L'AEPD estableix garanties per a la incorporació de la intel·ligència artificial als sistemes de videovigilància
- Antecedents
El 6 d'octubre de 2026, l'AEPD va informar que havia emès dues advertències a ajuntaments els projectes de CCTV dels quals incloïen capacitats d'IA per a l'anàlisi automatitzada d'imatges.
Ambdues accions s'emmarquen en l'àmbit establert a l'article 58 del RGPD, que permet a les autoritats de supervisió emetre advertiments quan certes operacions de tractament planificades puguin vulnerar la normativa de protecció de dades. L'AEPD assenyala que el propòsit d'aquesta mesura no és sancionar una conducta ni declarar l'existència d'una infracció, sinó advertir que certes operacions de tractament podrien ser contràries a la normativa.
Les advertències de l'AEPD es deriven de dos projectes municipals de videovigilància que preveien la incorporació de capacitats d'intel·ligència artificial per a l'anàlisi automatitzada d'imatges. Les capacitats previstes incloïen la detecció i classificació de persones i vehicles, la generació de metadades, la cerca d'individus basant-se en atributs físics específics o imatges de referència i, en un dels projectes, capacitats de reconeixement facial.
2. L'anàlisi de l'AEPD
Més enllà de les circumstàncies específiques dels casos analitzats, l'AEPD va considerar necessari reiterar les principals obligacions i garanties que s'han de respectar en incorporar eines d'intel·ligència artificial en sistemes de videovigilància, especialment quan aquests puguin afectar significativament els drets i les llibertats de les persones o impliquin el tractament de dades biomètriques.
a. Protecció de dades des del disseny i per defecte
L'Agència subratlla la importància d'integrar els principis de protecció de dades des del disseny i per defecte en els projectes que incorporen la IA en sistemes de videovigilància.
D'acord amb l'article 25 del RGPD i l'article 28 de la Llei Orgànica 7/2021, aquestes garanties s'han de tenir en compte tant en determinar els mitjans del tractament com durant tota la seva execució.
Segons l'AEPD, aquest enfocament permet identificar i mitigar els riscos associats al tractament abans que la tecnologia entri en funcionament i requereix l'adopció de mesures tècniques i organitzatives adequades per garantir el compliment de la normativa.
Com a il·lustració d'aquests principis, l'AEPD assenyala que la mera disponibilitat tècnica d'una funcionalitat no constitueix una justificació suficient per al seu ús. Les funcionalitats com el reconeixement facial, la cerca per atributs o la localització d'individus s'han d'analitzar i justificar cas per cas a la llum de la finalitat prevista, demostrant la seva necessitat, idoneïtat i proporcionalitat.
b. Atenció especial al tractament de dades biomètriques
L'AEPD posa especial atenció a aquelles funcions que puguin implicar el tractament de dades biomètriques destinades a identificar de manera unívoca un individu.
L'Agència adverteix que en aquests casos s'aplicarà el règim més estricte establert als articles 4(14) i 9 del RGPD i a l'article 13 de la Llei Orgànica 7/2021, i també s'haurà de disposar d'una base jurídica adequada i de garanties específiques per als drets i llibertats dels interessats.
Les consideracions de l'Agència són coherents amb el Reglament sobre la IA, que sotmet els sistemes d'identificació biomètrica remota a un règim especialment estricte. En particular, l'ús de sistemes d'identificació biomètrica remota en temps real en espais públics amb finalitats de manteniment de l'ordre està prohibit, com a regla general, excepte en els casos excepcionals expressament previstos a la legislació i subjectes a condicions específiques. Per la seva banda, els sistemes d'identificació biomètrica remota no coberts per aquesta prohibició es poden classificar com a sistemes d'alt risc, i en aquest cas se'ls apliquen les obligacions reforçades corresponents en matèria de gestió de riscos, governança i qualitat de les dades, supervisió humana, documentació i avaluació de la conformitat.
c. Avaluació prèvia dels riscos per als drets i llibertats dels interessats
L'AEPD assenyala que els responsables del tractament han d'avaluar, abans de la implementació del sistema, els riscos que el tractament pot suposar per als drets i llibertats de les persones interessades, inclosos els usuaris, el personal i tercers.
En aquest sentit, l'Agència subratlla que la incorporació de funcionalitats d'intel·ligència artificial avançada aplicades a la videovigilància –particularment les que permeten la classificació d'individus, la generació de metadades, les cerques basades en atributs físics, l'ús d'imatges de referència o la incorporació de capacitats d'identificació– requereix una avaluació específica del seu impacte en els drets fonamentals dels interessats.
També assenyala que, quan el tractament sigui susceptible de comportar un alt risc en els termes establerts a l'article 35 del RGPD i a l'article 35 de la Llei Orgànica 7/2021, s'haurà de dur a terme l'avaluació d'impacte pertinent en la protecció de dades abans de l'inici del tractament.
A més, l'Agència assenyala que, en el cas de les càmeres de videovigilància fixes instal·lades en llocs públics, també s'ha de dur a terme una anàlisi de necessitat i proporcionalitat, tenint en compte tant la finalitat prevista com l'impacte potencial sobre el públic. Aquesta avaluació no s'ha de limitar a la instal·lació de les càmeres, sinó que s'ha d'estendre a cadascuna de les funcionalitats d'intel·ligència artificial incorporades al sistema.
Tot i que els avisos no classifiquen expressament els projectes analitzats com a operacions de tractament d'alt risc, les funcionalitats examinades posen de manifest la necessitat de dur a terme una avaluació rigorosa dels riscos associats al tractament i, si s'escau, de realitzar una avaluació d'impacte en la protecció de dades abans del seu desplegament.