La AEPD advierte a dos ayuntamientos por cámaras con IA capaces de reconocer rostros y buscar personas por su apariencia

La Agencia Española de Protección de Datos (AEPD) ha advertido a dos ayuntamientos españoles por proyectos de videovigilancia que incorporan inteligencia artificial para analizar automáticamente las imágenes captadas por las cámaras.

En uno de los proyectos se incluyen funciones de detección o reconocimiento facial. El segundo contempla capacidades para detectar personas y vehículos, generar metadatos y localizar individuos utilizando características de su apariencia, como la ropa, el cabello, el sexo o el grupo de edad.

La búsqueda podría realizarse incluso utilizando una imagen o fotografía como referencia inicial.

La actuación de la AEPD es preventiva. Las advertencias no significan que los ayuntamientos hayan sido sancionados ni que la Agencia haya declarado que ya se ha cometido una infracción. El organismo interviene porque las operaciones previstas podrían vulnerar la normativa si se implantan sin las garantías necesarias.

Las cámaras no se limitarían a grabar imágenes

La diferencia respecto a un sistema convencional de videovigilancia está en lo que el software puede hacer después con las imágenes.

Una cámara tradicional puede grabar una zona y almacenar las imágenes durante un periodo determinado. Cuando se incorpora análisis mediante inteligencia artificial, el sistema puede además detectar elementos dentro del vídeo, clasificarlos y generar nueva información a partir de lo observado.

Según la AEPD, uno de los proyectos municipales analizados contempla expresamente funciones de detección o reconocimiento facial.

Este tipo de tecnología puede utilizar características del rostro para localizar o distinguir personas dentro de las imágenes y, dependiendo de su configuración, podría llegar a generar o utilizar información biométrica.

El segundo sistema podría buscar personas por ropa, pelo, sexo o edad

El otro proyecto examinado por la Agencia incorpora un conjunto más amplio de herramientas de análisis de vídeo.

Entre las capacidades previstas se encuentran:

• detección de personas;
• detección de vehículos;
• generación automática de metadatos;
• búsqueda de personas según su vestimenta;
• búsqueda según características del cabello;
• clasificación por sexo;
• clasificación por grupo de edad;
• búsquedas iniciadas a partir de una fotografía o imagen.

Estas funciones permiten convertir grandes cantidades de vídeo en información que puede consultarse posteriormente mediante criterios concretos.

Por ejemplo, un sistema de este tipo podría técnicamente filtrar grabaciones para intentar localizar a una persona que lleve determinada ropa o que responda a una serie de características previamente seleccionadas.

La AEPD no ha prohibido toda videovigilancia con inteligencia artificial

La Agencia subraya que la normativa de protección de datos no impide automáticamente utilizar inteligencia artificial en sistemas de videovigilancia.

Lo que exige es que cada tratamiento de datos tenga una finalidad definida y que las tecnologías empleadas sean necesarias y proporcionadas para alcanzar ese objetivo.

La simple disponibilidad de una función técnica no constituye por sí sola una justificación suficiente para activarla.

Esto significa que una administración no debería incorporar reconocimiento facial, clasificación automática o búsquedas avanzadas únicamente porque el sistema adquirido incluya esas posibilidades.

Cada función debe tener una finalidad concreta

La AEPD considera que antes de poner en funcionamiento este tipo de herramientas es necesario analizar individualmente las capacidades que tendrá el sistema.

No todas las funciones de una plataforma de videovigilancia implican el mismo nivel de tratamiento de datos ni presentan los mismos riesgos.

Detectar la presencia de un vehículo, identificar de forma única a una persona mediante información biométrica o generar perfiles derivados de su apariencia son operaciones tecnológicamente diferentes y deben analizarse de manera separada.

La administración responsable debe poder justificar para qué necesita cada funcionalidad y por qué no puede alcanzar la misma finalidad mediante un método menos intrusivo.

La privacidad debe incorporarse desde el diseño del proyecto

Otro de los puntos destacados por la AEPD es la necesidad de aplicar protección de datos desde el diseño.

Las garantías no deberían añadirse únicamente después de instalar las cámaras o de poner en marcha el software. Deben formar parte de la planificación del sistema desde sus primeras fases.

Esto implica analizar previamente qué información se recogerá, qué datos adicionales generará la inteligencia artificial, quién podrá acceder a ellos y durante cuánto tiempo se conservarán.

También debe estudiarse el impacto que las diferentes funciones pueden tener sobre las personas grabadas.

El reconocimiento facial requiere garantías especialmente estrictas

El reconocimiento facial puede implicar el tratamiento de datos biométricos cuando las características físicas se utilizan para identificar de manera unívoca a una persona.

Por este motivo, su uso está sometido a condiciones especialmente exigentes dentro del marco europeo de protección de datos.

La AEPD recuerda que los sistemas que puedan generar o utilizar este tipo de información deben contar con una base jurídica adecuada y con medidas proporcionales a los riesgos que producen.

No basta, por tanto, con justificar la instalación general de cámaras por motivos de seguridad para dar por autorizada automáticamente cualquier función biométrica incluida en su software.

Puede ser necesaria una evaluación de impacto

Los responsables de un tratamiento deben evaluar sus riesgos antes de implantarlo y, cuando pueda suponer un alto riesgo para los derechos y libertades de las personas, realizar una evaluación de impacto relativa a la protección de datos.

En sistemas que combinan vigilancia sistemática de espacios, análisis automatizado y posibles datos biométricos, este análisis resulta especialmente relevante.

La evaluación debe estudiar tanto la necesidad de la tecnología como su proporcionalidad, los riesgos que introduce y las medidas previstas para reducirlos.

Las personas también deben saber cómo se utilizan sus datos

La incorporación de inteligencia artificial no elimina las obligaciones de transparencia asociadas a la videovigilancia.

Las administraciones deben informar adecuadamente sobre los tratamientos que realizan y definir quién es responsable de los datos.

Además de las imágenes originales, los sistemas de análisis pueden generar nueva información como etiquetas, clasificaciones, resultados de búsqueda o metadatos.

La gestión de estos datos derivados también debe formar parte del diseño del sistema, incluyendo sus condiciones de acceso y conservación.

Las advertencias no son multas ni declaran una infracción

La AEPD ha publicado las actuaciones como advertencias, una herramienta preventiva prevista en el Reglamento General de Protección de Datos.

Este mecanismo permite a una autoridad de control avisar a una organización cuando considera que un tratamiento previsto podría infringir la normativa si se lleva a cabo en las condiciones planteadas.

Por tanto, no se trata de una sanción económica ni de una resolución que declare que los dos ayuntamientos ya han vulnerado el RGPD.

La intervención pretende que los responsables puedan modificar los proyectos e introducir las garantías necesarias antes de que las funciones cuestionadas se utilicen efectivamente.

La AEPD no identifica a los dos ayuntamientos en su comunicado

La Agencia ha publicado las dos advertencias con las referencias AI-00170-2026 y AI-00171-2026, pero la documentación pública de la AEPD anonimiza la identidad de los ayuntamientos destinatarios.

Por este motivo, el dato relevante para el alcance general de la decisión no es qué municipio concreto recibió cada aviso, sino los criterios que la Agencia establece para futuras instalaciones de cámaras con análisis automatizado.

El aviso afecta a futuros proyectos municipales con cámaras inteligentes

Las advertencias ofrecen una referencia para otras administraciones que estén estudiando instalar sistemas similares.

Las cámaras modernas pueden incorporar cada vez más capacidades de análisis mediante inteligencia artificial, desde detectar objetos hasta localizar automáticamente personas dentro de miles de horas de grabación.

La posición de la AEPD es que estas posibilidades deben evaluarse función por función. Una tecnología puede ser útil para mejorar determinados servicios de seguridad, pero su utilización debe estar vinculada a una finalidad específica, resultar necesaria y superar un análisis de proporcionalidad.

En la práctica, la contratación de una plataforma de videovigilancia que incluya inteligencia artificial no significa que todas sus funciones puedan activarse automáticamente. Reconocimiento facial, búsquedas por apariencia y otros análisis avanzados requieren una evaluación adicional antes de formar parte de un sistema público de vigilancia.