajan de forma flexible y pueden resistirse a la idea de llevar un dispositivo con múltiples cámaras y sensores a su casa", afirmó.
La capacidad de identificar a las personas a través de los datos de seguimiento del movimiento podría plantear diversos problemas. Por ejemplo, podría impedir la separación de los perfiles laborales y personales, según los investigadores de la UC Berkeley.
"Pensemos en un personaje público que utilice habitualmente un sistema de RV con sus credenciales corporativas para celebrar reuniones y realizar trabajos profesionales. Por la tarde, se conecta con otra cuenta para jugar a juegos de RV multijugador (en los que puede que no se comporte de la forma más profesional) y, más tarde, utiliza una tercera cuenta para experiencias de RV para adultos", explicaron los investigadores.
"La mayoría de las personas en esta situación preferirían razonablemente que los proveedores de servicios no pudieran vincular estas cuentas. Tal y como están las cosas, los patrones de movimiento únicos del usuario permitirían a cualquier observador (o grupo de observadores confabulados) vincular rápidamente todas estas cuentas entre sí".
En el pasado, los usuarios de teléfonos inteligentes y servicios en la nube han mostrado una notable disposición a cambiar privacidad por comodidad. Lo mismo puede ocurrir con la RV.
"Hubo un tiempo en que los empleados no querían tener un teléfono inteligente en el trabajo, ya que este dispositivo también tiene cámaras, micrófonos y hace que la gente esté más localizable fuera de las horas de trabajo; pero esto se ha ido normalizando gradualmente como un comportamiento", señaló Gebbie. "La RV puede seguir un camino similar, donde podría haber cierta resistencia inicial, que se relaja con el tiempo".
Desde una perspectiva empresarial, los riesgos para la privacidad de los datos son hasta ahora limitados, dada la escasa adopción de la RV por parte de las empresas hasta la fecha. "El uso de la RV en las empresas es todavía incipiente", afirmó Nguyen. "Existen preocupaciones tanto de privacidad como de seguridad, pero por el momento la pequeña escala mitiga en cierto modo el riesgo potencial".
Como ejemplo, dijo, el despliegue de seis teléfonos inteligentes en comparación con un despliegue en toda la empresa significa diferentes niveles de riesgo.
"Hay riesgo en ambos, pero la magnitud de estos últimos cambios aumenta el riesgo sustancialmente de forma no lineal", finalizó.
Basado en el artículo de Matthew Finnegan (Computerworld) y editado por CIO Perú