Durante la mayor parte de la historia de la web, confirmar la edad de un visitante significaba marcar un botón que decía “Soy mayor de 18”. Ese botón no pedía nada y no probaba nada, y un conjunto creciente de leyes hoy lo considera insuficiente.
En marzo de 2026 entró en vigor el ECA Digital de Brasil — el Estatuto da Criança e do Adolescente Digital, Lei 15.211/2025 — y, según el Senado de Brasil, exige mecanismos confiables de verificación de edad en cada acceso, dejando expresamente de lado la simple autodeclaración (vedada a autodeclaração) para contenido no apropiado para menores. La obligación alcanza a redes sociales, juegos, apps y mensajería, tiendas de aplicaciones, sistemas operativos y plataformas de video, y pide que los sistemas operativos y las tiendas de aplicaciones transmitan una señal de edad confiable a las aplicaciones a través de una interfaz segura.
La ley es deliberadamente neutral respecto de la tecnología — fija el requisito y deja abierto el método. Esa es la parte interesante para quien construye sistemas de identidad, porque los métodos obvios entran en tensión entre sí. Pedirle a cada usuario que suba un documento de identidad a cada sitio satisface la ley y crea exactamente el tipo de registro vinculado a la identidad que los regímenes de protección de datos buscan evitar. Las propias instituciones de Brasil notaron esta tensión: como recoge el análisis legal reunido por Migalhas, el Ministerio Público Federal y la autoridad de protección de datos ANPD señalaron enfoques que preservan la privacidad construidos sobre credenciales verificables, y la ANPD estableció principios mínimos — proporcionalidad, exactitud, protección de datos — que un método conforme debería cumplir.
Esta edición trata sobre la arquitectura que responde bien la pregunta: cómo una billetera digital puede establecer que alguien tiene edad suficiente sin revelar quién es ni cuándo nació.
Tres formas de responder la misma pregunta
Hay, a grandes rasgos, tres formas de confirmar que un visitante es mayor de 18, y difieren enormemente en lo que revelan.
La primera es la autodeclaración — el viejo botón. No revela nada porque no verifica nada.
La segunda es la presentación de documento: el usuario sube un pasaporte o una licencia de conducir, o se somete a un escaneo facial, a menudo a través de un proveedor externo. Esto verifica de forma efectiva, y además transfiere un registro de identidad completo — nombre, número de documento, fecha de nacimiento completa, fotografía — a una parte que solo necesitaba saber una cosa. Cuando ese registro se conserva, se convierte en un activo permanente que hay que proteger.
La tercera es una credencial de divulgación selectiva. El usuario tiene una credencial emitida por una autoridad de confianza — un organismo de identidad del gobierno, por ejemplo — dentro de una billetera digital, y la billetera libera solo el atributo que una interacción dada requiere. Ante la pregunta de si su titular es mayor de 18, la billetera responde esa pregunta, y solo esa pregunta. Este es el modelo en torno al cual se organizaron los organismos de estándares, y la versión fundacional es la que cubrimos en nuestra edición del 23 de abril sobre el ciclo de vida completo de una credencial verificable: una credencial se emite una vez, la tiene la persona y se presenta muchas veces, decidiendo el titular cada vez cuánto compartir.
Cómo una billetera prueba “mayor de 18” — y cómo una prueba de conocimiento cero va más allá
La divulgación selectiva ya reduce lo que se comparte de un documento entero a un solo campo. Las pruebas de conocimiento cero lo reducen todavía más: permiten a una billetera probar una afirmación sobre un atributo sin revelar el atributo mismo.
Una prueba de conocimiento cero, como explicó con una licencia de conducir nuestra edición de febrero sobre pruebas de conocimiento cero, descansa en dos propiedades. La solidez significa que el titular no puede producir una prueba válida de una afirmación falsa — una persona menor de 18 no puede generar una prueba de que es mayor de 18. El conocimiento cero significa que la prueba no revela nada más allá de la verdad de la afirmación. Aplicado a la edad, la billetera prueba el predicado “la fecha de nacimiento es de hace más de 18 años” y devuelve un sí verificable, mientras la fecha de nacimiento permanece en la billetera. La Electronic Frontier Foundation, al describir el mismo mecanismo, señala que una persona puede confirmar que está por encima de un umbral sin mostrar un documento de identidad ni siquiera revelar su edad exacta.
Esto ya no es teórico. En julio de 2025, Google liberó como código abierto una implementación de prueba de conocimiento cero para verificación de edad, publicada bajo licencia abierta en github.com/google/longfellow-zk, diseñada para funcionar con el formato de documento móvil ISO mDoc y con W3C Verifiable Credentials, de modo que un titular pueda probar que es mayor de cierta edad sin revelar su fecha de nacimiento ni su identidad.
Los estándares por debajo, y la UE como referencia en funcionamiento
La razón por la que estas pruebas viajan entre un emisor del gobierno, la billetera de un ciudadano y un sitio web es un stack de estándares compartido, el mismo que este newsletter ha seguido a lo largo de varias ediciones. Las atestaciones de edad se expresan usando el modelo de atributos de ISO/IEC 18013-5, el estándar de Licencia de Conducir Móvil en el corazón de nuestra edición del 14 de mayo sobre cómo funciona la licencia de conducir móvil, junto con W3C Verifiable Credentials. Se presentan a un sitio web a través de la W3C Digital Credentials API y de OpenID for Verifiable Presentations (OpenID4VP), el protocolo que permite a un navegador solicitar un atributo específico y a una billetera responder con una respuesta verificable.
La referencia pública más desarrollada es la solución de verificación de edad de la Unión Europea. Según la Comisión Europea y su portal oficial de verificación de edad, la Comisión puso a disposición un blueprint el 14 de julio de 2025 y una solución lista para usar el 15 de abril de 2026, con un piloto en curso entre varios Estados miembros pioneros antes de una disponibilidad más amplia, y la solución construida sobre las mismas especificaciones que la EUDI Wallet que se despliega en la UE hacia fines de 2026. El Manual de Verificación de Edad de la Comisión documenta el stack con precisión: el modelo de datos de prueba de edad se basa en el esquema de atributos de ISO/IEC 18013-5, la presentación corre sobre la W3C Digital Credentials API y OpenID4VP, y se está agregando soporte de pruebas de conocimiento cero para que un titular pueda probar un umbral — adaptable a 13, 18, 65 y otros — sin revelar ningún atributo adicional.
Brasil y la UE llegan así a la misma respuesta arquitectónica desde puntos de partida legales distintos: una credencial que el ciudadano tiene, un único atributo liberado a pedido, y estándares abiertos por debajo para que la prueba sea portable.
Dónde encaja Sovra
Esta es la arquitectura sobre la que Sovra ya construye. La verificación de edad bien hecha es una aplicación específica de una capacidad general: un gobierno o autoridad de confianza emite una credencial verificable, el ciudadano la tiene en una billetera, y solo se libera el atributo que una interacción dada necesita. Sovra emite y verifica credenciales exactamente sobre los estándares abiertos en los que corre esta conversación — W3C Verifiable Credentials, ISO 18013-5 y OpenID4VP.
En la práctica eso se mapea a dos capas. SovraID es el lado del verificador — la infraestructura que una institución o plataforma usa para solicitar y comprobar un único atributo, como una afirmación de mayoría de edad. SovraWallet es el lado del ciudadano — donde vive la credencial y desde donde se hace la divulgación selectiva — con la integridad de la credencial anclada a través de SovraChain. Una prueba de mayor de 18 es una nueva presentación de un tipo de credencial que esta arquitectura ya está diseñada para soportar, más que un sistema separado por levantar. La forma más directa de entender la divulgación selectiva es verlo en vivo.
Para las instituciones de toda América Latina que observan cómo el marco de Brasil entra en vigor, la lectura práctica es que el camino respetuoso de la privacidad hacia el que apuntan los reguladores — credenciales verificables con divulgación selectiva — está construido sobre estándares abiertos, compartidos y ya operativos.
Para leer esta semana
De The Identity Brief — las ediciones que fundamentan la mecánica de arriba: Zero-Knowledge Proofs Explained With Your Driver’s License (la criptografía detrás de un “sí” que no revela nada más), How the Mobile Driver’s License Works (14 de mayo, la familia de credenciales ISO 18013-5 usada para atestaciones de edad), The full lifecycle of a verifiable credential (23 de abril, el modelo emitir-tener-presentar) y What Agentic Gov Requires (21 de mayo, divulgación selectiva en un marco institucional más amplio). La base de conocimiento completa de Sovra está en sovra.io/knowledge.
Fuentes primarias sobre las reglas — el resumen del Senado de Brasil sobre la entrada en vigor del ECA Digital y, para el debate de implementación, el análisis de Migalhas sobre la verificación de edad en el ECA Digital.
La implementación de referencia de la UE — la página de política de verificación de edad de la Comisión Europea, el portal oficial para desarrolladores de verificación de edad y el Manual de Verificación de Edad de la UE con el stack de estándares completo.
La criptografía y sus límites — la biblioteca de código abierto de Google longfellow-zk para verificación de edad con conocimiento cero, el W3C Verifiable Credentials Data Model 2.0 y la nota mesurada de la EFF sobre por qué las pruebas de conocimiento cero por sí solas no son una solución completa de privacidad para la identidad digital.
Continuemos la conversación
Más sobre divulgación selectiva, el stack de credenciales verificables y cómo se construye una prueba de mayor de 18 en formatos W3C e ISO 18013-5 está disponible en sovra.io/knowledge.
Si tu plataforma o institución está trabajando los requisitos de verificación de edad — en Brasil, en América Latina o alineada al modelo de la UE — y evaluando cómo podría encajar una credencial de divulgación selectiva, respondé. Leemos cada respuesta.
The Identity Brief es publicado semanalmente por Sovra, el Stack de Identidad Digital para el Mundo Institucional.