IA biométrica y el Reglamento de IA de la UE: alto riesgo, prohibida o ninguna de las dos
Identificación biométrica posterior, categorización sensible y reconocimiento de emociones: alto riesgo (anexo III, punto 1) con organismo notificado.
La biometría es el único caso de uso del anexo III en el que una misma tecnología subyacente puede acabar en tres lugares completamente distintos: prohibida, de alto riesgo o de riesgo mínimo. El desbloqueo facial de un teléfono y una cámara de videovigilancia pública «hacen reconocimiento facial» por igual, pero uno no está regulado y el otro está prohibido. El anexo III, punto 1 del Reglamento (UE) 2024/1689 delimita la franja de alto riesgo, y trae consigo una particularidad única entre los puntos del anexo III: en la evaluación de la conformidad interviene un organismo notificado. Esta página traza las tres líneas.
El régimen de alto riesgo para los sistemas autónomos del anexo III se aplica desde el 2 de diciembre de 2027 en virtud del Ómnibus Digital, ya adoptado por el Parlamento Europeo y el Consejo (véase el detalle más abajo).
Alto riesgo: anexo III, punto 1
Tres familias de IA biométrica son de alto riesgo según el anexo III, punto 1, cuando su uso no está prohibido por otra vía:
- Sistemas de identificación biométrica remota (posterior / no en tiempo real). Identifican a las personas comparando sus datos biométricos con una base de datos de referencia, a posteriori y no en directo. Es la versión de alto riesgo de la variante en tiempo real, que sí está prohibida.
- Categorización biométrica por atributos sensibles o protegidos. Sistemas que clasifican a las personas en categorías a partir de datos biométricos, siempre que esa categorización no esté prohibida en sí misma.
- Reconocimiento de emociones. Sistemas que infieren el estado emocional de una persona a partir de datos biométricos, de nuevo cuando el uso no está prohibido.
La expresión que define cada línea es cuando no está prohibido. El anexo III, punto 1 es la franja residual de alto riesgo que recoge los usos biométricos que superan el filtro del artículo 5. Por eso siempre se comprueba primero el artículo 5.
Traza la línea de la prohibición: cuatro prohibiciones que superar
Varios usos biométricos no son de alto riesgo, sino que están directamente prohibidos por el artículo 5, en vigor desde el 2 de febrero de 2025, con infracciones en el tramo superior (hasta 35 millones de euros o el 7 %, artículo 99(3)):
- Identificación biométrica remota en tiempo real en espacios de acceso público con fines de garantía del cumplimiento de la ley: prohibida, artículo 5(1)(h) (solo se admiten excepciones estrictas y autorizadas previamente). Es la prohibición estrella: reconocimiento facial público en directo por parte de las autoridades policiales.
- Extracción no selectiva de imágenes faciales de internet o de circuitos cerrados de televisión para crear o ampliar bases de datos de reconocimiento facial: prohibida, artículo 5(1)(e).
- Categorización biométrica que infiere atributos sensibles —raza, opiniones políticas, afiliación sindical, convicciones religiosas o filosóficas, vida sexual u orientación sexual—: prohibida, artículo 5(1)(g) (con una excepción estricta para el etiquetado o filtrado lícito de conjuntos de datos adquiridos legalmente en el ámbito de la garantía del cumplimiento de la ley).
- Reconocimiento de emociones en el lugar de trabajo y en la educación: prohibido, artículo 5(1)(f) (salvo por motivos médicos o de seguridad). Ojo con este punto: el reconocimiento de emociones es de alto riesgo en algunos contextos según el anexo III, punto 1, pero está prohibido en el trabajo y en la educación. No describas el reconocimiento de emociones en el lugar de trabajo como «de alto riesgo».
Y el suelo de riesgo mínimo: la verificación 1:1
En el otro extremo, la verificación biométrica uno a uno —confirmar que una persona es quien dice ser, comparándola con una única plantilla almacenada— no entra en el anexo III, punto 1 y no acarrea obligaciones obligatorias. Desbloquear el teléfono con la cara o autenticarse en una aplicación con la huella dactilar es verificación, no identificación contra una base de datos. Se sitúa en la franja de riesgo mínimo. La distinción entre identificación (uno a muchos, contra una base de datos) y verificación (uno a uno, contra una identidad reclamada) es el eje de todo este análisis.
| Uso biométrico | Clasificación | Fundamento |
|---|---|---|
| Desbloqueo facial del teléfono / verificación 1:1 | Mínimo: sin obligaciones | No es anexo III, punto 1 |
| Identificación biométrica remota posterior (no en tiempo real) | Alto riesgo | Anexo III, punto 1 |
| Categorización por atributos sensibles / reconocimiento de emociones cuando es lícito | Alto riesgo | Anexo III, punto 1 |
| Identificación biométrica remota pública en tiempo real con fines policiales | Prohibida | Art. 5(1)(h) |
| Extracción no selectiva de imágenes faciales | Prohibida | Art. 5(1)(e) |
| Categorización por atributos sensibles | Prohibida | Art. 5(1)(g) |
| Reconocimiento de emociones en el trabajo o en la educación | Prohibido | Art. 5(1)(f) |
El giro de la conformidad: un organismo notificado (anexo VII)
Esto es lo que diferencia al punto 1 del resto del anexo III. Para la mayoría de los sistemas de alto riesgo del anexo III (puntos 2 a 8), el proveedor se autoevalúa por la vía del control interno del anexo VI. Para la biometría del anexo III, punto 1, el proveedor debe recurrir a la vía del organismo notificado del anexo VII cuando las normas armonizadas pertinentes no se hayan aplicado, o se hayan aplicado solo en parte, lo que significa que un tercero independiente, acreditado en la UE, revisa la documentación técnica y el sistema de gestión de la calidad antes de que el sistema pueda llevar el marcado CE.
En la práctica: si construyes un sistema biométrico de alto riesgo, presupuesta un organismo externo de evaluación de la conformidad, no solo una validación interna. Es la mayor diferencia operativa entre el punto 1 y el resto del anexo III, y alarga el plazo de salida al mercado. La vía se selecciona conforme al artículo 43; el marcado CE se aplica conforme al artículo 48, y la declaración de conformidad conforme al artículo 47 (anexo V).
La advertencia sobre el plazo
El aplazamiento al 2 de diciembre de 2027 ya está adoptado: el Pleno del Parlamento Europeo lo votó el 16 de junio de 2026 y el Consejo lo adoptó formalmente el 29 de junio de 2026. Solo falta su publicación en el Diario Oficial de la UE, prevista antes del 2 de agosto de 2026. Planifica con el 2 de diciembre de 2027 para los sistemas autónomos de alto riesgo del anexo III. Las prohibiciones biométricas del artículo 5 ya están en vigor y no se mueven.
Ejemplo práctico: un proveedor biométrico y su cliente aeroportuario
Iris Systems GmbH —un proveedor biométrico alemán ficticio de 70 personas (~14 millones de euros de facturación)— vende una herramienta de identificación de pasajeros a la Autoridad Aeroportuaria de Nordhafen, un operador público ficticio. La herramienta coteja a los pasajeros, a posteriori, con una base de datos de listas de vigilancia a partir de imágenes grabadas.
- Eso es identificación biométrica remota posterior (no en tiempo real): de alto riesgo según el anexo III, punto 1, no prohibida (la prohibición se dirige a la variante en tiempo real en espacios públicos con fines policiales).
- Iris Systems es el proveedor (artículo 16). Como se trata del punto 1, debe recurrir a la vía del organismo notificado del anexo VII conforme al artículo 43, salvo que aplique íntegramente las normas armonizadas: un organismo externo revisa su expediente técnico (art. 11 / anexo IV) y su sistema de gestión de la calidad (art. 17). Como pyme, su exposición a sanciones está limitada a la cifra inferior conforme al artículo 99(6).
- El aeropuerto de Nordhafen es el responsable del despliegue (artículo 26) y, como organismo de servicio público, debe completar la evaluación de impacto relativa a los derechos fundamentales (EIDF) del artículo 27 antes del primer uso y registrar el sistema (art. 49). La supervisión humana del artículo 14 trae aquí una regla especial: para la identificación biométrica remota, el artículo 14(5) exige que no se adopte ninguna medida a raíz de una identificación salvo que al menos dos personas competentes la verifiquen y confirmen por separado.
- La línea que no pueden cruzar. Si, en cambio, el aeropuerto ejecutara identificación en directo en la zona pública de tránsito con fines policiales, la cosa pasaría a estar prohibida según el artículo 5(1)(h): fuera de las excepciones estrictas, no existe vía de cumplimiento.
El mismo proveedor, la misma base de datos, y un único cambio de «posterior» a «en tiempo real, público, con fines policiales» mueve el sistema de alto riesgo a prohibido.
Cómo ayuda Confir
La lógica de clasificación de Confir aplica primero las prohibiciones biométricas del artículo 5 —identificación biométrica remota pública en tiempo real (5(1)(h)), extracción de imágenes faciales (5(1)(e)), categorización sensible (5(1)(g)), reconocimiento de emociones en el trabajo o la educación (5(1)(f))—, después contrasta el uso residual con el anexo III, punto 1 y marca la verificación 1:1 como de riesgo mínimo. Y, lo más importante, para los sistemas del punto 1 dirige el paso de conformidad a la vía del organismo notificado (anexo VII) en lugar del control interno por defecto, de modo que no te pille por sorpresa el requisito del tercero ya avanzado el proyecto. El motor es determinista y basado en reglas, y cita el artículo o el punto del anexo que respalda cada conclusión.
Guías relacionadas
- Identificación biométrica remota (alto riesgo)
- IA de categorización biométrica
- Prohibición biométrica en tiempo real (artículo 5)
- Reconocimiento facial en espacios públicos
- Organismo notificado: qué es
- La evaluación de la conformidad explicada
Gestiona el cumplimiento de la Ley de IA de la UE en un solo lugar
Confir automatiza la clasificación de riesgo, la documentación técnica y los registros de auditoría para cualquier empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 14 días.
Empieza la prueba gratuita →