# Dark pattern

Un dark pattern o patrón oscuro (también conocido como "patrón de diseño engañoso") es una interfaz de usuario que ha sido cuidadosamente diseñada para engañar a los usuarios para que hagan cosas que no querrían hacer, como comprar un seguro demasiado caro o suscribirse a facturas periódicas, o para dificultarles hacer cosas que sí quieren hacer. El diseñador de experiencia de usuario Harry Brignull acuñó el neologismo el 28 de julio de 2010 con el registro del dominio darkpatterns.org, una "biblioteca de patrones con el objetivo concreto de nombrar y avergonzar a las interfaces de usuario engañosas". En 2023 publicó el libro Deceptive Patterns (Patrones engañosos).
En 2021, la Electronic Frontier Foundation y Consumer Reports crearon una línea de denuncia para recopilar información de los ciudadanos sobre patrones oscuros.

## Patrones
### Zuckering de la privacidad

Zuckering de la privacidad o "Privacy Zuckering" (llamado así en honor al cofundador de Facebook y director ejecutivo de Meta Platforms, Mark Zuckerberg) es una práctica que engaña a los usuarios para que compartan más información de la que pretendían. Los usuarios pueden entregar esta información sin saberlo, o mediante prácticas en las que se oculta o retrasa la opción de no compartir su información privada.
El estado de California ha aprobado regulaciones que limitan esta práctica por parte de las empresas en la Ley de Privacidad del Consumidor de California.

#### Zuckering de la privacidad para el entrenamiento de modelos de IA

A mediados de 2024, Meta Platforms anunció planes para utilizar datos de usuarios de Facebook e Instagram para entrenar sus tecnologías de IA, incluidos los sistemas de IA generativa. Esta iniciativa incluyó el procesamiento de datos de publicaciones públicas y no públicas, interacciones, e incluso cuentas abandonadas. Los usuarios tuvieron hasta el 26 de junio de 2024 para optar por no participar en el procesamiento de datos. Sin embargo, los críticos señalaron que el proceso estaba plagado de obstáculos, incluidas notificaciones por correo electrónico engañosas, redirecciones a páginas de inicio de sesión, y formularios de exclusión voluntaria ocultos que eran difíciles de localizar. Incluso cuando los usuarios encontraban los formularios, se les pedía que proporcionaran un motivo para cancelar su suscripción, a pesar de que la política de Meta establecía que cualquier motivo sería aceptado, lo que generaba dudas sobre la necesidad de este paso adicional.
El Centro Europeo de Derechos Digitales (NOYB) respondió a las controvertidas prácticas de Meta presentando quejas en 11 países de la UE. NOYB alegaba que el uso de "patrones oscuros" por parte de Meta socavaba el consentimiento del usuario, violando el Reglamento General de Protección de Datos (RGPD). Estas quejas enfatizaron que el obstructivo proceso de exclusión voluntaria de Meta incluían formularios ocultos, mecanismos de redireccionamiento, y requisitos innecesarios, como tener que explicar motivos para la exclusión voluntaria. Tácticas, todas ellas, que ejemplifican "patrones oscuros" diseñados deliberadamente para impedir a los usuarios que sus datos personales fueran excluidos. Además, Meta admitió que no podía garantizar que los datos fueran excluidos por completo de sus conjuntos de datos de entrenamiento, lo que generó más inquietud sobre la privacidad del usuario y el cumplimiento de la protección de datos.
En medio de la creciente presión regulatoria y de la opinión pública, intervino la Comisión de Protección de Datos de Irlanda (DPC), lo que llevó a Meta a interrumpir sus planes de proceso datos de usuarios para entrenamiento de IA de la UE/EEE. Esta decisión, aunque significativa, no resultó en una modificación legalmente vinculante de la política de privacidad de Meta, lo que dejó dudas sobre su compromiso a largo plazo de respetar los derechos de protección de datos de la UE. Sin embargo, fuera de la UE, Meta procedió a actualizar su política de privacidad según lo programado el 26 de junio de 2024, lo que llevó a los críticos a advertir sobre consecuencias más amplias de estas prácticas a nivel mundial.
El incidente puso de relieve el problema generalizado de los patrones oscuros en la protección de la privacidad, y los desafíos que suponen responsabilizar a las grandes empresas tecnológicas de sus prácticas en materia de protección de datos. Los grupos de defensa de derechos pidieron marcos regulatorios más fuertes para prevenir tácticas engañosas y garantizar que los usuarios pudieran ejercer un control significativo sobre su información personal.

### Cebo y cambio

Los patrones de cebo y cambio (o bait-and-switch en inglés) publicitan un producto o servicio gratuito (o a un precio muy reducido) que, o no está disponible en absoluto, o está disponible en muy pequeñas cantidades. Después de anunciar la no disponibilidad del producto, la página presenta productos similares de mayor precio, o de menor calidad.

### Precio por goteo

El precio por goteo (o drip pricing en inglés) es un patrón en el que se anuncia un precio al comienzo de un proceso de compra, seguido posteriormente del incremento de tarifas, impuestos, o cargos adicionales. El objetivo del precio por goteo es conseguir el interés del consumidor en un precio inicial engañosamente bajo, sin que se revele el precio final real hasta que el consumidor haya invertido tiempo y esfuerzo en el proceso de compra y haya tomado la decisión de comprar.

### Confirmación de vergüenza

La confirmación de vergüenza, o confirmshaming, utiliza la vergüenza para impulsar a los usuarios a actuar, como, por ejemplo, cuando un sitio web redacta una opción para rechazar un boletín informativo por correo electrónico de una manera que avergüence a los visitantes para que se vean obligados a aceptarlo.

### Desorientación

Común en los programas instaladores de software, la desorientación, o misdirection en inglés, presenta al usuario un botón parecido a un botón de continuación. Un patrón oscuro mostraría un botón destacado que diga "Acepto estos términos" pidiendo al usuario que acepte los términos de un programa distinto del que está intentando instalar. Dado que el usuario normalmente acepta los términos mecánicamente, el programa ajeno puede instalarse posteriormente. Los autores del instalador hacen esto porque los autores del programa ajeno pagan por cada instalación que consigan. La opción alternativa del instalador que permite al usuario omitir la instalación del programa ajeno se muestra de forma mucho menos destacada o parece contraria a la intuición (como, por ejemplo, rechazar los términos del servicio).
Algunos sitios web que solicitan información no necesaria también utilizan misdirection. Por ejemplo, alguien podría rellenar el nombre de usuario y la contraseña en una página, y después de hacer clic en el botón "siguiente", la página pide al usuario su dirección de correo electrónico con otro botón "siguiente" como única opción. Esto oculta la opción de presionar "siguiente" sin ingresar ninguna información. En algunos casos, la página muestra la forma de omitir el paso en un pequeño enlace en gris en lugar de un botón, de modo que no resulta visible para el usuario. Otros ejemplos incluyen sitios web que ofrecen una forma de invitar a amigos ingresando su dirección de correo electrónico, cargar una foto de perfil, o identificar intereses.
También se pueden utilizar expresiones confusas para engañar a los usuarios y hacerles aceptar una opción que tiene el significado opuesto al esperado. Por ejemplo, un botón de consentimiento para el tratamiento de datos personales que utilice una doble negación como "En ningún caso no vender mi información personal".

### Motel de cucarachas

Un diseño de motel para cucarachas (roach motel en inglés) proporciona un camino fácil o directo para entrar, pero difícil para salir. Los ejemplos incluyen empresas que requieren que los suscriptores impriman y envíen por correo su solicitud de cancelación o de exclusión voluntaria.
Por ejemplo, durante las elecciones presidenciales de Estados Unidos de 2020, la campaña WinRed de Donald Trump empleó un patrón oscuro similar, impulsando a los usuarios a comprometerse con una donación mensual recurrente.
Otra versión común de este patrón es cualquier servicio que permite registrarse por internet e iniciar un servicio en línea, pero que requiere una llamada telefónica (a menudo con largos tiempos de espera) para finalizar el servicio. Los ejemplos incluyen servicios como televisión por cable, servicios de Internet y monitorización de crédito.
En 2021, en Estados Unidos, la Comisión Federal de Comercio (FTC) anunció que intensificaría la aplicación de medidas contra patrones oscuros como el Roach Motel que engañan a los consumidores para que se suscriban, y luego dificultan la cancelación. La FTC ha establecido requisitos clave relacionados con la transparencia y claridad de la información, el consentimiento informado expreso, y la cancelación simple y fácil.

## Investigación

En 2016 y 2017, las investigaciones documentaron prácticas antiprivacidad en las redes sociales utilizando patrones oscuros. En 2018, el Consejo Noruego de Consumidores (Forbrukerrådet) publicó "Deceived by Design", un informe sobre diseños de interfaz de usuario engañosos de Facebook, Google y Microsoft. Un estudio de 2019 investigó las prácticas en 11.000 sitios web de compras. Se identificaron 1.818 patrones oscuros en total y los agrupó en 15 categorías.
Una investigación de abril de 2022 concluyó que los patrones oscuros todavía se utilizan comúnmente en el mercado, lo que pone de relieve la necesidad de un mayor escrutinio de dichas prácticas por parte de la sociedad, los investigadores y los reguladores.
Según el Reglamento General de Protección de Datos de la Unión Europea (RGPD), todas las empresas deben obtener el consentimiento inequívoco y libremente otorgado por los clientes antes de recopilar y utilizar ("procesar") su información de identificación personal. Un estudio de 2020 concluyó que las grandes empresas tecnológicas solían utilizar interfaces de usuario engañosos para disuadir a sus usuarios de que no excluyeran sus datos personales. En 2022, un informe de la Comisión Europea concluyó que "el 97% de los sitios web y aplicaciones más populares utilizados por los consumidores de la UE tenían al menos un patrón oscuro".
Las investigaciones sobre la documentación de las redes publicitarias muestran que la información presentada a los desarrolladores de aplicaciones móviles en estas plataformas se centra en el cumplimiento de las regulaciones legales y pone la responsabilidad de tales decisiones en el desarrollador. Además, los códigos de ejemplo y las configuraciones a menudo tienen valores predeterminados que no respetan la privacidad, combinados con patrones oscuros para impulsar las decisiones de los desarrolladores hacia opciones que no respeten la privacidad, como compartir datos confidenciales para aumentar los ingresos.

## Legislación
### Unión Europea

En la Unión Europea, el RGPD exige que el consentimiento informado del usuario para el procesamiento de su información personal sea inequívoco, otorgado libremente, y específico para cada uso de la información personal. Esto tiene como objetivo evitar intentos de que los usuarios acepten sin saberlo todo el procesamiento de datos por defecto (lo que viola la regulación).
Según el Comité Europeo de Protección de Datos, el «principio de procesamiento justo establecido en el artículo 5 (1) (a) del RGPD sirve como punto de partida para evaluar si un patrón de diseño constituye realmente un 'patrón oscuro'».
A finales de 2023 se aprobó la versión final de la Ley de Datos. Se trata de una de las tres legislaciones de la UE que abordan expresamente los patrones oscuros. Otra es la Ley de Servicios Digitales. La tercera legislación de la UE en vigor sobre patrones oscuros es la Directiva sobre contratos de servicios financieros celebrados a distancia. La Organización Alemana de Protección del Consumidor afirma que las grandes empresas tecnológicas utilizan patrones oscuros para violar la Ley de Servicios Digitales.

### Estados Unidos

Cebo y cambio (bait-and-switch en inglés) es una forma de fraude que viola la ley estadounidense.
El 9 de abril de 2019, los senadores estadounidenses Deb Fischer y Mark Warner presentaron la Ley de Reducción de Experiencias Engañosas para Usuarios en Línea (DETOUR), que haría ilegal que las empresas con más de 100 millones de usuarios activos mensuales utilizaran patrones oscuros cuando buscaran consentimiento para usar su información personal.
En marzo de 2021, California adoptó modificaciones a la Ley de Privacidad del Consumidor de California, que prohíbe el uso de interfaces de usuario engañosos que tengan "un efecto sustancial de subvertir o perjudicar la opción de exclusión voluntaria de un consumidor".
En octubre de 2021, la Comisión Federal de Comercio emitió una declaración de política de cumplimiento, en la que anunciaba una ofensiva contra las empresas que utilizaban patrones oscuros que "engañan o atrapan a los consumidores para que suscriban servicios". Como resultado del creciente número de denuncias, la agencia está respondiendo y haciendo cumplir estas leyes de protección al consumidor.
En 2022, la fiscal general de Nueva York, Letitia James, multó a Fareportal con 2,6 millones de dólares por utilizar tácticas de marketing engañosas para vender billetes de avión y habitaciones de hotel, y el Tribunal Federal de Australia multó a Trivago, (de Expedia Group), con 44,7 millones de dólares australianos por engañar a los consumidores para que pagaran precios más altos por reservas de habitaciones de hotel.
En marzo de 2023, la Comisión Federal de Comercio de los Estados Unidos multó al desarrollador de Fortnite (Epic Games) con 245 millones de dólares por utilizar "patrones oscuros para engañar a los usuarios para que realizaran compras". Los 245 millones de dólares se utilizaron para reembolsar a los clientes afectados y es la cantidad de reembolso más grande jamás emitido por la FTC en un caso de videojuegos.

### Reino Unido

En abril de 2019, la Oficina del Comisario de Información del Reino Unido (ICO) emitió una propuesta de "código de diseño apropiado para la edad" para las operaciones de los servicios de redes sociales cuando son utilizados por menores, que prohíbe el uso de "empujoncitos" para atraer a los usuarios a opciones que tienen configuraciones de privacidad bajas. Este código sería aplicable en virtud de la Ley de Protección de Datos de 2018. Entró en vigor el 2 de septiembre de 2020.