A las once menos cuarto, la mesa de atención de una oficina municipal empezó a llenarse. Una vecina quería renovar el permiso de ocupación de vía pública para su pequeño puesto; un padre necesitaba un justificante de empadronamiento para una beca; dos personas mayores preguntaban por la cita que habían pedido por teléfono. La pantalla del mostrador mostraba una advertencia roja: para reducir fraudes, el ayuntamiento había decidido que toda solicitud debía validarse con un código enviado al teléfono móvil. La medida había sido aprobada después de varios intentos de suplantación. Sobre el papel parecía sensata. En esa mañana concreta, impedía avanzar a quienes no tenían móvil, habían cambiado de número o compartían teléfono con alguien de la familia.
El problema no era que el personal quisiera ignorar la seguridad. El problema era que una decisión concebida para un riesgo real había convertido una vía de protección en una puerta demasiado estrecha para un servicio público. Repararla exigía algo más cuidadoso que desactivar el control con un clic. Había que entender qué daño se intentaba evitar, qué personas quedaban fuera, qué comprobaciones alternativas podían ofrecer una garantía razonable y cómo dejar constancia de la corrección para no repetir el mismo error en el siguiente despliegue.
Empezar por la escena, no por la defensa del sistema#
Cuando una regla digital bloquea una tarea, es fácil escuchar dos respuestas opuestas. Una dice que las personas usuarias deben adaptarse porque la tecnología ya está decidida. La otra propone retirar de inmediato la regla, como si cualquier fricción demostrara que no sirve. Ninguna ayuda mucho a quien está ante el mostrador. La primera confunde la existencia de un control con su calidad; la segunda puede abrir una exposición que motivó la decisión original.
Cuando una regla digital bloquea una tarea, es fácil escuchar dos respuestas opuestas.
La coordinadora pidió al equipo que anotara durante una semana los casos que no podían terminar el trámite. No preguntó primero quién se había equivocado, sino qué ocurría. Registraron la tarea, el punto exacto del bloqueo, la alternativa ofrecida, el tiempo adicional y si la persona había podido resolverlo más tarde. El patrón fue claro: el código móvil funcionaba bien para solicitudes iniciadas desde casa por personas con un dispositivo propio, pero fallaba de manera previsible en renovaciones urgentes, teléfonos compartidos y cambios de número tras una mudanza. También descubrieron que algunas personas recibían el código en un teléfono de un familiar que no estaba presente, creando una dependencia incómoda y poco privada.
Ese registro convirtió una impresión dispersa en una pregunta de diseño: ¿qué prueba necesita realmente el servicio para confirmar que quien solicita el documento es quien dice ser? Un código enviado al móvil es una prueba posible; no es la identidad misma. Distinguir ambas cosas permite buscar sustitutos sin fingir que todas las vías tienen el mismo riesgo.
Separar el objetivo del mecanismo elegido#
La regla había nacido para evitar que alguien, con datos básicos de otra persona, pidiera documentos o modificara una dirección. Ese era el objetivo legítimo. El mecanismo elegido fue obligar a recibir un mensaje en un número registrado. Con el tiempo, el mecanismo se trató como si fuera el objetivo: “sin móvil no hay trámite”. La frase evitaba pensar en qué combinación de evidencias podría ser suficiente en un caso distinto.
El equipo dividió entonces las gestiones por impacto. Para descargar una copia de información no sensible podía bastar una comprobación sencilla. Para modificar una dirección, pedir una bonificación o acceder a datos de menores se requería una verificación más sólida. No todas las operaciones merecen el mismo umbral, y no todas las personas pueden superar un único umbral con la misma herramienta. Esta clasificación no rebaja la seguridad; ayuda a concentrarla donde una suplantación causaría más daño.
Por ejemplo, una persona que acudía en persona con documento oficial y conocía datos de una solicitud reciente podía iniciar la renovación de un permiso. El sistema marcaba la operación para una segunda revisión antes de emitir el documento final. Para una modificación con efectos económicos, se ofrecía una cita de verificación presencial con dos comprobaciones independientes. Para quien sí tenía acceso digital, el código móvil seguía disponible, junto con una opción de aplicación autenticadora o de clave institucional. La reparación no consistió en hacer que todo fuera más fácil; consistió en dar a cada riesgo una respuesta explicable.
Diseñar una excepción que no se convierta en un atajo opaco#
La palabra excepción suele provocar inquietud porque recuerda privilegios concedidos sin criterio. Pero un servicio público necesita contemplar situaciones que el flujo automático no entiende. La diferencia decisiva está en si la excepción tiene un propósito, un límite y una huella revisable.
La oficina creó un procedimiento breve para la atención asistida. La persona empleada seleccionaba el motivo de la alternativa —sin dispositivo propio, cambio reciente de número, incidencia técnica o dificultad de accesibilidad— y elegía las pruebas efectuadas. El sistema no guardaba un relato íntimo de la persona ni pedía justificar su vida; almacenaba solo lo necesario para explicar la decisión. Cuando el trámite implicaba un riesgo mayor, una segunda persona confirmaba el paso. Al finalizar, la solicitud quedaba en una cola de revisión con fecha máxima de respuesta.
Así se evitó una tentación habitual: pedir a la persona que revelara más información de la necesaria para compensar una mala regla. No hacía falta que una vecina explicara por qué compartía teléfono con su hijo. Bastaba con reconocer que el teléfono no podía ser la única condición de acceso y con aplicar una comprobación proporcional. La dignidad no es un añadido amable al proceso; ayuda a que las personas ofrezcan información fiable porque entienden para qué se usa.
Probar la corrección con quienes soportaban la fricción#
Antes de modificar el portal, el ayuntamiento organizó tres sesiones cortas. Invitó a personal de ventanilla, a una asociación de personas mayores, a un mediador de un barrio con alta movilidad residencial y a alguien de accesibilidad digital. No se les pidió que aprobaran una maqueta bonita. Se les plantearon escenas: una persona pierde el móvil el día de una cita, una cuidadora acompaña a su madre pero no puede recibir sus códigos, un vecino necesita corregir un dato antes de que venza un plazo.
Las conversaciones detectaron detalles que un documento técnico no mostraba. El texto “no ha superado la validación” hacía pensar que la persona era sospechosa. Se sustituyó por un mensaje que explicaba las opciones disponibles y el tiempo previsto. La cita alternativa estaba escondida al final de una página y se colocó junto al campo del teléfono. El personal pidió un guion de dos frases para no improvisar explicaciones contradictorias. Cada ajuste nació de una escena observable, no de una preferencia abstracta sobre interfaces.
También se midió qué pasaba después. ¿La alternativa resolvía realmente el trámite? ¿Aumentaban los intentos de fraude? ¿Se acumulaban revisiones sin contestar? Un control corregido debe producir datos para evaluarse, no solo una sensación de alivio el día de su lanzamiento. Si la segunda revisión se retrasa tres semanas, la oficina ha desplazado el daño en lugar de reducirlo.
Hacer de la reparación una memoria institucional#
Una decisión equivocada puede repetirse cuando solo queda en la memoria de quienes la vivieron. Por eso, la coordinadora pidió una nota de decisión accesible para el equipo: riesgo identificado, regla inicial, evidencia de exclusión, alternativas evaluadas, cambio elegido, responsable de revisión y señales que obligarían a reconsiderarlo. No era un informe para defenderse ante una auditoría; era una pieza de aprendizaje para el próximo proyecto.
La nota incluía una advertencia útil: los indicadores de fraude no bastan para valorar un control. También hay que observar abandonos, derivaciones a ventanilla, tiempo adicional de atención y reclamaciones por imposibilidad de completar una gestión. Si una medida reduce un tipo de fraude pero multiplica las gestiones incompletas de quienes tienen menos medios, el resultado requiere discusión pública y no un simple porcentaje de éxito.
El equipo acordó revisar la medida a los tres meses. Invitarían de nuevo a quienes habían probado los casos, comprobarían si las categorías de excepción seguían teniendo sentido y revisarían las muestras de decisiones asistidas. La revisión no busca demostrar que el ayuntamiento acertó a la primera. Busca mantener abierta la posibilidad de corregir sin esperar a que una acumulación de quejas convierta un defecto pequeño en desconfianza general.
La próxima vez que una regla digital parezca protectora, el equipo puede hacer una pregunta sencilla antes de imponerla: ¿cómo completará esta tarea una persona que no puede usar el mecanismo que imaginamos? La respuesta no siempre será inmediata. Pero preparar alternativas proporcionales, visibles y revisables permite que la seguridad proteja también el acceso al servicio. En una tarde, cualquier oficina puede escoger uno de sus controles, observar cinco casos reales y escribir qué objetivo protege, a quién bloquea y qué salida legítima ofrece. Ese ejercicio no elimina el riesgo; devuelve a la institución la responsabilidad de decidir con evidencia y de reparar cuando una buena intención se vuelve una barrera.
