Reglamento IA biometría: guía de cumplimiento

El anexo III, punto 1, cubre la biometría en la medida en que su uso esté permitido por el Derecho de la Unión o nacional aplicable. La palabra «biometría» de este sitio corresponde a los puntos de conexión siguientes.

• Punto 1, letra a): sistemas de identificación biométrica remota

  Un sistema de identificación biométrica remota identifica a personas físicas sin su participación activa, normalmente a distancia, comparando los datos biométricos de una persona con los contenidos en una base de datos de referencia (artículo 3, punto 41). El anexo III enumera estos sistemas sin separar la identificación en tiempo real de la identificación en diferido (artículo 3, punto 42, artículo 3, punto 43).

• La verificación queda excluida del punto 1, letra a)

  El punto 1, letra a), excluye los sistemas de IA destinados a ser utilizados con fines de verificación biométrica cuya única finalidad sea confirmar que una persona física concreta es la persona que dice ser. La verificación biométrica es la verificación automatizada «uno a uno», incluida la autenticación, comparando datos biométricos con datos biométricos facilitados previamente (artículo 3, punto 36). Un sistema así es de alto riesgo solo si otro punto del anexo III o el anexo I lo contempla.

• Punto 1, letra b): categorización según atributos sensibles o protegidos

  Sistemas de IA destinados a ser utilizados para la categorización biométrica en función de atributos o características sensibles o protegidos basada en la inferencia de dichos atributos o características. Un sistema de categorización biométrica asigna personas físicas a categorías específicas en función de sus datos biométricos, salvo que sea accesorio de otro servicio comercial y estrictamente necesario por razones técnicas objetivas (artículo 3, punto 40). El artículo 5, apartado 1, letra g) prohíbe una parte de la categorización (véase más abajo).

• Punto 1, letra c): reconocimiento de emociones

  Sistemas de IA destinados a ser utilizados para el reconocimiento de emociones. Un sistema de reconocimiento de emociones es un sistema de IA destinado a identificar o inferir las emociones o las intenciones de personas físicas a partir de sus datos biométricos (artículo 3, punto 39). El artículo 5, apartado 1, letra f) prohíbe inferir emociones en los lugares de trabajo y en los centros educativos, salvo por motivos médicos o de seguridad (véase más abajo).

• Puntos 6 y 7: otros usos por autoridades públicas

  El punto 7, letra d), del anexo III abarca los sistemas de IA utilizados por las autoridades públicas competentes, o en su nombre, o por las instituciones, órganos u organismos de la Unión, en el contexto de la gestión de la migración, el asilo o el control fronterizo, para detectar, reconocer o identificar a personas físicas, con excepción de la verificación de documentos de viaje. El punto 6 enumera usos en el ámbito de la garantía del cumplimiento del Derecho; véase el resumen correspondiente. El registro de los sistemas de los puntos 1, 6 y 7 en estos ámbitos se hace en una sección segura no pública de la base de datos de la UE (artículo 49, apartado 4).

• Tiempo real, en diferido y garantía del cumplimiento del Derecho

  Un sistema de identificación biométrica remota «en tiempo real» es aquel en el que la captura de los datos biométricos, la comparación y la identificación se producen sin una demora significativa, incluidas demoras breves limitadas para evitar la elusión (artículo 3, punto 42). Un sistema en diferido es cualquier otro sistema de identificación biométrica remota (artículo 3, punto 43). La «garantía del cumplimiento del Derecho» son las actividades realizadas por las autoridades garantes del cumplimiento del Derecho o en su nombre para la prevención, investigación, detección o enjuiciamiento de infracciones penales o la ejecución de sanciones penales, incluida la protección frente a amenazas para la seguridad pública y su prevención (artículo 3, punto 46). Una autoridad garante del cumplimiento del Derecho es una autoridad pública competente para esas tareas o cualquier otro organismo o entidad a quien el Derecho de un Estado miembro haya encomendado ejercer la autoridad pública y las prerrogativas de poder público con esos fines (artículo 3, punto 45). Un «espacio de acceso público» es cualquier lugar físico de propiedad pública o privada al que pueda acceder un número indeterminado de personas físicas, con independencia de que deban cumplirse determinadas condiciones de acceso (artículo 3, punto 44).

Las letras e) a h) del artículo 5, apartado 1 se aplican desde el 2 de febrero de 2025 (artículo 113, letra a)). Las multas pueden alcanzar hasta 35 millones de EUR o, si el infractor es una empresa, hasta el 7 % de su volumen de negocios mundial anual total, si esta cuantía es superior (artículo 99, apartado 3).

• Extracción no selectiva para crear bases de datos faciales (letra e))

  Sistemas de IA que creen o amplíen bases de datos de reconocimiento facial mediante la extracción no selectiva de imágenes faciales de internet o de circuitos cerrados de televisión. La prohibición abarca la introducción en el mercado, la puesta en servicio para este fin específico y el uso. El texto no menciona ninguna prueba de consentimiento ni ningún conjunto de datos concreto.

• Inferencia de emociones en el trabajo y en la educación (letra f))

  Sistemas de IA para inferir las emociones de una persona física en los lugares de trabajo y en los centros educativos, excepto cuando el uso del sistema esté destinado a ser instalado o introducido en el mercado por motivos médicos o de seguridad. Los sistemas de reconocimiento de emociones figuran en el anexo III, punto 1, letra c), que no los limita a un ámbito.

• Categorización biométrica de rasgos sensibles (letra g))

  Sistemas de categorización biométrica que clasifiquen individualmente a las personas físicas sobre la base de sus datos biométricos para deducir o inferir su raza, opiniones políticas, afiliación sindical, convicciones religiosas o filosóficas, vida sexual u orientación sexual. La prohibición no incluye el etiquetado o filtrado de conjuntos de datos biométricos adquiridos lícitamente, como imágenes, basado en datos biométricos ni la categorización de datos biométricos en el ámbito de la garantía del cumplimiento del Derecho.

• Identificación biométrica remota en tiempo real con fines de garantía del cumplimiento del Derecho (letra h))

  El uso de sistemas de identificación biométrica remota «en tiempo real» en espacios de acceso público con fines de garantía del cumplimiento del Derecho está prohibido, salvo y en la medida en que sea estrictamente necesario para uno de tres objetivos. El primero es la búsqueda selectiva de víctimas concretas de secuestro, trata de seres humanos o explotación sexual de seres humanos, así como de personas desaparecidas. El segundo es la prevención de una amenaza específica, importante e inminente para la vida o la seguridad física, o de una amenaza real y actual o real y previsible de un atentado terrorista. El tercero es la localización o identificación de una persona sospechosa de haber cometido un delito mencionado en el anexo II que se castigue con una pena o una medida de seguridad privativas de libertad cuya duración máxima sea de al menos cuatro años. El uso solo puede servir para confirmar la identidad de la persona específicamente buscada (artículo 5, apartado 2). Cada uso requiere una autorización previa de una autoridad judicial o de una autoridad administrativa independiente cuya decisión sea vinculante. En una situación de urgencia debidamente justificada, el uso puede iniciarse sin autorización, siempre que se solicite sin demora indebida y como máximo en 24 horas. Si se rechaza, el uso se interrumpe con efecto inmediato y los datos y resultados se suprimen (artículo 5, apartado 3). La autorización exige además una evaluación de impacto relativa a los derechos fundamentales completada y el registro del sistema en la base de datos de la UE; en casos de urgencia debidamente justificados, el registro puede completarse sin demora indebida (artículo 5, apartado 2). Cada uso se notifica a la autoridad de vigilancia del mercado y a la autoridad nacional de protección de datos (artículo 5, apartado 4). Esas autoridades presentan informes anuales a la Comisión, que publica informes anuales (artículo 5, apartado 6, artículo 5, apartado 7). Un Estado miembro puede decidir si prevé dicha autorización (artículo 5, apartado 5). La letra h) se refiere al uso con fines de garantía del cumplimiento del Derecho; se entiende sin perjuicio del artículo 9 del Reglamento (UE) 2016/679 para otros fines.

• Proveedores

  Un proveedor desarrolla un sistema, o lo hace desarrollar, y lo introduce en el mercado o lo pone en servicio bajo su propio nombre o marca (artículo 3, punto 3). Un proveedor debe garantizar que su sistema de alto riesgo cumpla los requisitos de la sección 2, que incluye los artículos 9 a 15, contar con un sistema de gestión de la calidad conforme al artículo 17 y garantizar que el sistema se someta a la evaluación de la conformidad del artículo 43 antes de su introducción en el mercado o puesta en servicio (artículo 16, letras a), c) y f)).

• Responsables del despliegue

  Un responsable del despliegue es una persona física o jurídica, autoridad pública, órgano u organismo que utilice un sistema de IA bajo su propia autoridad (artículo 3, punto 4). Los responsables del despliegue adoptan medidas técnicas y organizativas adecuadas para utilizar el sistema con arreglo a las instrucciones de uso, encomiendan la supervisión humana a personas físicas con la competencia, formación y autoridad necesarias y conservan los archivos de registro que estén bajo su control (artículo 26, apartados 1, 2 y 6). Los responsables del despliegue que sean autoridades públicas registran su uso en la base de datos de la UE (artículo 26, apartado 8, artículo 49, apartado 3). Los responsables del despliegue que sean organismos de derecho público o entidades privadas que presten servicios públicos realizan una evaluación del impacto en los derechos fundamentales antes de desplegar un sistema mencionado en el artículo 6, apartado 2 (artículo 27, apartado 1).

• Responsables del despliegue de identificación biométrica remota en diferido

  En el marco de una investigación para la búsqueda selectiva de una persona sospechosa o condenada por haber cometido un delito, el responsable del despliegue de un sistema de identificación biométrica remota en diferido debe solicitar una autorización, ex ante o sin demora indebida y como máximo en 48 horas, a una autoridad judicial o una autoridad administrativa cuya decisión sea vinculante y esté sujeta a revisión judicial, para utilizar el sistema. La excepción es el uso para la identificación inicial de un posible sospechoso basada en hechos objetivos y verificables directamente relacionados con el delito. Las autoridades garantes del cumplimiento del Derecho no pueden tomar ninguna decisión que produzca un efecto jurídico adverso para una persona basándose únicamente en los resultados de salida de ese sistema. Independientemente de la finalidad o del responsable del despliegue, cada uso de estos sistemas se documenta en el expediente policial pertinente y se pone a disposición de la autoridad de vigilancia del mercado y de la autoridad nacional de protección de datos previa solicitud, sin los datos operativos sensibles relacionados con la garantía del cumplimiento del Derecho. Los responsables del despliegue presentan a esas autoridades informes anuales sobre su uso de sistemas de identificación biométrica remota en diferido; los informes pueden agregarse (artículo 26, apartado 10).

Las infracciones de las prohibiciones del artículo 5 pueden sancionarse con multas de hasta 35 millones de EUR o, si el infractor es una empresa, de hasta el 7 % de su volumen de negocios mundial anual total del ejercicio financiero anterior, si esta cuantía es superior (artículo 99, apartado 3). Las infracciones de las obligaciones de los proveedores del artículo 16 y de los responsables del despliegue del artículo 26 pueden sancionarse con multas de hasta 15 millones de EUR o, si el infractor es una empresa, de hasta el 3 %, si esta cuantía es superior; el mismo nivel cubre las obligaciones de transparencia del artículo 50 (artículo 99, apartado 4, letras a), e) y g)). Para las pymes, incluidas las empresas emergentes, cada multa será de hasta la más baja de las dos cuantías (artículo 99, apartado 6). Para las pequeñas empresas de mediana capitalización (artículo 3, punto 14b), lo mismo vale para las multas de los artículo 99, apartado 4 y artículo 99, apartado 5, pero no para las del artículo 99, apartado 3 (artículo 99, apartado 6a). Cada Estado miembro establecerá normas sobre en qué medida pueden imponerse multas administrativas a las autoridades y organismos públicos establecidos en ese Estado miembro (artículo 99, apartado 8). El artículo 99, apartados 3 a 5, no menciona ningún nivel para el artículo 27 ni el artículo 49.

• art. 5(1)(e)–(h)
  Prohibiciones: comprobar primero

  Compruebe si el sistema entra en las letras e) a h) del artículo 5, apartado 1 antes de aplicar las normas de alto riesgo. Véanse las prohibiciones más arriba.

• art. 9
  Sistema de gestión de riesgos

  Una obligación del proveedor. Incluye considerar a las personas menores de 18 años y otros colectivos vulnerables (artículo 9, apartado 9). El Reglamento no fija ningún valor ni método de riesgo específico para la biometría.

• art. 10, 4a
  Gobernanza de datos y categorías especiales de datos

  Criterios de calidad para los datos de entrenamiento, validación y prueba (artículo 10). Los proveedores podrán tratar excepcionalmente categorías especiales de datos personales para la detección y corrección de sesgos, con seis condiciones (artículo 4 bis, apartado 1).

• art. 12(3)
  Conservación de registros: contenido mínimo

  En los sistemas del punto 1, letra a), los archivos de registro anotan el período de cada uso, la base de datos de referencia, los datos de entrada con coincidencia y las personas que verificaron el resultado (artículo 12, apartado 3).

• art. 13
  Transparencia e instrucciones de uso

  El proveedor facilita instrucciones de uso con, como mínimo, los datos del artículo 13, apartado 3. El artículo 13 no establece ninguna norma sobre carteles o avisos para las personas captadas por un sistema.

• art. 14(5)
  Supervisión humana: verificación por dos personas

  En los sistemas del punto 1, letra a), ninguna actuación ni decisión basada en una identificación antes de la verificación y confirmación por separado de al menos dos personas físicas con la competencia, formación y autoridad necesarias (artículo 14, apartado 5). Excepción para la garantía del cumplimiento del Derecho, la migración, el control fronterizo y el asilo cuando el Derecho considere desproporcionado el requisito.

• art. 15, 17
  Precisión, solidez, ciberseguridad y gestión de la calidad

  Obligaciones del proveedor (artículo 15, artículo 17). El Reglamento no fija, para la biometría, ningún valor de precisión, parámetro de tasa de error ni método de prueba. El proveedor declara los niveles y parámetros de precisión en las instrucciones de uso (artículo 15, apartado 3).

• art. 26–27
  Obligaciones de los responsables del despliegue y evaluación de impacto en los derechos fundamentales

  Uso conforme a las instrucciones, supervisión humana, archivos de registro (artículo 26). Los responsables del despliegue de sistemas de alto riesgo del anexo III que tomen decisiones o ayuden a tomar decisiones relacionadas con personas físicas informan a estas (artículo 26, apartado 11). Identificación remota en diferido en investigaciones penales: autorización e informes (artículo 26, apartado 10). Evaluación de impacto en los derechos fundamentales para los responsables del despliegue mencionados en el artículo 27, apartado 1.

• art. 43(1)
  Procedimiento de evaluación de la conformidad para el punto 1

  Cuando el proveedor haya aplicado normas armonizadas (artículo 40) o, en su caso, especificaciones comunes (artículo 41), opta por el control interno del anexo VI o por una evaluación con un organismo notificado conforme al anexo VII. El anexo VII se aplica cuando tales normas no existen y no hay especificaciones comunes disponibles, cuando el proveedor no ha aplicado la norma o solo la ha aplicado en parte, cuando no ha aplicado especificaciones comunes existentes, o cuando una norma se ha publicado con una restricción. En los sistemas puestos en servicio por autoridades garantes del cumplimiento del Derecho, de inmigración o de asilo o por instituciones de la Unión, la autoridad de vigilancia del mercado actúa como organismo notificado (artículo 43, apartado 1).

• art. 49
  Registro en la base de datos de la UE

  Los proveedores se registran y registran su sistema antes de su introducción en el mercado o puesta en servicio (artículo 49, apartado 1). Los responsables del despliegue que sean autoridades públicas registran su uso (artículo 49, apartado 3). En los sistemas de los puntos 1, 6 y 7 en los ámbitos de la garantía del cumplimiento del Derecho, la migración, el asilo y la gestión del control fronterizo, el registro se hace en una sección segura no pública, con información limitada (artículo 49, apartado 4).

• art. 50(3)
  Obligación de información en el reconocimiento de emociones y la categorización biométrica

  Los responsables del despliegue de un sistema de reconocimiento de emociones o de categorización biométrica informan a las personas físicas expuestas a él del funcionamiento del sistema y tratan los datos personales de conformidad con la normativa de protección de datos. La obligación no se aplica a los sistemas cuyo uso la ley permita para detectar, prevenir o investigar delitos, con las garantías adecuadas y de conformidad con el Derecho de la Unión (artículo 50, apartado 3). La identificación biométrica remota no se nombra en este apartado.

• Artículo 9 para la IA biométrica: gestión de riesgos

  La gestión de riesgos para la IA biométrica: lo que el artículo 9 exige al proveedor.

• Artículo 14 para la IA biométrica: supervisión humana

  La supervisión humana para la IA biométrica, incluida la verificación por dos personas en la identificación remota.

• Prácticas de IA prohibidas: artículo 5 del reglamento IA

  Todas las prácticas de IA prohibidas del artículo 5, incluidas las biométricas.

• Reglamento IA fuerzas del orden: cumplimiento

  El resumen de garantía del cumplimiento del Derecho: anexo III, punto 6, y las normas para las autoridades garantes.