DirectRGPD

privacidad

  • AEPD Refuerza su Rol en la Supervisión de Sistemas de IA: Implicaciones de la Nueva Regulación Europea

    AEPD Refuerza su Rol en la Supervisión de Sistemas de IA: Implicaciones de la Nueva Regulación Europea

    En un contexto de rápida evolución tecnológica, la Agencia Española de Protección de Datos (AEPD) ha emitido un recordatorio clave sobre su capacidad para intervenir en sistemas de inteligencia artificial (IA) que procesan datos personales, especialmente aquellos clasificados como prohibidos bajo el Reglamento Europeo de IA (RIA, Reglamento 2024/1689). Esta nota de prensa, publicada el 15 de julio de 2025, subraya que la AEPD puede actuar de inmediato para proteger los derechos de privacidad, incluso antes de la plena entrada en vigor de la normativa. [AEPD, 2025] Con la fecha crítica del 2 de agosto de 2025 aproximándose, cuando entrarán en vigor las prohibiciones y el régimen sancionador de ciertos artículos del RIA, esta actualización resalta la intersección entre IA y protección de datos en España.

    Antecedentes y Alcance de la Intervención de la AEPD

    La AEPD ha analizado sus competencias en relación con el Artículo 5 del RIA, que detalla prácticas de IA prohibidas por su potencial daño a los derechos fundamentales. [RIA Artículo 5] Aunque España aún no ha aprobado su ley nacional de IA, lo que retrasa la designación formal de la AEPD como autoridad de vigilancia del mercado, la agencia mantiene su autoridad en materia de protección de datos. Esto le permite supervisar y sancionar tratamientos de datos personales en sistemas de IA prohibidos, como la identificación biométrica remota en tiempo real en espacios públicos, siempre que afecten a la privacidad individual. [AEPD, 2025] La AEPD enfatiza la necesidad de reforzar sus recursos técnicos, humanos y presupuestarios para asumir plenamente estas funciones una vez implementada la legislación nacional.

    Prácticas de IA Prohibidas Según el Artículo 5 del RIA

    El Artículo 5 del Reglamento Europeo de IA establece una lista exhaustiva de prácticas prohibidas, diseñadas para salvaguardar la dignidad humana, la libertad y la privacidad. Entre las prohibiciones destacan:

    • Técnicas subliminales o manipuladoras que distorsionan el comportamiento, causando daños significativos, sin excepciones explícitas. [RIA Artículo 5]
    • Explotación de vulnerabilidades por edad, discapacidad o situación socioeconómica, también sin permisos.
    • Categorización biométrica para inferir características sensibles como opiniones políticas o orientación sexual, permitida solo para etiquetado o filtrado legal de conjuntos de datos biométricos.
    • Puntuación social que clasifica individuos por comportamiento, con excepciones para evaluaciones legales específicas.
    • Identificación biométrica remota en tiempo real en espacios públicos para fines policiales, autorizada excepcionalmente para búsquedas de víctimas, amenazas a la vida o localización de sospechosos de delitos graves, con requisitos como autorización judicial y límites temporales/geográficos. [RIA Artículo 5]
    • Evaluaciones de riesgo criminal basadas en perfiles, permitidas si no se basan solo en rasgos de personalidad y incluyen datos objetivos.
    • Raspado no dirigido de internet para bases de datos de reconocimiento facial, sin excepciones.
    • Reconocimiento de emociones en entornos laborales o educativos, permitido por razones médicas o de seguridad.

    Estas prohibiciones se alinean con el RGPD, priorizando la minimización de datos y la protección por diseño. [RIA Artículo 5] La AEPD puede intervenir si estos sistemas procesan datos personales, incluso antes del 2 de agosto de 2025.

    Controversias y Casos Recientes Relacionados

    El anuncio llega en medio de un aumento en reclamaciones relacionadas con IA. En 2024, la AEPD recibió 19.000 quejas, destacando retos como la IA, espacios de datos y neurodatos. [AEPD Reclamaciones] Un caso notable es la sanción impuesta por el uso de datos biométricos con IA en exámenes universitarios online, considerado ilegal por su intrusividad, aunque se apuntan posibilidades normativas bajo ciertas condiciones. [Sanción Universidad] Además, la entrada en vigor de prohibiciones iniciales en febrero de 2025, como el reconocimiento de emociones en workplaces, ha generado debates sobre multas de hasta 35 millones de euros. [Europarl]

    En redes sociales, profesionales del derecho y empresas han compartido preocupaciones sobre el impacto en negocios, como la identificación biométrica, instando a adaptaciones inmediatas. [X Debate] Publicaciones en X destacan cómo esto afecta a sectores como el turismo o la educación, con llamadas a consultar blogs especializados para cumplimiento.

    Consecuencias para Empresas y Recomendaciones

    Las implicaciones son significativas: ignorar estas normas podría resultar en sanciones millonarias y daños reputacionales. La AEPD recomienda a entidades que implementen IA preparar medidas de cumplimiento, como evaluaciones de impacto y transparencia. [AEPD, 2025] En contextos laborales, sindicatos y expertos urgen a prohibir usos como la detección de emociones, alineados con el RIA. [Europarl] Para consultores, esto representa una oportunidad para asesorar en auditorías proactivas, integrando el RGPD con el RIA.

    En resumen, el posicionamiento de la AEPD fortalece la protección de datos en la era de la IA, equilibrando innovación y derechos fundamentales. Con la fecha del 2 de agosto de 2025 en el horizonte, empresas deben actuar con urgencia para evitar riesgos en un panorama regulatorio cada vez más estricto.

    Fuentes

    1. AEPD. (2025). La AEPD recuerda que ya puede actuar ante sistemas de IA.
    2. Reglamento (UE) 2024/1689, Artículo 5.
    3. AEPD. (2025). Reclamaciones en el primer semestre.
    4. DataGuidance. (2024). Sanción a universidad por uso de datos biométricos.
    5. Parlamento Europeo. (2023). EU AI Act.
    6. X. (2025). Debate sobre impacto de la regulación de IA.
  • AEPD Prohíbe Copias de DNI en Hospedajes: Un Cambio Clave en Protección de Datos

    AEPD Prohíbe Copias de DNI en Hospedajes: Un Cambio Clave en Protección de Datos

    En un movimiento que resalta la prioridad de la minimización de datos en la era digital, la Agencia Española de Protección de Datos (AEPD) ha emitido una nota técnica aclarando que no se permite solicitar copias del DNI o pasaporte en establecimientos de hospedaje. Esta directriz, alineada con el Reglamento General de Protección de Datos (RGPD), busca equilibrar las obligaciones de seguridad con el respeto a la privacidad individual, afectando directamente a hoteles, apartamentos turísticos y plataformas como Airbnb. Para consultores en adaptación a normativas de datos, esta actualización representa una oportunidad para revisar protocolos y evitar exposición a riesgos regulatorios.[AEPD]

    Razones Detrás de la Prohibición

    La AEPD argumenta que pedir una copia del DNI viola el principio de minimización establecido en el artículo 5.1.c del RGPD, ya que incluye información superflua como fotografías, fechas de caducidad o datos familiares no requeridos por el Real Decreto 933/2021. Este decreto obliga a recopilar datos específicos de huéspedes para fines de seguridad pública, como prevención de delitos, pero no justifica el tratamiento excesivo de datos sensibles. Además, la agencia destaca riesgos como la suplantación de identidad, ya que una copia no verifica de manera fiable la autenticidad del portador. Enviar o escanear documentos no solo incrementa vulnerabilidades cibernéticas, sino que también podría exponer a millones de usuarios a brechas de datos, un problema recurrente en el sector turístico.

    Alternativas Recomendadas para Cumplir con la Normativa

    Para facilitar el cumplimiento, la AEPD propone métodos alternativos que priorizan la eficiencia y la privacidad. Los huéspedes pueden completar formularios presenciales o digitales con los datos exactos exigidos, como nombre, dirección y detalles de contacto. En check-ins presenciales, basta con una verificación visual del documento. Para reservas online, se sugieren certificados digitales, validación mediante datos de pago o códigos de autenticación enviados por SMS o email. Estos enfoques no solo reducen riesgos, sino que agilizan procesos, permitiendo a las empresas mantener la operatividad sin comprometer la conformidad. Consultores pueden asesorar en la implementación de estas herramientas, integrando evaluaciones de impacto en protección de datos para personalizar soluciones.

    Polémicas y Quejas de Usuarios: Un Debate en Aumento

    La práctica de solicitar copias de DNI ha generado controversia significativa, con numerosas quejas de usuarios que denuncian invasiones a su privacidad. En redes sociales y foros, viajeros han reportado casos donde hoteles insisten en escanear documentos, exponiéndolos a potenciales estafas o robos de identidad, como alertó la Policía Nacional en campañas recientes.[Policía Nacional] Un ejemplo viral en TikTok involucra a un experto en ciberseguridad advirtiendo que «pueden hacer de todo» con una copia del DNI, desde fraudes hasta usos no autorizados.[TikTok] Otro caso destacado: un cliente denunció a un hotel por escanear su DNI, resultando en una sanción que generó debate sobre prácticas estandarizadas en la industria.[Caso Hotel] Estas polémicas se intensifican en plataformas como Facebook, donde usuarios comparten experiencias de rechazo a peticiones, argumentando que basta con mostrar el documento sin copiarlo.[Facebook] La AEPD ha respondido a estas inquietudes, reforzando que tales demandas son innecesarias y contraproducentes.

    Consecuencias para las Empresas: Multas y Reputación en Juego

    Las implicaciones para las compañías son severas. La AEPD ha impuesto sanciones ejemplares, como una multa de 75.000 euros a una cadena hotelera por exigir fotografías de DNI de forma rutinaria, o rebajas a 5.400 euros en casos menores tras admisión de culpa.[75.000€][5.400€] En incidentes más graves, las penalizaciones han alcanzado los 300.000 euros por violaciones sistemáticas del RGPD.[Multas Altas] Más allá de lo económico, las empresas enfrentan daños reputacionales, pérdida de confianza de clientes y posibles demandas colectivas. En un contexto de mayor escrutinio, como el nuevo registro de viajeros, ignorar estas directrices podría derivar en inspecciones y suspensiones operativas. Consultores recomiendan auditorías proactivas para mitigar estos riesgos, transformando la conformidad en una ventaja competitiva.

    Implicaciones para Consultores en Adaptación a Protección de Datos

    Para profesionales especializados, esta nota de la AEPD subraya la necesidad de guiar a clientes hacia prácticas sostenibles. Evaluar y rediseñar flujos de check-in, capacitar personal y monitorear actualizaciones regulatorias son pasos clave. Al integrar herramientas digitales seguras, los consultores pueden ayudar a evitar polémicas y fortalecer la resiliencia ante futuras normativas europeas.

    En resumen, esta directriz no solo corrige una práctica común, sino que impulsa un sector turístico más ético y seguro. Con el aumento de quejas y sanciones, las empresas que se adapten rápidamente ganarán en credibilidad, mientras que los consultores jugarán un rol pivotal en esta transición.