Introducción
El gobierno británico dio un ultimátum técnico a las grandes tecnológicas: en 90 días, sus dispositivos deben incluir controles integrados para bloquear imágenes de desnudez de menores, tanto en contenido generado por los usuarios como en plataformas de terceros. La medida, anunciada en el marco de la London Tech Week por el primer ministro Keir Starmer, obliga a empresas como Apple y Google a implementar soluciones que vayan más allá de los filtros actuales, que suelen limitarse a entornos controlados como App Stores o navegadores.
El enfoque no es nuevo: en 2023, la UK Online Safety Act ya exigía a plataformas digitales proteger a menores de contenidos dañinos, pero esta vez el foco se traslada al hardware y el sistema operativo. La presión es clara: si las empresas no cumplen, el gobierno británico legislará para forzar la implementación, con multas y posibles sanciones penales a ejecutivos, según el comunicado oficial del Home Office del 10 de junio de 2025.
Qué ocurrió
El Home Office publicó el 10 de junio de 2025 un comunicado de prensa en el que detalla los requisitos técnicos y legales para las empresas de tecnología. Según el documento:
- Apple ya implementó verificaciones de edad por defecto en iPhones, pero no aplica detección de desnudez en servicios de terceros, cámaras, apps o búsquedas.
- Google y otras empresas deben activar controles integrados en el sistema operativo que bloqueen imágenes explícitas de menores en todos los servicios y apps, no solo en sus plataformas propias.
- Los dispositivos existentes y nuevos están incluidos en la medida. Si no se cumple, el gobierno introducirá legislación forzosa en septiembre de 2025.
El National Crime Agency (NCA) respaldó la medida, destacando que el 90% de los reportes de abuso sexual infantil en 2024 involucraban contenido generado por los propios menores. Según datos del NCA, varios casos terminaron en suicidios de víctimas, lo que justifica la urgencia técnica.
Impacto para DevOps, Infraestructura y Seguridad
Para equipos de DevOps y Cloud
Las empresas afectadas deberán:
- Modificar el sistema operativo de sus dispositivos para incluir un motor de detección de imágenes en tiempo real, compatible con iOS, Android y futuras versiones.
- Integrar APIs de verificación de edad en apps y servicios, como ya hace Apple con su sistema de Screen Time.
- Bloquear contenido explícito en apps de terceros, lo que implica cambios en el sandboxing de aplicaciones y en los permisos de acceso a la cámara y galería.
Si un usuario de Android intenta compartir una foto de desnudez de un menor a través de WhatsApp o Telegram, el sistema operativo debe interceptar el archivo antes de enviarlo y bloquearlo si cumple con criterios de detección (ej: piel expuesta en menores de 18 años). Esto requiere:
- Un servicio de análisis de imágenes en el dispositivo (on-device) para evitar procesamiento en la nube.
- Actualizaciones de firmware en millones de dispositivos existentes, lo que implica una logística de despliegue masivo.
Para equipos de Seguridad
La medida introduce riesgos técnicos adicionales:
- Falsos positivos: Un sistema de detección de imágenes basado en IA podría bloquear contenido legítimo (ej: fotos educativas de anatomía).
- Privacidad: El gobierno británico afirma que no habrá monitoreo ni recolección de datos, pero los equipos de seguridad deberán auditar que los controles cumplan con el UK GDPR y el Data Protection Act 2018.
- Cumplimiento normativo: Las empresas deben documentar los cambios en sus políticas de privacidad y obtener el consentimiento explícito de los usuarios para aplicar verificaciones de edad.
El Home Office aclaró en su cuenta de X (Twitter) que no habrá monitoreo activo ni reportes de usuarios, pero los equipos de seguridad deberán implementar mecanismos para demostrar el cumplimiento ante posibles auditorías.
Detalles técnicos
Requisitos específicos para los fabricantes
- Detección de desnudez en tiempo real:
– Ejemplo de implementación:
# Pseudocódigo de detección on-device (conceptual)
from onnxruntime import InferenceSession
import cv2
def detect_nudity(image_path):
model = InferenceSession("nudity_detector.onnx")
img = cv2.imread(image_path)
img = preprocess(img) # Normalización y recorte
outputs = model.run(None, {"input": img})
return outputs[0][0] > 0.95 # Umbral de confianza
– Restricción: El modelo debe funcionar sin conexión a internet para evitar fugas de datos.
- Verificación de edad:
– Documentos de identidad digital (ej: pasaporte biométrico).
– Datos biométricos (ej: reconocimiento facial para confirmar edad).
– Ejemplo de flujo:
# Configuración de edad en Android (conceptual)
age_verification:
methods:
- id_document: true
- biometric: true
- credit_card: false # No permitido por privacidad
fallback:
- parental_consent: true # Para menores de 13 años
- Integración con servicios de terceros:
– Ejemplo de bloqueo en iOS:
// Código en Swift para bloquear envío de imágenes (conceptual)
func shouldBlockImage(_ image: UIImage) -> Bool {
let nudityDetector = NudityDetectionModel()
let isNude = nudityDetector.detect(image)
let isMinor = AgeVerificationService.verifyAge()
return isNude && isMinor
}
Plazos y consecuencias legales
| Fecha clave | Acción requerida | Consecuencia por incumplimiento |
|---|---|---|
| **10/06/2025** | Anuncio oficial | Inicio del plazo de 90 días |
| **09/09/2025** | Implementación técnica | Multas y posible responsabilidad penal para ejecutivos |
| **01/10/2025** | Legislar forzadamente | Sanciones económicas y bloqueo de dispositivos en UK |
El Online Safety Act británico (versión 2024) ya establecía multas de hasta el 10% de la facturación global anual para empresas que incumplan con medidas de protección infantil. Ahora, el gobierno amplía el alcance a hardware y sistemas operativos.
Tecnologías y estándares afectados
- Apple: iOS 18 y versiones posteriores (requiere cambios en Core ML y Privacy Sandbox).
- Google: Android 16 y posteriores (requiere integración con Google Play Protect y Android Safety Center).
- Proveedores de chips: Qualcomm y MediaTek deben incluir aceleración hardware para modelos de IA on-device en sus SoCs.
Qué deberían hacer los administradores y equipos técnicos
Pasos inmediatos (para equipos de DevOps y Cloud)
- Auditar la infraestructura actual:
– Comando para verificar versiones:
# En dispositivos Android
adb shell getprop ro.build.version.release
# En dispositivos iOS
ideviceinfo | grep "ProductVersion"
- Implementar controles temporales:
– Configuración en Cloudflare:
# Regla de bloqueo en Cloudflare
expression: http.request.uri.path contains "/upload" and http.request.body contains "nude"
action: block
- Preparar un plan de despliegue:
– Ejemplo de cronograma:
– Semana 1-4: Pruebas en entornos de staging con beta builds de iOS/Android.
– Semana 5-8: Despliegue gradual en dispositivos corporativos.
– Semana 9-12: Monitoreo de falsos positivos y ajustes en los modelos de IA.
Pasos para equipos de Seguridad
- Actualizar políticas de privacidad:
– Plantilla de aviso:
## Cambios en la privacidad (UK - 2025)
- Verificación de edad obligatoria para acceder a contenido explícito.
- Detección de imágenes de desnudez en menores en tiempo real.
- Sin monitoreo continuo ni almacenamiento de imágenes.
- Implementar auditorías internas:
– Query de ejemplo:
-- OSQuery para detectar dispositivos con iOS <18
SELECT * FROM system_info WHERE os_version < '18.0.0';
- Capacitar al personal:
Pasos para equipos de Infraestructura
- Asegurar la conectividad para actualizaciones:
– Configuración en firewalls:
# Permitir tráfico a servidores de Apple/Google para actualizaciones
iptables -A OUTPUT -p tcp --dport 5223 -j ACCEPT # Apple OTA
iptables -A OUTPUT -p tcp --dport 443 -d googleapis.com -j ACCEPT # Google Play
- Preparar entornos de testing:
Conclusión
El ultimátum británico a Big Tech marca un punto de inflexión en la seguridad infantil digital, pero traslada una carga técnica enorme a los equipos de DevOps, Infraestructura y Seguridad. Los plazos son ajustados (90 días), y las consecuencias legales —multas y posibles sanciones penales— exigen una respuesta inmediata.
Las empresas deben actuar en tres frentes:
- Técnico: Actualizar sistemas operativos e integrar modelos de IA on-device.
- Legal: Revisar políticas de privacidad y preparar auditorías.
- Operativo: Desplegar parches masivos sin interrumpir la experiencia del usuario.
El desafío no es menor: bloquear contenido dañino sin violar la privacidad requiere un equilibrio técnico-jurídico que aún no se ha probado a esta escala. Las empresas que no actúen ahora enfrentarán no solo multas, sino también un posible bloqueo de sus dispositivos en el mercado británico, con el riesgo reputacional que eso implica.
Fuentes:
https://therecord.media/uk-gives-big-tech-3-months-to-create-device-controls-kid-images
https://www.omgubuntu.co.uk/uk-government-demands-apple-google-block-child-nude-images-within-90-days/
https://isc.sans.edu/forums/diary/UK+Gives+Big+Tech+90+Days+to+Block+Child+Nude+Images/30346/
https://www.gov.uk/government/news/new-safeguards-for-children-to-stop-sharing-of-nude-images