La AEPD ha dirigido dos advertencias a sendos Ayuntamientos cuyos proyectos de videovigilancia contemplaban funcionalidades de Inteligencia Artificial para analizar imágenes (puede acceder a estos documentos aquí y aquí). Estas actuaciones de la autoridad de control, efectuadas con carácter preventivo, tienen como principal finalidad garantizar que los responsables incorporen las medidas necesarias antes de poner en marcha los tratamientos de datos, sin que ello suponga la comisión de una infracción ni la imposición de una sanción.
En relación con el objeto de las advertencias, uno de los proyectos de los Ayuntamientos prevé funciones de detección o reconocimiento facial, mientras que el otro incluye la “detección de personas y vehículos, la generación de metadatos y la búsqueda de personas por características” como la vestimenta, el pelo, el sexo o su edad. Asimismo, las herramientas de IA utilizadas por este último Ayuntamiento permitían iniciar búsquedas a partir de una fotografía, pudiendo localizar a una persona en las grabaciones de las distintas cámaras.
La AEPD recuerda que la disponibilidad técnica de estas funcionalidades no justifica por sí sola su utilización. Así, antes de implantar el sistema, debe analizarse su necesidad y proporcionalidad respecto de la finalidad perseguida, sin limitar esta valoración a la mera instalación de las cámaras. También deben determinarse los datos y metadatos que se pueden tratar o generar, sus plazos de conservación y los perfiles de acceso.
Asimismo, la autoridad de control subraya que las garantías deben incorporarse desde las fases de selección y configuración de los equipos. El análisis de riesgos debe abarcar todo el ciclo de vida del sistema, incluidas las actualizaciones o ampliaciones que añadan nuevas funcionalidades. De este modo, cuando el tratamiento pueda entrañar un alto riesgo para los derechos y libertades de los afectados, deberá realizarse una evaluación de impacto antes de su puesta en funcionamiento. Respecto a los datos biométricos, la AEPD señala que debe comprobarse técnicamente si las funcionalidades permiten identificar de manera unívoca a una persona, en cuyo caso resultará aplicable su régimen reforzado de protección.
Adicionalmente, las operaciones realizadas por la Policía Local con fines de prevención o investigación de infracciones penales o de protección frente a amenazas contra la seguridad pública deben ajustarse a la Ley Orgánica 7/2021, justificando específicamente su necesidad y proporcionalidad y evaluando, entre otras cuestiones, los posibles errores y la intervención humana.
Del mismo modo, la AEPD recuerda que las personas afectadas deben recibir información clara, accesible y comprensible sobre el tratamiento, sus finalidades y la función del sistema. En este sentido, la incorporación de IA a la videovigilancia exige acreditar que cada funcionalidad responde a una necesidad concreta y se han implementado garantías adecuadas y suficientes para preservar los derechos de la ciudadanía.
