Reglamento de IA y videovigilancia: obligaciones y plazos

El aplazamiento del Reglamento de IA ya no es una propuesta. El Reglamento (UE) 2026/1744, el “ómnibus digital” sobre inteligencia artificial, se publicó en el Diario Oficial de la Unión Europea el 24 de julio de 2026 y está en vigor desde el 27 de julio. Retrasa las obligaciones de los sistemas de alto riesgo, los biométricos entre ellos, del 2 de agosto de 2026 al 2 de diciembre de 2027.

Las prohibiciones no se han movido. Se aplican desde el 2 de febrero de 2025, y las sanciones desde el 2 de agosto de 2025.

Para quien instala o integra cámaras el cuadro práctico es este. La identificación biométrica en tiempo real en espacios de acceso público está prohibida a las fuerzas de seguridad, con tres excepciones. El uso por empresas privadas queda fuera de esa prohibición, pero choca con la normativa de protección de datos. El análisis de vídeo que no toca datos biométricos queda fuera del punto 1 del anexo III.

Plazos al 12 de noviembre de 2026

Fecha	Qué se aplica	Estado hoy
2 de febrero de 2025	Prohibiciones del artículo 5 y medidas de alfabetización en IA (artículo 4)	En aplicación
2 de agosto de 2025	Gobernanza y sanciones: hasta 35 millones de euros o el 7 % de la facturación mundial por las prohibiciones (para las pymes se aplica el importe menor, artículo 99.6)	En aplicación
2 de agosto de 2026	Fecha general del reglamento. Quien use reconocimiento de emociones o categorización biométrica debe informar a las personas expuestas (artículo 50.3)	En aplicación, según nuestra lectura del texto
2 de diciembre de 2026	Dos prohibiciones nuevas: contenido íntimo no consentido y material de abuso sexual infantil generados con IA	Dentro de 20 días, no afectan a las cámaras
2 de diciembre de 2027	Obligaciones de los sistemas de alto riesgo del anexo III, biometría incluida	Aplazada por el ómnibus, ya en vigor
2 de agosto de 2028	Alto riesgo de los productos regulados por el anexo I	Aplazada por el ómnibus
2 de agosto de 2030	Plazo para los sistemas de alto riesgo ya en servicio en las administraciones públicas	Nuevo artículo 111

Faltan 385 días para el 2 de diciembre de 2027. El texto explica el aplazamiento por el retraso de las normas técnicas y de las autoridades nacionales (considerando 40). Cambian las fechas de las obligaciones del artículo 26 que se citan aquí, que el ómnibus no modifica; sí retoca otros artículos (por ejemplo el 4, el 25 y el 27).

Quién vigila en España

Aquí la situación es distinta de la italiana. El Consejo de Ministros aprobó el 26 de mayo de 2026, para su remisión al Congreso, el proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial. Según la nota oficial, los sistemas no regulados por legislación de producto, como los de biometría, se atribuyen principalmente a la Agencia de Supervisión de Inteligencia Artificial (AESIA), junto con la AEPD y el Consejo General del Poder Judicial según el ámbito. El proyecto fija también el régimen sancionador.

El 8 de junio de 2026 la Mesa del Congreso encargó el dictamen a la Comisión de Economía, Comercio y Transformación Digital. Un dosier de agosto no recoge más. No he podido comprobar si la ley se ha aprobado desde entonces: mírelo en el BOE antes de citarla a un cliente.

La AEPD ya dijo en julio de 2025 que no tenía atribuida formalmente la condición de autoridad de vigilancia del mercado a efectos del reglamento mientras no hubiera ley, y que seguía siendo la autoridad de protección de datos, con capacidad de actuar sobre tratamientos hechos con sistemas prohibidos. La AESIA existe desde el Real Decreto 729/2023, con sede en A Coruña, y entre sus funciones está supervisar el cumplimiento de las normas nacionales y europeas sobre IA.

Qué prohíbe el artículo 5

La prohibición que más cerca queda de la videovigilancia es la letra h). Prohíbe usar sistemas de identificación biométrica remota “en tiempo real” en espacios de acceso público con fines de aplicación de la ley. La definición de espacio de acceso público incluye los lugares de titularidad privada abiertos a un número indeterminado de personas.

Hay tres excepciones: buscar víctimas de secuestro, trata o explotación sexual y personas desaparecidas; una amenaza específica, sustancial e inminente para la vida o un atentado terrorista; localizar a un sospechoso de un delito del anexo II castigado con al menos cuatro años de pena. Hace falta autorización previa de un juez o de una autoridad independiente. En urgencia se empieza y la solicitud llega, como mucho, en 24 horas.

Para los privados están las directrices de la Comisión, que no son vinculantes. Un supermercado que usa reconocimiento facial para detectar ladrones conocidos, un estadio que reconoce a aficionados con prohibición de entrada, un colegio: todos quedan fuera del artículo 5, porque no es aplicación de la ley (punto 426). Las mismas directrices recuerdan a continuación que esos usos deben respetar las normas de protección de datos (punto 428).

Hay un caso en que el privado sí entra. Un centro comercial que busca ladrones por encargo de la policía actúa para la autoridad: las directrices lo ponen como ejemplo de uso prohibido, porque esa búsqueda no figura entre las tres excepciones (punto 386 y ejemplos).

Otras dos prohibiciones afectan a las cámaras inteligentes:

• el reconocimiento de emociones en el trabajo y en centros educativos, salvo motivos médicos o de seguridad (letra f). Las directrices ponen el caso de cámaras de un supermercado que siguen las emociones de sus empleados: prohibido. Las mismas cámaras para detectar clientes sospechosos no entran en la prohibición si no se sigue a ningún empleado y hay garantías;
• la categorización biométrica que deduce raza, opiniones políticas, afiliación sindical, convicciones religiosas o filosóficas, vida sexual u orientación sexual (letra g).

Instalar cámaras preparadas para biometría no está prohibido en sí. Lo están ciertos usos, como la identificación indiscriminada de personas.

Alto riesgo desde 2027 y obligaciones de quien lo usa

El anexo III, punto 1, enumera tres familias de sistemas biométricos, en la medida en que su uso esté permitido por el derecho europeo o nacional: identificación biométrica remota, categorización biométrica por atributos sensibles y reconocimiento de emociones. Queda fuera la verificación biométrica, la comparación uno a uno para confirmar que una persona es quien dice ser.

El texto define como “remota” la identificación hecha sin la participación activa de la persona. El lector de un control de acceso al que uno se acerca a propósito tiene, según nuestra lectura, otro perfil que la cámara que mira a la multitud. La clasificación de cada producto debe darla el fabricante: pídala por escrito antes de ofrecerlo.

Quien usa el sistema (el “responsable del despliegue”, el cliente final) tiene obligaciones propias en el artículo 26:

• usar el sistema según las instrucciones del proveedor, con medidas técnicas y organizativas adecuadas;
• encargar la supervisión humana a personas con competencia, formación y autoridad;
• conservar los registros (logs) que genera el sistema, si están bajo su control, al menos seis meses, salvo otra norma europea o nacional sobre datos personales;
• informar a trabajadores y representantes antes de usarlo en el centro de trabajo;
• usar la información del proveedor para la evaluación de impacto sobre la protección de datos;
• si es administración pública o presta servicios públicos, hacer antes una evaluación de impacto en los derechos fundamentales (artículo 27).

Los seis meses son de los registros del sistema, no de las grabaciones de vídeo. Para estas rige otro régimen, que explicamos en el artículo sobre conservación de imágenes de videovigilancia. Sobre la evaluación de impacto, véase la evaluación de impacto en videovigilancia, y sobre el uso en la empresa las cámaras de videovigilancia en el trabajo.

El integrador se lee con el artículo 25. Pasa a ser proveedor, con todas sus obligaciones, si pone su marca en un sistema de alto riesgo ya comercializado, lo modifica de forma sustancial o cambia su finalidad hasta convertirlo en de alto riesgo. Un programa de terceros con el logo del integrador encima es el caso que conviene evitar.

Instalaciones ya en servicio

Este es el punto que las guías de primera página se saltan. El nuevo artículo 111.2 dice que los sistemas de alto riesgo puestos en servicio antes de la fecha de aplicación solo quedan sujetos al reglamento si desde esa fecha sufren cambios importantes de diseño. Para los destinados a las administraciones públicas hay en todo caso un plazo, el 2 de agosto de 2030.

Dos casos. Una instalación de empresa con análisis biométrico de alto riesgo, recepcionada en octubre de 2027, no cae en el reglamento el 2 de diciembre de 2027. Cae si en 2029 se cambia el diseño de forma importante. La misma instalación, si es de un ayuntamiento, debe estar adaptada antes del 2 de agosto de 2030 en cualquier caso. El texto del artículo no explica qué cuenta como cambio importante, y hasta que lleguen las orientaciones conviene fijar en el contrato quién decide y quién responde.

La regla vale para el alto riesgo. El artículo 111 deja a salvo el artículo 5: una instalación antigua que incurra en una práctica prohibida sigue estando prohibida.

Italia y Reino Unido, para comparar

Italia ya ha legislado. El Decreto legislativo 160/2026, en vigor desde el 30 de septiembre de 2026, regula la IA en la actividad policial. Su artículo 10 permite integrar IA en la videovigilancia que la ley ya autoriza, pero activa el reconocimiento facial solo después de captar las imágenes, con un intervalo que excluya la identificación en tiempo real, y con autorización judicial a las 48 horas si se busca a un indiciado. El apartado 13 es de obra: la instalación y el mantenimiento de esos componentes pueden correr a cargo de quienes gestionan los lugares y organizan los eventos, y los sistemas se ceden en comodato gratuito a la policía. En Italia rige también una moratoria que suspende, hasta el 31 de diciembre de 2027 como máximo, el reconocimiento facial en lugares públicos o abiertos al público, también para privados.

En Reino Unido el Reglamento de IA no se aplica por el solo hecho de trabajar allí. Vale para quien está establecido en la Unión y para proveedores y usuarios de terceros países cuando el resultado del sistema se usa en la Unión (artículo 2). Una empresa británica que instala en Madrid está dentro. Para una instalación en Manchester valen el UK GDPR, la ICO y, para las autoridades, el Surveillance Camera Code. La ICO pide una evaluación de impacto antes de cada despliegue de reconocimiento facial y justificar cada caso, centros comerciales incluidos. Su guía está en revisión tras la Data (Use and Access) Act.

Qué hacer en la práctica

• Antes de proponer análisis de vídeo sobre rostros o emociones, pida al fabricante por escrito la clasificación del producto en el Reglamento de IA, las instrucciones de uso y dónde quedan los registros.
• No instale funciones de reconocimiento de emociones sobre empleados. Están prohibidas desde el 2 de febrero de 2025, con sanciones de hasta 35 millones de euros o el 7 % de la facturación.
• Si un cliente privado pide reconocimiento facial en la entrada, parta de la normativa de protección de datos y de la AEPD, no del Reglamento de IA.
• Escriba en el contrato qué sistema se suministra, quién lo configura y quién responde si cambia la finalidad. El artículo 25 traslada obligaciones al integrador.
• Para instalaciones públicas puestas en marcha antes del 2 de diciembre de 2027, anote la fecha de puesta en servicio: sirve para acreditar el régimen del artículo 111.
• Separe los registros del sistema de las grabaciones de vídeo, que tienen plazos distintos.
• Para informar a los presentes, repase las reglas del cartel de videovigilancia.