[Actualizado] eID y las Administraciones Tributarias
Nuevos usos de la identificación facial en el Estado, abren nuevos debates …
Desde hace ya un tiempo que los Estados están trabajando en implementar mecanismos de identidad digital, proceso que venia desarrollándose a paso cansino , al menos en la región. En los últimos dos años, esta situación cambió, y no ha hecho más que aumentar en forma significativa producto de la pandemia y sus impactos en la interacción del Estado con los ciudadanos. Hoy, todas las administraciones públicas requieren de mecanismos de identificación digital.
Es así como hemos visto el desarrollo de múltiples modelos (framework, switch autenticación, centralizado), los cuales tienen ventajas y desventajas, aquí más sobre eso.
Hoy nos encontramos frente a una evolución de dichos modelos que plantean nuevas preguntas.
eID y Administraciones Tributarias
Hace unos días me enteré del anuncio de la administración tributaria norteamericana, Internal Revenue Service – IRS de pasar de un modelo tradicional de eID a uno que incluye mecanismos de identificación biometría (facial), el cual será provisto por la empresa ID.me con un contrato de 86 millones de dólares según señala un artículo del Washington Post, El plan del IRS de escanear tu cara provoca el enfado del Congreso y la confusión de los contribuyentes.
Este cambio se viene dando en Estados Unidos en varios otros servicios públicos que utilizaban el mecanismo tradicional central Login.gov similar a algunos ejemplos en la región y/o soluciones propias, para comenzar a utilizar los servicios de dicha empresa, por ejemplo: administración de veteranos de guerra, entrega de subsidios de empleo, administración de seguridad social y otros.
A mediados de 2022, todos los contribuyentes de dicho país deberán enrolarse utilizando ese mecanismo para poder acceder a los servicios online de la administración tributaria.
Reacciones
El uso de ese mecanismos por parte de los servicios públicos ha generado reacciones en varios medios de comunicación, en 2021 CNN titulaba en un artículo ¿Quieres recibir tu subsidio de desempleo? Quizá tengas que someterte primero al reconocimiento facial, a propósito de la entrega de subsidios de desempleo. Hace unos días bloomberg publicaba otro artículo con el sugerente título ¿Cómo se interpuso ID.me entre usted y su identidad? en la cual analiza como esta pequeña empresa se ha transformado en el guardián de la identidad digital en dicho país y las dudas que surgen al respecto, incluyendo las declaraciones del Gerente de dicha compañía Blake Hall, en la cual acusaba al gobierno federal de no tomar precauciones adecuadas para prevenir un fraude en la entrega de subsidios de desempleo producto de la pandemia, asegurando que el monto ascendía a 400.000 millones de dólares, el más grande en la historia de Estados Unidos, cifra que no ha podido ser confirmada y que ha significado un incremento relevante en la contratación de los servicios de ID.me por parte del gobierno federal.
Incluso vemos algunos reclamos de congresistas al respecto:
Al cargar el tuit, acepta la política de privacidad de Twitter.
Más información
¿Qué opinan algunos expertos?
Hace unos días el experto en seguridad Brian Krebs mostró su experiencia desde un punto de vista de enrolarse en el sistema ID.me, les recomiendo su lectura. El post abre un debate interesante que se ve reflejado en los comentarios al post como son: (a) entrega de datos de identificación y sensibles de los ciudadanos a una empresa privada, (b) impacto de su uso en personas con altos niveles de brecha digital y otros.
Por su parte Joy Boulamwini, especialista en sesgos asociados a las tecnologías de reconocimiento facial, con un doctorado del MIT, en su columna del medio The Atlantic, El IRS debería dejar de utilizar el reconocimiento facial, apela a los problemas de sesgo de dichas tecnologías y el problema de no permitir el acceso a a servicios del estado de ciertas poblaciones.
Política Pública de eID
Este proceso abre un debate importante, partiendo por las definiciones estratégicas que debe tener una política pública de eID, el modelo conceptual y su implementación.
Definiciones estratégicas
Es muy importante que el diseño de una política pública en este ámbito, considere ciertos principios de diseño, un buen ejemplo de ello son los desarrollados por el gobierno inglés sustentados en los guíenles principios: privacidad, transparencia, No discriminación, interoperable, proporcionalidad de uso y buen gobierno, más sobre eso aquí.
Así como buenas prácticas, como las que plantea el movimiento Good ID, que generó algunas recomendaciones de uso de la identidad digital para la región.
Modelo de eID
Definir el mejor modelo de eID para la situación del país, considerando los diferentes elementos de contextos, por ejemplo: (a) institucionalidad de identificación, (b) vinculación a otras políticas públicas – Transformación Digital, (c) mercado de soluciones (públicas y privadas), (d) marco legal y normativo (datos personales, cibercrimen, …). La definición del modelo debe considerar las ventajas y desventajas de las diferentes alternativas en función de las características locales.
Implementación
El proceso de implementación del modelo seleccionado, debe establecer algunos principios para la implementación: velocidad de implementación, periodo de transición, roles prestadores de servicios y las exigencias necesarias para un servicio de estas características (seguridad, confidencialidad, disponibilidad y otras).
Últimas novedades
El día 7 de febrero de este año, la Administración Tributaria decidió dejar de usar el servicio de reconocimiento facial de ID.me, luego de reclamos por parte de diferentes grupos, incluyendo organizaciones de la sociedad civil, el IRS decidió revertir su decisión y buscar nuevos mecanismos de autenticación.
Preguntas pendientes
En todo caso, la situación producida en la administración tributaria de los Estado Unidos, independientemente que hayan revertido su decisión, abre algunas interrogantes, que a mi modo de ver no están del todo resueltas:
- ¿Es razonable externalizar este servicio a un privado, dado el nivel de sensibilidad de los datos involucrados?
- ¿Cómo se esperan resolver la brechas asociadas a este tipo de servicio (dispositivo requerido, tercera edad, acceso y conectividad, conocimiento y uso)?
- ¿Cómo se espera resolver los sesgos de estas tecnologías, que eventualmente podrían impedir que servicios del Estado llegaran a ciertas poblaciones?
- ¿Qué rol deben jugar las instituciones rectoras de la identidad de las personas?
¿Qué otras interrogantes crees necesario abordar, para un adecuado diseño de una Política Pública que agregue valor público en esta área?
