Respuesta breve: La AEPD ha dirigido dos advertencias preventivas a ayuntamientos cuyos proyectos de videovigilancia incorporan análisis automatizado de imágenes mediante IA. La Agencia no prohíbe esta tecnología, pero exige justificar cada funcionalidad, demostrar necesidad y proporcionalidad, evaluar los riesgos y aplicar protección de datos desde el diseño antes de ponerla en marcha.
Qué ha señalado la AEPD sobre la videovigilancia con IA
El 6 de octubre de 2026, la Agencia Española de Protección de Datos publicó una nota sobre dos advertencias dirigidas a ayuntamientos en relación con proyectos de videovigilancia que contemplaban funcionalidades de inteligencia artificial para analizar imágenes. Las referencias oficiales son AI-00170-2026 y AI-00171-2026.
La calificación es importante: se trata de advertencias preventivas, no de sanciones. La AEPD explica que esta medida permite llamar la atención sobre tratamientos previstos que podrían no ajustarse al RGPD para que el responsable incorpore garantías antes de su implantación efectiva. Por tanto, no debe presentarse el caso como una multa ni como una declaración de infracción ya cometida.
Qué funcionalidades generan más riesgo
Según la nota oficial, uno de los proyectos incluía funcionalidades de detección o reconocimiento facial. El otro contemplaba, entre otras capacidades, detectar personas y vehículos, generar metadatos y buscar personas por características de su apariencia, como vestimenta, pelo, sexo o grupo de edad, incluso usando una fotografía como punto de partida.
La lección para cualquier organización es concreta: no basta con analizar si la cámara está permitida en abstracto. Hay que estudiar cada capacidad adicional del sistema, porque la identificación, localización, clasificación o seguimiento pueden cambiar sustancialmente la naturaleza y el riesgo del tratamiento.
Idea clave para empresas y administraciones
La disponibilidad técnica de una función de IA no justifica por sí sola su utilización. La finalidad debe estar definida antes, y cada funcionalidad debe superar un análisis específico de necesidad, idoneidad y proporcionalidad.
Qué debe analizar una organización antes de implantar el sistema
1. Finalidad y base jurídica
El responsable debe concretar qué problema pretende resolver y qué tratamiento es realmente necesario para conseguirlo. La instalación de cámaras no autoriza automáticamente el reconocimiento facial, la búsqueda por apariencia o el seguimiento de movimientos. La base jurídica debe cubrir el tratamiento real, no solo la existencia del dispositivo.
2. Datos generados y conservación
El análisis debe identificar qué datos produce cada función, si genera imágenes, metadatos, perfiles o datos biométricos, durante cuánto tiempo se conservan y quién puede acceder a ellos. También conviene documentar qué ocurre con las imágenes utilizadas para entrenar, configurar o verificar el sistema.
3. Necesidad, idoneidad y proporcionalidad
La AEPD exige que estas valoraciones se hagan respecto de cada capacidad adicional de análisis automatizado. Una medida útil para un objetivo de seguridad puede ser desproporcionada si permite identificar o rastrear a más personas de las necesarias. La organización debe poder explicar por qué no existe una alternativa menos intrusiva.
4. Evaluación de impacto y datos biométricos
Cuando el tratamiento pueda entrañar un alto riesgo para los derechos y libertades, debe realizarse una evaluación de impacto en protección de datos antes de ponerlo en marcha. Si una función trata datos biométricos destinados a identificar de manera unívoca a una persona, se activa un régimen reforzado y deben establecerse garantías específicas.
5. Transparencia y gobernanza
Las personas afectadas deben recibir información clara, accesible y comprensible sobre el tratamiento, sus finalidades y la función que desempeña el sistema. Además, deben quedar documentadas las decisiones de adquisición, selección, configuración, acceso, supervisión y revisión del proveedor tecnológico.
¿Tu empresa utiliza analítica de vídeo o reconocimiento automatizado?
Podemos revisar la finalidad, los flujos de datos, la evaluación de impacto y las garantías jurídicas del proyecto.
Qué significa la advertencia para empresas privadas
Aunque los expedientes publicados se refieren a ayuntamientos, el criterio resulta útil para empresas privadas que utilicen videovigilancia inteligente en retail, logística, industria, edificios, eventos o control de accesos. La advertencia muestra la importancia de revisar el proyecto antes de contratar la solución, no cuando el sistema ya está instalado y funcionando.
La revisión debe involucrar al área jurídica, seguridad, tecnología y, cuando proceda, al delegado de protección de datos. También debe examinar el contrato con el proveedor, la configuración por defecto, las subcontrataciones, las transferencias internacionales, los accesos remotos y la posibilidad de desactivar funciones que no sean necesarias.
Para proyectos de IA con impacto relevante, puede ser necesario coordinar el análisis de protección de datos con las obligaciones de gobernanza y gestión de riesgos del Reglamento de IA y AI Act. Esta coordinación debe hacerse sin confundir las obligaciones del RGPD con las del Reglamento de IA: son marcos relacionados, pero no intercambiables.
Checklist antes de poner en marcha videovigilancia con IA
- Definir la finalidad concreta y la base jurídica del tratamiento.
- Inventariar cada funcionalidad de análisis automatizado.
- Determinar qué datos genera cada función y quién puede consultarlos.
- Justificar necesidad, idoneidad y proporcionalidad.
- Analizar si existe tratamiento de datos biométricos.
- Realizar una EIPD cuando exista alto riesgo.
- Configurar el sistema aplicando privacidad desde el diseño y por defecto.
- Revisar proveedor, contrato, subencargados, accesos y transferencias.
- Preparar información clara para las personas afectadas.
- Establecer supervisión, revisión periódica y registro de decisiones.
Preguntas frecuentes
¿La AEPD ha sancionado a los ayuntamientos?
No. La AEPD describe las medidas como advertencias preventivas sobre tratamientos previstos. Una advertencia del artículo 58.2.a RGPD no equivale por sí sola a una declaración de infracción ni a una multa.
¿Toda videovigilancia con IA implica reconocimiento facial?
No. Puede haber detección de personas o vehículos, generación de metadatos u otras funciones. Cada capacidad debe analizarse por separado según los datos tratados y el riesgo que genere.
¿Es obligatoria una evaluación de impacto?
Debe realizarse antes de iniciar el tratamiento cuando pueda entrañar un alto riesgo para los derechos y libertades. La necesidad se determina atendiendo al sistema, finalidad, datos, escala y funcionalidades concretas.
Conclusión
La AEPD no ha establecido una prohibición general de la videovigilancia con inteligencia artificial. Ha recordado que estas soluciones deben diseñarse y justificarse desde la protección de datos, con una revisión individual de cada funcionalidad y de sus riesgos. Para empresas y administraciones, la mejor práctica es documentar la decisión antes de contratar o activar el sistema.
Valora tu proyecto de IA con Álvaro Ruipérez
Revisión jurídica de videovigilancia, datos biométricos, EIPD y gobernanza de sistemas de inteligencia artificial.
Contenido informativo: este artículo analiza una novedad pública de la AEPD y no sustituye un asesoramiento jurídico adaptado al proyecto concreto. Actualizado el 7 de octubre de 2026. Fuentes consultadas: AEPD, nota de 6 de octubre de 2026 y resoluciones AI-00170-2026 y AI-00171-2026.