La videovigilancia con IA ya no es ciencia ficción ni tecnología exclusiva de grandes corporaciones. Está disponible en el mercado, la ofrecen proveedores de todo tipo y cada vez más ayuntamientos y organismos públicos la están contratando o valorando. Sin embargo, hacerlo sin el análisis jurídico adecuado puede suponer una infracción grave del RGPD antes incluso de instalar la primera cámara.
El Consejo de Transparencia y Protección de Datos de Andalucía (CTPD) acaba de publicar, en junio de 2026, sus Orientaciones para la Protección de Datos en Sistemas de Videovigilancia con Analítica de Vídeo basada en Inteligencia Artificial. Se trata de un documento de 30 páginas dirigido específicamente a los responsables del tratamiento del sector público andaluz (con especial atención a las entidades locales) que pretende contratar o desplegar este tipo de sistemas. En este artículo desmenuzamos las claves más importantes.
1. La videovigilancia con IA no es solo una cámara: es un cambio de naturaleza
La videovigilancia con IA es, antes que nada, una tecnología cualitativamente distinta de la grabación tradicional. Un sistema convencional capta y graba imágenes que, en el mejor de los casos, revisará un operador humano. Un sistema con analítica de vídeo basada en IA procesa esas imágenes algorítmicamente en tiempo real: detecta y clasifica personas, vehículos y objetos; asigna identificadores persistentes; reconoce atributos como género aparente, edad estimada o vestimenta; rastrea a una misma persona a través de múltiples cámaras; y en algunos casos infiere su estado emocional o comportamiento.
Como señalan las orientaciones del CTPD, no se trata de una simple extensión técnica: es un cambio de naturaleza que modifica el alcance y las implicaciones del tratamiento. La combinación de varias de estas funcionalidades puede permitir reconstruir los desplazamientos de una persona concreta en el espacio público sin conocer su identidad civil. Esa persona, en la práctica, deja de ser anónima aunque ningún dato la vincule a un nombre.
Si te interesa cómo afecta esta tecnología en contextos más domésticos, puedes consultar el artículo que publicamos hace muy poquito sobre las orientaciones de la AEPD sobre videovigilancia en el hogar para cuidado de personas mayores.
2. Videovigilancia con IA: primero las finalidades, después la tecnología
Uno de los problemas más habituales que el CTPD identifica en los pliegos de contratación pública es que se construyen al revés: se parte de un catálogo de funcionalidades tecnológicas disponibles en el mercado y se busca después una finalidad que las justifique. La videovigilancia con IA no funciona así bajo el RGPD.
El artículo 5.1.b del RGPD exige que los datos se recojan con fines determinados, explícitos y legítimos. Esto significa que el primer paso es responder con precisión: ¿para qué necesita este sistema nuestra administración? ¿Gestión del tráfico? ¿Control de aforos? ¿Seguridad ciudadana? ¿Protección del patrimonio público? Cada finalidad tiene sus propias exigencias jurídicas, y la respuesta determina qué funcionalidades son proporcionadas y cuáles exceden lo necesario.
Un pliego que declare “gestión del tráfico urbano” e incluya a continuación capacidades de re-identificación de personas, búsqueda retrospectiva por apariencia o detección de emociones no satisface el principio de limitación de la finalidad. Y esa contratación, de ejecutarse, podría suponer una infracción desde el primer día.
3. Las bases jurídicas no se improvisan cuando se usa videovigilancia con IA
Una vez definidas las finalidades, hay que verificar que cada una cuenta con una base jurídica que la ampare. En el sector público, las bases de licitud relevantes para la videovigilancia con IA o analítica de vídeo son principalmente el cumplimiento de una obligación legal (art. 6.1.c RGPD) y el ejercicio de una misión de interés público (art. 6.1.e RGPD). El consentimiento no es una opción viable para personas captadas en espacios públicos.
El CTPD advierte de algo que frecuentemente se pasa por alto: el artículo 8.2 de la LOPDGDD exige que el tratamiento basado en interés público derive de una competencia atribuida por una norma con rango de ley. No basta invocar genéricamente el interés público ni apoyarse en ordenanzas municipales. La norma habilitante debe ser clara, precisa y de aplicación previsible.
Además, algunas funcionalidades (el reconocimiento facial, la re-identificación avanzada persistente o la detección de emociones) implican tratamiento de datos biométricos en el sentido del artículo 9 RGPD, lo que exige no solo la base del artículo 6, sino una de las condiciones del artículo 9.2, habitualmente la de interés público esencial con cobertura legal expresa. Si esa norma no existe, la funcionalidad no puede contratarse ni desplegarse.
4. El Reglamento de Inteligencia Artificial añade una capa más de exigencia a la videovigilancia con IA
La videovigilancia CON IA está también directamente afectada por el Reglamento (UE) 2024/1689 de Inteligencia Artificial (RIA). Su artículo 5 establece prácticas de IA expresamente prohibidas que son de plena aplicación en este ámbito:
- Los sistemas de identificación biométrica remota en tiempo real en espacios de acceso público con fines policiales, salvo excepciones tasadas.
- Los sistemas de reconocimiento de emociones en lugares de trabajo y centros educativos.
- Los sistemas de categorización biométrica dirigidos a deducir o inferir categorías especialmente protegidas.
Además, determinados sistemas de identificación biométrica y reconocimiento de emociones quedan clasificados como sistemas de alto riesgo (art. 6 y Anexo III RIA), lo que conlleva obligaciones específicas de evaluación de conformidad, gestión de riesgos y supervisión humana efectiva antes del despliegue. Ser un sistema de alto riesgo no equivale, por sí solo, a que su uso sea lícito: sigue siendo necesario cumplir con el RGPD y la normativa aplicable.
Para más información sobre el marco regulatorio europeo de la IA, puedes consultar la Guía de orientaciones sobre clasificación de sistemas de alto riesgo de la Comisión Europea.
5. Las obligaciones del RGPD deben trasladarse a los pliegos técnicos
El artículo 25 RGPD exige protección de datos desde el diseño. Esto tiene una consecuencia práctica directa: las exigencias de protección de datos deben estar ya en el pliego de prescripciones técnicas, no incorporarse a posteriori cuando el sistema ya está instalado.
Las orientaciones del CTPD identifican varios elementos que deben reflejarse en las especificaciones técnicas:
- Minimización de datos: cada funcionalidad debe justificarse individualmente en relación con la finalidad declarada. El pliego debe identificar expresamente qué funcionalidades no se adquieren o se entregan deshabilitadas, incluyendo mecanismos que impidan su activación futura sin una evaluación previa.
- Plazos de conservación diferenciados: no solo para las imágenes (máximo un mes con carácter general bajo el art. 22 LOPDGDD), sino también para los metadatos generados por la analítica (atributos inferidos, vectores de re-identificación, trayectorias) y los datos de reentrenamiento algorítmico, cada categoría con su propio plazo y su propia base jurídica.
- Arquitectura privacy by design: la elección entre procesamiento centralizado y procesamiento en el dispositivo (edge computing) tiene consecuencias directas para la protección de datos. Cuanto más cerca del sensor se produzca la reducción de información personal, menor es el riesgo. Las máscaras de privacidad, los plazos diferenciados y la limitación de correlación entre cámaras son medidas técnicas que deben estar en el pliego desde el inicio.
- Seguridad conforme al ENS: los sistemas de videovigilancia con IA presentan riesgos específicos como dispositivos IoT (firmware desactualizado, puertos abiertos, comunicaciones sin cifrar). La conformidad con el Esquema Nacional de Seguridad del sistema en su conjunto —no solo del proveedor o de un componente aislado— es una obligación del responsable.
6. Las alertas automáticas en la videovigilancia con IA pueden ser decisiones automatizadas
Este es uno de los puntos más frecuentemente ignorados en la práctica. Un sistema que detecta “comportamiento violento” o “merodeo sospechoso” y genera una alerta que activa la intervención policial puede estar produciendo una decisión automatizada con efectos significativos sobre una persona, en el sentido del artículo 22 RGPD.
La supervisión humana solo excluye la aplicación del artículo 22 si es significativa e individualizada: el operador debe tener formación adecuada, tiempo suficiente para evaluar cada alerta, criterios documentados para confirmar o rechazar las detecciones, y capacidad real para contradecir al sistema. Si el operador se limita a confirmar sistemáticamente las alertas algorítmicas, esa supervisión es ficticia.
Las orientaciones del CTPD ilustran esta advertencia con un caso real documentado en 2026: una persona fue detenida y permaneció varios meses en prisión tras ser erróneamente identificada por un sistema de reconocimiento facial, sin que los investigadores verificasen su presencia en el lugar de los hechos. La coincidencia algorítmica sustituyó a la investigación, en lugar de complementarla.
7. El DPD debe participar desde el diseño del sistema de videovigilancia con IA, y la EIPD no es un trámite posterior
La EIPD (Evaluación de Impacto relativa a la Protección de Datos) es obligatoria en la práctica totalidad de despliegues de videovigilancia con IA o analítica de vídeo en espacios públicos: el artículo 35.3 RGPD la exige para la observación sistemática a gran escala de zonas de acceso público, y estas orientaciones confirman que ese supuesto se da en la mayoría de los casos contemplados.
Pero hay algo más importante que el deber de realizarla: el momento en que debe realizarse. El artículo 35.1 RGPD dispone que la evaluación debe efectuarse antes del tratamiento. En la práctica, esto significa que debe estar avanzada antes de la aprobación del pliego de prescripciones técnicas, para que funcione como herramienta de diseño y no como justificación retroactiva de decisiones ya tomadas.
El Delegado de Protección de Datos debe participar desde la definición de necesidades, en la elaboración de la EIPD, en la revisión de las especificaciones técnicas y antes de la puesta en funcionamiento. Su participación tardía o meramente formal incumple el artículo 38.1 RGPD.
El CTPD ha publicado, en el apartado 7 del documento donde se recogen sus orientaciones, una lista de 26 preguntas de verificación estructurada en tres momentos: antes de licitar, antes de poner en funcionamiento, y señales de alerta que deben detener el proceso.
También puedes ampliar información sobre todo videovigilancia y protección de datos consultando la guía completa de videovigilancia de la AEPD, que complementa estas orientaciones desde el ámbito estatal.
En resumen
La contratación de sistemas de videovigilancia IA, o con analítica de vídeo basada en inteligencia artificial es una decisión de alto impacto en materia de protección de datos, y debe tratarse como tal desde el primer momento. Las orientaciones del CTPD de Andalucía ofrecen un marco práctico y riguroso para hacerlo correctamente: primero las finalidades, luego la base jurídica, después las especificaciones técnicas, con el DPD como parte del proceso desde el inicio, y con la EIPD como herramienta de diseño y no de justificación.
Si tu organización está valorando la contratación de este tipo de sistemas o necesita revisar los que ya tiene en funcionamiento, en Dataseg podemos ayudarte a realizar ese análisis: consulta los servicios que proporcionamos o no dudes en ponerte en contacto con nosotros.