Tecnología de videoseguridad y reconocimiento facial biométrico dentro del marco de la nueva Ley de IA de la Unión Europea

El 2 de agosto de 2024, entró en vigor la Ley de Inteligencia Artificial de la Unión Europea (EU AI Act), la primera ley integral del mundo para la regulación de la inteligencia artificial (IA). El reglamento de IA prevé un calendario escalonado hasta 2026 para la aplicación de sus distintas secciones regulatorias. A tenor de ello, desde el 2 de febrero de 2025 se aplica la prohibición de determinadas prácticas de IA, con especial incidencia en aquellos usos que se consideran inaceptables por sus riesgos potenciales para los valores y derechos fundamentales europeos. Este artículo analiza cómo el nuevo marco legal afecta a la tecnología de videoseguridad y al reconocimiento facial biométrico, así como los requisitos específicos que las empresas deben tener en cuenta.

¿Qué es la EU AI Act?

La Ley de Inteligencia Artificial de la Unión Europea es una ley que regula el uso de los sistemas de IA en la UE. Se centra en la clasificación de riesgos, categorizando los sistemas de IA como de riesgo inaceptable, alto, limitado y mínimo. Según el nivel de riesgo, deben cumplirse diferentes requisitos para garantizar un uso seguro y ético de las tecnologías de IA. En la clase de riesgo A (riesgo inaceptable), los sistemas de IA están prohibidos.

Tecnología de videoseguridad y reconocimiento facial: una visión general

El empleo de sistemas de reconocimiento facial basados en IA es un punto recogido por la Ley de IA. Fundamentalmente, se hace una distinción entre la identificación remota en tiempo real y la identificación a posteriori. Ambas aplicaciones entran en la categoría de “alto riesgo”, lo que significa que deben cumplirse requisitos estrictos.

1. Reconocimiento facial biométrico

El uso de sistemas de identificación biométrica a distancia en espacios públicos para perseguir delitos está generalmente prohibido, a menos que sean aplicables excepciones específicas. Entre ellas se incluyen escenarios como la búsqueda de personas desaparecidas o la prevención de ataques terroristas. Estas excepciones están claramente definidas y sujetas a condiciones rigurosas:

• La identificación remota en tiempo real requiere una autorización especial y está condicionada a restricciones espaciales y temporales.
• La identificación remota a posteriori se considera de alto riesgo y requiere una previa aprobación judicial que debe estar vinculada a una persecución penal.

Para cualquier otro uso de sistemas biométricos, se aplican normas adicionales, en particular el RGPD (en este caso, especialmente el artículo 9 del RGPD: tratamiento de categorías especiales de datos personales). Los datos biométricos están generalmente sujetos a requerimientos estrictos de protección de datos, que son complementados por la Ley de IA de la UE.

2. Tecnología de videoseguridad “normal” y análisis de vídeo basado en IA

Las aplicaciones de IA no biométricas en el campo de la tecnología de videoseguridad, como el análisis de vídeo basado en IA, también están reguladas por la Ley de IA de la UE. Estos sistemas suelen clasificarse como de alto riesgo (nivel de riesgo “alto”), lo que significa que se someten a evaluaciones exhaustivas antes de su comercialización:

• Análisis y mitigación de riesgos: las empresas deben efectuar evaluaciones de riesgos y documentar las medidas correspondientes para la reducción de riesgos.
• Obligaciones de documentación y registro: es necesaria una documentación completa del sistema y de sus funciones para demostrar la conformidad ante las autoridades.
• Ciberseguridad: se requieren altos estándares de ciberseguridad y en cuanto a precisión del sistema.
• Estándares de protección de datos: todos los procesos han de ser respetuosos con el RGPD, especialmente cuando se recogen, guardan y tratan datos biométricos.
• Alta calidad de los datos reales y de entrenamiento: para evitar resultados discriminatorios (sesgos/“biases”), los conjuntos de datos utilizados deben ser de alta calidad.
• Requisitos de transparencia: los proveedores de sistemas biométricos deben proporcionar información claramente definida sobre el funcionamiento y las limitaciones de sus sistemas.
• Cumplimiento de la legislación relacionada con la UE (incluyendo derechos de autor, responsabilidad, derecho penal).
• Respeto a los valores, derechos fundamentales y estándares éticos de la UE.

Videoseguridad e IA para infraestructuras críticas

Las empresas que operan en el sector de infraestructuras críticas necesitan prestar especial atención. Los sistemas de IA utilizados en este ámbito se clasifican, por definición, de nivel de riesgo “alto” y tienen que cumplir con los requisitos mencionados anteriormente, entre otros, los relativos a ciberseguridad, protección de datos y calidad de datos.

Implicaciones para las empresas de videoseguridad

La Ley de IA de la Unión Europea supone un hito importante para las empresas que desarrollan u operan con sistemas de videoseguridad. Por un lado, las estrictas normas y exigencias implican más esfuerzo al desarrollar e introducir nuevos sistemas; por otro lado, proporcionan una directriz clara para un uso confiable y ético de tecnología IA. El cumplimiento y la documentación se están convirtiendo en cuestiones clave para proveedores y operadoras. Es esencial adaptar los procesos internos de tal manera que se cumplan los requisitos de la Ley de IA. Esto incluye el registro preciso de todos los procesos, una documentación transparente y un control riguroso de seguridad.

Conclusión: las empresas necesitan actuar

Las empresas que emplean tecnologías de IA en el área de la videoseguridad deben estudiar detenidamente la Ley de IA de la UE. Los requisitos son exigentes, pero también ofrecen una oportunidad para posicionarse en el mercado con un alto nivel de transparencia y seguridad. Con el fin de cumplir con las nuevas obligaciones legales, las empresas deberían tomar medidas tempranas para la adaptación de sus productos y procesos internos. Las recomendaciones estratégicas son las siguientes:

1. Evaluar los propios sistemas con respecto a los niveles de riesgo de la Ley de IA de la UE.
2. Adaptarse a los requisitos de documentación y garantizar el cumplimiento mediante una revisión detallada de la documentación del sistema.
3. Capacitar al personal para entender e implementar en la práctica las nuevas exigencias.

Las empresas deberían prepararse ante los cambios que vienen para evitar riesgos legales y multas elevadas por infracción, así como para aprovechar las ventajas de un uso con seguridad jurídica y ético de la inteligencia artificial. La Ley de IA es un paso claro hacia una utilización responsable de la IA y ofrece la oportunidad de reforzar la confianza y transparencia en el empleo de tecnologías de videoseguridad.

Más información

1. Ley de IA de la Unión Europea, publicada en el Diario Oficial (12.07.2024)
2. Directrices sobre las prácticas de IA prohibidas según la Ley de IA de la Unión Europea, publicada por la Comisión (04.02.2025, en inglés)
3. Guía práctica “Tecnología de vídeo cibersegura para infraestructuras críticas y otras entidades esenciales e importantes” (en inglés)