Respuesta breve. La AEPD ha dirigido dos advertencias, publicadas el 6 de octubre de 2026, a proyectos municipales de videovigilancia que incorporaban análisis automatizado de imágenes mediante inteligencia artificial. No son multas ni resoluciones sancionadoras: son actuaciones preventivas que obligan a justificar finalidad, necesidad, proporcionalidad, base jurídica, transparencia, seguridad y supervisión antes de desplegar el sistema.
¿Tu empresa o entidad utiliza cámaras con análisis automatizado?
Una revisión jurídica temprana puede detectar si el proyecto necesita una evaluación de impacto, información específica, límites técnicos y garantías adicionales.
¿Qué ha publicado la AEPD sobre videovigilancia e inteligencia artificial?
La Agencia Española de Protección de Datos publicó el 6 de octubre de 2026 una nota sobre las garantías para incorporar inteligencia artificial a sistemas de videovigilancia. La comunicación se refiere a dos advertencias dirigidas a ayuntamientos cuyos proyectos preveían funcionalidades de análisis automatizado de imágenes.
Las resoluciones identificadas por la AEPD son AI-00170-2026, referencia EXP202621928, y AI-00171-2026, referencia EXP202621933. Ambas constan como advertencias, fueron firmadas el 29 de septiembre de 2026 y publicadas el 6 de octubre de 2026. La fuente pública no las presenta como multas ni como sanciones firmes.
La diferencia es importante: una advertencia preventiva señala riesgos y medidas que deben considerarse antes o durante el proyecto; no permite afirmar que exista una multa, una infracción declarada o una decisión sancionadora firme.
¿Por qué una cámara con IA exige un análisis diferente?
Una cámara convencional puede limitarse a captar y conservar imágenes. Cuando el sistema analiza rostros, movimientos, matrículas, comportamientos o patrones, añade operaciones de tratamiento y puede generar inferencias sobre personas identificadas o identificables. La legalidad no depende solo de que el proveedor describa la herramienta como “analítica” o “inteligente”. Hay que estudiar la función real.
El responsable debe documentar qué pretende conseguir, qué datos utiliza, qué resultados produce, quién puede consultarlos, cuánto tiempo se conservan y qué decisiones se toman a partir de ellos. Si el análisis no es necesario para la finalidad perseguida o puede lograrse con una medida menos intrusiva, la justificación del proyecto se debilita.
¿Qué garantías debe revisar una empresa antes del despliegue?
Finalidad, necesidad y proporcionalidad
La primera pregunta no es qué puede hacer el algoritmo, sino para qué necesita la organización analizar imágenes. Una finalidad genérica como “mejorar la seguridad” debe concretarse. También hay que comparar la solución con alternativas que capten menos datos, analicen en el dispositivo, eliminen imágenes rápidamente o no identifiquen personas.
Base jurídica y categorías de datos
El responsable debe identificar la base jurídica aplicable y valorar si el sistema trata categorías especiales de datos o produce inferencias especialmente sensibles. La configuración técnica, el entorno, la población afectada y la finalidad pueden cambiar el análisis. No es suficiente aceptar la base jurídica propuesta por el proveedor.
Evaluación de impacto y consulta al DPO
Cuando el tratamiento pueda entrañar un alto riesgo para los derechos y libertades, debe realizarse una evaluación de impacto relativa a la protección de datos antes de comenzar. La evaluación debe describir el sistema real, sus parámetros, los escenarios de error, los sesgos previsibles, las medidas de mitigación y el riesgo residual. Si existe DPO, debe participar y su asesoramiento debe quedar documentado.
Transparencia y ejercicio de derechos
Las personas deben recibir información comprensible sobre la videovigilancia y, cuando proceda, sobre el análisis automatizado. La organización necesita un procedimiento para atender acceso, supresión, oposición, limitación u otros derechos, teniendo en cuenta las excepciones aplicables. Un cartel genérico no siempre explica suficientemente el tratamiento adicional que realiza la IA.
Seguridad, accesos y conservación
Hay que limitar quién puede consultar imágenes, resultados y alertas, registrar accesos, separar perfiles, cifrar cuando corresponda y definir plazos de conservación. También deben controlarse las exportaciones y los accesos del proveedor. La trazabilidad es esencial para investigar una alerta, una reclamación o un uso indebido.
¿Qué relación existe entre RGPD, AI Act y contratación pública?
El RGPD y el Reglamento Europeo de Inteligencia Artificial no son intercambiables. El RGPD regula el tratamiento de datos personales y los riesgos para las personas. El AI Act añade obligaciones que dependen del tipo de sistema, su finalidad y su contexto de uso. En proyectos públicos, además, los pliegos y contratos deben describir requisitos verificables, responsabilidades, documentación, auditoría, mantenimiento y respuesta ante incidentes.
La entidad que compra o despliega una solución no puede trasladar toda la responsabilidad al proveedor. Debe conocer qué hace el sistema, qué datos necesita, qué limitaciones tiene y qué evidencias podrá aportar. La documentación comercial puede servir como punto de partida, pero no sustituye al análisis jurídico y técnico del caso concreto.
Checklist antes de activar una videovigilancia con IA
- Definir la finalidad concreta y la necesidad de analizar imágenes.
- Inventariar cámaras, funcionalidades, datos, proveedores y subencargados.
- Determinar base jurídica, categorías de datos e inferencias generadas.
- Analizar si procede una evaluación de impacto y documentar el riesgo residual.
- Consultar al DPO o responsable de privacidad cuando exista.
- Preparar información clara sobre captación, análisis, conservación y derechos.
- Limitar accesos, exportaciones, alertas y permisos de administración.
- Probar errores, falsos positivos, sesgos y escenarios de uso indebido.
- Incluir garantías de auditoría, trazabilidad, seguridad y salida en el contrato.
- Revisar periódicamente la necesidad y retirar funciones que no aporten valor proporcional.
Preguntas frecuentes
¿La AEPD ha multado a los ayuntamientos?
No. Las referencias publicadas son advertencias preventivas AI-00170-2026 y AI-00171-2026. La información disponible no las presenta como multas ni como sanciones firmes.
¿Toda videovigilancia con IA está prohibida?
No. La licitud depende de la finalidad, la necesidad, la base jurídica, la configuración, las garantías y el uso real del sistema. Algunas funciones pueden ser desproporcionadas aunque la videovigilancia convencional sea admisible.
¿Cuándo conviene hacer una evaluación de impacto?
Antes del tratamiento cuando, por su naturaleza, alcance, contexto o fines, pueda existir un alto riesgo para las personas. El análisis debe referirse al sistema concreto y no solo al nombre comercial del producto.
Este análisis forma parte del hub de RGPD, IA y derecho digital para empresas y se integra con la revisión profesional de Álvaro Ruipérez Candón.
Conclusión: la revisión debe empezar antes de comprar la herramienta
Las advertencias de octubre de 2026 muestran que la supervisión de la AEPD alcanza también a proyectos en fase de contratación o diseño. La decisión más segura es revisar finalidad, arquitectura, datos, documentación y controles antes de activar el análisis automatizado. Así se pueden corregir riesgos cuando todavía es viable cambiar la configuración o las condiciones del proyecto.
¿Necesitas revisar un proyecto de videovigilancia con IA?
Álvaro Ruipérez Candón analiza con empresas y entidades la base jurídica, la EIPD, la transparencia, los contratos y las medidas de control.
Fuentes oficiales consultadas el 9 de octubre de 2026: AEPD, garantías para incorporar IA a videovigilancia, 6 de octubre de 2026; AEPD, AI-00170-2026 y AI-00171-2026, advertencias publicadas el 6 de octubre de 2026; Reglamento (UE) 2016/679.
Autor: Álvaro Ruipérez Candón, abogado de derecho digital, privacidad e inteligencia artificial en ScandoUp Global Legal. Contenido informativo, no asesoramiento jurídico para un caso concreto.