**El auge de los chatbots de IA entre menores plantea desafíos críticos de seguridad y privacidad**

—

### 1. Introducción

El uso de chatbots basados en inteligencia artificial (IA) por parte de menores de edad está experimentando un crecimiento sin precedentes. Plataformas como ChatGPT, Google Gemini y Character.AI se han convertido en herramientas de consulta, asesoramiento e incluso compañía para niños y adolescentes. Esta tendencia, impulsada por la ubicuidad de dispositivos conectados y la sofisticación de los modelos de lenguaje natural, trae consigo preocupaciones fundamentales para la ciberseguridad, la privacidad y el desarrollo emocional de los usuarios más jóvenes. Este artículo analiza en profundidad los riesgos técnicos, las implicaciones regulatorias y las recomendaciones para profesionales encargados de la protección de menores y la seguridad de la información.

—

### 2. Contexto del Incidente o Vulnerabilidad

Durante el último año, organizaciones de protección al menor y equipos de respuesta a incidentes han detectado un incremento significativo en el uso de chatbots de IA entre niños y adolescentes. No solo buscan respuestas a preguntas académicas o cotidianas, sino que recurren a estos sistemas para hablar sobre emociones, problemas personales y situaciones delicadas. La falta de mecanismos de verificación de edad robustos y la recolección masiva de datos personales exponen a los menores a riesgos que van desde el acceso a contenidos inapropiados hasta la manipulación emocional y la explotación de información sensible.

La proliferación de estos sistemas ha desbordado los controles parentales tradicionales y ha puesto a prueba la capacidad de las empresas tecnológicas para cumplir con normativas como el Reglamento General de Protección de Datos (GDPR) y la inminente Directiva NIS2 en la Unión Europea. Todo ello en un contexto en el que el 68% de los menores europeos de 8 a 16 años emplea algún tipo de asistente digital basado en IA al menos una vez por semana (EU Kids Online, 2023).

—

### 3. Detalles Técnicos

Desde la perspectiva de ciberseguridad, los principales vectores de ataque y exposición asociados al uso de chatbots por parte de menores incluyen:

– **Exposición de datos personales**: Muchos chatbots recopilan y almacenan historiales de conversación, nombres, ubicaciones y preferencias, a menudo sin el consentimiento informado de los tutores legales. Ejemplo: Brechas recientes como la de OpenAI (marzo de 2023, CVE-2023-28432) permitieron el acceso a historiales de usuarios, incluidos menores.
– **Ingeniería social y phishing**: La interacción con IA puede facilitar técnicas de spear phishing automatizado, donde los atacantes manipulan a menores para obtener información confidencial o inducirles a descargar malware.
– **Contenidos inapropiados**: Pese a los filtros implementados, los modelos generativos pueden producir, por error o manipulación, respuestas inadecuadas para menores.
– **Fugas de información**: La integración de chatbots en plataformas educativas o redes sociales puede abrir la puerta a ataques de tipo Man-in-the-Middle (MitM), especialmente si la comunicación no está cifrada de extremo a extremo (falta de TLS 1.3 o uso de certificados autofirmados).
– **TTPs (Tácticas, Técnicas y Procedimientos) MITRE ATT&CK relevantes**: T1557 (Interception), T1566 (Phishing), T1056 (Input Capture).

Los Indicadores de Compromiso (IoC) habituales incluyen logs de acceso no autorizado, tráfico anómalo hacia endpoints de API de IA, y patrones de conversación con solicitudes de información sensible.

—

### 4. Impacto y Riesgos

El impacto potencial se extiende más allá de la privacidad individual. Las consecuencias pueden incluir:

– **Robo de identidad**: Los datos recogidos pueden ser utilizados para crear perfiles de menores susceptibles de explotación o acoso.
– **Manipulación psicológica y grooming**: Los chatbots mal configurados pueden ser explotados para crear lazos emocionales no deseados o para manipular menores de edad.
– **Incumplimiento normativo**: Multas de hasta el 4% de la facturación global bajo GDPR por tratamiento inadecuado de datos de menores.
– **Perjuicio reputacional**: Las brechas de seguridad o filtraciones pueden dañar la confianza en instituciones educativas y tecnológicas.

—

### 5. Medidas de Mitigación y Recomendaciones

Para reducir el riesgo, los responsables de seguridad y los desarrolladores deben considerar:

– **Implementación de controles de acceso y verificación de edad**: Mecanismos robustos de verificación e identificación para evitar el uso no autorizado por menores.
– **Cifrado de datos**: Uso obligatorio de TLS 1.3 y almacenamiento cifrado en servidores, con políticas de retención mínima.
– **Auditoría y monitorización**: Revisión periódica de logs y actividades sospechosas, integración con SIEM y alertas automáticas ante patrones anómalos.
– **Desarrollo seguro**: Aplicación de OWASP Top 10 para IA, revisión de prompts y respuestas, y entrenamiento específico de modelos para evitar respuestas inadecuadas.
– **Educación y concienciación**: Programas formativos para menores, padres y docentes sobre los riesgos y buenas prácticas.

—

### 6. Opinión de Expertos

Expertos en ciberseguridad como Raúl Siles (ElevenPaths) y Eva Noguera (INCIBE) advierten que “la sofisticación de los modelos de IA generativa multiplica los vectores clásicos de ataque y añade nuevas superficies de exposición para los menores”. Recomiendan a los CISOs y responsables de privacidad “no confiar en los controles predeterminados de los proveedores y realizar auditorías periódicas de riesgos específicos para menores”.

—

### 7. Implicaciones para Empresas y Usuarios

Las organizaciones que operan plataformas de IA deben adecuarse a una vigilancia reforzada, especialmente si sus productos pueden ser utilizados por menores, para evitar sanciones regulatorias y daños de imagen. Los usuarios, por su parte, deben ser conscientes de los riesgos e implementar controles parentales modernos, además de exigir transparencia y responsabilidad a los proveedores.

—

### 8. Conclusiones

El uso de chatbots de IA por menores representa un desafío emergente para la ciberseguridad y la privacidad. La falta de controles técnicos sólidos y de concienciación puede tener consecuencias graves tanto para la seguridad de los menores como para el cumplimiento normativo de las empresas. Es fundamental que los profesionales del sector adopten un enfoque proactivo, combinando tecnología, formación y cumplimiento legal para minimizar los riesgos asociados.

(Fuente: www.welivesecurity.com)