Videovigilancia con IA: qué exige la AEPD a los ayuntamientos

El 6 de octubre de 2026, la Agencia Española de Protección de Datos (AEPD) hizo públicas dos advertencias a dos ayuntamientos cuyos proyectos de videovigilancia incluyen análisis de imágenes con inteligencia artificial: uno prevé «detección/reconocimiento facial» y el otro, búsqueda de personas por su aspecto. La idea central: la disponibilidad técnica de una función de identificación, búsqueda o seguimiento no justifica por sí misma su uso. La necesidad y la proporcionalidad se valoran por cada función de IA, no solo por instalar cámaras.

Las advertencias son preventivas y, según la propia Agencia en una nota al pie de la nota de prensa, no suponen declarar que haya habido infracción. Lo que importa al ayuntamiento y a su proveedor es dónde las detectó la Agencia: en los expedientes de contratación.

La AEPD partió de los pliegos de contratación

Las advertencias AI-00170-2026 y AI-00171-2026 se refieren a tratamientos aún no iniciados, en ayuntamientos anonimizados. La AEPD las dirige con base en el artículo 58.2.a) del Reglamento General de Protección de Datos (RGPD) y en el artículo 50 de la Ley Orgánica 7/2021. Si no se adoptan las medidas necesarias, el ayuntamiento «podría incurrir en una infracción», con posibles actuaciones de investigación o correctivas, incluidas las sancionadoras.

Cada advertencia parte de un expediente de contratación y de su Pliego de Prescripciones Técnicas (PPT). En la AI-00170, la Agencia toma la inclusión de «detección/reconocimiento facial» en el pliego como un indicio de que el sistema podría analizar imágenes de personas con IA y, eventualmente, identificarlas de forma unívoca.

Para un ayuntamiento, esto adelanta el momento de pensar en protección de datos: es al redactar el pliego, no al recibir las cámaras. La nota de prensa lo dice así: la protección de datos debe incorporarse desde las primeras fases y formar parte de las decisiones sobre adquisición, selección, configuración e implantación. Para una empresa que licita, lo que figura en las especificaciones técnicas puede leerlo la autoridad de control.

Los dos casos, frente a frente

AI-00170-2026AI-00171-2026
Qué prevéNuevos sistemas en instalaciones municipales, gestión y visualización centralizada desde la Policía Local y, en las especificaciones de los grabadores, funciones de «detección/reconocimiento facial»Decenas de cámaras nuevas y más de un centenar ya instaladas, integradas en una plataforma centralizada (VMS), con detección de personas y vehículos mediante IA, metadatos y búsqueda por apariencia. El propio PPT especifica que las cámaras analizarían el 100 % de la escena el 100 % del tiempo, aunque no exista un evento configurado
MunicipioCenso superior a 30.000 habitantesCenso superior a 80.000 habitantes
Duda de la AEPDSi las funciones se activarán y si se generarán plantillas o vectores biométricos, comparaciones 1:1 o 1:N o galerías de imágenes de referenciaQué representación técnica usa el sistema para localizar a una persona en varias cámaras a partir de una foto o de sus rasgos

Función disponible no es función justificada

La AI-00170 concreta que el reconocimiento facial y otras formas de identificación o reidentificación deben permanecer deshabilitados mientras no se haya justificado antes su necesidad y proporcionalidad para una finalidad policial concreta.

A mi juicio, esto desmonta una tentación habitual en la compra pública: pedir «todo lo que el fabricante ofrezca» por si acaso. Cada módulo exigido, o incluido de serie, es algo que habrá que justificar por escrito antes de encenderlo.

¿Se aplica el RGPD o la Ley Orgánica 7/2021?

Depende de la finalidad de cada operación. Las advertencias distinguen las operaciones sometidas al RGPD de las que realiza una autoridad competente para la prevención, detección, investigación o enjuiciamiento de infracciones penales o la protección frente a amenazas contra la seguridad pública, que quedan sometidas a la Ley Orgánica 7/2021, de 26 de mayo.

Para la Policía Local en esos fines, la AEPD cita los artículos 6, 10, 11, 13, 14, 15, 16 y 18 de esa ley. Los más relevantes:

Del lado del RGPD, la AEPD cita además los artículos 24 y 25 (diseño y por defecto), 35 (EIPD) y 12 a 14 (información, con los artículos 22 y 89 de la Ley Orgánica 3/2018); y de la Ley Orgánica 7/2021, los artículos 21, 27, 28 y 35.

Qué hay que tener documentado antes de encender el sistema

Lista de comprobación a partir de la AI-00171:

Qué documentarObservación
Necesidad y proporcionalidad de cada función de IA para la finalidad concretaCada función, no solo las cámaras
Si hace falta tratar sexo, grupo de edad, pelo o vestimenta y conservar los metadatos derivadosLas inferencias de sexo o edad son apreciaciones, no hechos (art. 10 LO 7/2021)
Qué representaciones técnicas usan la búsqueda por apariencia y la localización multicámaraDe ello depende si hay biometría
Qué hace el sistema con la fotografía que sirve de punto de partidaEs un dato más del tratamiento
Si cámaras, VMS o servidores traen reconocimiento facial, face matching, reidentificación de personas, galerías o similares, aunque estén deshabilitadosSu mera disponibilidad no los justifica
Plazos de conservación diferenciados para imágenes, fotografías, metadatos y resultados de búsquedaLos datos derivados necesitan su propia regla
Configuración por defecto con solo lo estrictamente necesario habilitadoProtección de datos por defecto

La AI-00170 añade los perfiles y el acceso remoto, las garantías para ampliaciones o cambios de configuración que incorporen nuevas capacidades, y un análisis de riesgos que cubra todo el ciclo de vida, desde la contratación hasta la retirada del sistema.

Cuando el tratamiento sea susceptible de entrañar un alto riesgo, la AEPD exige realizar antes una evaluación de impacto en protección de datos (EIPD), según el artículo 35 del RGPD y el 35 de la Ley Orgánica 7/2021. En el segundo caso, la Agencia pide tener en cuenta la escala, el análisis sistemático del espacio público, la búsqueda retrospectiva de personas y la futura ampliabilidad. Tienes la guía de la EIPD y el caso AENA, sobre reconocimiento facial.

Si una función es biométrica, el régimen se endurece

Si el análisis técnico concluye que una función genera o usa datos biométricos para identificar de forma unívoca, se aplica el régimen reforzado: artículos 4.14 y 9 del RGPD y artículo 13 de la Ley Orgánica 7/2021. La AI-00171 enumera lo que habría que analizar: el patrón o embedding, la modalidad de comparación, las fuentes de las imágenes de referencia, los umbrales de similitud, las tasas de error y la intervención humana antes de cualquier actuación policial. Para la verificación 1:1 en el sector privado, la AEPD ha publicado después un criterio sobre datos biométricos que explica por qué no todos los usos biométricos pesan igual.

La AI-00171 resume el artículo 13 en tres condiciones: estricta necesidad, garantías adecuadas y alguna de las circunstancias habilitantes del artículo 13.1 (por ejemplo, que lo prevea una norma con rango de ley o el Derecho de la Unión). El apartado 2 contempla expresamente el tratamiento biométrico por las autoridades competentes para estos fines.

Dónde encaja el Reglamento de IA

Ni la nota de prensa ni las advertencias invocan el Reglamento (UE) 2024/1689, de inteligencia artificial. Lo que exige la AEPD sale del RGPD y de la Ley Orgánica 7/2021, pero quien compra o suministra estos sistemas tiene una segunda capa, y conviene no mezclar las dos. Según el texto del Reglamento en el BOE:

En mi lectura, la pregunta de la AEPD («¿hay identificación unívoca?») y la del Reglamento («¿es identificación biométrica remota, en tiempo real o en diferido?») se contestan con la misma documentación técnica, pero llevan a consecuencias distintas. No clasifico ningún sistema concreto: depende de cómo funcione cada producto. Para el marco general, tienes la clasificación de riesgo del Anexo III, las prácticas de IA prohibidas y el cumplimiento del AI Act.

Qué conviene hacer en tu ayuntamiento

A partir de las advertencias, esta es la secuencia que propongo:

  1. Antes de publicar o adjudicar el pliego, lista cada función de IA que pide o que trae el equipo y escribe para qué finalidad concreta la necesitas.
  2. Quita lo que no puedas justificar. Si una función viene de serie, exige que pueda mantenerse deshabilitada y que el fabricante lo declare.
  3. Identifica, para cada operación, si la rige el RGPD o la Ley Orgánica 7/2021 según su finalidad. Si interviene la Policía Local, es probable que convivan las dos.
  4. Pregunta por escrito al proveedor qué hace el sistema por dentro: qué representaciones técnicas genera, si hay plantillas o vectores biométricos, qué hace con la foto de partida y qué se guarda.
  5. Haz la EIPD antes del tratamiento, con el asesoramiento del delegado de protección de datos (art. 35.2 RGPD), que un ayuntamiento debe tener (art. 37.1.a).
  6. Fija plazos de conservación distintos para imágenes, fotografías, metadatos y resultados, y define quién accede y si hay acceso remoto.
  7. Prepara la información a los afectados (artículos 12 a 14 del RGPD y 21 de la Ley Orgánica 7/2021) y revisa todo antes de cada ampliación que añada capacidades.

Si eres proveedor: qué conviene que lleve la oferta

La advertencia va al ayuntamiento, que es el responsable del tratamiento, pero quien redacta la oferta técnica es el proveedor. Lo que yo prepararía a partir de lo que pide la AEPD:

Si prestas el servicio a un ayuntamiento, mira también el ENS: el artículo 2.3 del Real Decreto 311/2022 lo extiende a los proveedores privados que prestan servicios o soluciones al sector público para el ejercicio de sus competencias, y prevé que los pliegos recojan los requisitos de conformidad. La herramienta «¿me obliga el ENS?» sirve de primer filtro. Y qué medidas del ENS cubren los riesgos de brecha más frecuentes lo tienes en una tabla en el artículo sobre el aumento de las brechas notificadas a la AEPD.

Qué hago yo por ti

Soy Ángel Ortega Castro, consultor de cumplimiento normativo. En este tema trabajo en tres frentes:

Si estás preparando un pliego o una oferta de cámaras con IA, reserva una videollamada de 30 minutos y revisamos qué conviene documentar antes de que te lo pida la AEPD.

Preguntas frecuentes

¿Está prohibida la videovigilancia con inteligencia artificial en los ayuntamientos?

No. La AEPD escribe que la normativa de protección de datos no impide utilizar estas tecnologías, pero exige garantías adecuadas a sus riesgos. Al margen de la protección de datos, el Reglamento de IA prohíbe la identificación biométrica remota en tiempo real en espacios de acceso público con fines policiales, salvo excepciones tasadas (art. 5.1.h).

¿Qué es una advertencia de la AEPD y supone una sanción?

Es una medida preventiva del artículo 58.2.a) del RGPD, en la redacción corregida por el DOUE L 74, de 4 de marzo de 2021 («dirigir… una advertencia»), que la Agencia puede adoptar cuando unas operaciones de tratamiento previstas puedan infringir el Reglamento. Según la AEPD, no supone declarar que el destinatario haya cometido una infracción, pero si no se adoptan las medidas necesarias podría haber actuaciones de investigación o correctivas, incluidas las sancionadoras.

¿Cuánto tiempo pueden conservarse las grabaciones de videovigilancia policial?

Cuando se aplica el artículo 18 de la Ley Orgánica 7/2021, deben destruirse como máximo a los tres meses desde su captación, salvo que estén relacionadas con infracciones penales o administrativas graves o muy graves en materia de seguridad pública, sujetas a una investigación policial en curso o con un procedimiento judicial o administrativo abierto. Hay que fijar también el régimen de los datos derivados: metadatos, plantillas, vectores o resultados de coincidencia.

¿Puede un ayuntamiento activar el reconocimiento facial si el equipo lo trae incluido?

Según la AI-00170, no basta con que el equipo lo traiga: debe permanecer deshabilitado mientras no se haya justificado su necesidad y proporcionalidad para una finalidad policial concreta, y cualquier activación posterior exige una evaluación previa específica. Si identifica de forma unívoca, entra además el régimen del artículo 13 de la Ley Orgánica 7/2021. Y si se tratara de identificación biométrica remota en tiempo real en espacios de acceso público con fines policiales, el Reglamento de IA la prohíbe salvo excepciones tasadas, con autorización previa judicial o de una autoridad administrativa independiente conforme a una ley nacional (arts. 5.1.h, 5.3 y 5.5).

Fuentes

Fuentes consultadas el 4 de noviembre de 2026. Los ayuntamientos destinatarios no están identificados en los documentos publicados.

Herramientas gratuitas relacionadas

Sin registro y con fuentes oficiales. Comprueba tu caso en 2 minutos.

Generador de RAT · art. 30 RGPD →Genera tu registro de actividades de tratamiento pre-rellenado por actividad, editable e imprimible.Brecha de datos: ¿notificar a la AEPD? →Comprueba si debes notificar en 72 horas, comunicar a los afectados y qué documentar.Simulador de sanciones RGPD →Estima de forma orientativa tu exposición a multas del RGPD.