APCER, BPCER y por qué la tasa única engaña
Un motor de detección de vida puede mostrar una tasa de error bajísima en el conjunto de prueba del proveedor y fallar en producción la semana siguiente, cuando entra en juego otro modelo de teléfono, otra luz de oficina o una cámara frontal con el cristal rayado. La cifra que aparece en el folleto casi nunca describe ese escenario.
El problema no es que las métricas mientan, sino que se publican sin el contexto que las hace interpretables. APCER y BPCER son las dos caras de la misma decisión: APCER mide cuántos ataques se aceptan como usuarios legítimos, BPCER mide cuántos usuarios legítimos se rechazan por parecer ataques. Al mover el umbral de decisión, una sube y la otra baja. No existe un punto donde ambas sean cero.
Cuando un integrador dice "nuestro APCER es del 0,1 %", la pregunta inmediata es a qué BPCER corresponde. Sin ese par de valores, el número no sirve para comparar motores. Un sistema puede alcanzar APCER muy bajo rechazando a una fracción enorme de usuarios reales, y eso en un onboarding bancario se traduce en abandono, llamadas a soporte y verificaciones manuales.
El punto de operación se elige según el riesgo de la operación. En un acceso a un panel interno con doble factor, tolerar algo más de APCER puede ser razonable. En un desembolso remoto de alto importe, la balanza se inclina al otro lado y el coste de fricción se asume.
Los resultados dependen tanto del motor como de las muestras con las que se evalúa. Un conjunto con ataques de impresión en papel mate, capturados con un solo dispositivo y bajo luz controlada, no representa lo que ocurre en la calle. Conviene revisar:
Una media global puede ocultar diferencias importantes. Cuando se desglosa el BPCER por tono de piel, rango de edad o tipo de dispositivo, aparecen brechas que la cifra agregada no muestra. Lo mismo ocurre con el APCER: ciertos ataques, como las pantallas de alta tasa de refresco o los deepfakes recientes, pueden pasar con más frecuencia que otros.
Por eso conviene exigir al proveedor el desglose por subgrupos y no solo el número final. Si no lo entrega, la evaluación queda incompleta y el riesgo se traslada al despliegue.
Antes de aceptar cualquier cifra, conviene comprobar tres cosas: que se declare el punto de operación con su par APCER/BPCER, que se describa la composición del conjunto de prueba y que exista un desglose por subgrupos demográficos y de hardware. Si falta alguna, el dato es una referencia, no una garantía.
La validación real ocurre en el entorno del cliente, con sus dispositivos, su iluminación y su población. Los números del laboratorio sirven para descartar motores, no para aprobarlos.