Mientras el defecto no tenga precio, nadie lo arregla

Un informe corriente de accesibilidad se lee como un inventario: tantas imágenes sin descripción, tantos campos sin etiqueta. Para el programador es trabajo; para el directivo, ruido. La tarea se va al backlog con el sello de secundaria y vive allí durante años, porque ninguna línea de esa lista responde a la única pregunta que hace un director: qué nos cuesta esto.

El Oráculo responde con un número. Suma las multas máximas de todas las vulnerabilidades halladas y muestra una sola cifra de amenaza financiera total. El artículo trae una muestra de esa línea: cuatro infracciones críticas de ADA y dos de GDPR se combinan en un riesgo potencial superior a trescientos veinte mil dólares. Después de una línea así, la prioridad cambia sin necesidad de reunión.

Tres etiquetas de precio sacadas de la ley

La primera es ADA Title III: una multa civil federal del Departamento de Justicia de EE. UU. de hasta setenta y cinco mil dólares por la primera infracción y hasta ciento cincuenta mil por las siguientes. La advertencia de la fuente se traslada palabra por palabra, porque cambia el sentido de la cifra: es el techo de la sanción, no la factura media. La segunda es el GDPR, que se calcula desde veinte millones de euros o el cuatro por ciento de la facturación anual. La tercera es la CCPA: dos mil quinientos dólares por infracción no intencionada y hasta siete mil quinientos por la intencionada, contados por cada usuario afectado.

Al lado está el telón de fondo que impide que esas sumas sean abstractas. Los bufetes especializados en accesibilidad buscan sitios vulnerables con analizadores automáticos y presentan demandas colectivas exigiendo entre quince mil y ciento cincuenta mil dólares por una sola sesión de infracciones. El demandante no necesita esperar la queja de una persona real: basta con una máquina que recorra sitios en serie.

Para que la suma sea honesta no puede armarse con falsos positivos, y ahí es donde se rompe el análisis estático. Un escáner movido por expresiones regulares y selectores simples comprueba que el atributo exista, no que sirva. Un gráfico de ventas descrito como «image» pasa la prueba: el atributo está físicamente ahí. Para un lector ciego esa descripción no vale nada, y es una violación gruesa de WCAG y ADA; en el informe, sin embargo, no figura nada.

El error espejo tiene el mismo origen: la herramienta no distingue un separador decorativo, que debería ocultarse a la tecnología asistiva, de una imagen funcional, que debe describirse. De ahí cientos de alarmas falsas y omisiones silenciosas, y la imposibilidad de levantar una estimación monetaria sobre un informe así.

La superposición que empeora las cosas

El segundo camino habitual es un widget montado sobre el sitio que promete cerrar la accesibilidad de un clic cambiando tipografías, contraste y síntesis de voz. La práctica judicial estadounidense muestra que tales widgets no libran de demandas y a menudo funcionan al revés, atrayendo la atención de los demandantes. Peor aún: las superposiciones rompen los lectores de pantalla integrados de los que dependen las personas ciegas, y dejan el sitio menos utilizable que antes.

Y lo decisivo: el widget no toca el código fuente. Modifica el DOM en el navegador, mientras el escáner del bufete lee el HTML que entrega el servidor y lo encuentra todo intacto. El tercer hueco es el vínculo ausente entre ámbitos: una herramienta comprueba el contraste del texto y jamás advierte que esa misma página envía datos personales por un píxel de seguimiento antes de cualquier consentimiento.

El Oráculo parte el trabajo en dos etapas desiguales. Primero el módulo de raspado construye un plano de la página del que quedan fuera los medios pesados y el marcado sobrante. Permanecen los metadatos — codificación, idioma, descripción, parámetros del viewport —, los elementos interactivos junto con sus identificadores y atributos ARIA, la jerarquía de encabezados del primer nivel al sexto, las imágenes y el contenido de sus descripciones, los rastros de analítica, píxeles y banners de consentimiento, y las cabeceras de seguridad del servidor: HSTS, CSP, estado del certificado.

El plano pasa entonces a un modelo de lenguaje. El principal es Grok 4.3, con conmutación automática a Gemini 2.5 Flash cuando la red se retrasa o se agotan los límites. El modelo coteja el plano con una matriz de dos mil comprobaciones y juzga lo que una expresión regular no ve: si «logo» describe adecuadamente un logotipo, si un botón que contiene un único icono tiene siquiera un nombre accesible.

Qué se guarda en la ficha de una infracción

Cada hallazgo se formatea igual: la evidencia con la razón exacta por la que eso infringe la norma; el fragmento culpable recortado de la página; la instrucción de corrección paso a paso en el idioma del usuario — ruso, inglés, español o chino — y un parche listo para copiar. Las reglas se reparten en siete categorías, cada una con su peso de riesgo — crítico, serio, moderado o consultivo —, un enlace al documento del regulador y el cálculo de la sanción.

Una valoración deja de ser cuestión de gusto allí donde se nombra la fórmula. El contraste del texto con el fondo debe ser al menos de 4,5 a 1, con 3 a 1 permitido para texto grande desde 18 puntos o 14 en negrita; la luminancia relativa se calcula como L = 0,2126 · R + 0,7152 · G + 0,0722 · B, y la razón misma como (L1 + 0,05) / (L2 + 0,05).

El lado del servidor está especificado igual. La cabecera de HTTPS obligatorio debe durar no menos de ciento ochenta días — son 15768000 segundos — y llevar includeSubDomains junto con preload. La política de seguridad de contenido está obligada a limitar los orígenes y a rechazar inserciones en línea inseguras sin hashes ni tokens de un solo uso. Se comprueban la protección contra el enmarcado ajeno, la prohibición de adivinar el tipo de contenido y el fichero de contacto para vulnerabilidades según RFC 9116 en el directorio well-known. Aparte se lee la fecha de última actualización de las políticas publicadas: no debe superar los doce meses.

Hay además un apéndice para las jurisdicciones de Rusia y la CEI que los escáneres occidentales suelen saltarse. La norma estatal ГОСТ Р 52872-2019 exige una versión para personas con baja visión con esquemas de color conmutables y escalado de fuente al doscientos por ciento sin desplazamiento horizontal. La ley ФЗ-152 exige una casilla de consentimiento no marcada de antemano y con enlace a la política. La ley ФЗ-38 exige que el consentimiento publicitario sea una casilla aparte, jamás fundida con la del tratamiento de datos.

La tabla comparativa es justa en la parte que cuenta: dos mil y pico comprobaciones complejas frente a unas cincuenta básicas en Lighthouse y unas sesenta en la extensión WAVE; un recorrido del mapa del sitio de hasta tres páginas frente a la única página actual en ambos; y un cálculo de multa que ninguna de las herramientas listadas ofrece.

Luego vienen cifras cuya procedencia se declara sin rodeos, y eso conviene conservarlo. Profundidad de escaneo: hasta treinta veces más parámetros, según estimaciones internas. Reducción de falsos positivos en torno al ochenta y cinco por ciento, según estimaciones internas. Recorte del tiempo de corrección de alrededor del setenta por ciento, según estimación del propio equipo. Son estimaciones, no mediciones de un tercero, y el artículo las llama así.

El Oráculo se sitúa en la boca del embudo de alcance en frío: treinta dominios y noventa buzones precalentados envían auditorías personalizadas a diario, y cada carta lleva las infracciones reales del destinatario y el importe de la multa posible. La oferta es una sola: cerrar las vulnerabilidades críticas en cuarenta y ocho horas con agentes de IA por quinientos dólares, una vez. Después el cliente pasa al alojamiento de AIfa Works, donde la comprobación se repite cada mes en segundo plano.

Los pagos circulan por un contrato inteligente de Solana con un reparto fijo: cinco por ciento al Fondo del Fundador, cinco a la quema, quince, siete y tres por ciento a los tres niveles de embajadores, sesenta y cinco por ciento a la tesorería para comprar AR. La emisión del token está limitada a diez mil millones. Los pagos a socios se presentan como tarifa de validación de red, y elegir cobrar en tokens sube las tasas a ocho, cuatro y dos por ciento, con la plataforma comprando el volumen necesario en el mercado abierto.

La hoja de ruta tiene tres fases y ninguna se declara terminada. El tercer trimestre de 2026 se reserva para una GitHub Action y un complemento de GitLab CI: la auditoría correrá en cada commit y la compilación quedará bloqueada cuando el código rompa la accesibilidad o la privacidad. El cuarto trimestre es para las pruebas de conocimiento cero: un sitio podrá presentar una prueba on-chain de haber superado la auditoría con dos mil sobre dos mil sin revelar su backend, y registrarla como NFT comprimido en Solana.

Para el primer semestre de 2027 se planea ampliar la matriz a cinco mil comprobaciones, añadir estándares asiáticos y de Oriente Medio y afinar el modelo local para aplicaciones de más de diez mil páginas. Son planes, y un análisis no tiene derecho a archivarlos como hechos consumados.

En eso consiste toda la maniobra. Las infracciones de un sitio existen sepa o no el propietario de ellas; la ley y los tribunales les pusieron precio mucho antes del primer escaneo. El Oráculo no añade nada al riesgo: lo vuelve visible y lo convierte a la unidad en la que un negocio ya sabe decidir.