La Agencia Española de Protección de Datos (AEPD) ha emitido dos advertencias (AI-00170-2026 y AI-00171-2026) a dos ayuntamientos por sendos proyectos de videovigilancia que incorporan funcionalidades de inteligencia artificial destinadas al análisis automatizado de imágenes.
Estas actuaciones se enmarcan en la función preventiva de la AEPD y tienen como finalidad advertir sobre tratamientos que todavía no se han iniciado y que podrían no cumplir con la normativa de protección de datos. De este modo, los responsables pueden introducir las garantías necesarias antes de que los sistemas sean implantados.
Los dos proyectos presentan funcionalidades diferentes. Uno de ellos incluye capacidades de detección o reconocimiento facial, mientras que el otro contempla, entre otras funciones, la detección de personas y vehículos, la generación de metadatos y la búsqueda de personas a partir de características físicas o de apariencia, como la vestimenta, el pelo, el sexo o el grupo de edad. Esta búsqueda puede realizarse incluso tomando como referencia una imagen o fotografía.
La AEPD considera que los sistemas de videovigilancia que incorporan IA pueden contribuir a mejorar la eficacia de determinados tratamientos de datos cuando se diseñan y utilizan adecuadamente. El uso de estas tecnologías no está prohibido por la normativa de protección de datos, pero debe realizarse con garantías acordes con las características y los riesgos del tratamiento. Por ello, la protección de datos debe integrarse desde el inicio del proyecto y tenerse en cuenta en las decisiones relativas a la adquisición, selección, configuración e implantación de los sistemas.
Antes de poner en funcionamiento el sistema, el responsable debe determinar qué funcionalidades resultan necesarias para alcanzar la finalidad perseguida y comprobar que su utilización es proporcionada. También deberá identificar los datos que genera cada funcionalidad, establecer su período de conservación y determinar quién puede acceder a ellos. La AEPD recuerda que disponer técnicamente de funciones de identificación, búsqueda, localización o seguimiento de personas no constituye, por sí solo, una justificación para utilizarlas.
Asimismo, debe analizarse el posible impacto del tratamiento sobre los derechos y libertades de las personas afectadas. Cuando exista un riesgo elevado, será necesario realizar, antes de iniciar el tratamiento, una evaluación de impacto en protección de datos que permita identificar los riesgos y establecer las medidas necesarias para afrontarlos.
Especial atención requieren las funcionalidades que puedan suponer el tratamiento de datos biométricos destinados a identificar de manera unívoca a una persona. Si el análisis técnico determina que alguna de las capacidades del sistema implica este tratamiento, deberá aplicarse el régimen reforzado previsto para los datos biométricos y establecerse las garantías específicas correspondientes.
En el caso de tratamientos realizados por la Policía Local para prevenir, detectar o investigar infracciones penales, o para proteger frente a amenazas para la seguridad pública, el uso de estas funcionalidades deberá estar justificado atendiendo, entre otros aspectos, a su necesidad, idoneidad y proporcionalidad. Esta valoración deberá efectuarse respecto de cada funcionalidad adicional de análisis automatizado y no limitarse a justificar únicamente la instalación de las cámaras.
Por último, la AEPD destaca la transparencia como otra de las garantías fundamentales. Las personas afectadas deberán recibir información clara, accesible y comprensible acerca del tratamiento de sus datos personales, las finalidades perseguidas y la función que desempeña el sistema.