La ley de verificación de edad de Utah ignora las VPN, y el resto de internet podría acabar bajo la misma norma
Una ley que trata a cualquier usuario de VPN como si estuviera físicamente en Utah no se puede contener dentro de Utah. Lo más probable es que las plataformas apliquen el régimen más estricto a todo el mundo, lo que deja tu política de identidad en manos del legislador más restrictivo, no del tuyo.
La ley de verificación de edad de Utah y las VPN hace algo más discreto y más grande de lo que sugiere su redacción. El texto aprobado de la SB 73 de Utah considera que una persona accede a una web desde Utah siempre que esté físicamente presente en el estado, sin que importe una VPN, un proxy o cualquier otra herramienta que enmascare la ubicación, con entrada en vigor el 6 de mayo de 2026. Ese único movimiento hace responsable a la plataforma de un hecho que no puede observar. Una VPN existe precisamente para que la ubicación del usuario sea inverificable, y ninguna buena fe por parte del operador cambia eso.
Conviene empezar por a quién alcanza realmente la norma, porque la cláusula de equiparación no es un gravamen general sobre todo internet. La SB 73 se aplica a las plataformas que encajan en las categorías que define el texto aprobado, no a cualquier web que un residente de Utah pueda abrir. Equivocarse en el alcance, en cualquier dirección, rompe el análisis: leerlo de forma demasiado estrecha deja fuera exposición real, leerlo de forma demasiado amplia lleva a rediseñar toda la arquitectura de identidad para una ley que nunca aplicaba. La primera tarea de cualquier equipo de cumplimiento es, por tanto, una lectura literal del alcance junto con asesoría legal, antes de diseñar un solo control.
¿Basta con una VPN para blindar una web frente a la ley de Utah?
A partir de ahí, la respuesta es una decisión bajo incertidumbre, no una moneda al aire entre dos opciones. Al menos cuatro variables mueven el resultado. El alcance legal, como ya se ha visto. La jurisdicción personal: una cláusula de equiparación puede reclamar alcance, pero un tribunal todavía tiene que encontrar contacto suficiente con una plataforma radicada fuera del estado antes de que una sentencia de Utah signifique gran cosa, y un operador sin usuarios, servidores ni ingresos en el estado tiene un argumento real en contra. Los umbrales de aplicación: quién puede demandar, si existe acción privada o solo actuación estatal, si las sanciones se acumulan por infracción o exigen notificación y un plazo de subsanación, y si son lo bastante altas como para superar el coste de cumplir. Y los controles disponibles, que no se limitan a los dos que más ruido hacen.
Esos controles forman un espectro. Geobloqueo estricto del estado, filtrado de VPN y proxies, verificación por medio de pago, comprobación documental, estimación facial de la edad, señales de edad del propio dispositivo transmitidas por el sistema operativo o la tienda de aplicaciones, y tokens de edad de terceros que certifican «mayor de 18» sin entregar un escaneo del pasaporte a la web. Cada opción cambia de forma distinta la privacidad, la tasa de falsos positivos, la pérdida de conversión y la seguridad jurídica. Bloquear VPN sin más aparta a usuarios que pagan y a usuarios cuidadosos con su privacidad, y sigue sin detectar los proxies residenciales. Exigir documentación completa a cada visitante maximiza la recogida de datos y el riesgo de filtración. La verificación por dispositivo o por token filtra menos, pero depende de plataformas que la mayoría de operadores no controlan. No hay una opción dominante, solo una posición distinta en la curva de compromiso según el negocio.
El dato más útil es lo que ya hacen las plataformas cuando entra en vigor una ley estatal de verificación de edad. Cuando la anterior norma de Utah de 2023 empezó a aplicarse, Aylo bloqueó por completo el acceso desde Utah a sus principales webs, entre ellas Pornhub, en lugar de construir un sistema de verificación, y las búsquedas de VPN en el estado se dispararon mientras los usuarios esquivaban el bloqueo. Ese es el ensayo real de lo que puede pasar con la SB 73: una plataforma con recursos suficientes concluyó que geobloquear era más barato y menos arriesgado que recoger datos de identidad, y el bloqueo se esquivó en la práctica con las mismas herramientas que la SB 73 ahora intenta neutralizar. Es un dato ampliamente documentado, no un estudio controlado, así que hay que ponderarlo como tal, pero está más cerca de la conducta observada que cualquier modelo teórico.
¿Por qué la verificación en sí es el riesgo mayor?
Hay un problema más profundo que la jurisdicción, y debería preocupar a un consejo de administración más que las multas: la verificación, con frecuencia, no funciona. Investigadores de seguridad se saltaron la aplicación de referencia de verificación de edad de la Comisión Europea en menos de dos minutos, con el código de la demo disponible públicamente en GitHub. Era una versión de referencia, no un sistema en producción ya reforzado, así que conviene matizar la conclusión. La tendencia de fondo, aun así, se sostiene: para lectores en España, esta es la misma familia de verificación de edad que la AESIA tendría que supervisar si España adopta obligaciones equivalentes bajo el marco europeo, y el patrón se repite en todas partes. Los usuarios decididos esquivan el control de edad mientras las plataformas que cumplen recogen documentos de identidad, rostros o datos de pago de todo el mundo. El resultado es la peor combinación posible en diseño de seguridad: recogida máxima de datos para una protección real mínima, con el coste de privacidad cayendo sobre los usuarios que la ley no pretendía frenar.
Nada de esto convierte en evangelio la retórica de los proveedores de VPN. NordVPN llama a la SB 73 «una paradoja de cumplimiento irresoluble» y «una trampa de responsabilidad»; es una empresa que vende VPN describiendo una ley que perjudica a las empresas que venden VPN, y hay que descontar el mensaje en consecuencia. El fondo del argumento sobrevive al descuento. No se puede cumplir de forma fiable una norma basada en la ubicación cuando la ubicación es exactamente la variable que el adversario controla. Cómo termina esto es una predicción, no un hecho consumado. Mi expectativa es que las plataformas afectadas por esta ley y por otras similares acaben convergiendo en el régimen más estricto y lo apliquen a todos, porque es la forma más barata de garantizar cobertura. Los tribunales podrían romper ese camino: una cláusula de equiparación que alcanza a operadores fuera del estado invita a impugnaciones por comercio interestatal y por libertad de expresión, y las leyes de verificación de edad tienen un historial de apelación desigual. Lo que cambiaría mi diagnóstico es precisamente eso: una anulación clara de la cláusula de equiparación, o un estándar federal que sustituya el mosaico estatal, devolvería todo el cálculo al riesgo jurisdiccional ordinario. Ninguna de las dos cosas está descontada todavía, y la fecha de entrada en vigor llega antes.
Si gestionas sistemas orientados al usuario final, trata esto como un problema de minimización de datos y modelado de amenazas antes que como un problema legal. Nuestra nota sobre cómo construir sistemas seguros que fallan de forma controlada parte de esa misma premisa, y este es un caso de manual. La asimetría que merece nombrarse no es el coste de la verificación. Es que, si ningún tribunal interviene, tu política de identidad y edad la puede acabar fijando un legislador que no has votado, en un estado donde quizá no operas, forzada precisamente por una herramienta de enmascaramiento que no puedes detectar. Si este año estás definiendo el alcance de plataformas orientadas al consumidor, eso pertenece a la conversación de estrategia técnica, no al anexo legal.
Preguntas frecuentes
¿Me afecta la ley de verificación de edad de Utah si mi empresa no está radicada allí?
Potencialmente sí, pero no de forma automática. La SB 73 se fija en dónde está el usuario, no en dónde está la empresa, así que una persona físicamente en Utah que accede a una web afectada puede meter al operador en el alcance de la ley incluso detrás de una VPN. Que una sentencia de Utah acabe vinculando realmente a un operador radicado fuera del estado depende de la jurisdicción personal, que exige un contacto real con el estado. En la práctica, esto convierte el geobloqueo en una defensa poco fiable, lo que empuja a algunos operadores a aplicar la norma a todo el mundo.
¿Puedo cumplir simplemente bloqueando a todos los usuarios de VPN?
Se puede, y algunas plataformas lo harán, pero es solo un punto extremo dentro de un espectro más amplio. Bloquear rangos conocidos de VPN y proxies genera falsos positivos, aleja a usuarios cuidadosos con su privacidad y a usuarios corporativos, y nunca detecta todos los métodos de enmascaramiento, como los proxies residenciales. Otras opciones, de la verificación por medio de pago a los tokens de edad en el dispositivo, cambian de forma distinta la privacidad y la conversión, y muchas empresas acaban concluyendo que aplicar el régimen de verificación más estricto a todos los visitantes es menos dañino comercialmente que un bloqueo permanente de VPN.
¿Qué cuenta realmente como verificación de edad bajo este tipo de leyes estatales?
Varía según la norma, pero la tendencia se aleja de la fecha de nacimiento autodeclarada y se acerca a garantías más fuertes: comprobación documental, estimación facial de la edad, medios de pago verificados o tokens de edad de terceros. El riesgo práctico es que los métodos más fuertes recogen datos de identidad sensibles de cada usuario honesto mientras los decididos a esquivarlos lo consiguen, como demostró el fallo de la aplicación de referencia de la UE.
Relacionado
- La prima de la soberanía: por qué las soluciones de IA soberana para empresas ganan por acceso, no por velocidad
- Washington ha puesto a su propio laboratorio de IA en una lista de riesgos. Así cambia el concepto de dependencia de un proveedor de IA
- Por qué los pilotos de IA empresarial no escalan: es un problema de confianza, no de capacidad
- Security & Trust
Escrito por una persona editorial de IA del sistema editorial propietario de Abyshire y revisado por nuestro equipo.