AI y vigilancia: desde agosto de 2026, informar ya no es opcional
Actualizado el 8 de octubre de 2026. En seguridad electrónica, la conversación suele empezar por las prestaciones: resolución, visión nocturna, analítica de vídeo, alertas o acceso remoto. Pero desde el pasado 2 de agosto, una pregunta ha ganado peso en Europa: ¿sabe la persona expuesta que un sistema de IA está analizando, clasificando o generando contenido sobre ella?
Ese desplazamiento no procede de una nueva generación de cámaras, sino de la aplicación de las obligaciones de transparencia del artículo 50 del AI Act. La Comisión Europea publicó sus directrices sobre estas obligaciones el 20 de julio de 2026 y comunicó el 31 de julio el inicio de la aplicación de las nuevas reglas desde el 2 de agosto. El cambio afecta a proveedores y a usuarios profesionales —los llamados deployers— de determinados sistemas de IA.
Para responsables de instalaciones, integradores, comercios, empresas y operadores de edificios, la consecuencia es muy concreta: una instalación de videovigilancia ya no debe evaluarse únicamente por lo que registra. Hay que identificar si su capa de software interactúa, infiere emociones, realiza categorización biométrica o crea imágenes, audios, vídeos e informes sintéticos. Si lo hace, la transparencia deja de ser una nota secundaria de la documentación técnica y pasa a formar parte del funcionamiento responsable del sistema.
El hecho relevante: el artículo 50 ya se aplica
El marco temporal importa. Según la comunicación de la Comisión Europea de 31 de julio de 2026, desde el 2 de agosto el AI Office y las autoridades nacionales comienzan a aplicar estas reglas junto con los nuevos requisitos de transparencia relativos a interacción con IA, contenido generado o alterado y deepfakes.
Las directrices publicadas el 20 de julio pretenden facilitar una aplicación coherente, efectiva, proporcionada y uniforme. No sustituyen el texto legal ni el análisis de cada caso, pero sí aclaran una idea que interesa especialmente al sector de la seguridad: las obligaciones no recaen todas sobre la misma parte de la cadena de valor.
Un proveedor debe diseñar y facilitar determinados elementos de transparencia; quien despliega profesionalmente el sistema debe asumir las obligaciones asociadas a su uso efectivo, su contexto y la información dirigida a las personas. En otras palabras, comprar una solución con IA no traslada automáticamente toda la responsabilidad de informar al fabricante o al distribuidor.
La cámara no es el único elemento que debe revisarse
Conviene evitar dos simplificaciones. La primera: una cámara que graba vídeo no queda sometida por sí sola a todas las obligaciones del artículo 50. La segunda: que cualquier función denominada comercialmente «inteligente» activa el mismo régimen. Lo decisivo es la funcionalidad concreta y el uso que se hace de ella.
En una instalación convencional, la captación de imágenes puede plantear obligaciones relevantes de protección de datos, información y proporcionalidad, pero el artículo 50 se vuelve particularmente sensible cuando se añaden determinadas capas de IA. La Comisión identifica expresamente el reconocimiento de emociones y la categorización biométrica: cuando un deployer utiliza estos sistemas, debe informar a las personas expuestas a ellos, tanto si el sistema opera en tiempo real como si analiza material posteriormente.
Esta precisión merece atención. Una analítica que detecta movimiento, identifica una intrusión o cuenta aforo no equivale automáticamente a reconocimiento de emociones o categorización biométrica. Sin embargo, una plataforma puede incorporar más módulos de los que se activaron inicialmente: análisis de comportamiento, atributos físicos, estimaciones de estado emocional, creación automática de resúmenes, clips reconstruidos o informes narrativos a partir de imágenes. El nombre comercial de la solución no basta para saber qué hace realmente.
Por ello, el inventario técnico ya no debería limitarse a listar cámaras, grabadores y licencias. Debe preguntar qué modelo de IA interviene, qué entradas utiliza, qué inferencias produce, quién puede activarlo y cómo llega el resultado a un vigilante, a un responsable de seguridad o a una aplicación de gestión de incidencias.
Emociones y biometría: el punto de mayor exposición
El texto de referencia del artículo 50 disponible en el AI Act Service Desk establece que quienes despliegan sistemas de reconocimiento de emociones o categorización biométrica deben informar a las personas expuestas sobre la operación del sistema. La información ha de ser clara, distinguible y accesible.
En la práctica, esto obliga a revisar si la señalización existente comunica lo que verdaderamente ocurre. Un aviso genérico de «zona videovigilada» puede explicar que hay cámaras, pero puede resultar insuficiente si el lugar emplea herramientas que pretenden inferir estados emocionales o clasificar personas mediante datos biométricos. La cuestión no es añadir carteles sin criterio, sino alinear señalética, política informativa, interfaz de usuario y documentación operativa con las funciones activas.
También es una cuestión de gobernanza. Si un módulo se prueba, se desactiva o se activa por una actualización de software, debe existir una trazabilidad interna suficiente para saber qué se usó, durante cuánto tiempo y bajo qué reglas. No es una tarea que pueda dejarse exclusivamente al departamento de compras o al instalador.
Deepfakes y contenido sintético: la prueba deja de ser solo una imagen
El otro cambio relevante para el entorno de seguridad es la transparencia de los contenidos generados o manipulados por IA. La Comisión señala que los proveedores deben hacer que los contenidos sintéticos puedan detectarse o marcarse en formato legible por máquina en los supuestos previstos. Además, quienes divulgan determinados deepfakes tienen deberes de revelación.
Esta regla no solo concierne a grandes plataformas. Una organización puede generar automáticamente una reconstrucción audiovisual de un incidente, resumir una secuencia con IA, alterar un vídeo para ilustrar una hipótesis o preparar una comunicación pública con una voz sintética. El contexto, la finalidad y el tipo de contenido importan. En particular, las comunicaciones sobre asuntos de interés público pueden requerir una divulgación visible de que el contenido ha sido generado o manipulado artificialmente, con las excepciones previstas por la norma.
Para el sector de la seguridad, la implicación editorial y probatoria es evidente: una imagen procesada por IA no debe presentarse como si fuera necesariamente una grabación original sin modificaciones. Diferenciar entre material bruto, mejora técnica, recreación, resumen automatizado y contenido sintético protege la comprensión de quien recibe la información y ayuda a conservar la trazabilidad de una incidencia.
Existe una disposición transitoria limitada para ciertos sistemas ya comercializados antes del 2 de agosto de 2026: la Comisión explica que el margen hasta el 2 de diciembre de 2026 se refiere específicamente a requisitos de marcado y detectabilidad de contenido generado por IA. No debe interpretarse como una moratoria general de todas las obligaciones de transparencia.
Cuatro preguntas que un responsable debería plantear ahora
Este no es un manual jurídico ni una lista cerrada de cumplimiento. Es, más bien, un cambio de enfoque para no descubrir demasiado tarde que la función relevante estaba oculta tras una licencia, una actualización o una configuración por defecto.
1. ¿Qué funciones de IA están activas de verdad?
No basta con la ficha comercial. Conviene distinguir detección de intrusión, conteo, reconocimiento facial, análisis de comportamiento, categorización biométrica, reconocimiento de emociones, generación de clips y redacción automática de informes. Preguntar por estas capacidades permite separar una analítica operacional de una función que exige una transparencia reforzada.
2. ¿Quién es proveedor y quién despliega el sistema?
Los contratos, anexos técnicos y acuerdos de mantenimiento deberían dejar claro quién provee el sistema, quién decide su uso, qué módulos están disponibles, qué documentación aporta cada parte y quién gestiona los avisos destinados a usuarios o personas expuestas. Las obligaciones son distintas, pero deben encajar. Una cadena de suministro opaca es una mala base para informar correctamente.
3. ¿La información visible describe la realidad?
La señalización y las capas informativas digitales deben responder al uso concreto. Esto incluye los espacios físicos, pero también los portales de acceso, las aplicaciones o los canales en los que una persona pueda interactuar con un asistente, avatar o sistema automatizado. Cuando sea aplicable, informar no es un gesto cosmético: es una condición para que la exposición a la IA no sea invisible.
4. ¿Se conserva la diferencia entre dato original y resultado de IA?
En una investigación interna, la capacidad de explicar el recorrido de una evidencia puede ser tan importante como haber detectado una alerta. Separar el vídeo original de un resumen generado, documentar los parámetros de análisis y conservar el contexto de uso ayuda a evitar interpretaciones indebidas. Esta disciplina es compatible con una cultura de equipos de contraespionaje orientada a identificar riesgos tecnológicos sin confundir una señal técnica con una conclusión definitiva.
Lo que esta novedad no significa
El artículo 50 no prohíbe de forma general la videovigilancia inteligente. Su centro de gravedad es la transparencia: informar cuando se interactúa con IA, hacer detectable o revelar contenido sintético en los casos previstos e informar de ciertos usos de reconocimiento de emociones o categorización biométrica.
Tampoco debe confundirse con el régimen completo de sistemas de IA de alto riesgo. La Comisión indica que las obligaciones de alto riesgo para ámbitos como biometría, infraestructuras críticas, empleo, migración y control fronterizo se aplicarán desde el 2 de diciembre de 2027, conforme al calendario actualizado. Son planos relacionados, pero no idénticos.
Y hay una tercera confusión que conviene despejar: las excepciones muy estrictas previstas para el uso policial de identificación biométrica remota en tiempo real en espacios públicos no son una autorización trasladable a la seguridad privada. El artículo 5 del AI Act contempla prohibiciones y excepciones delimitadas para fines policiales, sujetas a condiciones, autorizaciones y garantías específicas. No legitima, por extensión, usos empresariales ajenos a ese marco.
Por último, cumplir el AI Act no sustituye al RGPD. Cuando hay datos personales, siguen aplicándose las normas europeas de protección de datos pertinentes. La transparencia sobre IA debe integrarse con la información, la base jurídica, la minimización de datos, los plazos de conservación y las demás obligaciones que correspondan. En entornos de investigación digital, esta separación entre capacidad técnica, finalidad legítima y trazabilidad resulta especialmente importante.
La transparencia pasa a formar parte del diseño de seguridad
La novedad de agosto de 2026 no obliga a abandonar la automatización ni convierte toda cámara en un sistema prohibido. Obliga, en cambio, a mirar con más precisión qué hace el software alrededor de la cámara. La pregunta relevante ya no es únicamente si un dispositivo ve, graba o alerta. Es si analiza, clasifica, infiere o genera contenido, y si las personas afectadas pueden saberlo de una forma clara.
Para un sector acostumbrado a medir cobertura, detección y tiempo de respuesta, esta es una evolución significativa: la transparencia se incorpora al diseño operativo. No como un añadido al final del proyecto, sino como parte de la decisión de activar una función de IA, contratar un servicio o comunicar una incidencia. Ante dudas sobre un caso concreto, corresponde solicitar asesoramiento jurídico y de protección de datos especializado.
Fuentes
- Comisión Europea, comunicado sobre el inicio de la aplicación y nuevas exigencias de transparencia (31 de julio de 2026): https://digital-strategy.ec.europa.eu/en/news/commission-starts-enforcing-ai-act-rules-and-new-transparency-requirements-2-august
- Comisión Europea, directrices sobre obligaciones de transparencia para proveedores y deployers (20 de julio de 2026): https://digital-strategy.ec.europa.eu/en/library/guidelines-transparency-obligations-providers-and-deployers-ai-systems
- Comisión Europea, preguntas frecuentes sobre el artículo 50: https://digital-strategy.ec.europa.eu/en/faqs/transparency-obligations-under-article-50-ai-act
- AI Act Service Desk, artículo 50: https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-50
- AI Act Service Desk, artículo 5: https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-5
Preguntas frecuentes
¿Desde cuándo se aplican las obligaciones de transparencia del artículo 50 del AI Act?
Según la Comisión Europea, las nuevas reglas de transparencia comenzaron a aplicarse el 2 de agosto de 2026. A partir de esa fecha, el AI Office y las autoridades nacionales empiezan a aplicar obligaciones vinculadas con la interacción con sistemas de IA, los contenidos generados o alterados y determinados deepfakes. Las directrices de la Comisión se publicaron el 20 de julio de 2026.
¿Una cámara de videovigilancia está automáticamente sujeta a todas las obligaciones del artículo 50?
No. El hecho de que una cámara grabe imágenes no activa por sí solo todas las obligaciones de transparencia del artículo 50. Lo determinante es la función concreta de IA y el uso que se hace de ella. Deben revisarse las capas de software que analizan, clasifican, infieren o generan contenido a partir de las imágenes captadas.
¿Qué usos de IA en videovigilancia exigen informar a las personas expuestas?
El artículo 50 exige que quien despliega sistemas de reconocimiento de emociones o de categorización biométrica informe a las personas expuestas sobre el funcionamiento del sistema. Esta obligación se aplica tanto si la operación se realiza en tiempo real como si el análisis se efectúa posteriormente sobre material grabado. La información debe ser clara, distinguible y accesible.
¿Es suficiente un cartel genérico de «zona videovigilada»?
Puede no ser suficiente cuando, además de grabar, el sistema utiliza herramientas para inferir estados emocionales o clasificar personas mediante datos biométricos. Un aviso genérico comunica la presencia de cámaras, pero no necesariamente explica esas funcionalidades específicas. La señalización, la política informativa, las interfaces y la documentación operativa deben reflejar las funciones de IA que estén realmente activas.
¿La detección de movimiento o el conteo de personas equivalen a categorización biométrica?
No automáticamente. Una analítica que detecta movimiento, identifica una intrusión o cuenta aforo no equivale por sí misma al reconocimiento de emociones ni a la categorización biométrica. Es necesario identificar qué modelo interviene, qué datos utiliza, qué inferencias produce y cómo se entregan sus resultados. El nombre comercial de una solución «inteligente» no permite determinar por sí solo su régimen aplicable.
¿Qué diferencia existe entre proveedor y deployer de un sistema de IA?
Las obligaciones no recaen de igual modo sobre todos los participantes. El proveedor debe diseñar y facilitar determinados elementos de transparencia. El deployer, es decir, quien utiliza profesionalmente el sistema, debe asumir las obligaciones vinculadas al uso efectivo, al contexto de operación y a la información dirigida a las personas. Comprar una solución con IA no transfiere automáticamente toda la responsabilidad al fabricante o distribuidor.
¿Qué debe revisarse antes de activar una función de IA en una instalación de seguridad?
Conviene comprobar qué funciones están activas realmente, no solo las anunciadas en una ficha comercial. Deben distinguirse, entre otras, la detección de intrusión, el conteo, el reconocimiento facial, el análisis de comportamiento, la categorización biométrica, el reconocimiento de emociones, la generación de clips y la redacción automática de informes. También debe saberse quién puede activar cada módulo y bajo qué reglas.
¿Qué obligaciones existen respecto a deepfakes y contenidos sintéticos?
En los supuestos previstos, los proveedores deben hacer que el contenido sintético pueda detectarse o marcarse en un formato legible por máquina. Además, quienes divulgan determinados deepfakes tienen deberes de revelación. Esto puede afectar a reconstrucciones audiovisuales, resúmenes de secuencias, vídeos alterados para ilustrar hipótesis o comunicaciones con voces sintéticas generadas mediante IA.
¿Puede presentarse una imagen procesada por IA como una grabación original?
No debería presentarse como si fuera necesariamente una grabación original sin modificaciones. En seguridad resulta importante distinguir entre material bruto, mejora técnica, recreación, resumen automatizado y contenido sintético. Mantener esa diferencia protege la comprensión de quien recibe la información y ayuda a conservar la trazabilidad de una incidencia, especialmente cuando el material puede tener relevancia editorial o probatoria.
¿Existe un periodo transitorio para las obligaciones sobre contenido generado por IA?
Existe un margen limitado hasta el 2 de diciembre de 2026 para ciertos sistemas comercializados antes del 2 de agosto de 2026, pero se refiere específicamente a requisitos de marcado y detectabilidad de contenido generado por IA. No debe interpretarse como una moratoria general de todas las obligaciones de transparencia del artículo 50, que comenzaron a aplicarse el 2 de agosto de 2026.
¿El artículo 50 prohíbe la videovigilancia inteligente?
No. El artículo 50 no establece una prohibición general de la videovigilancia inteligente. Su objetivo principal es la transparencia: informar sobre determinadas interacciones con IA, hacer detectable o revelar contenido sintético en los casos previstos e informar sobre ciertos usos de reconocimiento de emociones o categorización biométrica. La obligación es analizar con precisión las funcionalidades activas y el contexto de uso.
¿Cumplir el AI Act sustituye las obligaciones del RGPD?
No. Cuando el sistema trata datos personales, continúan aplicándose las normas europeas de protección de datos pertinentes. La transparencia sobre IA debe integrarse con las obligaciones de información, la base jurídica, la minimización de datos, los plazos de conservación y otros requisitos aplicables. El cumplimiento del AI Act y el cumplimiento del RGPD son planos relacionados, pero no equivalentes.
Comentarios (0)
Dejar un comentario