Mª Josefa Ridaura Martínez

I. De los distintos ámbitos en los que se utiliza —o se puede utilizar— el reconocimiento facial basado en inteligencia artificial, estas breves líneas se centraran en determinar su potencialidad como herramienta securitaria; destacando sus virtualidades, pero también las importantes aristas vidriosas que plantea, por su incidencia sobre derechos fundamentales que son basilares en el marco de los Estados democráticos.

No obstante, antes de adentrarme más en el tema, es necesario hacer una serie de consideraciones previas:

a. Por un lado, aunque no es una tesis pacíficamente admitida, la normativa europea concibe la cara de una persona como un dato personal. Así, por ejemplo, la Autoridad Española de Protección de Datos viene considerando a las imágenes captadas por medio de videovigilancia como datos de carácter personal en la medida en que tanto en los controles de acceso o en la reacción ante la comisión del ilícito se busca identificar a la persona. Cuando se emplean videocámaras y sistemas de información con capacidades de identificación biométrica se considera, además, que el tratamiento afecta a una categoría especial de datos. De esta forma, determinar su naturaleza es esencial para saber cuál es el régimen jurídico aplicable.

b. Por otro lado, debemos diferenciar entre dos sistemas:  el sistema de verificación en el que se contrastan imágenes entre dos plantillas, produciéndose una correspondencia de 1 a 1; por ejemplo, el uso particular en celulares, cuentas bancarias o, incluso el destinado al control laboral. Usos que, en la mayoría de las ocasiones, se aceptan voluntariamente, y es dicho consentimiento el que determina la licitud de la medida. Mientras que el sistema de identificación biométrica permite captar una imagen y compararla -incluso en tiempo real- con imágenes almacenadas previamente en unas bases de datos (de 1 a muchos).

Este es el principal sistema que se viene utilizando en lugares públicos con fines de preservar la seguridad; y, aunque se implantó en la década de los 90 del siglo pasado, la inteligencia artificial ha potenciado y mejorado su rendimiento.

II. El reconocimiento facial tiene innumerables ventajas; particularmente en el ámbito de la seguridad que es el que nos ocupa, ya que puede coadyuvar al esclarecimiento de la investigación criminal; también se ha demostrado su utilidad en el reconocimiento de acosadores, en la lucha antiterrorista, o en la identificación de víctimas de catástrofes, entre otros. Así, por ejemplo, desde que a finales de 2016 se puso en marcha el Sistema de reconocimiento facial de Interpol, se ha logrado identificar a cerca de 1. 500 terroristas, delincuentes, prófugos o desaparecidos. Y, por ejemplo, recientemente, en Ucrania se ha empleado para detectar a saboteadores, reconocer cadáveres o reunificar familias.

III. Junto a las fortalezas que el reconocimiento facial presenta, también las debilidades son sustanciales, ya que la ausencia de una ordenación jurídica con garantías puede conducir a escenarios de vigilancia masiva, afectando a derechos fundamentales que son nucleares en un estado democrático. Derechos que van más allá de la privacidad y la protección de datos, pues también puede perturbar la libertad de movimiento, la libertad ideológica, la de reunión, la presunción de inocencia, el derecho a la tutela judicial efectiva, o la prohibición de discriminación, por poner algunos ejemplos.

Afectación de derechos que se agrava si tenemos en cuenta que el uso de cámaras de reconocimiento facial con fines de seguridad no entraña consentimiento, como el que se produce con otros usos voluntarios o —al menos— consentidos que hemos referido con anterioridad. Nada consiente el que transita por un lugar público cuyo rostro es captado por una cámara de reconocimiento facial que lo transforma en un dato para su tratamiento. Destacaré los siguientes:

i. El seguimiento indiscriminado aboca a escenarios de vigilancia masiva, que tiene un encaje espinoso en el marco de las sociedades democráticas, y nos conduce a plantearnos la permanente cuestión de si es proporcional vigilar a todos para controlar solo a algunos; pues el seguimiento que se hace en la vía pública es generalizado e indiscriminado, no sólo de aquellos rostros buscados.

Es cierto que ningún derecho es absoluto; tampoco lo es la privacidad. Pero, tengamos en cuenta que en un Estado democrático las intromisiones en la privacidad para preservar la seguridad demandan justificación y deben respetar criterios de idoneidad, necesidad y proporcionalidad. El TEDH se ha pronunciado en diversas ocasiones acerca de las exigencias a las que ha de ajustarse un programa de vigilancia activa: (a) debe existir una cobertura legal clara y precisa; (b) la normativa debe ofrecer garantías sólidas de los derechos de las personas concernidas; y c) además debe tratarse de una medida necesaria en una sociedad democrática (por todas, vid. Marper c. the United Kingdom).

ii. También afecta a la libertad personal y a la presunción de inocencia, ya que uno de los problemas que plantea el reconocimiento facial es que puede provocar detenciones por error; y ello se produce, sobre todo, cuando los agentes de la autoridad no llevan a cabo labores de contraste y aseguramiento adicional más allá de las imágenes y su resultado. Tengamos en cuenta que la respuesta de un sistema de comparación biométrica nunca es binaria (sí o no); es una probabilidad de coincidencia, de ahí que requiera ser contrastada. En este sentido, las empresas de software reconocen que los algoritmos de reconocimiento facial no son tan precisos como puedan serlo los de otros datos biométricos como las huellas dactilares o el iris, lo que puede provocar falsa positividad o negatividad. En consecuencia, los importantes márgenes de error demandan mayores garantías de comprobación, ya que en las identificaciones erróneas influye también la escasa garantía en relación con la obtención de imágenes.

Además, esta deficiente identificación suele coincidir con sesgos discriminatorios, pues la mayoría de las personas detenidas erróneamente han sido negras o mujeres. La gravedad de estos sesgos aboca a que las detenciones por error en el reconocimiento facial puedan quebrantar la libertad personal, produciéndose detenciones ilegales y socavando la presunción de inocencia. En la medida en que estamos ante una técnica falible, con un elevado riesgo, su empleo con fines policiales exige una mayor comprobación, más allá del mero resultado arrojado por la máquina.

iii. El reconocimiento facial aboca al chilling effect, ya que el saberse constantemente vigilados provoca un efecto desalentador en el ejercicio de los derechos, como pueden ser la libertad de reunión y manifestación. Así lo ha reconocido recientemente el TEDH cuando ha afirmado que el uso de tecnología de reconocimiento facial “sumamente intrusiva” para identificar y detener a participantes de una manifestación pacífica podría tener un efecto amedrentador (chilling effect) respecto de los derechos a la libertad de expresión y de asociación. En consecuencia, su uso “contra una persona que ejerce su derecho a la libertad de expresión es incompatible con los ideales y valores de una sociedad democrática” (STEDH Glukhin c. Rusia, de 4 de julio de 2023).

En definitiva, ante estos riesgos, en el marco del Consejo de Europa se ha advertido de que el uso de sistemas de reconocimiento facial por parte de las fuerzas del orden sólo debe permitirse cuando sea estrictamente necesario para prevenir un riesgo inminente y grave para la seguridad pública.

IV. El uso en España del reconocimiento facial con fines de seguridad nos conduce a dos escenarios:

a. su empleo con fines de investigación criminal que tiene como marco jurídico la Ley Orgánica 7/2021, de 26 de mayo, de protección de datos personales tratados para fines de prevención, detección, investigación y enjuiciamiento de infracciones penales y de ejecución de sanciones.  En este contexto se emplea por parte de las Fuerzas y Cuerpos de Seguridad ABIS (Sistema de Identificación Biométrica Automática): una herramienta que emplea algoritmos de inteligencia artificial para determinar en pocos segundos si en una imagen cualquiera figura un rostro del que se tengan registros (en este caso, de personas con ficha policial). Este programa —en principio— no aboca a una vigilancia masiva, y sus riegos son menores, ya que es post-delictual.

Sin embargo, su uso aquí en España plantea una serie de cuestiones que guardan relación con la ausencia de normativa que regule cabalmente la materia (pues la ley referida no lo hace), planteando importantes interrogantes en orden al método de obtención de las imágenes o la posterior gestión de las bases que las contienen, así como su conservación.

b. Con fines de vigilancia para preservar la seguridad

Tampoco en este marco la Ley Orgánica 7/2021 prevé debidamente los casos en los que podría permitirse el uso del reconocimiento facial, y, en consecuencia, constituye un marco jurídico deficitario que demanda adaptarse a las exigencias del reciente Reglamento de Inteligencia Artificial (RIA), que se ha aprobado definitivamente el 24 de mayo de 2024, y que, en términos generales, prohíbe la vigilancia indiscriminada y concibe el reconocimiento facial como sistema de alto riesgo.

Muy sucintamente, excluye de las exigencias del Reglamento los sistemas destinados a la verificación biométrica (1 a 1). Y, en relación con el reconocimiento facial basado en la identificación (1 a muchos), el Reglamento no se aplica a actividades con fines militares, de defensa o de seguridad nacional, pero si a la seguridad pública.

i. Y, precisamente en este ámbito de la seguridad pública, prohíbe la identificación biométrica en tiempo real y con fines policiales, en espacios públicos, salvo en determinadas situaciones que enumera de manera taxativa en las que sea necesario su uso para lograr un interés público esencial cuya importancia compense los riesgos. Dichas excepciones están previstas en el Artículo 5(1)(h), y están rodeadas de unas precisas garantías: además de los supuestos en los que cabe su uso, debe realizarse una evaluación de impacto y debe mediar autorización judicial expresa y previa o de la autoridad administrativa independiente de un Estado cuya decisión sea vinculante.

ii. Pero, cuando el reconocimiento facial no se aplique a fines policiales, en la medida en que se concibe como sistemas de alto riesgo, no lo prohíbe como en el caso anterior, pero han de sujetarse a las obligaciones previstas en el Reglamento (art. 6), debiendo realizarse evaluaciones de riesgos, quedando sujetos a exigencias de transparencia y supervisión humana constantes.

El RIA no es aplicable a todos los ámbitos en los que pueda utilizarse el reconocimiento facial. Otros usos en otros espacios y por otros agentes quedan sujetos a la normativa específica de protección de datos: por ejemplo, su utilización por empresas privadas, o en espacios abiertos al público como, por ejemplo, los estadios y recintos para grandes eventos, entre otros. Pero, su aplicación en estos ámbitos escapa del objeto de estas breves anotaciones.

En todo caso, el legislador español ha de afrontar, sin demora, la reforma de la legislación estatal para adaptarla a las exigencias del Reglamento, así como las derivadas del Convenio Marco del Consejo de Europa sobre Inteligencia Artificial y derechos humanos, democracia y Estado de Derecho, aprobado este mismo año.