Nota editorial, 24 de septiembre de 2026: conservamos la fecha original. La versión anterior atribuía autorizaciones judiciales y evaluaciones de conformidad a todos los usos biométricos de ciertas categorías, y presentaba el interés legítimo por sí solo como excepción al artículo 9 del RGPD. Corregimos esas generalizaciones con el Reglamento de IA y el RGPD.
La palabra biometría abarca operaciones muy distintas. Una fotografía corriente no demuestra por sí sola que se traten datos biométricos para identificar de forma unívoca a una persona. Una verificación de identidad uno a uno tampoco es lo mismo que buscar a alguien entre muchas personas mediante identificación biométrica remota. La finalidad, el método y el contexto determinan qué normas revisar.
Empieza por la función real
Registra qué característica se procesa, si se compara con una referencia, a quién afecta, en qué espacio se usa y quién decide con el resultado. Distingue al proveedor del sistema de la organización que lo despliega. Con esos hechos, comprueba primero el artículo 5 del EU AI Act y luego, si procede, la clasificación del artículo 6 y el Anexo III.
Prácticas prohibidas: excepciones precisas
El artículo 5 prohíbe, entre otras prácticas, crear o ampliar bases de reconocimiento facial mediante extracción no selectiva de imágenes de internet o cámaras de vigilancia; determinadas categorizaciones biométricas para inferir atributos sensibles; e inferir emociones en el trabajo o centros educativos, salvo los fines médicos o de seguridad previstos.
También prohíbe la identificación biométrica remota en tiempo real en espacios de acceso público para fines de aplicación de la ley, con excepciones acotadas y condiciones estrictas. No equivale a decir que todo uso de cámaras por una empresa está permitido, ni que cualquier identificación biométrica en una frontera tiene exactamente el mismo régimen. Para las excepciones policiales, el artículo 5 exige comprobar finalidad, necesidad, proporcionalidad, autorización y demás salvaguardias del caso; no basta una categoría genérica de «seguridad».
Alto riesgo: solo los usos enumerados y permitidos
El Anexo III incluye determinados sistemas de identificación biométrica remota, categorización biométrica y reconocimiento de emociones en la medida en que su uso esté permitido por el Derecho de la UE o nacional. La verificación biométrica destinada únicamente a confirmar que una persona es quien dice ser no se convierte automáticamente en alto riesgo por la categoría de identificación remota. Un sistema utilizado para otra finalidad enumerada, como ciertas decisiones laborales, requiere un análisis separado de esa finalidad.
Si el uso resulta de alto riesgo, los requisitos del sistema y las obligaciones del proveedor y del responsable del despliegue son diferentes. La evaluación de conformidad, las instrucciones y el registro se determinan por las disposiciones aplicables; no se puede afirmar que todo uso biométrico requiera un organismo notificado o autorización judicial. Consulta la guía de clasificación y el texto oficial.
El RGPD sigue aplicando
Cuando se procesan datos biométricos con el fin de identificar de manera unívoca a una persona, el artículo 9 del RGPD los trata como categoría especial. El responsable necesita una base del artículo 6 y, además, una condición pertinente del artículo 9(2), con los requisitos nacionales que correspondan. El interés legítimo por sí solo no es una excepción a la prohibición general del artículo 9; el consentimiento explícito tampoco es la única vía posible ni resulta siempre válido en una relación laboral. Una foto tratada sin finalidad de identificación unívoca exige su propio análisis de protección de datos, pero no debe etiquetarse automáticamente como dato biométrico especial.
Antes de desplegar, documenta finalidad, necesidad, alternativas menos intrusivas, información a personas afectadas y controles de acceso y conservación. Determina con asesoría especializada si hace falta una evaluación de impacto en protección de datos.
Fencia puede ordenar documentos compatibles y presentar posibles preguntas de revisión para una persona. No clasifica de forma definitiva un uso biométrico ni autoriza su despliegue.
Fuentes oficiales: Reglamento de IA en EUR-Lex, artículos 3, 5 y 6 y Anexo III; RGPD en EUR-Lex, artículos 4, 6, 9 y 35; Comisión Europea, preguntas sobre el AI Act.