Saltar al contenido
AI Policy Generator

ENQué me toca

Biometría, reconocimiento facial o de emociones en Estados Unidos (federal): normas relacionadas

Identificación o verificación de personas por rasgos físicos o de comportamiento, categorización biométrica y reconocimiento de emociones. Es el uso más restringido: hay prohibiciones en la UE y Perú, consentimiento escrito en varios estados de EE. UU. y datos sensibles en toda la región.

Clasificación de riesgo

JurisdicciónNivelFechaNota
Estados Unidos (federal)Normas sectoriales—La orden de la FTC contra Rite Aid (2023) fija pruebas, supervisión y evaluación previa del reconocimiento facial.
IllinoisProtección de datos—BIPA: política pública de retención, consentimiento escrito y prohibición de venta; acción privada.
TexasProtección de datos—CUBI: consentimiento para capturar identificadores biométricos; TRAIGA (2026) precisa su aplicación a la IA.
ColoradoProtección de datos1 de julio de 2025La ley de privacidad de Colorado amplió las obligaciones sobre datos biométricos, incluidos los de empleados.
WashingtonProtección de datos—Ley de identificadores biométricos y My Health My Data Act.
Nueva York (incl. NYC)Protección de datos—NYC exige carteles en comercios que recogen datos biométricos y prohíbe venderlos.

Obligaciones relacionadas con este caso de uso

Evaluación de riesgo antes de usar ADMT u otros tratamientos de alto riesgo

CCPA: ADMT y evaluaciones de riesgo11 CCR §§ 7150, 7151, 7152, 7155Vigente

Aplicable desde 1 de enero de 2026

Cuándo se relaciona
Aplica a empresas sujetas a la CCPA (umbral de ingresos, 100.000 residentes o 50 % de ingresos por venta de datos) que usan ADMT para decisiones significativas, infieren rasgos de empleados, candidatos o estudiantes por observación sistemática, tratan datos sensibles o entrenan ADMT o reconocimiento facial. Entrenar modelos con datos propios no basta por sí solo. Para tratamientos iniciados antes de 2026 el plazo es el 31 de diciembre de 2027.
Qué prevé la norma
  • Hacer y documentar la evaluación antes de empezar el tratamiento.
  • Describir finalidad específica, datos, beneficios concretos, impactos negativos y salvaguardas; incluir al personal que participa.
  • Que la apruebe una persona con autoridad sobre el tratamiento.
  • Revisarla al menos cada tres años y actualizarla en 45 días si hay un cambio material.
  • Conservarla mientras dure el tratamiento o cinco años desde su realización, lo que sea más largo.
  • Para tratamientos que ya existían antes del 1 de enero de 2026, el plazo es el 31 de diciembre de 2027.
Evidencias habituales
  • Evaluación de riesgo firmada y versionada
  • Lista de participantes y aprobador
Verificación
Verificado en fuente oficial el 2 de noviembre de 2026Contrastado con el texto aprobado publicado por CalPrivacy (§§ 7150 y 7155).

Enviar a la agencia el resumen de las evaluaciones con declaración firmada

CCPA: ADMT y evaluaciones de riesgo11 CCR § 7157Aprobada, aplica más adelante

Aplicable desde 1 de abril de 2028

Cuándo se relaciona
Aplica a quien haya hecho evaluaciones de riesgo en 2026 o 2027.
Qué prevé la norma
  • Enviar antes del 1 de abril de 2028 la información exigida sobre las evaluaciones de 2026 y 2027, y después cada 1 de abril.
  • Incluir una declaración firmada por un directivo, bajo pena de perjurio.
  • Entregar la evaluación completa en 30 días si la agencia o el Fiscal General la piden.
Evidencias habituales
  • Formulario enviado y acuse de recibo
  • Declaración firmada
Verificación
Verificado en fuente oficial el 2 de noviembre de 2026Contrastado con el texto aprobado (§ 7157(a)(1)).

Política pública de conservación y destrucción de datos biométricos

Illinois BIPA740 ILCS 14/15(a), (e)Vigente

Ya aplicable

Cuándo se relaciona
Aplica a quien posee datos biométricos de personas en Illinois.
Qué prevé la norma
  • Publicar una política con plazos de conservación y destrucción.
  • Destruir los datos cuando se cumpla la finalidad o a los tres años del último contacto, lo que ocurra primero.
  • Protegerlos con un nivel de seguridad igual o mayor que el de otros datos confidenciales.
Evidencias habituales
  • Política publicada y registros de destrucción
Verificación
Pendiente de confirmar en fuente oficial (última comprobación: 4 de noviembre de 2026)ilga.gov rechazó la conexión el 4-nov-2026, así que el texto oficial sigue sin contrastar. Falta confirmar en 740 ILCS 14/15(a) y (e) la política pública, el plazo de tres años y el estándar de cuidado; contenido basado en el conocimiento general de la ley.

Documentos base relacionados

Descubre qué te toca (gratis)Estados Unidos (federal)