El conejo con wifi: el micrófono sale de la habitación si la nube es el ajuste por defecto

En el suelo de la Spielwarenmesse el stand suele prometer lo mismo: el juguete escucha, responde, aprende. En la habitación del niño el aparato es un micrófono con una nube. La voz, la ubicación, los tiempos de uso y a veces el rostro de quien cuida salen de la habitación en cuanto el ajuste por defecto lleva una dirección de servidor en un tercer país. La soberanía de los datos aquí no es abstracta. Es la pregunta de quién puede borrar el archivo y quién ya lo ha copiado.

El RGPD es más estricto con los niños, no más laxo. El consentimiento de los padres no sustituye las medidas técnicas y organizativas. Un conejo wifi sin TOM documentadas, sin una ventana de supresión y sin una opción local no es un producto listo. Es un fallo de protección pendiente. Quien lo lista comparte el riesgo.

Lo que el micrófono graba de verdad

Una entrada de voz sin procesamiento local quiere decir que el audio sale del aparato. Que llegue como archivo, como vector de características o como transcripción solo cambia la forma de la pregunta de protección. La limitación de la finalidad, la minimización y la conservación tienen que fijarse primero. Una actualización de firmware que de pronto añade reconocimiento facial es un tratamiento nuevo. Necesita información nueva, no una casilla escondida.

Muchos juguetes conectados guardan cuentas de progenitores, nombres de wifi, direcciones MAC y perfiles de uso. Eso es inventario, no diversión extra. Una solicitud de acceso tiene que poder listar esos datos. Si falta el registro, falta la licitud. Quien vende esos aparatos como educativos tiene que ver la lista antes de la venta, no después de la primera carta de una familia.

Las cámaras en muñecas y robots son el caso más agudo. Una imagen en la habitación de un niño es proximidad biométrica aunque el fabricante la llame una escena. Apagada por defecto, una cubierta física, un LED que el software no pueda mentir. Cualquier otra cosa es un aparato que no sube al estante.

Nube, tercer país, ajuste por defecto

El camino por defecto decide. Si la cuenta se sienta automáticamente en un servidor fuera del EEE sin una herramienta válida de transferencia, la venta en la UE es un problema jurídico, no un detalle de marketing. Las cláusulas contractuales tipo, las decisiones de adecuación y un pie de imprenta honesto son el suelo. Un código QR de la caja que cae en una página de privacidad sin fecha no basta.

El procesamiento local es la arquitectura limpia. El habla se reconoce en el aparato. La nube se queda opcional y apagada. Si eso no se puede construir, la nube tiene que ser lo bastante estrecha para que finalidad, plazo y supresión quepan en una frase. Mejoramos el servicio no es una finalidad que cargue la habitación de un niño.

Un micrófono en la habitación de un niño, sin procesamiento local y sin ventana de supresión, no es una función de juguete. Es un archivo abierto.

Las actualizaciones tienen que ir firmadas. Un puerto abierto, una contraseña por defecto y un firmware sin camino de actualización son la debilidad clásica de los productos infantiles conectados. Un aparato puede superar la EN 71 y aun así enviar un secreto impreso en el manual. La seguridad mecánica y la de los datos son dos ensayos.

Desde el 11 de septiembre de 2026 los fabricantes tienen un deber de notificación bajo la Ley de Ciberresiliencia, Reglamento (UE) 2024/2847, artículo 14. Las vulnerabilidades explotadas de forma activa y los incidentes graves que afectan a la seguridad del producto salen como aviso temprano en 24 horas y como notificación en 72 horas, a través de la plataforma única de notificación de ENISA. El resto de deberes, incluidos los requisitos de ciberseguridad que impone la ley y el periodo de soporte, siguen el 11 de diciembre de 2027. Un stand que mueve la ley a 2027 se salta el reloj que ya corre. Una unidad en el estante no queda excusada por haber salido antes de ese septiembre, una vez que una vulnerabilidad se explota de forma activa.

El artículo 8 del RGPD deja a los Estados miembros la edad del consentimiento digital entre 13 y 16 años. Alemania la fijó en 16. Una cuenta de juego con un perfil de voz no puede apoyarse en el clic del niño. La información y el consentimiento corren por quienes ostentan la responsabilidad parental, y describen el micrófono en frases llanas: apagado hasta que un botón lo abre, reconocimiento local o un flujo, supresión después de la orden o un plazo en días. Un ajuste por defecto que conserva el audio en bruto para entrenar un modelo no es una finalidad que el consentimiento cubra en silencio.

Las medidas se quedan nombrables. Cifrado en tránsito, claves separadas, acceso solo para ejecutar la orden, un reinicio que borre la cuenta del servidor cuando el juguete cambia de manos. Una unidad de segunda mano que no se ha reiniciado es una cuenta que sigue escuchando. Esa es la línea que la compra lee junto a la voz.

Lo que exigen minoristas y educadores

La compra no pide la voz más mona. Pide el registro de tratamiento, el encargado, la conservación, la ubicación, el derecho de supresión y el camino de brecha. Si falta una respuesta, falta el listado.

Escuelas y entornos terapéuticos que usan material conectado necesitan también un acuerdo de tratamiento y una regla clara de quién puede reiniciar el aparato. Un concepto de protección de menores sin una sección de informática está incompleto. Las autoridades de control han usado juguetes conectados como ejemplo más de una vez. Eso se conoce bastante como para no ser una sorpresa.

La información a las familias va en lenguaje llano. Qué datos, dónde, cuánto tiempo, cómo salir. No una cláusula de 14 páginas en inglés a 8 puntos. Si eso no se puede suministrar, el aparato no se vende a familias.

En el suelo de la Spielwarenmesse

Una conversación de stand sobre juguetes conectados termina en documentos. Tipos de datos: audio, cuenta, ubicación, imagen. Cada tipo necesita una finalidad. Lugar y transferencia: EEE o un mecanismo válido. Nada de un tercer país en silencio. Supresión: ventana, reinicio, prueba. Borrar la cuenta tiene que vaciar el aparato. Actualización y contraseña: firmadas, ningún secreto por defecto, fin de soporte nombrado. Ajuste por defecto: micrófono y cámara apagados, nube opcional. Notificación: camino de la Ley de Ciberresiliencia desde el 11 de septiembre de 2026, aviso temprano en 24 horas, camino de soporte de 2027 nombrado.

Un juguete conectado puede tener sentido si la arquitectura piensa en local. En el suelo de la feria eso es lo que separa a quien fabrica en serio de los stands que venden el micrófono de un niño como inteligencia.