todos los artículos
ia · 5 min de lectura

Reconocimiento facial y anteojos inteligentes: riesgos de privacidad para empresas

Cómo el reconocimiento facial puede exponer datos personales y qué revisar antes de un piloto: minimización, control de accesos y evaluación de privacidad.

Las cámaras en anteojos y celulares, combinadas con servicios de búsqueda de rostros, pueden permitir identificar a un desconocido a partir de una sola imagen. Para la mayoría de las empresas, la pregunta práctica es más acotada: si conviene hacer un piloto de reconocimiento facial para cosas como el acceso por la puerta, el fichaje de horario o la acreditación en eventos, y qué pasa cuando el personal lleva dispositivos con cámara al trabajo. Este artículo es una evaluación de riesgos para ayudarte a decidir. No es asesoramiento legal ni una guía de implementación.

Por qué un rostro no es como otros datos personales

Una contraseña se puede cambiar después de una filtración. Un rostro, no. Además, el reconocimiento facial funciona a distancia, muchas veces sin que la persona sepa que está pasando, y sus errores recaen sobre personas concretas.

Los reguladores lo tratan en consecuencia. La Oficina del Comisionado de Información del Reino Unido (ICO) dice que, si usás un sistema de reconocimiento biométrico, estás tratando datos biométricos de categoría especial, así que necesitás una base legal y, aparte, una condición específica para datos de categoría especial. El Comité Europeo de Protección de Datos (CEPD, o EDPB por su sigla en inglés), en un dictamen de 2024 sobre reconocimiento facial en aeropuertos, dijo que los datos biométricos son especialmente sensibles y que su tratamiento puede generar riesgos significativos para las personas, y que cada persona debería tener el máximo control sobre sus propios datos biométricos.

En Estados Unidos, la declaración de política de 2023 de la Comisión Federal de Comercio (FTC) sobre información biométrica menciona directamente el reconocimiento facial y señala que puede tener tasas de error más altas en ciertos grupos de población.

El problema de los anteojos inteligentes: los terceros

Las cámaras portátiles cambian quién queda expuesto. La persona que usa los anteojos aceptó los términos del dispositivo. Las personas que tiene enfrente, no. Si un empleado graba a clientes, compañeros o visitantes y pasa esas imágenes por una herramienta de búsqueda de rostros, puede que sea tu empresa la que tenga que dar explicaciones.

Hay dos puntos del Reglamento de Inteligencia Artificial de la UE que conviene conocer aunque estés fuera de la UE, porque muestran dónde los reguladores ponen límites estrictos. El artículo 5 prohíbe los sistemas de IA que crean o amplían bases de datos de reconocimiento facial mediante la extracción no selectiva de imágenes faciales de internet o de grabaciones de circuitos cerrados de televisión. También prohíbe los sistemas de IA que infieren las emociones de las personas en el lugar de trabajo y en centros educativos, con excepciones por motivos médicos o de seguridad. La Comisión Europea dice que estas prohibiciones se aplican desde el 2 de febrero de 2025.

Lo que hay que hacer al respecto es sobre todo una cuestión de política interna, no de tecnología:

Definí si los anteojos con cámara y dispositivos parecidos están permitidos en reuniones con clientes, en el local y en las áreas internas.
Prohibí el uso de servicios de búsqueda de rostros sobre imágenes de clientes, personal o público, salvo que tu asesor legal haya aprobado un propósito concreto.
Explicale al personal qué hacer si un visitante no quiere que lo graben.

Lo que enseñan las sanciones

La declaración de política biométrica de la FTC enumera prácticas que va a mirar para decidir si el uso de información biométrica por parte de una empresa es desleal. En resumen:

No evaluar los daños previsibles antes de recolectar datos biométricos
No atender con rapidez los riesgos conocidos o previsibles
Recolectar o usar datos biométricos de forma encubierta o inesperada
No evaluar a los proveedores y otros terceros que manejan los datos o operan la tecnología
No capacitar al personal que trabaja con los datos o con el sistema
No monitorear la tecnología para confirmar que funciona como se espera

El caso Rite Aid, de diciembre de 2023, muestra cómo se traduce esto en la práctica. La FTC dijo que la cadena minorista implementó reconocimiento facial en cientos de tiendas sin probar su precisión, permitió imágenes de baja calidad que aumentaron las alertas falsas, no registró los falsos positivos, no capacitó bien al personal y no controló como correspondía a sus proveedores. La FTC también dijo que el sistema marcó por error a consumidores como ladrones, con más falsos positivos en comunidades donde la población negra o la asiática era el grupo más numeroso. El acuerdo le prohibió a Rite Aid usar reconocimiento facial con fines de vigilancia durante cinco años y le exigió borrar las imágenes y todo lo que se hubiera construido a partir de ellas.

Leé esa lista como un checklist de lo que un piloto chico también tiene que resolver bien.

Evaluación de riesgos antes del piloto

Repasá estos puntos antes de firmar con cualquier proveedor. Dejá las respuestas por escrito: el documento en sí es prueba de que actuaste con cuidado.

Propósito y necesidad

¿Qué problema concreto resuelve esto y cómo se resuelve hoy?
¿Hay una opción menos intrusiva, como una credencial, un PIN o una acreditación con personal? En su dictamen sobre aeropuertos, el CEPD instó a los operadores a elegir formas menos intrusivas de lograr el mismo objetivo.

Mapa de datos

¿Qué se captura: imágenes, plantillas biométricas, registros de coincidencias?
¿Dónde se guarda, quién tiene las claves y por cuánto tiempo se conserva? El CEPD concluyó que solo el almacenamiento en el que la persona conserva los datos o la clave de cifrado podría ser compatible con los principios que analizó.
¿Qué proveedores y subencargados tienen acceso?

Personas y elección

¿Quién está registrado y a quién se escanea sin estar registrado?
¿Cuál es la alternativa para quien dice que no? La ICO dice que, si te basás en el consentimiento, tenés que ofrecer una alternativa adecuada, y que los empleadores deberían pensar bien si el consentimiento es apropiado dada la desigualdad de poder.
¿Cómo se les avisa a las personas antes de escanearlas?

Precisión y errores

¿Qué pruebas aporta el proveedor y sobre qué población?
¿Qué pasa después de una coincidencia o de una coincidencia fallida, y quién lo revisa antes de tomar cualquier medida?
¿Cómo vas a registrar las coincidencias falsas y los reclamos?

Seguridad y accesos

¿Quién puede ver las imágenes y los resultados de coincidencia?
¿Cómo se protegen las plantillas y cómo se confirma el borrado?

Revisión y criterios para frenar

¿Quién aprueba: alguien con autoridad, después de una revisión legal?
¿Qué resultado termina el piloto antes de tiempo: una tasa de error por encima de un umbral acordado, un patrón de reclamos, un incidente de seguridad?

Un tratamiento así también puede requerir una evaluación de impacto relativa a la protección de datos formal; la guía biométrica de la ICO tiene una sección justamente sobre esa pregunta. Consultá con tu asesor legal qué ley se aplica en tu caso y qué exige. Las páginas de la ICO, el CEPD y la FTC que figuran abajo son un buen punto de partida para las preguntas que te va a hacer.

Cuando la respuesta es no

Muchos de los casos de uso que llevan a las empresas al reconocimiento facial tienen soluciones más simples. El acceso por la puerta funciona con tarjetas o con el celular. El fichaje de horario funciona con un PIN. La acreditación en eventos funciona con un código QR y una persona en la entrada. Si la evaluación muestra una opción menos intrusiva que resuelve el problema, en general ahí termina la discusión.

Dónde entra automotif

No desarrollamos sistemas de reconocimiento facial. Donde ayudamos es en la adopción de IA: trabajamos con tu equipo en una política escrita para el uso de herramientas de IA y dispositivos con cámara en el trabajo, y en una guía para evaluar cualquier piloto de IA antes de que toque datos personales. Las preguntas legales quedan en manos de tu asesor legal. Si querés conversarlo, reservá una llamada gratis de 30 a 60 minutos.