Resumen

  • El 9 de septiembre, el Gobierno británico anunció que preparará legislación para que a los menores de 18 años les resulte imposible tomar, ver o enviar imágenes de desnudos en cualquier función del dispositivo, incluidas la cámara y las aplicaciones de terceros.
  • La decisión llega tras tres meses de conversaciones con Apple y Google. El Gobierno reconoció avances, los consideró insuficientes para su ambición y mantuvo la posibilidad de reconsiderar la ley si las empresas implantan soluciones voluntarias.
  • No se publicó un proyecto de ley, una lista de sujetos obligados, un regulador, un protocolo de pruebas ni un calendario. Las competencias actuales de Ofcom se refieren a servicios comprendidos por la Online Safety Act, no automáticamente a la captura local de una cámara.
  • Una matriz pública de capacidades y obligaciones debería asignar cada acción, señal de edad, análisis de imagen, traspaso de evidencia y rectificación a una capa y a un responsable concretos.

El resultado prometido atraviesa varias fronteras

El anuncio del 9 de septiembre establece tres principios. Un menor de 18 años no debería poder tomar, ver ni enviar una imagen de desnudos; los filtros de detección deberían estar activados por defecto; y solo un adulto que haya acreditado su edad mediante un proceso robusto podría disponer de esas funciones. La protección abarcaría todas las funciones del dispositivo, cámara y aplicaciones de terceros incluidas.

El lenguaje une lo que la arquitectura separa. Tomar una fotografía puede depender del sensor, del procesamiento de imagen, de una aplicación de cámara, de permisos del sistema operativo y del almacenamiento local. Verla puede ocurrir en una galería sin conexión, un navegador, una conversación o una previsualización alojada en la nube. Enviarla puede comenzar en el menú de compartir del sistema, pasar por una aplicación y terminar en un servicio remoto o en un canal cifrado.

Ninguna empresa controla necesariamente el recorrido completo. Un fabricante diseña el equipo; un proveedor mantiene el sistema operativo; un desarrollador gobierna su aplicación; un tercero emite una señal de edad; un servicio decide si acepta y entrega el archivo. El Gobierno anuncia que legislará sobre protección a nivel de dispositivo y, por separado, que estudia una ley que podría obligar a las aplicaciones usadas por niños. Una medida decidida y una posibilidad en estudio no son el mismo estado.

Tampoco existe todavía una arquitectura oficial que permita inferir la respuesta. El expediente no exige análisis en el dispositivo ni en la nube, no escoge un clasificador y no ordena debilitar el cifrado. El plan del 8 de junio hablaba de móviles y tabletas existentes y nuevos en el Reino Unido, y contemplaba que una futura ley alcanzara a proveedores de sistemas operativos y otros eslabones, como comercios minoristas. Aquella amplitud refuerza la necesidad de saber qué obligación nace en cada frontera.

La fase voluntaria terminó; la ley aún no empezó

El Gobierno dio a las tecnológicas tres meses para actuar. En junio señaló carencias en cámaras, aplicaciones más amplias, mensajería de terceros y búsquedas. El 9 de septiembre dijo que Apple y Google habían avanzado, pero no a la escala ni al ritmo de su ambición. La respuesta fue anunciar que promoverá legislación tan pronto como sea posible.

Conviene conservar las diferencias entre esos hechos. La valoración política de un avance no es una resolución sancionadora. Ninguna de las compañías incumplió, a partir de esa frase, una obligación futura. La documentación tampoco permite juzgar todas las funciones, equipos o versiones. Además, el propio anuncio dice que el Ejecutivo reconsiderará la necesidad de legislar si las empresas implantan soluciones por iniciativa propia.

El estado verificable es este: una negociación voluntaria produjo resultados que el Gobierno considera parciales; ahora existe la decisión de redactar una ley; no existen aún cláusulas públicas, fecha de entrada en vigor, prueba de conformidad ni autoridad designada. El resumen para niños y jóvenes del programa más amplio subraya que el Parlamento deberá aprobar las nuevas normas antes de que los planes surtan efecto.

Ese orden importa. Un objetivo de seguridad puede ser políticamente claro y operacionalmente indeterminado. El control público empieza cuando se puede comparar cada deber legal con el actor capaz de cumplirlo y con la evidencia que demostrará el resultado.

Ofcom ofrece un precedente limitado, no una respuesta futura

La guía vigente de Ofcom explica el aseguramiento de edad exigido a determinados servicios en línea por la Online Safety Act. Los servicios de usuario a usuario y los proveedores regulados de pornografía tienen obligaciones definidas. Ofcom recalca que ese régimen continúa mientras se estudian futuras restricciones.

El regulador exige que un proceso de aseguramiento altamente efectivo sea técnicamente preciso, robusto, fiable y justo. También pide atender a la accesibilidad y la interoperabilidad. Reconoce que sistemas operativos y tiendas de aplicaciones podrían aportar señales para todo el sistema, pero mantiene una regla de atribución: el servicio regulado sigue siendo responsable de que su proceso sea eficaz, aunque lo preste un tercero.

Esa regla muestra cómo puede funcionar un traspaso sin trasladar la responsabilidad. No autoriza a presumir que el mismo marco cubre la cámara. Un servicio puede decidir dónde colocar su control de edad; una cámara o galería puede operar localmente sin que ese servicio intervenga. El anuncio de septiembre no atribuye a Ofcom la futura vigilancia de dispositivos y aplicaciones. La relación de este artículo con Ofcom fija el perímetro regulatorio actual y la experiencia disponible, no una competencia aún no otorgada.

Las notas explicativas de la Online Safety Act aportan otra lección. Los proveedores de la Parte 5 deben registrar qué aseguramiento aplican y cómo han considerado la protección de datos, además de publicar un resumen. El sujeto obligado está nombrado. Una ley transversal deberá decidir quién genera el registro cuando una señal de edad nace en el sistema, una detección ocurre en la aplicación y el bloqueo aparece en otra capa.

Verificar la edad no concede autoridad sin límites

La idea de que un adulto verifica su edad y recupera las tres capacidades plantea una cadena de decisiones. ¿La acreditación pertenece al equipo, al perfil del sistema, a una cuenta de aplicación o a un servicio? ¿Contiene una fecha de nacimiento, una estimación o solo una afirmación sobre el umbral? ¿Qué ocurre en dispositivos compartidos, cuentas recuperadas y cambios de titular?

Una señal puede ser técnicamente correcta y utilizarse fuera de su contexto. Puede ser reproducible en el emisor y quedar obsoleta en el receptor. Puede evitar comprobaciones repetidas y, a la vez, circular más de lo necesario. Por eso la interoperabilidad no debe significar disponibilidad universal.

La orientación de la Information Commissioner's Office limita esa expansión. Los datos de edad necesitan una finalidad específica y legítima; deben reducirse a lo necesario; no pueden reutilizarse para publicidad. Compartir información sobre la edad de un niño requiere una razón imperiosa y documentada. Una estimación debe identificarse como tal y poder corregirse.

La futura distribución de obligaciones debería conservar esas cualidades en cada salto. El emisor declara qué garantiza y hasta cuándo. El receptor explica por qué necesita el dato y qué campo mínimo consume. Si el resultado se corrige, las aplicaciones dependientes reciben la rectificación sin que se construya un historial permanente de la conducta visual del usuario.

La salida del detector también debe permanecer acotada. Detectar desnudez no determina por sí mismo legalidad, intención o abuso. El legislador puede asociar esa salida a una función bloqueada, pero deberá describir el alcance, las excepciones y el recurso. De otro modo, una probabilidad calculada terminaría ejerciendo una autoridad que nadie le concedió expresamente.

La unidad de rendición de cuentas es el traspaso

No hace falta divulgar imágenes, identidades, código del modelo ni detalles de seguridad. Sí hace falta una matriz pública con una fila para cada acción y frontera.

La fila de «tomar» identificaría la capa de cámara o sistema, la clase de operador, el tipo de señal de edad aceptada, el lugar de análisis, la consecuencia permitida y el dueño de la corrección. «Ver» requiere filas distintas para galería, navegador, aplicación y nube. «Enviar» debería separar el inicio del reparto, la aceptación de la aplicación y la entrega del servicio. Ninguna fila puede atribuir a un solo actor el control de pasos que no observa.

La matriz añadiría base legal, fecha de vigencia, versión del ensayo, población medida, falsos resultados, prueba retenida y regla de borrado. En cada cambio de capa constaría quién entrega la decisión y qué recibo confirma que el siguiente actor la aceptó. Un adulto mal clasificado sabría quién restaura la función; un contenido mal detectado tendría un camino de revisión definido, incluso si la decisión es exclusivamente local.

Esta es una prueba editorial de Daniel Kade, no un mecanismo anunciado por el Gobierno, Ofcom ni un proveedor. El informe de Ofcom de 2026 sostiene que ningún método de edad elimina por sí solo la elusión y que hacen falta capas de protección. El control por capas solo gana legitimidad si cada una conserva una finalidad, una capacidad y un responsable reconocibles.

La palabra «imposible» describe una aspiración absoluta. La legislación será evaluable cuando la convierta en deberes limitados que puedan probarse, corregirse y atribuirse sin recoger más datos de los necesarios.

Fuentes