Protección de datos en el análisis de vídeo con IA: ¿qué es importante?
La finalidad, la relación con personas identificadas o identificables y el contexto de uso determinan los requisitos. El RGPD o, en su caso, la LPD suiza regulan el tratamiento de datos. La Ley de IA de la UE complementa estas normas con obligaciones y prohibiciones basadas en el riesgo. Un análisis exclusivamente en directo puede tratar ya datos personales; sin embargo, detectar a una persona no equivale automáticamente a identificarla mediante biometría.
- Protección de datosComprobar la finalidad, la proporcionalidad y el flujo de datos
- Ley de IAClasificar la función, la función jurídica de cada parte y el ámbito de uso
- ArquitecturaPlanificar las medidas de protección desde el principio
El análisis de vídeo con IA puede contar personas, clasificar vehículos o avisar de humo visible, caídas o la ausencia de equipos de protección. Técnicamente son posibles muchas funciones. Sin embargo, para la evaluación jurídica importa para qué se utiliza el sistema, qué datos procesa y qué consecuencias tienen sus resultados para las personas.
Este artículo contextualiza los principales requisitos para empresas y autoridades en la UE y Suiza. Tiene en cuenta la modificación de la Ley de IA que entró en vigor en julio de 2026. No obstante, para su proyecto deberá trasladar estas normas al caso de uso concreto y a la legislación nacional aplicable.
Por Anne-Katrin Michelmann · Synaedge AG. Estado de la investigación y la revisión editorial: 10 de septiembre de 2026.
1. Detectar no es lo mismo que identificar
Un análisis puede determinar, por ejemplo, que hay una persona en una zona restringida sin establecer quién es. La detección de caídas, objetos o armas tampoco requiere necesariamente una comparación biométrica de identidad.
Aun así, pueden tratarse datos personales: una persona puede seguir siendo identificable en la imagen o mediante información adicional. Conforme al artículo 4, punto 14, del RGPD, los datos biométricos se obtienen mediante un tratamiento técnico específico de características físicas, fisiológicas o conductuales que permiten o confirman la identificación unívoca. Cuando se tratan con esa finalidad, se aplica en principio la prohibición, con sus excepciones, del artículo 9 del RGPD. Una fotografía normal de un rostro no pertenece por ese solo hecho a esta categoría especial.
Qué riesgos generan las distintas funciones
| Función de análisis | Protección de datos | Ley de IA de la UE |
|---|---|---|
| Detectar objetos, contar personas | Puede existir tratamiento de datos personales durante la evaluación, aunque al final solo se faciliten cifras. | La función por sí sola no implica una clasificación de alto riesgo. |
| Detectar caídas, humo, fuego o armas visibles | El contenido de la imagen y la finalidad determinan la relación con datos personales; según la evaluación, también pueden verse afectados datos de salud. | El contexto de seguridad, producto o empleo puede generar requisitos adicionales. |
| Comparar un rostro con una base de datos | Para una identificación unívoca deben comprobarse el artículo 6 y, adicionalmente, una excepción del artículo 9, apartado 2, del RGPD. | La identificación biométrica remota puede ser IA de alto riesgo o estar prohibida en determinadas situaciones. |
| Confirmar una identidad en una relación uno a uno | La autenticación biométrica sigue estando especialmente protegida por la normativa de protección de datos. | La mera verificación está excluida de la categoría correspondiente del anexo III, punto 1, letra a; pueden existir otros motivos de clasificación. |
| Inferir emociones o características sensibles | Tratamiento especialmente intrusivo; según el contenido, pueden estar afectadas categorías especiales de datos. | En parte está prohibido; en otros casos pueden aplicarse obligaciones de alto riesgo y transparencia. |
El seguimiento entre cámaras mediante un identificador técnico tampoco es automáticamente anónimo. Si los movimientos pueden atribuirse a una persona o vincularse con otros datos, puede seguir existiendo una relación con datos personales.
Fundamentos: RGPD, artículos 4 y 9; Directrices del CEPD sobre dispositivos de vídeo, sección 5; Ley de IA, artículo 6 y anexo III.
2. El análisis en directo también es tratamiento de datos
«No almacenamos vídeos» no significa que no se traten datos personales. La recogida, el uso y la evaluación ya constituyen tratamiento conforme al artículo 4, punto 2, del RGPD. Esto también se aplica a imágenes analizadas durante un breve periodo en la memoria de trabajo.
El procesamiento local en el edge, los búferes breves, las zonas de análisis limitadas y los clips de eventos pueden reducir el volumen de datos. Sin embargo, una estadística anónima a la salida no convierte retroactivamente en anónimo el tratamiento previo de personas identificables.
En el pixelado resulta decisivo cuándo y dónde se aplica y quién puede acceder a las imágenes originales. Un enmascaramiento exclusivo en la interfaz de usuario no protege automáticamente el flujo original. Si siguen disponibles los originales, identificadores u otras posibilidades de atribución, no puede afirmarse de forma general que exista una anonimización completa.
3. Aclarar primero la finalidad y la base jurídica
Describa primero un objetivo concreto, como proteger un acceso determinado o detectar a una persona en una zona de peligro. A continuación, compruebe si la iluminación, el control de acceso, las medidas constructivas de seguridad u otros sensores permiten alcanzar la misma finalidad con una intrusión menor. Esta evaluación debe preceder a la selección del sistema.
En la UE, el tratamiento necesita una base jurídica conforme al artículo 6 del RGPD. En aplicaciones privadas de seguridad puede considerarse un interés legítimo conforme al artículo 6, apartado 1, letra f. No obstante, deben documentarse el interés real, la necesidad y la ponderación frente a los derechos de las personas afectadas.
Las autoridades no pueden basarse en esta ponderación de intereses para cumplir sus funciones públicas. En particular, deben comprobarse las facultades legales aplicables. Cuando el tratamiento lo realizan autoridades competentes con fines de prevención, investigación, detección o enjuiciamiento de infracciones penales, se aplica normalmente la transposición nacional de la Directiva (UE) 2016/680. Por tanto, resulta decisiva la finalidad concreta y no únicamente el nombre de la organización.
Para la identificación biométrica, un interés legítimo no basta por sí solo. Además, debe existir una excepción aplicable conforme al artículo 9, apartado 2, del RGPD. El consentimiento explícito puede constituir una excepción, pero debe ser realmente libre y revocable. En el ámbito laboral resulta especialmente crítico debido a la relación de dependencia.
4. Un cartel informativo no sustituye la base jurídica
Las personas afectadas deben recibir información comprensible sobre el tratamiento de sus datos y su finalidad. Esto incluye un aviso claramente visible antes de acceder a la zona vigilada e información complementaria conforme al artículo 13 del RGPD. En el análisis con IA también deben explicarse de forma comprensible las finalidades adicionales y las evaluaciones relevantes.
Entrar en una zona señalizada no constituye, por regla general, un consentimiento activo suficiente. Por ello, un cartel no legitima una vigilancia que de otro modo sería inadmisible.
Planifique asimismo la tramitación práctica de solicitudes de acceso, supresión y, cuando proceda, oposición. En las solicitudes relativas a imágenes deben protegerse simultáneamente los derechos de otras personas que aparezcan en ellas. No existe un plazo único de conservación aplicable a toda Europa: la finalidad concreta determina la duración necesaria. Por tanto, deben implementarse técnicamente reglas de supresión, excepciones documentadas para incidentes y derechos de acceso.
5. Evaluación de impacto y responsabilidades
Conforme al artículo 35 del RGPD, se requiere una evaluación de impacto relativa a la protección de datos, o EIPD, cuando sea probable que el tratamiento entrañe un alto riesgo para los derechos y libertades de las personas físicas. La observación sistemática a gran escala de zonas de acceso público se menciona expresamente. También pueden ser relevantes la biometría, la combinación de fuentes de datos o las evaluaciones a gran escala; además, deben comprobarse las listas nacionales obligatorias de las autoridades de control.
Una EIPD describe el tratamiento, evalúa la necesidad y la proporcionalidad y establece medidas de protección. Si, pese a estas medidas, persiste un alto riesgo, debe consultarse a la autoridad de control antes del inicio conforme al artículo 36. Compruebe también si debe nombrarse un delegado de protección de datos y qué obligaciones de documentación existen.
Quien decide sobre las finalidades y los medios esenciales es responsable del tratamiento. Los proveedores de servicios que tratan datos siguiendo instrucciones necesitan un contrato adecuado de encargo del tratamiento. La corresponsabilidad debe evaluarse por separado. Incluya también en esta evaluación el mantenimiento remoto, los subencargados y un posible uso de imágenes para entrenar modelos.
Para determinados responsables del despliegue de IA de alto riesgo, el calendario aplicable de la Ley de IA añade una evaluación de impacto sobre los derechos fundamentales conforme al artículo 27, por ejemplo, para determinados organismos públicos o proveedores privados de servicios públicos. No equivale a la EIPD; pueden incorporarse resultados de una EIPD ya existente. Esta obligación no se aplica indistintamente a todas las empresas ni a todos los análisis de vídeo.
RGPD, artículos 26, 28, 30 y 35 a 37 · Ley de IA, artículo 27
6. ¿Qué normas de la Ley de IA se aplican en 2026?
La Ley de IA no sustituye la normativa de protección de datos. Un sistema puede cumplir los requisitos de la Ley de IA y, aun así, resultar inadmisible para un tratamiento de datos concreto. A la inversa, una base jurídica de protección de datos no deja sin efecto una prohibición de la Ley de IA.
| Fecha | Significado |
|---|---|
| 2 de febrero de 2025 | Ya se aplican las prohibiciones originales del artículo 5 y la disposición sobre competencias en materia de IA. |
| 2 de agosto de 2025 | Entre otras, pasan a ser aplicables las normas de gobernanza y las obligaciones para nuevos modelos de IA de uso general; los regímenes transitorios deben comprobarse por separado. |
| 2 de agosto de 2026 | Fecha general de aplicación de muchas otras disposiciones, incluido el artículo 50 con determinadas obligaciones de transparencia. |
| 2 de diciembre de 2027 | Los capítulos III, secciones 1 a 3, se aplican en principio a los sistemas de alto riesgo conforme al artículo 6, apartado 2, y al anexo III. |
| 2 de agosto de 2028 | Se aplican las reglas de alto riesgo correspondientes a productos o componentes de seguridad incluidos conforme al artículo 6, apartado 1, y al anexo I. |
La ampliación de los plazos para sistemas de alto riesgo se basa en la modificación de julio de 2026. No aplaza de forma general todas las obligaciones. Para los sistemas ya introducidos en el mercado y para determinadas reglas especiales se aplican disposiciones transitorias adicionales. Por ejemplo, las prohibiciones añadidas en julio de 2026 sobre determinadas representaciones íntimas o de abuso generadas o manipuladas artificialmente no serán aplicables hasta el 2 de diciembre de 2026.
Ley de IA consolidada, en particular artículos 111 y 113 · Calendario de la Comisión Europea
7. Determinar el alto riesgo y las prohibiciones a partir del uso
La detección de objetos o de humo no constituye un sistema de alto riesgo por el mero hecho de utilizar IA. En cambio, sí pueden ser relevantes, entre otros supuestos, la identificación biométrica remota, determinados componentes de seguridad de infraestructuras críticas o sistemas para supervisar y evaluar a empleados. La integración en productos regulados también puede resultar determinante.
Por ello, una misma función técnica básica puede recibir una clasificación jurídica diferente según su finalidad. Para determinados casos, el artículo 6, apartado 3, prevé una excepción limitada a la clasificación de alto riesgo. Debe comprobarse y, cuando proceda, documentarse conforme a los requisitos legales; una etiqueta como «sistema de asistencia» no es suficiente.
Para el análisis de vídeo deben tenerse especialmente en cuenta las siguientes prohibiciones ya aplicables:
- La recopilación indiscriminada de imágenes faciales de internet o de vídeos de vigilancia para crear o ampliar bases de datos de reconocimiento facial.
- Determinadas categorizaciones biométricas destinadas a inferir, por ejemplo, opiniones políticas, convicciones religiosas u orientación sexual. El alcance exacto y las delimitaciones legales figuran en el artículo 5.
- El reconocimiento de emociones en el lugar de trabajo y en centros educativos,con excepciones que deben comprobarse de forma restrictiva por motivos médicos o de seguridad. Una mera detección de caídas no constituye por ese solo hecho reconocimiento de emociones.
- La identificación biométrica remota en tiempo real en espacios de acceso público con fines policiales,salvo casos excepcionales estrictamente delimitados por la ley y sujetos a requisitos adicionales.
Esta última prohibición no supone una prohibición general en la UE de todo reconocimiento facial privado. Sin embargo, su admisibilidad debe evaluarse, en particular, con arreglo a los artículos 6 y 9 del RGPD y al derecho nacional. La clasificación como sistema de alto riesgo tampoco autoriza un uso prohibido.
8. Función del responsable del despliegue, competencias en IA y verificación humana
La empresa que utiliza un sistema bajo su propia responsabilidad suele ser responsable del despliegue en el sentido de la Ley de IA. Quien desarrolla un sistema de IA, o encarga su desarrollo, y lo introduce en el mercado bajo su propio nombre puede ser proveedor. Las modificaciones sustanciales o una nueva finalidad prevista pueden generar obligaciones adicionales de proveedor conforme al artículo 25. Estas funciones deben distinguirse de las de responsable y encargado del tratamiento conforme a la normativa de protección de datos.
El artículo 4 se precisó en julio de 2026: proveedores y responsables del despliegue deben adoptar medidas que apoyen el desarrollo de competencias en materia de IA de su personal y de otras personas que trabajen para ellos. Sin embargo, no tienen que garantizar un nivel individual concreto de competencia.
La formación debe adaptarse al sistema, a la tarea y a los grupos de personas afectados; no se exige un certificado genérico. El personal de los centros de control debe comprender qué evalúa un modelo, cuáles son sus límites y cómo se tratan las falsas alarmas. Una coincidencia de «objeto similar a un arma» no constituye ni un hallazgo seguro de un arma ni una prueba de delito. Para los sistemas de alto riesgo deben aplicarse, desde la fecha que corresponda, los requisitos aplicables en materia de supervisión humana, instrucciones de uso y seguimiento.
Una decisión exclusivamente automatizada con efectos jurídicos o efectos similares de importancia puede quedar además sujeta al artículo 22 del RGPD. Sin embargo, una persona que solo confirma formalmente los resultados no constituye una revisión real. Las personas responsables necesitan información comprensible, facultades y la posibilidad de corregir un resultado o detener un proceso.
9. Transparencia adicional conforme al artículo 50
Desde el 2 de agosto de 2026, quienes utilicen sistemas de reconocimiento de emociones o categorización biométrica deben informar, en principio, a las personas afectadas sobre su funcionamiento. Las excepciones legales deben comprobarse de forma restrictiva para cada supuesto. La información debe ser clara y facilitarse, a más tardar, en el primer contacto con el sistema.
El artículo 50 también contiene requisitos para la interacción directa con IA y determinados contenidos generados artificialmente. De ello no se deriva una obligación adicional idéntica de señalización para toda detección simple de objetos. Con independencia de esto, siguen siendo necesarias la información de protección de datos y la evaluación de la licitud.
10. ¿Qué se aplica en Suiza?
En septiembre de 2026, Suiza todavía no dispone de una legislación general sobre IA comparable a la Ley de IA de la UE. La Confederación trabaja en la aplicación del Convenio Marco sobre Inteligencia Artificial del Consejo de Europa; está previsto presentar un proyecto para consulta antes de que finalice 2026. Se trata de un proyecto legislativo y no de una ley general sobre IA ya vigente.
La LPD suiza, en cambio, ya se aplica hoy de forma tecnológicamente neutra al tratamiento de datos asistido por IA. Cuando sea probable un alto riesgo, debe evaluarse una EIPD conforme al artículo 22 de la LPD. La sistemática jurídica aplicable a particulares no es idéntica a la del artículo 6 del RGPD: además de los principios del tratamiento, deben valorarse especialmente las lesiones de la personalidad y su justificación conforme a los artículos 30 y 31 de la LPD.
La videovigilancia privada debe limitarse, en principio, al ámbito propio. La captación permanente de vías públicas, propiedades ajenas o aceras no suele ser admisible; las excepciones muy limitadas requieren una evaluación concreta. Para organismos públicos cantonales o municipales también resulta aplicable la legislación cantonal correspondiente en materia de protección de datos.
En el lugar de trabajo deben tenerse especialmente en cuenta el artículo 328b del Código de Obligaciones y el artículo 26 de la Ordenanza 3 relativa a la Ley del Trabajo. Están prohibidos los sistemas destinados a vigilar el comportamiento de los empleados. Una vigilancia necesaria por otros motivos debe diseñarse de forma proporcionada y proteger la salud y la libertad de movimiento. El pixelado tampoco sustituye en este caso una causa de justificación.
Cancillería Federal: regulación de la IA · PFPDT: IA y protección de datos · LPD suiza · Espacios públicos · Lugar de trabajo
Coop: evaluación de una aplicación concreta
El 2 de octubre de 2025, el PFPDT concluyó su examen previo de las cámaras inteligentes en las cajas de autoservicio de Coop y renunció a iniciar una investigación formal. Consideró conforme con la LPD el tratamiento de datos examinado en ese caso concreto. Según las funciones analizadas, no se realizaba reconocimiento facial ni podía analizarse el comportamiento de compra.
Esto no constituye un sello general de aprobación para cámaras con IA ni una autorización para otros sistemas de caja. El ejemplo muestra por qué resultan decisivos el funcionamiento real, el uso de los datos y la información a la clientela.
11. Las obligaciones europeas también pueden afectar a proveedores suizos
Conforme al artículo 2 de la Ley de IA, también puede quedar incluido un proveedor establecido fuera de la UE si introduce sistemas de IA en el mercado de la UE o los pone allí en servicio. El ámbito de aplicación también puede afectar a proveedores y responsables del despliegue establecidos en terceros países cuando el resultado del sistema se utiliza en la UE.
El RGPD contiene sus propias normas territoriales, por ejemplo, cuando existe un establecimiento en la UE o cuando se ofrecen específicamente bienes o servicios a personas en la UE o se observa su comportamiento allí. El mero hecho de que aparezcan en algún lugar datos de un ciudadano de la UE no constituye una explicación general suficiente.
Un servidor situado en Europa tampoco responde a todas las preguntas de protección de datos. Compruebe los accesos desde terceros países, el soporte, el encargo del tratamiento y los requisitos para las transferencias internacionales de datos. A la inversa, un funcionamiento exclusivamente local no hace lícito un análisis desproporcionado.
12. Traducir la protección de datos a la arquitectura
La protección de datos desde el diseño y un tratamiento seguro conectan la evaluación jurídica con la implementación técnica. Los artículos 25 y 32 del RGPD exigen medidas técnicas y organizativas adecuadas. Por ello, deben considerarse conjuntamente la finalidad, el flujo de datos y el proceso operativo.
- Tarea y límites: documentar el evento, el ámbito de uso, las personas afectadas y las funciones excluidas.
- Área de captación: limitar los ángulos de cámara y las zonas de análisis; evitar grabaciones de audio innecesarias y superficies ajenas.
- Flujo de datos: documentar el flujo, los búferes, los clips de eventos, los metadatos, el enmascaramiento y las exportaciones, incluidos todos los proveedores de servicios.
- Evaluación jurídica: aclarar la protección de datos, la posible biometría, la EIPD, la categoría de la Ley de IA y los requisitos nacionales.
- Conservación y acceso: definir plazos justificados, supresión automática, funciones, registro y derechos sobre las vistas originales.
- Operación segura: planificar cifrado, segmentación de red, mantenimiento remoto protegido, actualizaciones y recuperación.
- Calidad y personas: definir pruebas representativas, falsas alarmas, eventos no detectados, escalados y facultades del equipo.
- Después de la puesta en marcha: revisar los cambios de modelos, finalidades y cámaras; mantener actualizadas la documentación, la formación y las medidas de protección.
Esta planificación ayuda a evitar tratamientos innecesarios de datos y a mantener la solución operativa de forma sostenible. Al mismo tiempo, proporciona la base técnica para la evaluación jurídica del proyecto concreto.
Protección de datos en el análisis de vídeo con IA: preguntas frecuentes
¿La detección de personas equivale automáticamente al reconocimiento facial?
No. Determinar que hay una persona en la imagen es distinto de comparar características biométricas para identificarla. En ambos procedimientos pueden tratarse datos personales.
¿El análisis en directo sin almacenamiento está exento de protección de datos?
No. Si se captan y evalúan personas identificables, ya existe tratamiento de datos. Los búferes breves y el procesamiento local pueden reducir la intrusión.
¿La IA de alto riesgo se aplica plenamente desde agosto de 2026?
No. Tras la modificación de julio de 2026, las normas correspondientes para los sistemas del anexo III se aplican, en principio, desde el 2 de diciembre de 2027; para los sistemas de productos incluidos en el anexo I, desde el 2 de agosto de 2028. Otras obligaciones y prohibiciones ya pueden resultar aplicables.
¿Bastan el pixelado y un servidor en Europa?
Pueden constituir medidas de protección útiles. Aun así, deben comprobarse la necesidad, la licitud, los flujos de datos reales, los plazos de conservación y los derechos de acceso.
Fuentes y conocimientos adicionales.
Los enlaces del artículo conducen a textos legales oficiales e información de las instituciones competentes. Estado de la investigación y la revisión editorial: 10 de septiembre de 2026.
- EUR-Lex: Ley de IA, versión consolidada de 27 de julio de 2026
- Comisión Europea: Ley de IA y calendario actual
- EUR-Lex: Reglamento General de Protección de Datos
- CEPD: Directrices 3/2019 sobre dispositivos de vídeo
- Fedlex: Ley federal suiza de protección de datos
- PFPDT: Videovigilancia por particulares
- Área de conocimiento de Synaedge: autoridades, leyes y orientación práctica
Este artículo ofrece orientación general y no sustituye la evaluación jurídica del caso concreto. Según el país, el sector, la función pública y el contexto laboral, se aplican otras disposiciones.
