La gente dice conceder un alto valor a su privacidad, pero en su conducta entrega sus datos personales por pequeñas contraprestaciones, a veces por nada en absoluto. Este desajuste se conoce como «paradoja de la privacidad». La literatura se ha escindido en dos bandos opuestos: de un lado, quienes sostienen que la conducta revela la verdadera preferencia, que la privacidad es por tanto de escaso valor y que la regulación debería aflojarse; del otro, quienes sostienen que la conducta está distorsionada por sesgos cognitivos, manipulación e ignorancia, y que la distorsión debe por tanto corregirse. Daniel Solove (2021) adopta una tercera posición, radical: la paradoja es un mito, porque la conducta es una decisión de riesgo en un contexto dado, mientras que una actitud es un juicio de valor general; son dos cosas distintas, y su divergencia no es una contradicción.
Este ensayo parte de donde Solove tiene razón, pero no se detiene donde él se detiene. Primero traemos a la luz una distinción que la literatura ha pasado por alto en gran medida: privacidad y seguridad no son lo mismo. La privacidad es la pregunta de quién ve la información, y en qué contexto; la seguridad es la pregunta de si la información está protegida contra una apropiación no autorizada. La literatura sobre la paradoja de la privacidad encuadra el fenómeno esencialmente en el eje de la privacidad. Ahora bien, un tipo de caso particular, el usuario que expresa a voz en cuello preocupaciones de seguridad pero guarda su documento sensible en una gran nube comercial y conduce su comunicación a través de una plataforma que, aun cuando el contenido esté cifrado, procesa comercialmente todo el mapa de la relación, habla el lenguaje de la seguridad y no encaja limpiamente en el marco del «riesgo racional contextual» de Solove. Aquí la contradicción no está entre la actitud y la conducta; la contradicción está entre el modelo de amenaza declarado y la arquitectura de amenaza real. Más aún, la persona confunde dos ejes: toma la reputación de seguridad de una gran marca por una garantía de privacidad. Al final, el discurso «la seguridad lo es todo para mí» se vuelve un ritual performativo y ocupa el lugar de la experiencia real de estar protegido: la persona se siente protegida porque lo ha declarado. Nutrimos esta lectura con los hallazgos de Acquisti y sus colegas (2015) sobre la paradoja del control y sobre la maleabilidad, e intentamos mostrar que la conducta no es un defecto de carácter sino una salida previsible de una cognición normal dentro de una arquitectura de la información defectuosa.
Imagine una escena común. Una persona concede alto valor a su privacidad: dice que sus datos deben protegerse, explica que no hay confianza sin seguridad, subraya que al mundo digital hay que acercarse con cautela. Note que el lenguaje que emplea es, de cabo a rabo, un lenguaje de seguridad: secreto, protección, contraseña, peligro de intrusión. Luego la misma persona sube un documento sensible que contiene datos de identidad y una firma a una cuenta ordinaria de almacenamiento en la nube comercial. Conduce su correspondencia cotidiana a través de una gran plataforma que, aun cuando el contenido esté cifrado, registra con quién habla, cuándo y con qué frecuencia, y liga ese mapa de relaciones a la economía publicitaria. De una alternativa que recoge muchos menos de sus datos se mantiene a distancia, diciendo «no la conozco» o «no es de fiar».
La escena parece incoherente. La primera reacción es fácil y se formula a menudo: «Esta persona no sabe lo que dice; lo que dice contradice lo que hace.» Este ensayo comienza con esa primera reacción, pero la trata como una pregunta y no como una conclusión. Porque esta escena no es la excepción, es la regla. Millones de personas, millones de veces, se comportan exactamente así. Cuando un fenómeno está tan extendido, explicarlo como un defecto personal es científicamente débil. Lo que está extendido apunta a una estructura que pide ser explicada.
Nuestra pregunta es esta: ¿por qué un ser humano no protege aquello que dice que le importa? Y, más afilada: ¿por qué, sin protegerlo, se siente protegido? Esta segunda pregunta es el lugar donde nace la verdadera contribución de este ensayo.
El fenómeno se observa desde hace cerca de medio siglo. En uno de los primeros experimentos, personas que interactuaban con un bot de compras antropomórfico compartieron, en flagrante contradicción con la preocupación de privacidad que habían declarado, «suficiente información para que se construyera un perfil bastante revelador de sí mismas en una sola sesión de compras» (Spiekermann et al., 2001, cit. en Solove, 2021). En los años siguientes, decenas de estudios repitieron el mismo patrón: la gente da su fecha de nacimiento y su ingreso mensual por un descuento de un euro; vende su historial de navegación por ocho dólares; y aunque un servicio gratuito de correo electrónico analiza el contenido, no está dispuesta a pagar más de quince dólares al año por una alternativa que no lo hace (Solove, 2021).
Antes de seguir adelante, hay que separar dos conceptos que a menudo se usan uno por otro pero que en realidad son distintos, porque el caso en el corazón de este ensayo se asienta precisamente sobre esa distinción.
La seguridad es la protección de la información contra el acceso, la apropiación y la corrupción no autorizados. El marco clásico de la seguridad de la información reúne esto bajo tres rúbricas: la confidencialidad (solo el autorizado puede llegar a la información), la integridad (la información no puede alterarse sin permiso) y la disponibilidad (la información está a mano cuando se necesita). La pregunta de la seguridad es: ¿puede un atacante robar, interceptar o corromper estos datos? Su vulneración es concreta: toma de control de cuenta, filtración, ruptura de contraseña, ataque de intermediario.
La privacidad es una pregunta distinta: ¿quién ve estos datos, en qué contexto y con qué fin? La privacidad se vulnera cuando la información es arrancada de su propio contexto y vertida en otro. Un dato puede estar técnicamente protegido sin falla, inaccesible para todo atacante; pero si la empresa que presta el servicio lo analiza ella misma, lo perfila, lo abre a terceros o lo entrega al Estado ante una solicitud legal, entonces la seguridad es alta y la privacidad baja.
Los dos ejes varían de forma independiente. Un gran servicio de nube comercial puede ser extremadamente seguro frente a los atacantes (infraestructura sólida, almacenamiento cifrado, verificación en dos pasos) y sin embargo débil en privacidad, porque el dueño del servicio llega a los datos. Una aplicación de mensajería puede elevar la seguridad cifrando los contenidos de extremo a extremo, y permanecer no obstante débil en privacidad si recoge y procesa comercialmente quién habla con quién, cuándo y con qué frecuencia (es decir, los metadatos). En cambio, una aplicación que cifra los contenidos de extremo a extremo y minimiza la recogida de metadatos eleva ambos ejes a la vez. Esta distinción de apariencia simple es la llave que, en la Sección 6, abrirá el corazón del caso.
Hay que señalar aquí también una trampa terminológica: la subrúbrica de la seguridad llamada «confidencialidad» (esto es, la prevención del acceso no autorizado) y el sentido corriente de la privacidad como «mantener algo en secreto» van bajo la misma palabra y son sin embargo cosas distintas. La advertencia de Solove, que veremos más abajo, de que «la privacidad no es el secreto», apunta precisamente a esta confusión. Este entrelazamiento de los conceptos no es solo un problema de lengua; como veremos pronto, es también la fuente de la verdadera confusión en la cabeza de la gente.
El gran cuerpo de la literatura sobre la paradoja de la privacidad construye el fenómeno en el eje de la privacidad: a quién abre la gente sus datos, si acepta ser perfilada para publicidad, si comparte de manera selectiva. El caso de este ensayo, en cambio, pone en el centro a un usuario que habla el lenguaje de la seguridad. La tensión entre ambos es la vena original de este trabajo.
Las respuestas al desajuste de la paradoja de la privacidad se reúnen en dos bandos.
Primer bando: el argumento de la valoración por la conducta. La conducta es una medida más fiable que la declaración. En el lenguaje de la economía, las actitudes cuentan como «preferencia declarada» y la conducta como «preferencia revelada»; la preferencia revelada es la verdadera. Puesto que la gente intercambia sus datos a bajo precio, es que concede poco valor a la privacidad. Conclusión: la regulación de la privacidad la sobrevalora y debería retirarse (autores como Cooper, Ben-Shahar, Goldman; cit. en Solove, 2021).
Segundo bando: el argumento de la distorsión de la conducta. La conducta no refleja la verdadera preferencia, porque está distorsionada. Los sesgos cognitivos, los efectos de encuadre, el diseño de interfaz manipulador (dark patterns), la ignorancia y la inercia distorsionan las elecciones de la gente. Conclusión: la regulación debería reducir esos efectos distorsionadores, para que la gente pueda hacer elecciones acordes con sus verdaderas preferencias.
Lo interesante es esto: la mayoría de quienes defienden el segundo bando son los autores de los mismos estudios que sacaron a la luz la paradoja. Son investigadores a quienes sus propios hallazgos incomodaron, que los calificaron de «inquietantes» y «perturbadores» e intentaron explicar la conducta (Solove, 2021). Es precisamente aquí donde se asientan las tres patas de la columna conceptual de este ensayo: primero la forma más fuerte del segundo bando (Acquisti), luego la posición que rechaza ambos bandos (Solove), y por último la grieta que ninguno de los dos ve.
El argumento de la valoración por la conducta es intuitivamente atractivo: mira no lo que un ser humano dice sino lo que hace. Pero acarrea un error lógico, y Solove muestra ese error con la mayor claridad. Del hecho de que una persona dé a una tienda dada, en un momento dado, un dato dado por un dólar, no se sigue que esa persona «valore la privacidad en un dólar». Lo único que se sigue es que, en esa transacción específica, juzgó bajo el riesgo. El argumento salta de una observación estrecha a una generalización amplia. Para ver por qué el salto es inválido, primero hay que comprender cuán inestable es la conducta; y eso nos lleva al segundo bando.
Acquisti, Brandimarte y Loewenstein (2015), en su amplia reseña en Science, organizan la conducta de privacidad en torno a tres temas interconectados. Estos tres temas explican la paradoja sin rebajarla a «irracionalidad».
La incertidumbre. El ser humano es incierto en dos niveles: tanto sobre las consecuencias de su compartir como sobre sus propias preferencias. En la expresión llamativa de los autores, en cuanto a las consecuencias de la privacidad y a sus propios sentimientos, la gente está a menudo «en alta mar» (at sea) y busca pistas para orientar su conducta (Acquisti et al., 2015). La información es asimétrica: cuándo, por quién y con qué consecuencia se recogen los datos es las más de las veces invisible. Más aún, el ser humano ni siquiera conoce su propia preferencia; la privacidad no es una excepción a la regla de que «la gente tiene ideas apenas definidas de cuánto le gusta un bien, un servicio u otras personas».
La dependencia del contexto. La misma persona puede ser indiferente a la privacidad en una situación y excesivamente ansiosa en otra. Porque un ser humano enredado en la incertidumbre se aferra a las pistas, la conducta también cambia con el contexto. La célebre tipología de Westin del «fundamentalista, pragmatista e indiferente de la privacidad» no es un conjunto de tipos de personalidad fijos; en palabras de los autores, «todos somos, según el momento y el lugar, pragmatistas, fundamentalistas o indiferentes de la privacidad» (Acquisti et al., 2015).
La maleabilidad. He aquí el tema más crucial para nuestro ensayo. Mientras el ser humano ignora los factores que dan forma a su propia preocupación, las instituciones cuyo bienestar depende de la divulgación ajena son expertas en esos factores. Los ajustes por defecto, el diseño de interfaz, la sensación de control: estos pueden activar o sofocar la preocupación por la privacidad. Una frase que los autores asientan desde el comienzo es el germen de nuestra tesis: en las redes sociales, «dar más control puede crear una ilusión de seguridad y alentar a compartir más» (Acquisti et al., 2015).
Estos tres temas se vierten en hallazgos concretos e inquietantes:
La paradoja del control. Cuando se da a una persona más control explícito sobre sus datos, comparte más; lo opuesto exacto del fin aparente del control. La sensación de control baja la defensa sin cambiar el riesgo real (Brandimarte, Acquisti y Loewenstein, 2013, cit. en Acquisti et al., 2015).
La falacia de la política. En una encuesta, el 62 por ciento de los participantes interpretó erróneamente la mera existencia de la política de privacidad de un sitio como que significaba que «ese sitio no puede compartir sus datos sin permiso». Es decir, la mera presencia de una política las más de las veces nunca leída produce, sin fundamento, la sensación de «estar protegido» (Acquisti et al., 2015; el mismo hallazgo se reporta también en Solove sobre la base de Turow et al., 2009).
La pista equivocada, la confianza equivocada. En un experimento en línea, la gente divulgó más información personal, incluso autoincriminatoria, en un sitio de diseño amateur y descuidado como «How Bad R U» que en un sitio de interfaz formal y profesional. Sin embargo, el sitio de interfaz formal había sido juzgado mucho más seguro por otros participantes (Acquisti et al., 2015). La gente lee la señal de seguridad al revés de manera sistemática: puede tomar lo seguro por peligroso y lo peligroso por seguro.
Retenga este último hallazgo. En el laboratorio es la prueba de que un ser humano coloca la amenaza real en el lugar equivocado, y se abre directamente sobre la grieta del ensayo.
¿Representan los tres temas de Acquisti todo el campo? La respuesta más ordenada a esta pregunta la dan las reseñas que barren sistemáticamente el rótulo «paradoja de la privacidad». Gerber, Gerber y Volkamer (2018), en una reseña en la que cribaron 181 estudios pertinentes y examinaron treinta y ocho de forma cuantitativa, dividen en ocho familias los enfoques que la literatura ha producido para explicar la paradoja: el cálculo coste-beneficio (privacy calculus), la racionalidad limitada y los sesgos de decisión (el núcleo de los temas de Acquisti), la falta de experiencia personal y de saber técnico, la influencia social, el equilibrio riesgo-confianza, el modelo de decisión cuántico, la ilusión de control y por último la afirmación de que la paradoja podría ser un «artefacto metodológico». Este inventario sitúa el marco conceptual de Acquisti en un mapa más amplio: la incertidumbre, la dependencia del contexto y la maleabilidad son patrones que el campo redescubre una y otra vez bajo nombres distintos.
El lado más llamativo de la reseña es su ponderación empírica. Cuando se alinean los tamaños de efecto de decenas de estudios, el predictor más fuerte y estable resulta ser el cálculo coste-beneficio: la ganancia concreta que la gente espera del compartir es la variable que mejor predice tanto la intención de compartir como el compartir efectivo (Gerber et al., 2018). En cambio, la evidencia para los modelos que explican la paradoja por el solo «sesgo cognitivo» es más débil de lo esperado; y los factores demográficos son casi despreciables. Este resultado acarrea dos implicaciones para nuestro ensayo. Primero, leer la conducta como un «montón irracional de sesgos» es una lectura más osada de lo que los datos sostienen; un ser humano hace en gran medida, aunque de forma imperfecta, un cálculo de beneficio. Segundo, y más importante: este hallazgo abre la puerta de la sección siguiente: si la conducta es en esencia una decisión beneficio-riesgo incrustada en el contexto, entonces compararla con un juicio de «valor» general y proclamar una «contradicción» puede ser una comparación mal planteada desde el inicio.
El tema de la «maleabilidad» de Acquisti abre una puerta pero queda abstracto: ¿qué sesgos, qué diseño? Ari Ezra Waldman (2020) toma el mismo fenómeno justo en ese nivel concreto. Sostiene que el modelo del actor racional, esto es, el supuesto de que un ser humano, una vez informado, tomará la decisión de divulgación mejor ajustada a su propio interés, se derrumba no solo en la práctica sino en principio, porque barreras cognitivas extendidas distorsionan la decisión de divulgación. Waldman enumera las cinco más comunes.
El anclaje (anchoring). Apego desproporcionado, en el momento de la decisión, a la primera información vista. En un experimento que Waldman reporta, participantes a quienes se mostró primero selfis cada vez más reveladores divulgaron después más sobre sí mismos; las imágenes vistas anclaron su sensación de «qué es apropiado compartir» (Chang et al., 2016, cit. en Waldman, 2020).
El encuadre (framing). La buena o mala presentación de la misma opción cambia la decisión. Las empresas tecnológicas encuadran la recogida de datos en un lenguaje orientador: «si no permites las cookies, la funcionalidad se reducirá» o «activar la recogida de datos trae nuevas comodidades» (Waldman, 2020). El lado positivo se pone por delante, el coste se vuelve invisible.
El descuento hiperbólico (hyperbolic discounting). Sobrestimar la consecuencia inmediata y subestimar la futura. El beneficio de la divulgación (comodidad, acceso, interacción social) llega de inmediato, mientras que su riesgo se siente a menudo mucho después; por eso el ser humano es más propenso a compartir ahora. En un estudio, unos usuarios accedieron a ceder más información personal por una entrada de cine algo más barata, aun cuando había disponible una opción respetuosa con la privacidad al mismo precio (Jentzsch et al., 2012, cit. en Waldman, 2020).
El exceso de opciones (overchoice). Demasiadas opciones paralizan al ser humano. En la privacidad el problema no es la existencia de opciones sino el número de elecciones que un ser humano se ve forzado a hacer; las aplicaciones móviles piden a veces más de doscientos permisos (Hartzog, 2018; Olmstead y Atkinson, 2015, cit. en Waldman, 2020).
La metacognición. Un ser humano lee la dificultad de una decisión unas veces como señal de «importancia», otras de «imposibilidad». Cuando proteger la privacidad parece difícil, mucha gente lo toma por un signo de imposibilidad, renuncia con nihilismo y deja la decisión al ajuste por defecto (Mourey, 2019, cit. en Waldman, 2020). Esto da un suelo cognitivo a la «resignación» de Solove, que veremos pronto.
Estos sesgos no operan por sí solos; el diseño los convierte en armas. Waldman llama «dark patterns» a las tretas de diseño que orientan a un usuario hacia acciones que de otro modo no haría, y reporta la definición establecida del campo: los dark patterns son «elecciones de diseño de interfaz que benefician a un servicio en línea al coaccionar, dirigir o engañar a los usuarios para que tomen decisiones que, de estar plenamente informados y en condiciones de elegir alternativas, quizá no tomarían» (Mathur et al., 2019, cit. en Waldman, 2020; ingl.: «interface design choices that benefit an online service by coercing, steering, or deceiving users into making decisions that, if fully informed and capable of selecting alternatives, they might not make»). Waldman compara el poder del diseño con la destreza de un mago: el mago «da a la gente la ilusión de libre elección mientras dispone el menú de modo que, elijan lo que elijan, gana él» (Harris, 2016, cit. en Waldman, 2020).
La conclusión a la que llega Waldman se recubre exactamente con la columna de este ensayo. Para él, la supuesta paradoja «no refleja el desinterés de los usuarios por la privacidad; más bien refleja que los usuarios responden de maneras previsibles a las formas en que las plataformas aprovechan el diseño para sacar partido de nuestras limitaciones cognitivas» (Waldman, 2020; ingl.: «Any supposed paradox does not reflect users’ disinterest in privacy; rather, it reflects users responding in predictable ways to the ways in which platforms leverage design to take advantage of our cognitive limitations»). El régimen del actor racional, en esta lectura, no está por accidente sino por diseño «dispuesto para fracasar» (Richards y Hartzog, 2019, cit. en Waldman, 2020).
Solove (2021) adopta una posición que trasciende ambos bandos: la paradoja no es una paradoja, porque no hay dos cosas que deban concordar. Lo interesante es que esta intuición no está sola. La octava explicación de la reseña sistemática que mencionamos en la Sección 4 sugiere también que al menos una parte de la paradoja podría ser un «artefacto metodológico»: la actitud se mide a menudo en una escala continua (¿cuánto te importa?), la conducta en un criterio binario (¿mantuviste ese perfil público?); medir dos cosas distintas con instrumentos distintos y luego asombrarse de que no concuerden puede ser tomar un error de medición por un fenómeno (Dienlin y Trepte, 2015, cit. en Gerber et al., 2018). Gerber y sus colegas dejan esta posibilidad como una hipótesis prudente; Solove lleva la misma intuición al extremo en los planos conceptual y jurídico.
El riesgo no es el valor. La conducta en los estudios sobre la paradoja no versa sobre el valor de la privacidad; versa sobre el riesgo en un contexto dado. El riesgo es el potencial de daño; el valor es la importancia general atribuida a una cosa. Cuando una persona cede el título de su libro por un descuento de un dólar, de ello solo se sigue una cosa: «En este instante, a esta tienda, por este dato, juzgó el riesgo lo bastante bajo como para aceptar la recompensa de un dólar.» Solove lo muestra con un «pequeño examen» y dice que la respuesta correcta es «ninguna de ellas».
Valorar la propia privacidad es distinto de valorar la privacidad. Una persona puede no elegir la privacidad para sí misma y sin embargo hallar valiosa la privacidad. La analogía de Solove es clara: un ser humano puede valorar el derecho al voto en general sin votar él mismo; no votar no significa que no valore el derecho al voto.
La privacidad no es el secreto. Compartir datos no es renunciar a toda privacidad. La gente no quiere ocultar su información a todo el mundo; quiere compartir de manera selectiva y asegurarse de que no se use de forma dañina. En la Era de la Información, no compartir dato alguno solo es posible «viviendo en una cabaña en el bosque»; compartir no significa no valorar la privacidad. (Esta tercera distinción es el correlato, en Solove, de la trampa terminológica que abrimos en la Sección 2: la privacidad no es «mantenerlo todo en secreto».)
La autogestión no escala. He aquí el golpe político de Solove. La regulación vigente intenta proteger la privacidad mediante la «autogestión de la privacidad»: lee las políticas, renuncia (opt out), cambia los ajustes. Pero este proyecto es enorme, complejo e interminable. Leer todos los avisos de privacidad pertinentes le llevaría a una persona unas 201 horas al año (McDonald y Cranor, 2008, cit. en Solove, 2021). Con miles de instituciones, renunciar miles de veces equivale a «vaciar el océano con una taza». Ni siquiera un ser humano plenamente racional lo logra.
La resignación es racional. Ante esta imposibilidad, la resignación es una respuesta racional. Solove confiesa que hasta él mismo, como experto en privacidad, se ha rendido. El control ofrecido es una ilusión, un «trabajo de entretener» (busy work); se da a la gente más botones, interruptores y casillas, pero eso no es protección real. Y un círculo vicioso gira: el ser humano expresa su preocupación, se le da la autogestión, fracasa en el proyecto imposible, se decepciona y se resigna, pero la preocupación permanece; el círculo se repite. La culpa se arroja sobre el individuo, y el individuo hasta se culpa a sí mismo.
La solución: regular la arquitectura. La regulación de la privacidad debe entonces dejar de hacer del individuo un gestor y regular en cambio la arquitectura que estructura el modo en que la información se usa, se almacena y se transfiere. La privacidad no es un bien comprado y vendido en el mercado sino un elemento constitutivo de una sociedad libre; en palabras de Tufekci (2018): «la privacidad de los datos se parece más a la calidad del aire o al agua potable segura; un bien público que no puede regularse eficazmente confiando en la sabiduría de millones de elecciones individuales».
Lo notable es esto: Acquisti y Solove se encuentran aquí. También Acquisti concluye que «los enfoques políticos que se apoyan exclusivamente en informar o empoderar al individuo difícilmente proporcionarán una protección adecuada; que la transparencia y el control, usados por sí solos, son radicalmente insuficientes e incluso pueden salir por la culata» (Acquisti et al., 2015). Dos fuentes llegan, por caminos distintos, a la misma puerta: no culpar al individuo, regular la arquitectura.
Hasta aquí la literatura nos ha dado un suelo firme. Ahora comenzamos donde ella termina.
Volvamos a la escena de la Introducción. El usuario que expresa preocupaciones de seguridad pero pone su documento sensible en una nube general, conduce su comunicación a través de una gran plataforma que procesa comercialmente sus metadatos, y dice «no la conozco» a una alternativa que recoge menos datos. El marco de Solove explica una parte de esta escena: «la seguridad importa» (una actitud general) y «el documento está en la nube» (una decisión de riesgo contextual) son ejes distintos, así que es un error buscar una contradicción entre ellos. Cierto. Pero el marco de Solove no puede explicar el corazón de la escena. Porque el punto crítico aquí no es la distinción «actitud general frente a riesgo específico». El punto crítico es este: la persona, mientras habla el lenguaje de la seguridad, cede precisamente en el eje de la privacidad aquello que quiere proteger. En el modelo de Solove la conducta es una evaluación de riesgo contextual pero acertada. Aquí, en cambio, la propia evaluación de riesgo se ha desviado de su eje: la persona se fija en la amenaza de seguridad y no ve en absoluto la amenaza de privacidad.
Lo que explica esta desviación no es Solove sino Acquisti. La lente que mejor lo ve es la distinción entre privacidad y seguridad que establecimos en la Sección 2. El usuario del caso habla el lenguaje de la seguridad, pero confunde dos cosas distintas.
Primero, la confusión de ejes. Cuando la persona elige una gran nube comercial o una gran plataforma de mensajería, hace en realidad un razonamiento de seguridad intuitivo: «Esta empresa es enorme, su infraestructura es sólida, su servicio está cifrado, me protege de un atacante.» Este razonamiento, solo en el eje de la seguridad, es en gran medida acertado; el contenido puede en efecto estar protegido contra el acceso no autorizado. El error está en tomar esa garantía de seguridad por una garantía de privacidad. Porque esa empresa gigantesca misma llega a los datos, o a sus metadatos; el «tercero» que teme ya está dentro. Porque la persona ve la reputación de seguridad de la marca, no ve en absoluto el riesgo de privacidad. Toma dos ejes por uno solo; tener razón en uno la conduce a estar ciega en el otro. La trampa terminológica de la Sección 2 cobra aquí carne y hueso: lo que cree «seguro» lo es de veras, pero no es «privado»; y la persona no siente en absoluto esa diferencia.
Esto no vuelve irracional a la persona; un punto debe enunciarse con claridad aquí, porque puede parecer chocar con el hallazgo empírico de la Sección 4. Como mostraron Gerber y sus colegas, un ser humano hace en gran medida un cálculo beneficio-riesgo. La confusión de ejes no abole ese cálculo; le inyecta un insumo de riesgo equivocado. Porque la persona tiene el riesgo de privacidad por casi nulo, hasta un cálculo que funciona bien llega al resultado equivocado. El error no está en el razonamiento mismo sino en el mapa de riesgo que entra en el razonamiento. Por eso la misma conducta puede ser a la vez racional (coherente con el mapa dado) y equivocada (el mapa no refleja la realidad); ambas no se contradicen. El hallazgo de Gerber de que «el predictor más fuerte es el cálculo coste-beneficio» y nuestra constatación de que «la persona se equivoca» se reconcilian precisamente en esta distinción: el error no está en el cálculo sino en los datos que se le dan.
Esta distinción tiene un correlato concreto. Una aplicación de mensajería extendida asegura el contenido cifrándolo de extremo a extremo, mientras recoge los metadatos que muestran quién se conectó con quién, cuándo y con qué frecuencia, y los liga a la economía publicitaria; el contenido está protegido, el mapa de las relaciones no. Al mismo servicio hay una alternativa que también cifra el contenido de extremo a extremo pero minimiza la recogida de metadatos. Ambas aplicaciones son fuertes en el eje de la seguridad; donde divergen es en el eje de la privacidad. La persona elige a menudo la más familiar, la más grande, la más publicitada como «segura» y no advierte en absoluto el punto en que los dos ejes divergen. La familiaridad no es una garantía de privacidad; pero da esa sensación.
Segundo, el mapa de amenaza equivocado. Cuando una persona llama a un servicio «no fiable» o a otro «fiable», pone en marcha un modelo de amenaza; pero ese modelo está construido a menudo no a partir de la arquitectura real de los datos sino del confort de la familiaridad, del tamaño de la marca y de señales de oídas. Lo familiar y lo grande se tiene por seguro; lo poco conocido, por no fiable. Ahora bien, cuánto protege un servicio sus datos no se decide por cuán familiar es sino por quién ve los datos y qué hace con ellos. Este es el correlato cotidiano exacto del experimento «How Bad R U» de la Sección 4: un ser humano lee al revés la señal de seguridad y confunde su fuente (familiaridad, profesionalidad visual) con la protección real. Es la consecuencia directa de los temas de la incertidumbre (un ser humano no conoce su propio riesgo, está «en alta mar») y de la maleabilidad (pistas equivocadas tuercen la preocupación en la dirección equivocada).
Estos dos errores no nacen por sí solos en la cabeza del individuo; los produce el diseño. La confusión de ejes tiene un apoyo en la literatura: Waldman (2020) muestra que la confianza es ella misma el blanco del diseño y una herramienta de manipulación. Según su constatación, «los sitios web señalan confianza mediante un diseño profesional mientras ocultan sus prácticas invasivas de recogida de datos en políticas de privacidad impenetrables» (Waldman, 2020; ingl.: «Websites cue trust through professional design while hiding their invasive data collection practices in inscrutable privacy policies»). Es decir, que una persona lea la gran marca profesional como un signo de confianza no es una ingenuidad individual sino un efecto que el diseño busca producir. La confusión de ejes es la forma cristalizada, en el eje de la privacidad y la seguridad, de lo que Waldman llama «la manipulación de la confianza»: la persona toma la sensación de seguridad que irradia una interfaz profesional por una garantía de privacidad sobre quién llega a los datos.
De aquí proponemos la primera mitad de la tesis:
La contradicción no está entre la actitud y la conducta (Solove tiene razón); la contradicción está entre el modelo de amenaza declarado y la arquitectura de amenaza real. Una persona declara un mapa de amenaza, pero ese mapa no coincide con la geografía del flujo real de datos. Más aún, una raíz de la distorsión del mapa es la incapacidad de separar la privacidad de la seguridad: la persona tiene la decisión acertada tomada en el eje de la seguridad por válida también en el eje de la privacidad. Coloca su defensa no contra la amenaza real sino contra una imaginaria; y así queda sin defensa precisamente donde se cree protegida.
La segunda mitad de la tesis es más honda y porta la vena verdaderamente original. La persona del caso no solo ha trazado un mapa equivocado; al declarar en voz alta ese mapa, se produce una función. La frase «la seguridad lo es todo para mí» no es una descripción sino un acto. A medida que la persona lo dice, el decirlo le da la sensación de protección. En lugar de un acto de protección real (elegir un servicio que no recoja metadatos, mantener los datos a salvo), un discurso de protección toma el relevo. Lo nombramos así:
El discurso ocupa el lugar de la experiencia (declaración performativa). La persona declara estar protegida, y la declaración ocupa el lugar de la experiencia real de estar protegido. Porque lo ha declarado, se siente protegida. Esta sensación es una capa por encima de la paradoja del control de Acquisti: allí el control dado a la persona bajaba la defensa; aquí el discurso que la persona produce baja la defensa. En ambos, el mecanismo es el mismo: la sensación de seguridad ocupa el lugar de la seguridad misma y, bastante paradójicamente, reduce la protección.
La diferencia entre la «resignación» de Solove y este «falso confort» es importante. El ser resignado de Solove es pasivo: presiente que no puede ser protegido, renuncia, pero lo sabe. El ser humano de aquí, en cambio, cree estar protegido: no presiente que no puede ser protegido; al contrario, su propia declaración le ha dado esa creencia. La resignación es una impotencia con los ojos abiertos; el falso confort es una apertura velada por la sensación de protección. La diferencia entre ambos no es un crimen sino una diferencia de estado cognitivo; y esa diferencia explicará, en la Sección 8, por qué la solución no puede ser «más declaración».
Hay que poner aquí un límite honesto. La «declaración performativa» no es un hallazgo directamente medido sino una propuesta derivada por analogía del mecanismo experimentalmente probado de la paradoja del control. Que la sensación de control baja la defensa se ha medido (Brandimarte et al., 2013); si el acto de declarar produce del mismo modo una «sensación de protección» y baja la defensa aún no se ha probado, y es una hipótesis abierta a la prueba. Esta es la afirmación más frágil y a la vez más comprobable del ensayo; la marcamos no como un hecho probado sino como lo que es, una propuesta.
Ahora podemos volver a aquella primera reacción de la Introducción: «Esta persona no sabe lo que dice; es incoherente.»
Este juicio es falso, y por qué es falso está ahora claro. La conducta del caso no es una incoherencia ni un defecto sino una salida previsible de la cognición humana normal. La incertidumbre es universal (Acquisti): un ser humano no conoce a menudo ni su propio riesgo ni su propia preferencia. La dependencia del contexto es universal: la misma persona es cauta en un lugar, abierta en otro. El leer mal una pista se ha producido una y otra vez en el laboratorio: la gente puede tomar lo seguro por peligroso y lo peligroso por seguro. Y para confundir privacidad con seguridad un ser humano ni siquiera necesita ser descuidado; los dos conceptos están de veras entrelazados en la lengua y la experiencia, y van bajo las mismas palabras. La autogestión de veras no escala (Solove); la resignación de veras es racional. Si una conducta se repite en millones de personas y su mecanismo puede explicarse cognitivamente, entonces tenerla por una debilidad personal es a la vez científicamente erróneo y metodológicamente improductivo. Arrojar la culpa sobre el individuo es el último eslabón de ese círculo vicioso que Solove desenmascaró: primero se da al ser humano una tarea imposible, luego, porque fracasa en ella, se dice «así que no le importa».
Pero ¿se juega el fenómeno enteramente fuera de la persona? No; pero el sentido de esto no es un crimen, sino un mecanismo. El verdadero determinante es la arquitectura que empuja sin cesar al ser humano a dar la señal equivocada, a confiar en la gran marca que conoce, a bajar su defensa con la sensación de control. Los ajustes por defecto, los dark patterns, la falsa garantía que produce el distintivo «tenemos una política», el modo en que las grandes marcas ponen por delante su reputación de seguridad (robustez, cifrado, certificados) mientras vuelven invisible el coste de privacidad (su propio acceso a los datos o a sus metadatos): todo eso son efectos producidos por el diseño. Hasta la confusión de ejes no nace por sí sola, se la alimenta. El individuo juega en un escenario montado para él; el alivio que da la declaración performativa es también una parte de ese escenario, porque la arquitectura no puede ofrecer al ser humano la realidad de la protección sino solo su sensación, mediante instrumentos (más botones, más texto de política, más «control»).
Así el juicio ingenuo de la Introducción se invierte. Lo que pide ser explicado no es por qué la persona se comporta «de forma inestable»; lo que pide ser explicado es cómo una cognición que funciona bien se equivoca de forma previsible dentro de una arquitectura de la información mal construida. Esto no es una patología sino un resultado de la cognición ordinaria moldeada por el diseño. Y por eso el centro de gravedad de la responsabilidad se desplaza del individuo a la arquitectura; la propuesta política de la sección siguiente nace directamente de aquí.
La paradoja de la privacidad, en su sentido clásico, es de veras un mito. Solove tiene razón: la actitud y la conducta son cosas distintas, y su divergencia no es una contradicción. Más aún, esta falsa paradoja se usa a menudo como un arma para socavar la regulación de la privacidad. Pero la refutación del mito no significa que no quede nada por explicar. Bajo la falsa paradoja yace una grieta real: la grieta entre el modelo de amenaza que un ser humano declara y la arquitectura de amenaza real donde vive. Dos cosas abren esta grieta. Una es la confusión de la privacidad con la seguridad: la persona tiene la decisión acertada tomada en un eje (la seguridad) por válida también en el otro (la privacidad), y cede así información precisamente donde confía. La otra es el modo en que el discurso de la protección ocupa el lugar de la experiencia de la protección: declarar ocupa el lugar de proteger.
Este diagnóstico tiene dos consecuencias. En el plano político, la dirección señalada tanto por Acquisti como por Solove es acertada: «empoderar» más al individuo, darle más botones y texto de política, no funciona e incluso sale por la culata al alimentar el falso confort. La carga de la protección debe levantarse de la espalda del individuo y cargarse sobre la arquitectura de la economía de los datos. Waldman (2020) propone en esta dirección un mecanismo jurídico concreto: las empresas que recogen datos deberían, a semejanza de la responsabilidad que un abogado, un médico o un asesor financiero carga hacia nosotros, ser consideradas «fiduciarios de la información» de nuestros datos, y entrar bajo deberes de diligencia, confidencialidad y lealtad. El deber de lealtad prohíbe a la empresa lucrarse usándonos en nuestro propio perjuicio; en este marco, forzar a la divulgación mediante dark patterns queda jurídicamente vedado. Así tres fuentes (Acquisti, Solove, Waldman) llegan por caminos distintos a la misma puerta: la carga se levanta del individuo y se carga sobre la arquitectura que retiene los datos y sobre la empresa que la construye.
Pero algo queda por decir también en el plano del individuo, y aquí es donde la literatura calla: el antídoto contra el falso confort no es más declaración sino el ver dos cosas. Primero, «seguro» y «privado» no son lo mismo; la protección de los datos frente a un atacante no significa su protección frente a la empresa que los retiene. Segundo, entre «digo que me importa» y «estoy protegido» hay una distancia. Ver estas dos distinciones no cierra la distancia por sí solo; pero al menos la vuelve visible. Y volverla visible es el primer paso no para culpar al individuo sino para corregir la arquitectura: cuando un ser humano puede distinguir lo protegido de lo no protegido, puede empezar a dirigir la pregunta correcta al lugar correcto, esto es, a la arquitectura que construye el servicio.
Decir que tienes miedo no es estar protegido. Ver la diferencia entre ambos es la única propuesta, y bastante difícil, de este ensayo.
(APA 7. Las fuentes primarias leídas se dan con la ficha bibliográfica completa; las fuentes secundarias se indican con la abreviatura «cit. en», porque no se accedió directamente a sus textos íntegros en este trabajo. Las citas directas se tomaron del texto en bruto de las fuentes primarias y se confirmaron por comparación.)
Versión 1.1 · Revisión: 21 de julio de 2026 · Cita de Tufekci corregida según el original, referencia vinculada a la publicación correcta
Registro de archivo permanente, todas las versiones: 10.17613/bfmxp-6tn14 · Knowledge Commons