En los últimos años ha aumentado el interés por la compartición de datos como medio para generar ingresos adicionales o establecer sinergias y colaboraciones entre entidades. Sin embargo, este modelo presenta un problema importante: hasta ahora, el intercambio de datos supone una pérdida total del control de los mismos por parte del proveedor, cuya única posibilidad pasa por exigir a los consumidores de datos que firmen contratos o términos de uso que limiten como dichas terceras partes usarán o difundirán esos datos.
En este contexto, los espacios de datos han emergido como uno de los mecanismos más relevantes para impulsar y facilitar este intercambio. Un espacio de datos puede definirse como un entorno digital federado en el que múltiples participantes —generalmente organizaciones— comparten, intercambian y utilizan datos de forma segura, confiable y soberana. Para ello, se proporcionan herramientas que permiten reforzar el control efectivo sobre los datos, desde reglas y estándares hasta mecanismos técnicos.
Limitaciones de los espacios de datos
El principal inconveniente es que esta tecnología aún se encuentra en un estado incipiente. Aunque se está avanzando en el desarrollo de mecanismos que aporten mayores garantías (especialmente en aspectos como el control de acceso o de uso de los datos), la capacidad de control sigue siendo limitada. En particular, cuando el usuario final accede directamente a los datos, estos pueden escapar al control del proveedor.
Además, hay otros aspectos del funcionamiento de espacios de datos susceptibles de ser mejorados. Uno de ellos, es la gestión de la identidad digital que se maneja cuando el consumidor solicita datos al proveedor. Actualmente, el consumidor debe proporcionar toda la información, cuando lo deseable sería proporcionar únicamente los datos estrictamente necesarios para evaluar las condiciones de acceso. Un equivalente en el mundo físico sería el registro de huéspedes en alojamientos turísticos: no es necesario aportar una copia completa del DNI —de hecho, no está permitido—, sino únicamente los campos imprescindibles. Por ejemplo, no es necesario revelar la fotografía o el nombre de los padres.
De igual manera, hay grandes limitaciones, todavía, en cómo se intercambian los datos. Una empresa consumidora de datos no tiene medios para verificar nada de los datos que está adquiriendo más allá de la descripción de los mismos que ha hecho la empresa proveedora. Si bien es cierto que un espacio de datos es un entorno donde existe una cierta confianza entre las entidades participantes, esto no implica que no pueda haber discrepancias o malentendidos en una transacción de datos entre dos participantes. Aspectos que podrían dar lugar a estas discrepancias son, por ejemplo, que unos datos tengan menor calidad de lo esperado, que no tengan una cierta cobertura espacial o geográfica o que su frecuencia temporal sea menor de la esperada.
Cómo mejorar la confianza entre proveedores y consumidores de datos
En ITI, en el marco del proyecto CONFIA —financiado por el Instituto Valenciano de Competitividad Empresarial (IVACE+i)—, se están abordando algunos de estos retos en colaboración con cuatro empresas del ámbito de los espacios de datos: ARSYS, INCLIVA, InferIA e INTK. El objetivo de este proyecto es mejorar la confiabilidad en las transacciones entre proveedores y consumidores de datos para que puedan controlar mejor la información que se maneja de sus identidades o de los datos. Para ello, se están desarrollando módulos software basados en tecnologías de mejora de la privacidad y en identidad autosoberana, conocidas como PETs (del inglés Privacy-Enhancing Technologies) y SSI (del inglés Self-Sovereign Identity), respectivamente.
En concreto, en el proyecto CONFIA se han aplicado técnicas de pruebas de conocimiento cero (zero-knowledge proofs) que permiten a un consumidor validar determinadas métricas de un conjunto de datos ofrecido por un proveedor. Estas pruebas permiten demostrar que se cumplen ciertas propiedades sin revelar información sensible del propio dataset. De este modo, cualquier consumidor puede verificar la validez de la información de manera eficiente y sin acceder directamente a los datos subyacentes. Este enfoque resulta especialmente relevante en ámbitos como el sanitario, donde incluso los metadatos pueden considerarse confidenciales.
Por otro lado, en el ámbito de la identidad autosoberana, se ha implementado un mecanismo de divulgación selectiva aplicado a credenciales verificables, el artefacto que se utiliza en espacios de datos para recoger la información de identidad de los participantes. Retomando el ejemplo del DNI y el registro en alojamientos turísticos, esta solución permite que el usuario decida qué información de su DNI comparte con la otra parte cada vez que le solicitan su DNI y, además, demostrar que dicha información proviene de un DNI válido.
Los módulos implementados en el proyecto se han diseñado para ser fácilmente integrables con otros componentes. En nuestro caso, como estamos interesados en el contexto de espacios de datos, los hemos integrado con herramientas ampliamente conocidos en este ámbito como son el EDC Connector (para la compartición de datos) y el IdentityHub (para la gestión de la identidad de los participantes). No obstante, las soluciones implementadas en CONFIA pueden aplicarse también en otros contextos y arquitecturas.
El trabajo realizado en CONFIA contribuye a mitigar algunas de las limitaciones actuales de los espacios de datos, pero representa solo el inicio de un camino prometedor. Aún queda mucho por explorar en la mejora de la privacidad y la confianza en estos entornos, con el objetivo de facilitar un intercambio de datos más seguro y eficiente. Se avecinan avances muy interesantes, y nos encantaría que nos acompañases en este recorrido.