¿Qué es la regulación de la IA en identificación biométrica y vigilancia?
Regulación de la IA: sectores y ámbitos
La regulación de la IA en identificación biométrica y vigilancia es el conjunto de normas que rige los sistemas de IA utilizados para verificar identidades, identificar personas en bases de datos, rastrear a personas en espacios físicos o inferir características a partir del rostro, la voz, la marcha, las huellas dactilares, el iris y datos similares. Los controles más estrictos suelen aplicarse a los usos remotos, de uno a muchos, en espacios públicos y en el ámbito policial. En la práctica, la regulación combina normas específicas sobre IA con legislación en materia de privacidad, derechos humanos, igualdad, protección del consumidor y regulación sectorial.
Revisado por Jackie, Head of Learning & Development, Levellers - Última revisión: 8 de junio de 2026
Qué significa esto
La IA biométrica no se limita al reconocimiento facial. Puede incluir reconocimiento de voz, análisis de la marcha, cotejo de huellas dactilares, análisis del iris y otros sistemas que convierten características humanas en plantillas, puntuaciones o coincidencias en listas de vigilancia. Los organismos reguladores suelen trazar una línea importante entre la identificación biométrica, que busca a una persona en una base de datos más amplia, y la verificación biométrica, que comprueba si alguien es quien dice ser.
La vigilancia es más amplia que una simple comprobación de identidad. Puede incluir el escaneo en tiempo real en espacios públicos, el cotejo retrospectivo con grabaciones almacenadas, alertas de listas de vigilancia, rastreo reiterado o sistemas que clasifican a las personas en categorías y activan una atención adicional. Por eso, la misma herramienta técnica puede estar levemente regulada en un contexto, como el desbloqueo de un teléfono, pero estar muy restringida o prohibida en otro, como el escaneo en tiempo real de listas de vigilancia en una estación de tren.
La preocupación regulatoria central es la escala y el carácter intrusivo. La IA biométrica puede identificar a personas sin su participación activa, a distancia y en grupos numerosos. Esto la convierte en un caso especial dentro de la gobernanza de la IA, porque las cuestiones jurídicas no solo atañen a la precisión, sino también a la dignidad, la necesidad, la proporcionalidad, la equidad, la responsabilidad y el derecho a desenvolverse en la vida pública sin ser escaneado de forma continua.
Por qué importa
Para las organizaciones, la IA biométrica es una de las vías más rápidas para pasar de una herramienta digital ordinaria a un caso de uso altamente regulado. Un sistema que en la fase de adquisición parece una función de conveniencia puede convertirse en un sistema de vigilancia en cuanto se vincula a una lista de vigilancia, se utiliza en un espacio público, se aplica a trabajadores o se emplea para inferir identidad a partir de la voz, el rostro o el movimiento. Ese cambio modifica la prueba jurídica aplicable, el proceso de aprobación, la evidencia necesaria y el nivel de atención que merece por parte de la dirección.
Las consecuencias son inusualmente graves. Una coincidencia errónea puede derivar en denegación de acceso, escalada por parte del personal, contacto policial, daño reputacional o trato discriminatorio. Un despliegue legítimo suele requerir algo más que un aviso de privacidad. Con frecuencia exige una finalidad documentada, un análisis de necesidad, una evaluación de impacto, evidencia de pruebas, gobernanza de listas de vigilancia, supervisión humana efectiva, controles de seguridad, límites de conservación y una alternativa viable para quienes no puedan o no deseen utilizar la tecnología.
Cómo funciona
Qué intentan controlar los reguladores
Los reguladores no solo controlan la tecnología en sí. Controlan el acto de utilizar datos biométricos para identificar, verificar, categorizar o monitorizar a personas. Esto incluye la captura de una muestra, como una imagen facial o una grabación de voz; la extracción de características biométricas; la creación de una plantilla; la comparación con una o varias referencias; y la decisión sobre qué ocurre a continuación.
La primera distinción práctica suele ser entre la verificación de uno a uno y la identificación de uno a muchos. La verificación pregunta: "¿Es esta persona quien dice ser?". La identificación pregunta: "¿Quién es esta persona?" o "¿Conocemos a esta persona?". La segunda distinción principal es entre comprobaciones con participación del usuario e identificación remota a distancia. Los sistemas remotos capaces de identificar a personas sin su participación activa, especialmente en espacios públicos, son los que atraen mayor escrutinio.
La legislación sobre IA raramente actúa sola
La IA biométrica suele estar regulada por un conjunto de normas, no por una sola ley. Las normas específicas sobre IA pueden clasificar un uso como prohibido, de alto riesgo o sujeto a obligaciones de transparencia. Sin embargo, esas normas generalmente se superponen a la legislación sobre privacidad y protección de datos, la legislación sobre derechos humanos, las obligaciones en materia de igualdad y no discriminación, las normas de protección del consumidor, las normas sectoriales sobre policía o fronteras, y las obligaciones ordinarias de seguridad y contratación.
Esa estructura por capas es relevante. En la práctica, la legislación sobre IA suele indicar si un uso está prohibido, restringido o sometido a controles especiales. No necesariamente otorga la base jurídica para tratar datos biométricos. Sigue siendo necesario preguntarse si la recogida de datos es lícita, si es necesaria y proporcionada, si existe una vía menos intrusiva y si las normas sectoriales o las competencias de las autoridades públicas autorizan el despliegue.
Dónde son comunes las prohibiciones o cuasiprohibiciones
Las restricciones más estrictas suelen centrarse en la identificación biométrica remota en tiempo real en espacios de acceso público, especialmente para fines policiales. El EU AI Act es el ejemplo más claro en la actualidad. Sus prácticas prohibidas ya están en vigor e incluyen la identificación biométrica remota en tiempo real con fines policiales en espacios públicos, con excepciones únicamente estrechas y exhaustivamente definidas. El mismo marco europeo también prohíbe la recopilación indiscriminada de imágenes de internet o de material de videovigilancia para crear o ampliar bases de datos de reconocimiento facial, prohíbe el reconocimiento de emociones en lugares de trabajo e instituciones educativas, y prohíbe determinados sistemas de categorización biométrica utilizados para inferir características protegidas.
Esto ilustra un patrón regulatorio importante. La ley suele preocuparse menos por el desbloqueo de un teléfono o por una puerta de embarque de pasaporte electrónico que por el escaneo masivo, indiscriminado y permanente de multitudes. Ello se debe a que el escaneo en espacios públicos puede afectar a muchas personas que no han elegido interactuar con el sistema y que quizás ni siquiera saben que están siendo procesadas. Además, aumenta el riesgo de efectos disuasorios, trato discriminatorio y expansión no autorizada de los fines.
Cómo es el control estricto cuando el uso está permitido
Cuando la IA biométrica no está prohibida, los reguladores suelen exigir un conjunto de controles rigurosos. Entre las obligaciones habituales figuran: una finalidad clara, una base jurídica válida, un análisis de necesidad y proporcionalidad, datos de referencia de alta calidad, almacenamiento seguro y controles de acceso, pruebas de tasas de error y diferencias demográficas, registros de auditoría, gestión de incidentes, formación del personal, conservación limitada y asignación clara de responsabilidades. La revisión humana suele ser importante, pero solo si es efectiva y no un mero trámite formal.
La evaluación de impacto es fundamental. En la UE, ciertos usos policiales de la identificación biométrica remota en tiempo real requieren una evaluación de impacto sobre los derechos fundamentales y salvaguardias adicionales. En la práctica de la protección de datos en el Reino Unido, los despliegues de reconocimiento facial se consideran de alto riesgo y normalmente exigen una evaluación de impacto sobre la protección de datos vigente que se revisa antes de cada despliegue. En China, las medidas sobre reconocimiento facial de 2025 exigen una evaluación de impacto sobre la protección de la información personal antes del uso, obligan a mantener registros y establecen que el reconocimiento facial no puede ser la única vía de verificación cuando otro método pueda lograr el mismo fin.
La legislación sectorial cambia la respuesta
El mismo modelo puede ser lícito en un sector e inaceptable en otro. Una verificación de identidad de uno a uno para un proceso de apertura de cuenta en línea se encuentra en un contexto jurídico muy diferente al del reconocimiento facial en tiempo real en la entrada de un centro comercial, la atribución de voz al personal en reuniones o el cotejo retrospectivo de identidad a partir de grabaciones de videovigilancia con fines policiales. El contexto determina la respuesta.
Por eso importan las capas sectoriales. Los usos policiales y fronterizos plantean cuestiones de derecho público, competencias legales y derechos fundamentales. Los usos en el ámbito laboral suscitan preocupaciones sobre derechos de los trabajadores, desequilibrio de poder y equidad. Los usos en el ámbito del consumo y la propiedad plantean cuestiones de consentimiento, libertad de elección, transparencia y prácticas desleales. Las autoridades públicas pueden estar sujetas a normas adicionales en materia de igualdad, derecho administrativo, contratación y registros. Por tanto, quien adquiere un sistema debe evaluar no solo qué puede hacer el modelo, sino también quién lo utiliza, dónde, con qué finalidad, sobre quién y con qué vía alternativa.
Las instituciones y los estándares convierten las normas en gobernanza
Distintas instituciones supervisan diferentes partes del conjunto normativo. En la UE, son relevantes la Oficina de IA, las autoridades nacionales de vigilancia del mercado y las autoridades de protección de datos. En el Reino Unido, la Oficina del Comisionado de Información sigue siendo una fuente clave de orientación práctica sobre biometría y vigilancia. En China, las autoridades de ciberespacio y seguridad pública supervisan el cumplimiento de las normas sobre reconocimiento facial. En Estados Unidos, la FTC aplica la legislación sobre prácticas desleales y engañosas, mientras que las normas estatales sobre privacidad biométrica pueden añadir obligaciones adicionales.
Los estándares y marcos de referencia son importantes porque ayudan a generar evidencia. El Marco de Gestión de Riesgos de IA de NIST es voluntario, pero resulta útil porque impulsa a las organizaciones a documentar la gestión de riesgos, las pruebas, la gobernanza y la revisión, en lugar de basarse en afirmaciones de marketing. En los sistemas biométricos, ese rastro documental es relevante. Un consejo de administración o un regulador querrá saber cómo se establecieron los umbrales, cómo se gestionan las listas de vigilancia, cómo se forma al personal, cómo se consideraron alternativas menos intrusivas y qué ocurre cuando el sistema falla.
Ejemplos
Una fuerza policial de la UE quiere utilizar reconocimiento facial en tiempo real en un concurrido nudo de transporte para encontrar a un menor desaparecido. Bajo el modelo europeo, esto no se trata como tecnología policial ordinaria. Solo resulta viable si encaja en una de las estrechas excepciones legales, es estrictamente necesario, está autorizado por la legislación nacional, tiene un objetivo concreto, está sujeto a una evaluación de impacto sobre los derechos fundamentales y recibe autorización judicial o administrativa independiente previa para cada uso. Una búsqueda general por hurtos ordinarios en comercios no cumpliría ese umbral.
Un gestor de propiedades o un operador de servicios en China quiere utilizar el escaneo facial para el control de acceso. Desde el 1 de junio de 2025, las medidas chinas sobre reconocimiento facial establecen que el operador no puede hacer del reconocimiento facial la única vía de verificación de identidad si otro método no facial puede lograr el mismo fin. El operador también debe realizar previamente una evaluación de impacto sobre la protección de la información personal, aplicar controles de seguridad y, en despliegues de mayor envergadura, puede tener que registrarse ante la autoridad de ciberespacio competente una vez que los datos faciales almacenados superen el umbral fijado por las medidas.
Un minorista quiere gestionar una lista de vigilancia de reconocimiento facial en las entradas de sus tiendas. El caso de la FTC contra Rite Aid ilustra por qué se trata de una decisión de alto riesgo. La agencia alegó que las cámaras captaban a clientes al entrar en las tiendas, comparaban esas imágenes con una base de datos de inscripción y enviaban alertas de coincidencia al personal, a pesar de que la empresa utilizaba imágenes de baja calidad, no había evaluado adecuadamente los daños previsibles y no había gestionado el riesgo de coincidencias erróneas y efectos discriminatorios. El caso es una advertencia práctica de que los sistemas de listas de vigilancia en el comercio minorista pueden dar lugar a actuaciones de cumplimiento en materia de protección del consumidor y gobernanza biométrica, incluso sin una ley federal específica sobre IA.
Malentendidos frecuentes
"La verificación biométrica queda fuera de la regulación." No exactamente. La verificación de uno a uno puede quedar fuera de algunas prohibiciones, pero puede seguir implicando datos biométricos de categoría especial y sigue requiriendo una base jurídica, controles de seguridad, transparencia y evaluación de riesgos.
"Si hay un revisor humano, el sistema está a salvo de impugnaciones." No. La supervisión humana solo ayuda si es efectiva. La organización sigue necesitando umbrales sólidos, formación, registros, pruebas y un proceso claro para impugnar errores.
"Si los datos proceden de un espacio público, escanearlos es automáticamente lícito." No. La captura en espacios públicos es a menudo donde la ley se vuelve más estricta, no más laxa, porque un gran número de personas puede ser escaneado sin participación activa.
"La IA biométrica solo tiene que ver con los rostros." No. La voz, la marcha, las huellas dactilares, los patrones del iris y otras características físicas o conductuales pueden constituir datos biométricos cuando se procesan técnicamente para identificar de forma unívoca a una persona.
"La legislación sobre IA es la respuesta completa." No. La IA biométrica casi siempre se inserta en un conjunto más amplio de normas sobre privacidad, derechos humanos, empleo, actividad policial, protección del consumidor y regulación sectorial específica.
Riesgos y límites
Este tema tiene límites claros. No toda herramienta biométrica es un sistema de IA según todos los estatutos, y no todo sistema de IA que utilice datos biométricos está prohibido. El resultado jurídico depende del caso de uso concreto: verificación de uno a uno frente a identificación de uno a muchos, uso en tiempo real frente a uso retrospectivo, control de acceso privado frente a vigilancia pública, y aplicación policial frente a despliegue en el ámbito del consumo o del trabajo.
También existe una variación jurisdiccional real. La UE cuenta actualmente con los controles específicos sobre IA más explícitos en materia de usos biométricos prohibidos y de alto riesgo. China dispone de normas detalladas sobre reconocimiento facial que se articulan junto con una legislación más amplia sobre información personal y ciberseguridad. El Reino Unido sigue dependiendo en gran medida de la legislación sobre protección de datos y vigilancia, y parte de la orientación de la ICO en materia biométrica está expresamente en revisión. Estados Unidos sigue siendo más fragmentado, con un papel destacado de la aplicación de la normativa de protección del consumidor y la legislación estatal. Para los programas transfronterizos, esto significa que una política global única raramente es suficiente.
Por último, el cumplimiento legal no elimina el riesgo operativo. Los sistemas biométricos son probabilísticos. La calidad de las imágenes, la calidad de la inscripción, la elección de umbrales, la calidad de las listas de vigilancia, la iluminación, la densidad de la multitud, el ruido, los acentos, el uso de mascarillas y las diferencias demográficas afectan a la fiabilidad. "Un humano en el proceso" no corrige datos deficientes, un diseño deficiente de la lista de vigilancia o una finalidad que nunca estuvo justificada.
Qué hacer a continuación
En primer lugar, delimite el caso de uso exacto antes de hablar de controles. Distinga la verificación de uno a uno de la identificación de uno a muchos, el uso en tiempo real del uso retrospectivo, las comprobaciones con participación del usuario de las comprobaciones remotas, y el control de acceso de la vigilancia. Esa delimitación básica suele determinar si un uso es simplemente sensible, está estrictamente controlado o está prohibido.
En segundo lugar, haga explícito el conjunto normativo aplicable. Plantee cuatro preguntas desde el principio: cuál es la finalidad; qué hace necesario el tratamiento biométrico; qué vía menos intrusiva se ha considerado; y qué leyes o competencias públicas autorizan realmente el despliegue. Si esas preguntas no tienen respuestas claras, detenga el proceso antes de la adquisición.
En tercer lugar, exija evidencia, no promesas. Antes del despliegue, solicite evaluaciones de impacto, evidencia de pruebas, análisis de tasas de error, pruebas demográficas cuando proceda, criterios de inclusión en listas de vigilancia, normas de conservación, controles de acceso, gestión de reclamaciones y documentos que muestren cómo funciona en la práctica la revisión humana. Trate las afirmaciones de los proveedores sobre precisión o control de sesgos como datos a verificar, no como pruebas.
En cuarto lugar, diseñe una vía alternativa. Si el sistema se utiliza para el acceso, la acreditación de identidad o el acceso a servicios, generalmente debería existir una alternativa razonable para quienes no puedan o no deseen someterse al tratamiento biométrico. Esto no es solo una buena práctica. En algunas jurisdicciones está integrado en la prueba jurídica.
En quinto lugar, asigne la responsabilidad a un equipo multidisciplinar. Los equipos de privacidad, seguridad, producto, operaciones, contratación, jurídico, igualdad y asuntos públicos deben tener un papel. La IA biométrica no es un despliegue de modelo más. Es con frecuencia un sistema sensible desde el punto de vista de los derechos que requiere visibilidad a nivel de consejo de administración y una puerta de aprobación documentada.
¿Tiene alguna pregunta o sugerencia, o desea saber cómo investigamos y revisamos estas guías? Lea sobre nuestros estándares editoriales y cómo contactarnos.
Preguntas frecuentes
¿Está siempre prohibida la identificación biométrica?
No. Los usos más restringidos suelen ser los despliegues remotos, de uno a muchos y en espacios públicos, especialmente con fines policiales. La verificación de uno a uno puede seguir siendo lícita, pero sigue requiriendo una base jurídica válida y controles sólidos.
¿Cuál es la diferencia entre identificación biométrica y verificación biométrica?
La identificación busca entre muchas referencias almacenadas y pregunta: "¿Quién es esta persona?". La verificación compara con una sola referencia almacenada y pregunta: "¿Es esta persona quien dice ser?".
¿El consentimiento hace lícita la vigilancia biométrica?
No por sí solo. En espacios públicos, lugares de trabajo o entornos de servicios esenciales, el consentimiento puede no ser libremente otorgado. Otras pruebas jurídicas, como la necesidad, la proporcionalidad y las normas sectoriales específicas, siguen siendo relevantes.
¿También están cubiertos los sistemas de voz y marcha?
Con frecuencia, sí. Muchas definiciones legales de datos biométricos incluyen tanto características físicas como conductuales, por lo que la voz y la marcha pueden estar dentro del ámbito de aplicación cuando se procesan para identificar de forma unívoca a una persona.
¿Un revisor humano elimina el riesgo jurídico?
No. La revisión humana solo es útil cuando es real, está bien informada y puede modificar la decisión. No sustituye a las pruebas, los registros, la calibración, la formación, la gestión de reclamaciones ni el análisis de la finalidad lícita.
¿El cotejo retrospectivo recibe el mismo trato que el cotejo en tiempo real?
Generalmente no. El cotejo en tiempo real en espacios públicos suele enfrentarse a las restricciones más estrictas. El cotejo retrospectivo puede seguir estando permitido en algunos sistemas, pero habitualmente se considera de alto riesgo y sigue requiriendo salvaguardias sólidas.
¿Cuál es el primer documento de gobernanza que hay que preparar?
Comience con un mapa claro del caso de uso y una evaluación de impacto. Juntos, obligan a la organización a definir la finalidad, la base jurídica, los grupos afectados, las alternativas, la gestión de errores, la supervisión, la conservación y la escalada.