¿La verificación biométrica es de alto riesgo según el Reglamento de IA de la UE?
La verificación biométrica uno a uno queda excluida del alto riesgo del anexo III (es riesgo mínimo). La identificación uno a muchos no se libra.
No, y esta es una de las líneas más importantes de acertar. La verificación biométrica uno a uno —confirmar que una persona es quien dice ser, como un desbloqueo facial en el teléfono o una huella dactilar en un torno— queda excluida de la categoría de biometría de alto riesgo del anexo III. La exclusión es explícita en los considerandos y las definiciones del Reglamento. Si te equivocas aquí, montas un pesado programa de alto riesgo sobre un sistema que el Reglamento dejó fuera deliberadamente. Esta página traza la línea triple: verificación (mínima), identificación (alto riesgo) e identificación pública en tiempo real (prohibida).
La exclusión de la verificación, dicho claro
El anexo III, punto 1 cubre la biometría, incluidos los sistemas de identificación biométrica remota. Pero el Reglamento define ese término de modo que excluye la verificación. Un sistema de verificación biométrica responde a una pregunta uno a uno —«¿es esta persona el individuo concreto que dice ser?»— comparando una muestra nueva con una única plantilla almacenada. Un desbloqueo facial del teléfono, iniciar sesión en una aplicación bancaria con la huella dactilar, pasar por una puerta de acceso que confirma tu identidad registrada: todo es verificación uno a uno.
El considerando 54 y las definiciones del artículo 3 son explícitos en que los sistemas cuya única finalidad es confirmar que una persona física concreta es quien dice ser no son identificación biométrica remota y, por tanto, no entran en la categoría de biometría de alto riesgo del anexo III. La verificación, dicho llanamente, queda fuera de la red de alto riesgo. Por eso el nivel de riesgo de esta página es mínimo: el uso en sí se sitúa fuera del anexo III.
La línea: verificación frente a identificación
Todo gira en torno a la pregunta que formula el sistema.
| Lo que hace el sistema | La pregunta que responde | Tramo |
|---|---|---|
| Verificación (1:1): desbloqueo facial del teléfono, inicio de sesión en una aplicación, control de acceso que confirma tu identidad reclamada | «¿Eres quien dices ser?» | Mínimo: excluido del anexo III |
| Identificación (1:muchos): buscar un rostro en una base de datos para averiguar quién es alguien | «¿Quién es este, de entre muchos?» | Alto riesgo (anexo III, punto 1) |
| Identificación remota en tiempo real en espacios públicos, con fines policiales | 1:muchos en directo en espacios públicos | Prohibida (artículo 5), excepciones estrictas |
La verificación es uno a uno y, por naturaleza, consentida: te presentas tú y el sistema comprueba una única afirmación. La identificación es uno a muchos: rastrea una muestra contra muchas identidades almacenadas para determinar quién es una persona, a menudo sin su participación activa. Este segundo caso es el de alto riesgo según el anexo III, punto 1, y se canaliza por la evaluación de la conformidad de la vía del organismo notificado del anexo VII (la biometría es la única categoría del anexo III que lo hace).
El tercer tramo es aún más tajante: la identificación biométrica remota en tiempo real de personas en espacios de acceso público con fines de garantía del cumplimiento de la ley está prohibida según el artículo 5(1)(h), con sujeción a excepciones estrictas y autorizadas. Eso no es «alto riesgo con pasos adicionales»: es una práctica prohibida, en vigor desde el 2 de febrero de 2025, con el techo sancionador del artículo 5. Nunca describas la identificación biométrica remota pública en tiempo real como mero alto riesgo.
Qué sigue aplicándose a la verificación
«Excluido del alto riesgo del anexo III» no significa «sin reglas en absoluto». Un sistema de verificación trata datos biométricos, que son una categoría especial de datos según el artículo 9 del RGPD, de modo que siguen aplicándose una base lícita, una EIPD (evaluación de impacto relativa a la protección de datos) cuando proceda (artículo 35 del RGPD) y la protección de datos desde el diseño. Los datos biométricos no dejan de ser sensibles por el hecho de que el Reglamento de IA deje el uso fuera del anexo III.
También pueden persistir dos puntos de contacto con el Reglamento de IA:
- La transparencia del artículo 50 puede entrar en juego si el despliegue también hace algo que deba divulgarse; por ejemplo, categorización biométrica o reconocimiento de emociones acoplados a la misma cámara activan el deber de aviso del artículo 50(3). La verificación 1:1 pura no lo activa, pero comprueba qué más hace el sistema.
- Si la verificación va integrada como componente de seguridad de un producto regulado, manda el régimen propio de ese producto: evalúa la función, no la etiqueta.
El mensaje práctico: trata la verificación como un problema de RGPD primero, no como un problema de alto riesgo del Reglamento de IA.
Por qué existe esta exclusión
La lógica es la proporcionalidad. La verificación es algo que te haces a ti mismo: presentas tu propio rostro o tu dedo para confirmar una afirmación que tú haces. El perfil de daño de la vigilancia uno a muchos —ser señalado entre una multitud sin tu participación— sencillamente no está presente. El Reglamento reserva sus obligaciones biométricas más pesadas (y su prohibición del artículo 5) para los casos de identificación en los que las personas se cotejan con muchas otras, a menudo sin consentimiento. La verificación, en cambio, se parece más a una contraseña que a la vigilancia.
Ejemplo práctico: el inicio de sesión de una fintech no activa el anexo III
NeoPagos S.L., una fintech española de unos 55 empleados y aproximadamente 11 millones de euros de facturación, permite a sus clientes iniciar sesión en su aplicación con desbloqueo facial. El equipo de producto entra en pánico: «¿nuestra biometría es de alto riesgo?». La respuesta es no. El desbloqueo facial es verificación uno a uno: confirma que el cliente es el titular concreto de la cuenta que dice ser, cotejándolo con la plantilla registrada de ese único usuario. El considerando 54 y las definiciones del artículo 3 lo dejan fuera del anexo III, punto 1 → riesgo mínimo según el Reglamento de IA.
Lo que NeoPagos sí debe cumplir es el RGPD: la plantilla facial es una categoría especial de datos (artículo 9 del RGPD), por lo que necesita una base lícita, una EIPD (artículo 35 del RGPD) y seguridad de los datos biométricos. No debe el paquete de alto riesgo: ni la construcción de los artículos 9 a 15, ni el organismo notificado del anexo VII, ni el registro del artículo 49. Si NeoPagos hubiera construido, en cambio, un sistema que rastreara un rostro entrante contra toda su base de clientes para identificar quién estaba en la puerta, esa identificación uno a muchos sería de alto riesgo según el anexo III, punto 1: otro sistema, otra respuesta.
Cómo ayuda Confir
Confir traza la línea verificación-identificación ya en la admisión: un uso de verificación uno a uno se clasifica como de riesgo mínimo y se canaliza hacia sus obligaciones del artículo 9 del RGPD en lugar del paquete de alto riesgo del anexo III, mientras que un uso de identificación uno a muchos se marca como de alto riesgo (anexo III, punto 1, vía del anexo VII) y un uso público en tiempo real con fines policiales se marca contra la prohibición del artículo 5. El motor es determinista y basado en reglas, de modo que el mismo uso biométrico se clasifica igual cada vez: sin adivinar de qué lado de la línea cae.
Guías relacionadas
- La identificación biométrica remota explicada
- IA de identificación biométrica: anexo III, punto 1
- Prohibición de la identificación biométrica en tiempo real (artículo 5)
- La categorización biométrica según el Reglamento de IA
- Cómo clasifica el artículo 6 la IA de alto riesgo
- Cómo funciona la clasificación del riesgo de la IA
Gestiona el cumplimiento de la Ley de IA de la UE en un solo lugar
Confir automatiza la clasificación de riesgo, la documentación técnica y los registros de auditoría para cualquier empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 14 días.
Empieza la prueba gratuita →