Por Canuto  

La comisionada saliente de la SEC sostiene que las pruebas de conocimiento cero podrían verificar requisitos sin revelar datos personales. Su advertencia sobre el «panóptico» de KYC cobra relevancia mientras incidentes recientes exponen información de clientes cripto.
***

  • Hester Peirce propuso usar pruebas de conocimiento cero y credenciales basadas en atributos para acreditar requisitos sin divulgar información sensible.
  • La comisionada cuestionó que acumular más datos de KYC y AML ayude necesariamente a encontrar actividad delictiva.
  • Un incidente relacionado con Revolut y una brecha en un proveedor externo de correo de Trezor reavivaron la preocupación por el uso indebido de datos personales.

 

Hester Peirce, comisionada saliente de la Comisión de Bolsa y Valores de Estados Unidos (SEC), planteó que la verificación de identidad en el sistema financiero puede apoyarse en herramientas criptográficas que revelen menos información personal. En la Conferencia de Activos Digitales de SIFMA, celebrada el miércoles 23 de septiembre en Nueva York, criticó la acumulación de registros asociada con los controles de conoce a tu cliente (KYC) y contra el lavado de dinero (AML), y propuso considerar pruebas de conocimiento cero y credenciales basadas en atributos. La SEC publicó sus comentarios bajo el título “Looking for Change in Haystacks”.

Una crítica a la acumulación de información

Peirce cuestionó la premisa de que reunir datos de una población amplia permitirá identificar con mayor facilidad a quienes cometen delitos. Según dijo, las reglas de KYC y AML han llevado a construir «montones de datos cada vez más grandes con la teoría de que encontraremos una aguja o dos dentro», pero advirtió que «el montón más grande hace que sea más difícil encontrar las agujas». Su objeción apunta tanto al volumen de información como a la efectividad de acumularla.

En la práctica, los controles KYC buscan que las instituciones conozcan a sus clientes y recopilen información para verificar quiénes son. Las normas AML, por su parte, se orientan a prevenir y detectar el lavado de dinero; ambos conjuntos de obligaciones pueden implicar que empresas financieras soliciten y conserven datos identificatorios. Peirce no sostuvo que combatir el crimen sea innecesario, sino que los métodos habituales pueden reunir información de muchas personas sin garantizar que eso facilite la detección de actividades ilícitas.

La comisionada calificó de «maximalistas de datos» a quienes presuponen que recolectar más información siempre mejora la supervisión. A su juicio, esa postura puede convertir la infraestructura financiera en un «panóptico», un sistema de vigilancia en el que intermediarios conservan registros detallados de sus clientes. El término resume su preocupación: una medida presentada como herramienta de control también puede ampliar la exposición de personas que no están vinculadas con delitos.

Su intervención se inserta en un debate sobre cómo equilibrar el cumplimiento regulatorio con la privacidad, sin presentar ambos objetivos como necesariamente incompatibles. Peirce pidió un marco que aliente formas de comprobar atributos relevantes sin obligar a cada institución a almacenar copias completas de los mismos documentos. La propuesta no elimina por sí sola los deberes de verificación ni define un modelo regulatorio terminado, pero plantea que el sistema podría confirmar ciertos requisitos con menos información en circulación.

Cómo funcionarían las pruebas de conocimiento cero

Una prueba de conocimiento cero permite demostrar que una afirmación es verdadera sin revelar los datos subyacentes que la respaldan. En el ejemplo planteado por Peirce, una persona podría acreditar que cumple un requisito ante una contraparte sin entregarle su nombre, sus ingresos o su dirección. En vez de recibir el conjunto completo de datos, la institución obtendría una confirmación limitada a la condición que necesita revisar.

El concepto puede resultar más claro con un requisito de edad: una credencial podría confirmar que alguien supera el umbral exigido sin mostrar su fecha de nacimiento completa. Peirce defendió el uso de verificaciones basadas en atributos, es decir, pruebas de cualidades específicas que una institución necesita conocer. El ejemplo ilustra la lógica de la propuesta, aunque la intervención no detalló un sistema concreto ni describió cómo se implementarían esas credenciales en cada servicio financiero.

La comisionada mencionó que las pruebas de conocimiento cero forman parte de herramientas criptográficas empleadas por redes y activos orientados a la privacidad, y citó a Zcash como ejemplo. Esa referencia sirve para situar la tecnología dentro del ecosistema cripto, pero no significa que las obligaciones de KYC desaparezcan automáticamente al usarla. La idea es explorar si la criptografía puede ayudar a cumplir determinadas verificaciones sin convertir la entrega de información personal en el mecanismo predeterminado.

Para que una alternativa de este tipo funcione en un entorno regulado, las instituciones tendrían que confiar en la validez de la prueba y en el proceso que generó la credencial. La propuesta de Peirce, tal como fue expuesta, favorece un marco regulatorio que permita la verificación por atributos; no especifica protocolos, proveedores ni estándares técnicos obligatorios. Esa distinción importa: defender una dirección tecnológica no equivale a demostrar que ya existe una solución universal lista para reemplazar los controles actuales.

El riesgo de los registros expuestos

La advertencia de Peirce llegó en un contexto marcado por incidentes de seguridad que pusieron en riesgo información de clientes. CoinDesk informó que una solicitud gubernamental fraudulenta llevó a Revolut a entregar datos de clientes, incluidos pasaportes, selfies y direcciones; su cobertura también señaló la exposición de información sobre actividad de Bitcoin. La información disponible no permite afirmar que se hayan expuesto historiales completos de transacciones.

Trezor, por su parte, alertó sobre una brecha en un proveedor externo de correo y una campaña de phishing dirigida a sus clientes, según informó Hispasec. La información consultada no permite precisar aquí cuántos clientes resultaron afectados. El episodio conecta la gestión de datos con riesgos prácticos para los usuarios: la exposición puede servir para preparar intentos de engaño, aunque no implica por sí misma que los fondos de una billetera hayan sido sustraídos.

Estos incidentes han avivado el temor a los llamados «ataques con llave inglesa», una expresión usada en el sector para describir agresiones físicas contra personas identificadas como poseedoras de criptomonedas. La preocupación surge cuando datos personales y actividad financiera permiten asociar identidades con posibles tenencias o movimientos. No significa que cada filtración vaya a desembocar en violencia, pero sí subraya que conservar información sensible puede crear riesgos que van más allá del fraude digital.

Peirce argumentó que la acumulación de registros puede perjudicar a las mismas personas a quienes los controles buscan proteger. Si varias instituciones guardan copias de documentos similares, cada repositorio representa otro lugar donde esa información podría quedar expuesta, aunque la comisionada no cuantificó el riesgo ni presentó datos comparativos. Su crítica, por tanto, combina una objeción a la vigilancia extensa con una preocupación de seguridad: reducir la información almacenada también podría limitar el daño potencial de una filtración.

Verificar sin duplicar registros

Como alternativa adicional, Peirce sugirió que las empresas puedan apoyarse en verificaciones de identidad hechas por terceros, en lugar de copiar y conservar de forma independiente los mismos documentos. Describió el problema como la repetición de registros sensibles «en docenas de instituciones». Si un modelo permitiera confiar en una verificación externa y consultar solo los atributos necesarios, podría disminuir la duplicación de información, aunque su discurso no precisó qué entidades asumirían esa tarea ni bajo qué controles.

Delegar una verificación no elimina todas las preguntas sobre privacidad y seguridad. Las instituciones tendrían que establecer cómo evalúan a esos terceros, qué información reciben y cómo responden ante errores o filtraciones, asuntos que la intervención resumida no desarrolló. La sugerencia de Peirce señala una posible vía para reducir copias redundantes, pero no ofrece por sí sola un diseño completo de responsabilidades ni resuelve cómo se garantiza que una credencial siga siendo válida.

El planteamiento tiene continuidad con otras intervenciones de Peirce sobre privacidad y tecnología: la noticia señala que ya había defendido ideas relacionadas, incluida una conferencia de blockchain en agosto de 2025. Esta vez, el argumento adquirió un peso particular porque la comisionada reveló que pronunciaba el discurso durante su «penúltima semana» en el cargo. Ese dato sitúa sus comentarios en las últimas semanas de su etapa en la SEC, sin que la información disponible detalle aquí una fecha de salida más precisa.

Peirce es conocida por sus posiciones favorables al sector cripto y por sus críticas a la «regulación por ejecución» que, según ella, caracterizó etapas anteriores de la agencia. En esta intervención trasladó esa preocupación al manejo de datos: pidió que las reglas permitan verificar condiciones relevantes sin exigir una recolección indiscriminada. El debate que deja abierto no consiste simplemente en elegir entre privacidad y cumplimiento, sino en determinar qué información resulta necesaria y cómo probarlo con menor exposición.

La propuesta tampoco implica que los requisitos KYC y AML vayan a desaparecer ni que las instituciones puedan dejar de comprobar la identidad de sus clientes. Lo que Peirce puso sobre la mesa es una posible transformación del método: pasar de guardar extensos expedientes a confirmar atributos concretos mediante herramientas criptográficas o verificaciones confiables de terceros. La viabilidad dependerá de cómo se traduzcan esas ideas en reglas y prácticas, un proceso que su discurso no definió.

En ese sentido, su llamado funciona como una crítica a la suposición de que más datos siempre producen mejores resultados de supervisión. El incidente de Revolut y la brecha en un proveedor de correo de Trezor dan contexto a los riesgos de conservar información, mientras que las pruebas de conocimiento cero ofrecen una alternativa conceptual para limitar lo que se revela. Peirce concluyó su intervención en una etapa final de su mandato con una pregunta de fondo para reguladores y empresas: qué datos necesitan realmente conocer para verificar que alguien cumple un requisito.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados