Manuel Carro, informático: “Sería un error pensar que la tecnología de rastreo de contactos es lo único que nos va a salvar de un rebrote”

“Aislar, hacer test, tratar, rastrear”. Son las cuatro claves de la Organización Mundial de la Salud (OMS) para combatir la pandemia de coronavirus. Las tres primeras, que España lleva poniendo en práctica desde la declaración del estado de alarma en marzo, se refieren a la actual oleada del virus. La última, el rastreo de los contactos de un contagiado, es la fundamental para evitar rebrotes tras la retirada de los confinamientos. “Estamos pasando a una fase nueva”, ha confirmado este martes el director del Centro de Emergencias Sanitarias, Fernando Simón: “La información que necesitamos ahora es distinta”.

La prioridad ahora es “detectar cualquier posible indicio de que va a haber un rebrote”, ha explicado. Pero esa no será solo la obsesión de España, sino la de medio mundo. Para determinar si la tecnología digital puede tener un papel en ese objetivo, un consorcio de investigadores europeos lleva semanas desarrollando un sistema de rastreo de contactos basado el bluetooth de los móviles. Pero es necesario hilar fino: el riesgo de que esta tecnología se use para “una vigilancia sin precedentes de la sociedad” llevó a más de 300 de esos expertos a enviar una carta de alerta a los gobiernos. Uno de los firmantes era Manuel Carro, profesor de la Escuela Técnica de Ingenieros Informáticos de la UPM y director del Instituto Madrileño de Estudios Avanzados en Software de la Comunidad de Madrid, que en entrevista con eldiario.es explica los detalles de los sistemas de rastreo y el papel de Google y Apple en ellos.

¿Hasta dónde puede ayudar la tecnología para ayudarnos en el proceso de desescalada? ¿Puede ser una app de rastreo de contactos un elemento clave para frenar un rebrote de contagios?

La respuesta corta es: no lo sabemos. No conocemos la efectividad de esta tecnologías en la vida real, en cada país, y no la conoceremos hasta que no las probemos. Tampoco sabremos su eficiencia real hasta que no sepamos hasta qué punto la gente las adopta y las utiliza. Es la primera vez que se está haciendo similar a esto a esta escala. Desde luego puede ser una ayuda, y lo que necesitamos en este momento son todas las ayudas posibles.

Lo que sería un error es considerar que la tecnología de rastreo de contactos es lo único que nos va a salvar de un rebrote. No hay que dejar de analizar otras tecnologías ni el rastreo manual. Cuando una persona ha sido contagiada, hay que hacerle una entrevista, ver dónde ha estado, ver con quién ha tenido contacto e intentar contactar por teléfono o como se pueda con esas otras personas para avisarlas del riesgo de que también hayan sido contagiadas. Lo que sucede es que este tipo de rastreos manuales son muy caros y difíciles de hacer. La tecnología lo que nos da es un apoyo. Pero lo que se intenta hacer es apoyar las medidas sanitarias, porque al final la solución va a venir por ahí. Lo que intentamos hacer es ayudar a enfocar esas medidas sanitarias de la forma más eficiente posible.

Una manera de verlo es que en este momento del confinamiento todos somos sospechosos de poder contagiar, por eso no nos movemos de casa. Si podemos reducir esa cantidad de sospechosos, posibles contagiados, a solo aquellos que hayan estado físicamente próximos a un contagiado confirmado, se pueden hacer confinamientos de una manera mucho más selectiva.

¿Cuáles serían los puntos fuertes de la tecnología de rastreo digital respecto al método manual?

Hay varias ventajas, aunque también puede haber inconvenientes. La primera es la inmediatez. Con el sistema manual estamos hablando de que, si en España hay unos 220.000 contagiados, los servicios de salud tendrían que haber hecho unas 220.000 entrevistas. Por cada una de ellas, podrían haber llamado a unos 10, 15 o 20 números de teléfono, para avisar a esas personas de que han estado en contacto con un infectado. Es una cantidad inmensa. Estamos hablando de que es necesario hacer millones de llamadas telefónicas en un momento en el que los servicios de salud ya están sobrepasados. Para hacer eso se necesita una cantidad de recursos muy grande. Por otro lado, los sistemas de rastreo manuales son inherentemente un poco lentos. No sabemos cómo será el proceso en España, pero en principio cuando una persona de positivo por COVID-19, el médico le dirá que tiene que llamar a un número o que la llamarán a ella en algún momento para preguntarle por sus contactos en los últimos días. La persona que hace esa entrevista deberá registrar los datos, buscar los números de teléfono en caso de que el enfermo no los tenga, y ponerse en contacto con esas personas.

Todo esto impone un retraso, agravado por la cantidad de enfermos que haya. Este retraso es algo que juega muy en nuestra contra, porque lo que se intenta es avisar a esas personas en una ventana reducida de tiempo, que es desde el momento en el que se contagian, hasta que se vuelven contagiosas. Es una ventana de tiempo crítica que está determinada por los epidemiólogos. Si la sobrepasas, esa persona ya se ha podido volver contagiosa sin saberlo y ha estado distribuyendo el virus. La velocidad es importante.

La segunda ventaja es la memoria. Ahora mismo no (porque hemos estado en casa y nos acordamos de con quién hemos estado) pero en nuestra vida normal tenemos contacto con un gran número de personas. Es posible que a muchas de ellas no las conozcamos y no tengamos su contacto. Hay una posible pérdida de información que en principio no tendría que suceder con los métodos de rastreo automáticos.

¿Y los inconvenientes?

Las desventajas que puede tener son los falsos positivos, lo que significa que el sistema implica una sobrecarga demasiado grande en los sistemas de salud; o puede haber un exceso de falsos negativos, lo que significaría que habría muchos posibles contagios que no fueran registrados.

Pero la magnitud de esos falsos positivos o negativos solo la sabremos cuando hagamos pruebas con el sistema. Ya hay algunos pilotos en marcha: hace un par de semanas hicieron pruebas en la Universidad de Lausana, en Suiza, a ver cómo funcionaba el bluetooth en un entorno más realista, y también se están haciendo pruebas en un hospital de Helsinki con una aplicación para comparar cuál es el resultado del rastreo de contactos utilizando móviles, tomando como base información que ellos saben que es verdadera porque saben en qué plantas están los enfermos de coronavirus y por dónde se mueven los médicos y enfermeras.

Además, para que estas aplicaciones sean efectivas se necesita un porcentaje de uso bastante grande. Para el caso de esta pandemia se está barajando que haría falta que alrededor de un 60% de la población la usara para que tuviera algún efecto positivo.

Google y Apple están inmersas en el desarrollo de estos sistemas de rastreo digital. Son empresas que han sido cuestionadas por el uso que han hecho de los datos personales de los usuarios. ¿Se puede confiar en ellas esta vez?

Es la gran pregunta. Desde un punto de vista social es cierto que Google y Apple, junto a otras empresas, siempre han sido tachadas de utilizar para sus propios fines industriales la información de los usuarios. También es verdad que hay otros casos donde se han negado a hacerlo, y esto a veces se olvida. No hace mucho Apple se negó a desencriptar el teléfono de un sospechoso de un crimen para la Policía de EEUU, por miedo a que utilizaran ese acceso en todos sus teléfonos sin su permiso. Ahora, Apple también se ha negado a hacer determinados cambios en su sistema operativo para permitir aplicaciones de rastreo centralizadas [en las que la información de los contactos de cada persona se almacena en los servidores del Gobierno] como en el caso de Francia en particular.

Si bien es cierto que la posibilidad de que se filtren datos o que estas compañías los utilicen en beneficio propio existe, también es cierto que tenemos casos recientes en los que estas compañías se han negado a abrir sus sistemas por cuestiones de privacidad. Por otro lado lo que están haciendo Google y Apple no es tanto hacer una app como, al menos en un primer momento, hacer que en sus teléfonos móviles sea más fácil hacer aplicaciones descentralizadas para las autoridades sanitarias. Después, la propuesta que han hecho es incluir dentro del sistema operativo de sus teléfonos una funcionalidad básica de intercambio de identificadores en bluetooth, de manera que los datos personales resultantes de este intercambio no estén en manos de los gobiernos de los distintos países.

Esta tecnología está formulada de tal manera que yo veo extremadamente difícil extraer información privada con ella. Muchos investigadores han analizado la propuesta que han presentado Google y Apple y les ha parecido razonable. No ven la manera de que se pueda retorcer el sistema para inferir datos realmente peligrosos. En todo caso, hay que dejar claro que estamos hablando tan solo de propuestas, y que siempre tienen que contar con la aprobación del usuario: el usuario puede decir en todo momento que no quiere participar y que se usen sus datos para eso, al igual que ahora se puede denegar permiso a las aplicaciones para usar la cámara o el GPS. La posibilidad de que estas empresas intenten hacerse con datos personales a través de este sistema parece muy remota. Además no creo que esté entre sus planes, sería una manera muy, muy burda de acceder a esos datos, porque además todos vamos a estar vigilando a ver qué pasa ahí.

Ha mencionado la diferencia entre los métodos de rastreo digital centralizados (en los que los datos de los contactos los guarda el Gobierno) y los descentralizados (en los que se quedan en los teléfonos de cada usuario). ¿Por qué es tan importante?

La cuestión es intentar buscar un equilibrio entre la privacidad que dan estos sistemas y lo inmediato y lo sencillo que es construirlos. Grosso modo, un sistema centralizado es más sencillo de hacer, mientras que el descentralizado es más complicado de diseñar, y de diseñar bien. Lo que sucede es que los centralizados también tienen más posibilidades de ser atacados y de sufrir fugas de información sobre los teléfonos que forman parte del sistema y por tanto de los individuos.

Los descentralizados en cambio, por su propia arquitectura, hacen que sea más difícil que se pueda revelar información privada o personal a un tercero. Eso no quiere decir que los descentralizados sean completamente inmunes a ataques de sustracción de información. Todos los sistemas informáticos son “atacables” en mayor o menor medida, pero los centralizados son más fácilmente atacables por una razón muy sencilla, que es que guardan más datos en un único sitio. Además, si hay alguien que controla ese sitio, también tendrá más posibilidades de acceder a información que no es necesaria para el propósito original del sistema, que en este caso son las aplicaciones de rastreo de contagios de coronavirus.

¿A qué atribuye que tantos gobiernos, como Alemania, Francia o Reino Unido, se decantaran en un principio por sistemas centralizados, si son tan problemáticos? ¿Comparte las críticas que los acusan de querer imponer sistemas de vigilancia?

No tengo datos suficientes para saber cuáles han sido las razones. ¿Que quieran imponer un estado de vigilancia? Podría ser. Esa posibilidad siempre existe, aunque a mí me da la impresión de que cada decisión y cada gobierno habría que leerla en su contexto y de una manera separada. Yo soy informático, no politólogo ni científico social, pero me da la impresión de que en cada estado han pasado cosas distintas. Se me hace difícil pensar que ahora mismo en Europa haya una obsesión por el control. A mí me preocuparían más los peligros de que alguien accediese de manera no autorizada a los datos. Es cierto que hay algunos países de los que sí se puede sospechar por la forma de funcionar de sus gobiernos y la voluntad de imponer más control. Pero yo pensaría más bien en motivos técnicos y cierta falta de reflexión.

Todo este asunto de la privacidad, tanto digital como de lo que hacemos cada uno en la calle, es algo que solo se ha empezado a estudiar con seriedad en los últimos años. Es un tema complicado y es difícil entender las implicaciones. Yo creo que a veces algunas decisiones no han tenido suficientemente en cuenta las cuestiones de privacidad. Diseñar una solución para un problema que realmente lo arregle y sea respetuoso con la privacidad es de las cosas más complicadas. Es más sencillo decir: dame absolutamente todos tus datos y yo ya veré lo que puedo hacer con ellos. Hay métodos que no son tan obvios y que son relativamente recientes por los que se puede obtener información razonable mientras se respeta, hasta un cierto punto, la privacidad de las personas. Creo que es más bien una cuestión tecnológica y de escuchar a los actores científicos correctos y ver qué es lo que se puede hacer.

La mayoría de estos países han abandonaron las opciones centralizadas después de que centenares de investigadores europeos, como usted, firmaran una carta avisándoles de sus peligros. ¿Cree que tuvo impacto en su decisión?una carta

Yo no sé hasta qué punto la carta ha tenido una influencia directa en los gobiernos, pero sí que hemos visto que bastantes gobiernos europeos han abandonado planes iniciales para desarrollar aplicaciones centralizadas y se han movido hacia aplicaciones descentralizadas. La intención era hacer reflexionar a los gobiernos y que ellos, que tienen la capacidad de decisión, ponderasen los pros y las contras de cada sistema.

De lo que se trata es de poder decirle a la gente, con honestidad, qué es lo que puede suceder y qué es lo que no puede suceder con el rastreo tecnológico. Con los sistemas centralizados los datos se guardan en un único lugar y lo que tendríamos que decir a la gente es que sus datos se guardan en ese sitio y que un atacante, lo que llamamos un adversario motivado (alguien con motivos para hacerlo), que puede ser un estado o una corporación, una tercera parte deshonesta, tenga acceso a ellos. Si a la gente le explicamos ese riesgo, entonces existe una posibilidad bastante grande de que las aplicaciones de rastreo de contactos no tengan la implantación que necesitan, simplemente porque la población valora ese riesgo de que algo vaya mal.

Hay otras voces que avisan del riesgo de caer en el solucionismo tecnológico como solución a la pandemia. ¿Es algo que se pondera en los círculos de expertos que están desarrollando estos sistemas? solucionismo tecnológico

En toda la comunidad científica que enviamos esa carta y que está desarrollando la tecnología y las aplicaciones, hay un entendimiento de que lo que se está haciendo es intentar ayudar, intentar dar un soporte tecnológico a medidas que ya existían, que es el rastreo de contagios manual. Es intentar apoyar tecnológicamente algo que no es muy diferente de hacer esas cuentas manualmente, que elimina la necesidad de hacer cosas a mano y puede ser más rápido y preciso.