Reconocimiento Facial

El AI Act europeo (Reglamento 2024/1689) prohíbe expresamente el reconocimiento facial biométrico en tiempo real en espacios públicos, con excepciones limitadas a seguridad nacional. En España, la AEPD ya ha impuesto 10 millones de euros en multas a Aena por implementar esta tecnología en aeropuertos sin cumplir los requisitos del RGPD. Mientras tanto, el NIST Face Recognition Vendor Test (FRVT) de 2024 documenta que los mejores algoritmos comerciales alcanzan tasas de error inferiores al 0.08% en verificación 1:1, pero las tasas de falso positivo para mujeres de piel oscura son hasta 34 veces superiores a las de hombres de piel clara. Esta tecnología, que ya utilizan más de 100 millones de personas diariamente para desbloquear su móvil, se ha convertido en el campo de batalla central entre seguridad, privacidad y derechos fundamentales en la era digital.

Cómo funciona el reconocimiento facial

El reconocimiento facial es un proceso de múltiples etapas que transforma una imagen o vídeo del rostro humano en una representación matemática que permite la comparación automatizada.

Pipeline técnico simplificado

Imagen/Vídeo
    │
    ▼
[Detección facial] → Localizar rostro(s) en la escena
    │
    ▼
[Alineación] → Normalizar posición, escala, iluminación
    │
    ▼
[Extracción landmarks] → 68-468 puntos faciales
    │
    ▼
[Red neuronal (CNN)] → Embedding: vector [128-512 dims]
    │
    ▼
[Comparación] → Distancia euclidiana/coseno vs umbral
    │
    ▼
[Decisión] → Match / No match / Identidad + confianza %

Verificación 1:1 vs Identificación 1:N

Esta distinción es fundamental tanto técnicamente como legalmente, porque determina el nivel de riesgo y las obligaciones regulatorias.

Aplicaciones del reconocimiento facial

Seguridad y vigilancia

Sector privado

Forense y judicial

Sesgos algorítmicos: el problema de la discriminación

Evidencia del NIST FRVT

El Face Recognition Vendor Test (FRVT) del NIST es el benchmark más riguroso y reconocido del mundo para evaluar algoritmos de reconocimiento facial. Sus hallazgos de 2019-2024 demuestran sesgos sistemáticos:

Causas técnicas del sesgo

1. Datos de entrenamiento desbalanceados: Los datasets históricos contienen proporcionalmente más imágenes de hombres caucásicos jóvenes
2. Iluminación y contraste: Algoritmos entrenados en condiciones de iluminación estándar rinden peor con tonos de piel oscuros
3. Geometría facial: Variaciones anatómicas entre grupos étnicos que los modelos no capturan con igual precisión
4. Envejecimiento: Los modelos pierden precisión con cambios faciales asociados a la edad

Casos documentados de error por sesgo

• Robert Williams (Detroit, 2020): Hombre afroamericano detenido erróneamente por robo basándose en una coincidencia de reconocimiento facial incorrecta. Pasó 30 horas detenido. El algoritmo confundió dos personas de raza negra con rasgos similares.
• Nijeer Parks (New Jersey, 2019): Arrestado por hurto y agresión basándose exclusivamente en reconocimiento facial erróneo. El sistema comparó su foto de licencia de conducir con una imagen de vigilancia borrosa.
• Randal Reid (Louisiana, 2022): Detenido en Georgia por un robo cometido en Louisiana, lugar donde nunca había estado. La única evidencia era una coincidencia de reconocimiento facial incorrecta.

Regulación del reconocimiento facial

RGPD (Artículo 9)

El reconocimiento facial trata datos biométricos de categoría especial. El artículo 9 del RGPD prohíbe su tratamiento salvo excepciones tasadas:

AI Act (Reglamento UE 2024/1689)

El AI Act introduce una clasificación por riesgo específica para reconocimiento facial:

Criterios de la AEPD (España)

La AEPD publicó en noviembre 2023 su guía sobre tratamientos biométricos, endureciendo significativamente los criterios:

• Ya no acepta el interés legítimo (art. 6.1.f RGPD) como base legal para reconocimiento facial
• Exige DPIA siempre antes de implementar reconocimiento facial
• Requiere alternativa no biométrica equivalente si se basa en consentimiento
• Aplica principio de minimización estricto: Si se puede lograr el objetivo sin biometría, no se justifica

Deepfakes como amenaza al reconocimiento facial

Los deepfakes y técnicas de face swap representan una amenaza directa a los sistemas de reconocimiento facial:

Ataques de presentación (Presentation Attacks)

Contramedidas de liveness detection

Análisis forense de sistemas de reconocimiento facial

Qué evalúa un perito informático

Caso práctico: empresa usando reconocimiento facial sin DPIA

Nota: El siguiente caso está basado en patrones reales de procedimientos y resoluciones de la AEPD durante 2023-2025. Los datos han sido anonimizados preservando los aspectos técnicos y legales relevantes para fines educativos.

Empresa: Centro comercial, 45.000 visitantes/día, 120 cámaras CCTV.

Situación: El centro comercial actualiza su sistema de videovigilancia e incluye un módulo de reconocimiento facial que: (1) identifica a personas incluidas en una lista de “clientes conflictivos” previamente expulsados, y (2) genera analítica de afluencia por edad y género.

Timeline del incidente:

Septiembre 2024:
  - Activación del módulo de reconocimiento facial
  - Sin DPIA, sin consulta al DPO externo
  - Cartelería CCTV genérica sin mención a biometría
  - Base de datos: 200 "clientes conflictivos" con foto

Noviembre 2024:
  - Cliente detectado erróneamente como "conflictivo" (falso positivo)
  - Seguridad le impide acceso. Cliente graba la escena
  - Presenta reclamación ante la AEPD

Enero 2025:
  - AEPD abre actuaciones previas
  - Requiere información: base legal, DPIA, sistema, carteles

Marzo 2025:
  - Centro comercial contrata perito informático para auditoría

Hallazgos de la auditoría forense:

Resolución: La AEPD propuso sanción de 1.500.000 euros por infracción del artículo 9 RGPD (tratamiento de datos biométricos sin base legal), artículo 35 (ausencia de DPIA), y artículo 13 (información insuficiente). El informe pericial fue clave para documentar las deficiencias técnicas y proponer medidas correctoras que redujeron la sanción en un 20% por colaboración.

Herramientas y frameworks de reconocimiento facial

Open source

Comerciales

FAQ

P: ¿Face ID de Apple envía mi cara a sus servidores? R: No. Face ID de Apple procesa todo localmente en el dispositivo, en un chip dedicado llamado Secure Enclave. La plantilla biométrica nunca sale del dispositivo, no se incluye en copias de seguridad de iCloud, y Apple no tiene acceso a ella. Por esta razón, Face ID no está sujeto al RGPD (no hay responsable de tratamiento externo).

P: ¿Puede la policía usar reconocimiento facial para identificar manifestantes? R: El AI Act prohíbe la identificación biométrica remota en tiempo real en espacios públicos, lo que incluiría manifestaciones. La identificación diferida (posterior, analizando grabaciones) sí está permitida, pero solo con autorización judicial previa y para delitos graves. En cualquier caso, la jurisprudencia del TEDH protege el derecho de reunión y manifestación (art. 11 CEDH), y el uso de reconocimiento facial con efecto disuasorio podría vulnerar este derecho.

P: ¿Qué precisión tiene el reconocimiento facial con mascarilla? R: Según el NIST FRVT 2024, los mejores algoritmos alcanzan un FRR del 2-5% con mascarilla quirúrgica (frente al 0.3% sin mascarilla). La mascarilla oculta entre el 50% y el 70% de los landmarks faciales inferiores, forzando al algoritmo a depender exclusivamente de la región periocular (ojos, cejas, frente). Esto reduce significativamente la precisión y aumenta los sesgos demográficos.

Conceptos relacionados

• Datos biométricos - Categoría legal de los datos que procesa el reconocimiento facial
• Deepfake y detección - Amenaza directa a la fiabilidad del reconocimiento facial
• Face swap - Técnica de suplantación facial mediante IA
• DPIA (Evaluación de Impacto) - Evaluación obligatoria antes de implementar reconocimiento facial
• AEPD Compliance - Marco regulatorio de protección de datos en España
• Clonación de voz - Otra modalidad biométrica vulnerable a ataques de IA

Referencias y fuentes

1. NIST. (2024). “Face Recognition Vendor Test (FRVT) 1:1 Verification”. nist.gov - Benchmark de referencia mundial para algoritmos de reconocimiento facial
2. NIST. (2019). “Face Recognition Vendor Test Part 3: Demographic Effects”. nist.gov - Estudio de sesgos demográficos en algoritmos comerciales
3. AEPD. (2023). “Guía sobre tratamientos de control de presencia mediante sistemas biométricos”. aepd.es
4. AEPD. Resolución PS/00098/2021 (Aena, 10M€). aepd.es - Sanción por reconocimiento facial en aeropuertos
5. AEPD. Resolución PS/00120/2022 (VIU, 650K€). aepd.es - Sanción por proctoring biométrico
6. AI Act (Reglamento UE 2024/1689): Artículos 5.1.d (prohibición), 6 y Anexo III (alto riesgo). eur-lex.europa.eu
7. RGPD (Reglamento UE 2016/679): Artículos 4.14, 9, 25, 35. eur-lex.europa.eu
8. ACLU. (2020). “Robert Williams wrongful arrest: Detroit face recognition”. aclu.org
9. Buolamwini, J. & Gebru, T.. (2018). “Gender Shades: Intersectional Accuracy Disparities in Commercial Gender Classification”. MIT Media Lab. proceedings.mlr.press
10. CEPD. (2023). “Directrices 05/2022 sobre reconocimiento facial en fuerzas del orden”. edpb.europa.eu
11. NIST FRVT. (2024). “Face Mask Effects”. nist.gov - Impacto de mascarillas en precisión

¿Necesitas un análisis forense de un sistema de reconocimiento facial o un informe pericial sobre su fiabilidad? Contacta con Digital Perito para evaluación técnica independiente y cumplimiento RGPD.

Última actualización: febrero 2026 Categoría: Técnico Código: TEC-025