Reconocimiento facial e inteligencia artificial: hasta dónde puede llegar el Estado en nombre de la seguridad

Santiago Carretero Sánchez, Profesor Titular de Filosofía del Derecho. Universidad Rey Juan Carlos 

La utilización de sistemas de inteligencia artificial para identificar personas mediante sus características biométricas se está convirtiendo en uno de los ámbitos donde con mayor intensidad se enfrentan innovación tecnológica, seguridad pública y derechos fundamentales. El debate adquiere especial relevancia en Italia, donde durante los últimos meses se ha desarrollado la tramitación de un decreto legislativo destinado a adaptar el ordenamiento nacional al Reglamento europeo de Inteligencia Artificial (AI Act), con una regulación específica de la utilización de sistemas de inteligencia artificial en las actividades policiales. El denominado Atto del Governo n.º 418 no constituye todavía una autorización general para utilizar reconocimiento facial en espacios públicos, sino un proyecto normativo que pretende establecer las condiciones bajo las cuales determinados sistemas de identificación biométrica podrán ser utilizados por las fuerzas de seguridad. Su importancia jurídica reside precisamente en que pone a prueba la capacidad del modelo europeo para compatibilizar las posibilidades de la IA con los límites derivados de los derechos fundamentales.¹

El punto de partida europeo es particularmente exigente. El Reglamento (UE) 2024/1689 considera prohibidos, como regla general, determinados usos de los sistemas de identificación biométrica remota «en tiempo real» en espacios de acceso público para fines policiales. Sin embargo, el artículo 5 contempla excepciones muy concretas: la búsqueda selectiva de determinadas víctimas o personas desaparecidas, la prevención de una amenaza específica, importante e inminente para la vida o la seguridad física de las personas o de un atentado terrorista, y la localización o identificación de una persona sospechosa de determinados delitos graves. Incluso en estos supuestos excepcionales, el sistema solamente puede utilizarse cuando resulte estrictamente necesario y sujeto a límites temporales, geográficos y personales. El Reglamento exige además una evaluación de impacto sobre los derechos fundamentales y, como regla general, una autorización previa de una autoridad judicial o de una autoridad administrativa independiente cuya decisión sea vinculante.²

Este diseño normativo resulta significativo porque el legislador europeo no ha optado simplemente por distinguir entre usos «buenos» y «malos» de la tecnología. Ha establecido una verdadera arquitectura de proporcionalidad. La cuestión jurídica no es únicamente si el reconocimiento facial puede contribuir eficazmente a localizar a un sospechoso, sino si esa eficacia justifica la intensidad de la injerencia que supone someter a personas identificables a sistemas automatizados de comparación biométrica. La diferencia es fundamental: mientras una cámara convencional registra imágenes que posteriormente pueden ser examinadas en determinadas circunstancias, un sistema de identificación biométrica puede transformar el espacio público en un entorno potencialmente identificable de manera permanente. La tecnología modifica así no solamente la capacidad investigadora del Estado, sino también las condiciones materiales en las que los ciudadanos ejercen derechos como la intimidad, la libertad de reunión, la libertad de expresión o la participación en manifestaciones públicas.

El caso italiano: del reconocimiento facial a la identificación biométrica policial

El proyecto italiano resulta especialmente interesante porque intenta desarrollar una regulación específica para las actividades policiales. El Atto del Governo n.º 418 contiene, entre otras previsiones, una disciplina de la identificación biométrica remota en tiempo real y del reconocimiento facial «a posteriori» integrado en sistemas de videovigilancia. El Senado italiano ha señalado expresamente que estos instrumentos presentan una elevada capacidad de injerencia no solamente sobre el derecho a la protección de los datos personales, sino también sobre las libertades de reunión, asociación y manifestación del pensamiento. Las comisiones parlamentarias competentes aprobaron el 30 de julio de 2026 un dictamen favorable con observaciones, reclamando, entre otras cuestiones, mayor precisión sobre las bases de datos de referencia, su exactitud y fiabilidad, las medidas de seguridad, los plazos de conservación y las garantías destinadas a evitar que el conjunto de datos utilizado para una identificación pueda ampliarse indiscriminadamente.³

Una de las cuestiones más delicadas afecta precisamente a la autoridad que debe controlar la utilización de estos sistemas. El texto examinado por el Parlamento italiano atribuía determinadas facultades de autorización al Ministerio Fiscal, mientras que las observaciones parlamentarias plantearon la necesidad de reforzar la independencia del control y de aproximar el régimen nacional a las exigencias del artículo 5 del AI Act. En particular, se propuso que la autorización correspondiera al juez de investigaciones preliminares y que incluso en situaciones de urgencia se mantuviera un procedimiento compatible con la exigencia europea de intervención de una autoridad judicial o administrativa independiente. El debate es jurídicamente relevante porque pone de manifiesto que la cuestión no consiste únicamente en decidir cuándo puede utilizarse el reconocimiento facial, sino también quién controla al Estado cuando decide utilizarlo.⁴

La posición del Garante italiano para la protección de datos personales refuerza esta perspectiva. En sus observaciones sobre el proyecto, la autoridad ha advertido contra tratamientos automatizados y generalizados de datos biométricos de las personas que acceden a lugares o acontecimientos públicos y ha defendido que el reconocimiento facial «a posteriori» debe operar sobre registros ya existentes y responder a una necesidad operativa concreta, evitando la creación de sistemas de recopilación masiva y preventiva. El criterio es coherente con la lógica del AI Act: la excepción prevista para determinados usos policiales no puede convertirse, mediante una interpretación extensiva, en una habilitación general para construir bases de datos biométricos de la población.⁵

La cuestión fundamental: seguridad frente a libertad

Aquí aparece el verdadero problema jurídico. El reconocimiento facial ofrece al Estado una capacidad de identificación que hasta hace pocos años resultaba materialmente imposible a gran escala. Esa transformación tecnológica puede proporcionar ventajas evidentes para la investigación criminal, la búsqueda de personas desaparecidas o la respuesta frente a amenazas graves. Pero precisamente porque aumenta extraordinariamente la capacidad de vigilancia del poder público, también aumenta la necesidad de establecer límites jurídicos efectivos. La cuestión no es, por tanto, si la tecnología funciona, sino si su funcionamiento puede quedar jurídicamente limitado de manera suficientemente precisa.

El AI Act responde mediante una combinación de prohibiciones, excepciones tasadas, autorización, evaluación de impacto, supervisión humana y límites de utilización. El Reglamento exige además que la identificación biométrica remota en tiempo real se utilice únicamente para confirmar la identidad de la persona específicamente buscada y que se tengan en consideración tanto la gravedad, probabilidad y magnitud del perjuicio que podría producirse si el sistema no se utilizara como las consecuencias que su utilización puede provocar sobre los derechos y libertades de las personas afectadas.⁶ Se introduce así una lógica que recuerda directamente al principio de proporcionalidad constitucional: la utilidad policial de la herramienta no basta; debe acreditarse su necesidad y deben reducirse al mínimo imprescindible sus efectos sobre quienes quedan sometidos a ella.

Pero existe una dimensión adicional que merece especial atención desde la perspectiva jurídica: el efecto disuasorio o chilling effect. Si los ciudadanos saben que su rostro puede ser identificado automáticamente cuando participan en una manifestación, acceden a un determinado espacio público o acuden a un acontecimiento, la vigilancia biométrica puede modificar indirectamente su comportamiento aunque nunca sean investigados ni detenidos. El propio Parlamento italiano ha identificado esta posibilidad al advertir de que estos sistemas pueden afectar a las libertades de reunión, asociación y manifestación del pensamiento.⁷ El problema deja entonces de ser exclusivamente el tratamiento de un dato personal y pasa a afectar a las condiciones estructurales de ejercicio de las libertades públicas.

La experiencia europea demuestra además que la protección no puede descansar exclusivamente en la confianza en la tecnología. El reconocimiento facial trabaja con probabilidades, bases de datos y procesos de comparación que pueden producir errores y resultados discriminatorios. Por ello, la exigencia de supervisión humana no debería interpretarse como una simple presencia formal de un funcionario que valida automáticamente el resultado producido por el algoritmo. El control humano debe ser sustantivo: comprender las limitaciones del sistema, poder cuestionar su resultado, contrastarlo con otras evidencias y asumir responsabilidad por la decisión final. Las propias comisiones parlamentarias italianas han propuesto reforzar el concepto de «revisión humana cualificada» y han planteado que los resultados de la identificación biométrica no puedan constituir por sí solos el fundamento exclusivo de decisiones restrictivas de derechos.⁸

Una frontera jurídica que Europa todavía está construyendo

El caso italiano permite observar una cuestión de mayor alcance: el AI Act no ha cerrado definitivamente el debate sobre la vigilancia biométrica, sino que ha creado un marco jurídico dentro del cual los Estados miembros deben concretar las garantías de su utilización. La verdadera prueba del modelo europeo se encuentra ahora en esa fase de aplicación nacional. El riesgo sería que las excepciones diseñadas para situaciones extraordinarias terminaran convirtiéndose progresivamente en la regla mediante una expansión de las categorías de seguridad, de las bases de datos de referencia o de los supuestos de urgencia.

Por ello, el reconocimiento facial constituye uno de los mejores ejemplos de que la regulación de la inteligencia artificial no puede reducirse a una cuestión de innovación tecnológica o de cumplimiento normativo. Estamos ante una cuestión esencialmente constitucional: qué grado de poder tecnológico puede concederse al Estado para identificar a sus ciudadanos y qué garantías deben existir para impedir que ese poder se transforme en vigilancia generalizada. El AI Act parte de una respuesta prudente: cuanto mayor sea la capacidad de la tecnología para penetrar en la esfera de libertad de las personas, mayores deben ser la necesidad, la proporcionalidad, el control independiente y la trazabilidad jurídica de su utilización.

La evolución del proyecto italiano merece, por ello, un seguimiento especial. No solamente porque pueda convertirse en un referente para otros Estados miembros, sino porque plantea una cuestión que será cada vez más frecuente en Europa: cuando la tecnología permite conocer quién se encuentra en un espacio público, la pregunta jurídica ya no es solamente quién puede ser identificado, sino quién tiene derecho a permanecer anónimo en una sociedad democrática.

Referencias y notas APA

1. Parlamento della Repubblica Italiana. (2026). Atto del Governo n. 418: Schema di decreto legislativo recante adeguamento della normativa nazionale alle disposizioni del regolamento (UE) 2024/1689 in materia di utilizzo dei sistemi di intelligenza artificiale per l'attività di polizia e di responsabilità penale e civile. Senado de la República Italiana.

2. Parlamento Europeo & Consejo de la Unión Europea. (2024). Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo, de 13 de junio de 2024, por el que se establecen normas armonizadas en materia de inteligencia artificial (Reglamento de Inteligencia Artificial), art. 5. Diario Oficial de la Unión Europea.

3. Senato della Repubblica Italiana. (2026, 30 de julio). Parere approvato dalle Commissioni riunite sull'Atto del Governo n. 418. XIX Legislatura.

4. Senato della Repubblica Italiana. (2026, 30 de julio). Schema di parere sull'Atto del Governo n. 418. XIX Legislatura.

5. Garante per la protezione dei dati personali. (2026, 29 de julio). Newsletter del 29 luglio 2026. Autorità Garante per la protezione dei dati personali.

6. Parlamento Europeo & Consejo de la Unión Europea. (2024). Reglamento (UE) 2024/1689, art. 5, apartados 2 y 3. Diario Oficial de la Unión Europea.

7. Senato della Repubblica Italiana. (2026, 30 de julio). Parere sull'Atto del Governo n. 418: sistemi di identificazione biometrica remota e riconoscimento facciale a posteriori. XIX Legislatura.

8. Senato della Repubblica Italiana. (2026, 30 de julio). Parere approvato dalle Commissioni riunite sull'Atto del Governo n. 418. XIX Legislatura.

9. European Data Protection Board. (2023). Guidelines 05/2022 on the use of facial recognition technology in the area of law enforcement. European Data Protection Board.