Saltar al contenido
AI Policy Generator

ENQué me toca

Biometría, reconocimiento facial o de emociones en España: normas relacionadas

Identificación o verificación de personas por rasgos físicos o de comportamiento, categorización biométrica y reconocimiento de emociones. Es el uso más restringido: hay prohibiciones en la UE y Perú, consentimiento escrito en varios estados de EE. UU. y datos sensibles en toda la región.

Clasificación de riesgo

JurisdicciónNivelFechaNota
Unión EuropeaPráctica prohibida2 de febrero de 2025Prohibidos: extracción masiva de imágenes faciales, categorización por rasgos sensibles, emociones en trabajo y educación e identificación remota en tiempo real por las fuerzas de seguridad salvo excepciones.
Unión EuropeaAlto riesgo2 de diciembre de 2027Identificación biométrica remota y reconocimiento de emociones fuera de los ámbitos prohibidos (Anexo III(1)); la verificación uno a uno queda fuera.
Unión EuropeaTransparencia2 de agosto de 2026Informar a las personas expuestas a reconocimiento de emociones o categorización biométrica (art. 50.3).
EspañaProtección de datos—Datos biométricos para identificar son categoría especial (art. 9 RGPD); la AEPD exige evaluación de impacto y es muy restrictiva.

Obligaciones relacionadas con este caso de uso

Derechos digitales de los trabajadores ante la monitorización con IA

LOPDGDDLOPDGDD, arts. 87-91; Estatuto de los Trabajadores, art. 20 bisVigente

Ya aplicable

Cuándo se relaciona
Si monitoriza a empleados con herramientas digitales, cámaras, geolocalización o biometría.
Qué prevé la norma
  • Fijar criterios de uso de los dispositivos digitales con participación de los representantes de los trabajadores e informar a la plantilla.
  • Informar de forma previa, expresa y clara sobre videovigilancia y geolocalización.
  • Respetar la intimidad y el derecho a la desconexión digital; la AEPD rechaza la vigilancia visual continua de toda la jornada.
Evidencias habituales
  • Política de uso de dispositivos y comunicación a la plantilla.
  • EIPD de la monitorización.
Verificación
Verificado en fuente oficial el 31 de octubre de 2026Texto consolidado en el BOE. Norma vigente desde 2018; sin fechas nuevas que confirmar.

Prohibiciones sobre biometría y reconocimiento de emociones

AI ActReglamento (UE) 2024/1689, art. 5(1)(e), (f) y (g)Vigente

Aplicable desde 2 de febrero de 2025

Cuándo se relaciona
Si usa biometría, reconocimiento facial o de emociones, monitoriza trabajadores o evalúa estudiantes.
Qué prevé la norma
  • Comprobar que ninguna herramienta de monitorización o de evaluación infiere emociones de empleados o estudiantes. Medir el tono de un cliente queda fuera; medir el del agente que atiende, no.
  • Descartar la categorización biométrica que deduzca datos sensibles y las bases faciales creadas con extracción masiva de imágenes.
  • Documentar por qué cada sistema biométrico permitido no entra en las prohibiciones.
Evidencias habituales
  • Ficha de cada sistema biométrico o de monitorización con su análisis frente al art. 5.
  • Contrato o especificación del proveedor que confirme las funciones activadas.
Verificación
Verificado en fuente oficial el 2 de noviembre de 2026Fechas comprobadas en el texto consolidado del Reglamento de IA que publica el AI Act Service Desk de la Comisión Europea (versión a 27-jul-2026, con los cambios del Reglamento (UE) 2026/1744): art. 113 y art. 111.

Transparencia del usuario: deepfakes, textos de interés público y reconocimiento de emociones

AI ActReglamento (UE) 2024/1689, art. 50(3)-(4)Vigente

Aplicable desde 2 de agosto de 2026

Cuándo se relaciona
Si usa chatbots, agentes, contenido generado para marketing, clonación de voz o imagen, o reconocimiento de emociones o categorización biométrica.
Qué prevé la norma
  • Indicar de forma clara que una imagen, audio o video es un deepfake (contenido que simula personas, lugares o hechos reales). En obras artísticas o satíricas basta un aviso que no arruine la obra.
  • Indicar que un texto publicado para informar al público sobre asuntos de interés público fue generado por IA, salvo que haya revisión editorial humana con responsable.
  • Informar a las personas expuestas a reconocimiento de emociones o categorización biométrica.
  • Comprobar que el chatbot o agente de terceros que usa avisa de que es una IA; si lo configura y publica con su marca, asuma las obligaciones del proveedor.
Evidencias habituales
  • Procedimiento de etiquetado de contenido sintético con ejemplos aprobados.
  • Capturas de los avisos en web, app, teléfono y redes.
  • Registro de piezas publicadas con IA y su etiqueta.
Verificación
Verificado en fuente oficial el 2 de noviembre de 2026Fechas comprobadas en el texto consolidado del Reglamento de IA que publica el AI Act Service Desk de la Comisión Europea (versión a 27-jul-2026, con los cambios del Reglamento (UE) 2026/1744): art. 113 y art. 111.

Uso de sistemas de alto riesgo: supervisión humana, registros y monitoreo

AI ActReglamento (UE) 2024/1689, art. 26(1)-(6) y (8)-(12); Anexo III; art. 6(1) y Anexo I; art. 113Aprobada, aplica más adelante

Aplicable desde 2 de diciembre de 2027

Plazos por perfil

  • : Sistemas de alto riesgo del Anexo III
  • : IA clínica que es producto sanitario de alto riesgo (Anexo I)
Cuándo se relaciona
Si usa IA para selección o gestión de personal, monitorizar trabajadores, scoring de crédito, tarificar seguros de vida o salud, evaluar estudiantes, biometría o acceso a prestaciones públicas (Anexo III). También, desde el 2-ago-2028, si usa IA clínica que sea un producto sanitario sujeto a evaluación por organismo notificado (Anexo I).
Qué prevé la norma
  • Usar el sistema según las instrucciones del proveedor.
  • Asignar la supervisión humana a personas con competencia, formación, autoridad y apoyo suficientes.
  • Asegurar que los datos de entrada bajo su control sean pertinentes y representativos.
  • Monitorizar el funcionamiento, suspender el uso ante riesgos e informar al proveedor y a la autoridad de incidentes graves.
  • Conservar los registros automáticos (logs) bajo su control al menos seis meses.
  • Entidades públicas: registrar el uso en la base de datos de la UE. Sistemas de autoridades públicas ya en uso: plazo hasta el 2-ago-2030.
Evidencias habituales
  • Designación de supervisores humanos y su formación.
  • Política de conservación de logs y muestras de registros.
  • Plan de monitoreo y registro de incidentes.
Verificación
Verificado en fuente oficial el 2 de noviembre de 2026Fecha comprobada en el art. 113(c)(i) consolidado (2-dic-2027 para el Anexo III). El Reglamento (UE) 2026/1744 movió la fecha pero no el contenido del art. 26.

Informar y explicar a las personas afectadas por decisiones de alto riesgo

AI ActReglamento (UE) 2024/1689, arts. 26(11) y 86Aprobada, aplica más adelante

Aplicable desde 2 de diciembre de 2027

Cuándo se relaciona
Si toma o apoya decisiones sobre personas con un sistema de alto riesgo del Anexo III.
Qué prevé la norma
  • Informar a las personas de que están sujetas al uso de un sistema de alto riesgo.
  • Dar, a quien lo pida, una explicación clara y significativa del papel del sistema en la decisión y de sus elementos principales cuando la decisión tenga efectos jurídicos o le afecte de forma importante.
Evidencias habituales
  • Avisos a personas afectadas.
  • Modelo de explicación y registro de solicitudes atendidas.
Verificación
Verificado en fuente oficial el 2 de noviembre de 2026Fechas comprobadas en el texto consolidado del Reglamento de IA que publica el AI Act Service Desk de la Comisión Europea (versión a 27-jul-2026, con los cambios del Reglamento (UE) 2026/1744): art. 113 y art. 111.

Evaluación de impacto en derechos fundamentales (FRIA)

AI ActReglamento (UE) 2024/1689, art. 27Aprobada, aplica más adelante

Aplicable desde 2 de diciembre de 2027

Cuándo se relaciona
Entidades públicas y empresas privadas que prestan servicios públicos y usan IA de alto riesgo; y cualquier empresa que use IA para evaluar solvencia o tarificar seguros de vida y salud.
Qué prevé la norma
  • Antes del primer uso, evaluar procesos, duración y frecuencia, personas o grupos afectados, riesgos concretos de daño, medidas de supervisión humana y medidas ante riesgos, incluidas quejas.
  • Notificar el resultado a la autoridad de vigilancia del mercado con el formulario de la Oficina de IA.
  • Puede apoyarse en una evaluación de impacto de protección de datos ya hecha y actualizarla cuando cambien los factores.
Evidencias habituales
  • FRIA firmada y fechada.
  • Justificante de notificación a la autoridad.
Verificación
Verificado en fuente oficial el 2 de noviembre de 2026Fecha comprobada (art. 113(c)(i)). Ámbito según el art. 27: no incluye a todas las empresas que usan IA para empleo; algunas webs comerciales lo amplían de forma incorrecta.

Proveedores de sistemas de alto riesgo del Anexo III

AI ActReglamento (UE) 2024/1689, arts. 6(3)-(4), 8-17, 43, 47-49, 72-73Aprobada, aplica más adelante

Aplicable desde 2 de diciembre de 2027

Cuándo se relaciona
Si desarrolla o vende bajo su nombre un sistema de IA para un uso del Anexo III (empleo, crédito, seguros de vida y salud, educación, biometría, servicios públicos).
Qué prevé la norma
  • Sistema de gestión de riesgos durante todo el ciclo de vida y gobernanza de los datos de entrenamiento, validación y prueba.
  • Documentación técnica, registro automático de eventos, instrucciones de uso, diseño para la supervisión humana, y exactitud, solidez y ciberseguridad.
  • Sistema de gestión de calidad, evaluación de la conformidad, declaración UE de conformidad, marcado CE y registro en la base de datos de la UE.
  • Monitoreo poscomercialización y notificación de incidentes graves.
  • Si concluye que su sistema del Anexo III no es de alto riesgo (art. 6(3)), documentar el análisis y registrarlo antes de comercializarlo.
  • Las empresas medianas pequeñas (menos de 750 empleados) tienen plantillas de documentación simplificadas.
Evidencias habituales
  • Expediente técnico y sistema de gestión de calidad.
  • Declaración UE de conformidad y número de registro.
  • Plan de monitoreo poscomercialización.
Verificación
Verificado en fuente oficial el 2 de noviembre de 2026Fecha comprobada en el art. 113(c)(i) consolidado. La categoría de empresas medianas pequeñas (small mid-caps) procede de fuentes secundarias sobre el Reglamento (UE) 2026/1744.

Evaluación de impacto de protección de datos (EIPD)

RGPDRGPD, art. 35Vigente

Ya aplicable

Cuándo se relaciona
Si usa IA para evaluar o decidir sobre personas, monitorizar, usar biometría, entrenar modelos con datos personales o tratar datos sensibles o de menores.
Qué prevé la norma
  • Hacer la EIPD antes de empezar: descripción, necesidad y proporcionalidad, riesgos y medidas.
  • Consultar a la autoridad si el riesgo residual sigue siendo alto.
  • Revisarla cuando cambie el sistema o el modelo.
Evidencias habituales
  • EIPD firmada, con opinión del delegado de protección de datos si existe.
Verificación
Verificado en fuente oficial el 31 de octubre de 2026Texto oficial en EUR-Lex. Norma vigente desde 2018; sin fechas nuevas que confirmar.

Documentos base relacionados

Descubre qué te toca (gratis)España