Una empresa instala cámaras nuevas en su tienda y el proveedor le ofrece, como añadido "gratis", un módulo de análisis facial que detecta la edad y el estado de ánimo de cada cliente que entra. Suena a mejora de marketing. Lo que casi nadie se pregunta es si ese módulo concreto encaja dentro de lo que el Reglamento Europeo de Inteligencia Artificial (AI Act) permite. La respuesta, en varios usos biométricos habituales, es que no.
El AI Act no trata toda la IA por igual: clasifica los sistemas según su nivel de riesgo, y en el escalón más alto sitúa un grupo reducido de prácticas que quedan prohibidas de forma directa, sin posibilidad de "cumplir mejor" para seguir usándolas. Varias de esas prácticas prohibidas tienen que ver, precisamente, con datos biométricos. Vamos a repasar cuáles son y por qué importan a una pyme que ni se plantea hacer vigilancia masiva.
Qué significa que un uso de IA esté "prohibido" y no solo "de alto riesgo"
El AI Act distingue varios niveles: riesgo mínimo (la mayoría de la IA que usamos a diario), riesgo limitado (con obligaciones de transparencia, como avisar de que se habla con un chatbot), alto riesgo (con requisitos exigentes de documentación, supervisión humana y evaluación) y riesgo inaceptable. Este último nivel no admite matices: son prácticas que el reglamento considera incompatibles con los derechos fundamentales, y por tanto no se pueden desplegar en la Unión Europea aunque la empresa esté dispuesta a documentarlas, auditarlas o limitarlas. No es una cuestión de "hacerlo con cuidado", es una cuestión de no hacerlo.
Usos biométricos que el reglamento sitúa entre los prohibidos
Dentro de ese grupo de riesgo inaceptable, el AI Act recoge varias prácticas relacionadas directamente con datos biométricos. En términos generales, y sin entrar en la redacción jurídica exacta (para eso está el texto oficial y tu asesoría legal), destacan estas:
- Categorización biométrica para inferir datos especialmente sensibles. Sistemas que, a partir de una cara o una voz, intentan deducir cosas como la ideología política, la orientación sexual, la religión o el origen racial de una persona, quedan fuera de lo permitido salvo excepciones muy concretas.
- Reconocimiento de emociones en el trabajo o en la educación. Herramientas que analizan el rostro o la voz de empleados o estudiantes para inferir su estado emocional (si están estresados, motivados, mintiendo) están prohibidas en estos contextos, con contadas excepciones ligadas a motivos médicos o de seguridad.
- Creación de bases de datos de reconocimiento facial mediante scraping masivo. Extraer imágenes de caras de internet o de cámaras de videovigilancia de forma indiscriminada para construir una base de datos de reconocimiento facial no está permitido.
- Identificación biométrica remota "en tiempo real" en espacios de acceso público con fines de aplicación de la ley. Este es el caso más mediático, y el reglamento lo restringe de forma muy estricta, reservándolo a las fuerzas de seguridad y solo bajo supuestos tasados. No es un uso que una empresa privada pueda plantearse en ningún caso.
Qué sigue estando permitido: la diferencia entre identificar y verificar
Aquí está el matiz que más confunde a las pymes: no toda la biometría está prohibida, ni de lejos. Verificar la identidad de una persona concreta que ya ha dado su consentimiento (por ejemplo, desbloquear un dispositivo con la huella, o un sistema de fichaje biométrico con base legal clara y información previa a la plantilla) es un uso distinto al de identificar o categorizar de forma masiva y sin consentimiento específico a personas indeterminadas. La clave suele estar en tres preguntas: ¿hay consentimiento informado?, ¿se identifica a una persona concreta que lo sabe, o se analiza a cualquiera que pase por delante de una cámara?, ¿se usa para verificar algo puntual o para inferir características sensibles de la persona?
Por qué esto le importa a una pyme que "solo compra un producto"
El riesgo real para la mayoría de las empresas no es que decidan construir un sistema de vigilancia masiva a propósito. El riesgo es comprar o activar, sin saberlo, una función de un proveedor externo que sí incurre en alguna de estas prácticas: una cámara de seguridad con analítica de emociones activada por defecto, un software de selección de personal que puntúa las videoentrevistas según el tono emocional del candidato, o una plataforma de marketing que categoriza a los visitantes de una tienda por rasgos que no deberían inferirse de una cara. Antes de contratar cualquier herramienta que procese imágenes, voz o vídeo de personas, conviene preguntar explícitamente al proveedor qué hace el sistema por dentro, no solo qué promete en la ficha comercial. Esta misma lógica de exigir transparencia a los proveedores de IA es la que desarrollamos en IA y RGPD: implanta inteligencia artificial cumpliendo la ley, donde tratamos el otro gran marco normativo con el que el AI Act convive.
Una cautela importante antes de seguir
Este artículo explica el marco general del AI Act en materia de biometría con fines divulgativos, no es asesoría legal. El reglamento incluye definiciones técnicas, excepciones y matices que solo un profesional puede valorar aplicados a tu caso concreto. Si tu empresa usa o está valorando usar cualquier tecnología que procese datos biométricos, consulta con una asesoría legal o un despacho especializado en protección de datos antes de desplegarla, y no tomes este artículo como la última palabra sobre si un uso concreto está permitido o no.
Conclusión
El AI Act prohíbe de forma directa un grupo concreto de usos biométricos: categorización para inferir rasgos sensibles, reconocimiento de emociones en el trabajo o la educación, scraping masivo para bases de datos faciales e identificación biométrica remota en tiempo real con fines policiales fuera de los supuestos tasados. La mayoría de las pymes no van a diseñar estos sistemas desde cero, pero sí pueden activarlos sin saberlo al contratar un proveedor que no ha sido transparente sobre qué hace su tecnología. Si tu empresa está valorando incorporar agentes de IA y quiere hacerlo con las garantías claras desde el diseño, en MG Solutions revisamos contigo qué necesita cada proyecto. Para conocer también qué plazos y sanciones generales contempla el reglamento, puedes seguir leyendo en AI Act: sanciones y plazos que debe conocer una pyme en 2026. Habla con nosotros si quieres resolver dudas concretas sobre tu caso.