Algún día no lejano, participar en un concierto, levantar una pancarta en una manifestación o ir a un estadio para ver un partido podría convertirse, con la ayuda de la inteligencia artificial, en una oportunidad de vigilancia masiva e identificación colectiva por parte del gobierno de turno. Parece un escenario distópico digno de una dictadura, pero es el camino que ha emprendido Europa con las tecnologías de reconocimiento facial, que cada vez más países están utilizando. E Italia lleva la delantera.
España aún no posee legislación específica sobre ello. Pero hace dos años, en agosto de 2024, entró en vigor el AI Act (Ley de IA), el primer marco regulatorio del mundo sobre inteligencia artificial: un reglamento europeo que clasifica los sistemas de IA por niveles de riesgo, con aplicación escalonada.
Sobre la identificación biométrica policial, el reglamento fija en teoría una prohibición general, pero introduce excepciones ―terrorismo, personas desaparecidas, delitos “graves”― y deja a cada Estado un margen amplio para desarrollar el procedimiento concreto. Y aquí está el problema: en Italia, que ya ha implementado esa normativa, la polémica es mayúscula.
El 4 de agosto, el Gobierno de Giorgia Meloni aprobó de forma definitiva, tras un intercambio de borradores con el Parlamento, el decreto que adapta la ley italiana a la Ley de IA, aunque todavía no publicado en la Gaceta Oficial (el contenido se conoce solo por una nota del Ejecutivo). Italia se convierte así en el primer país de la UE en dotarse de un marco jurídico detallado para las excepciones que la Ley de IA deja abiertas al uso policial del reconocimiento facial. En España, el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la IA está en el Congreso, con el plazo de enmiendas abierto.
El decreto italiano distingue dos usos: identificación en tiempo real, reservada a amenazas graves como terrorismo o búsqueda de desaparecidos, con autorización del fiscal; e identificación a posteriori, que solo se activa tras cometerse un delito, para identificar sospechosos ya señalados. Respecto al primer borrador, el cambio más relevante afecta a eventos con “necesidades de orden público” —plazas, estadios, manifestaciones—: la policía puede grabar y conservar esas imágenes, pero el reconocimiento facial ya no se activa automáticamente sobre todos los presentes, sino solo si se comete un delito, con autorización judicial en 24 horas. Los datos se borrarían a los 7 días si no ha pasado nada.
Las organizaciones de derechos civiles están en pie de guerra, aunque son pesimistas sobre la posibilidad real de frenar la bola de nieve. Le pone palabras Diletta Huyskes, socióloga de la Universidad Estatal de Milán y fundadora de la ONG Immanence, una de las voces más activas durante el debate parlamentario italiano: “No hay nada que hacer, partiendo de la base de que los reguladores europeos, de una u otra forma, permiten que los gobiernos actúen de esta manera. Mi postura es totalmente contraria a los usos que proponen, pero estamos delante de una tendencia que viene gestándose desde hace años”.
Según la nota del Ejecutivo (a falta de texto final), el Gobierno ha retocado de manera cosmética algunos aspectos técnicos —requisitos de la base de datos, procedimiento de borrado, poderes del Garante de Privacidad—, pero no los más controvertidos: sigue permitido el reconocimiento a posteriori en espacios públicos, no se han reforzado las autorizaciones judiciales para el tiempo real, ni se exige informar a la ciudadanía de cuándo está activo el sistema.
“La implementación de esta tecnología crea una infraestructura de vigilancia omnipresente. Incluso con un cambio de gobierno, puede usarse fácilmente con fines autoritarios”, critica Huyskes.
El periodista y experto en control biométrico Fabio Chiusi coincide y va más allá: “Hay partidos aún más extremistas que los que están en el poder, como el del general Roberto Vannacci, que pide drones con cámaras térmicas para garantizar la seguridad. ¿Es posible creer que instituciones guiadas por estos instintos puedan cumplir con las condiciones que impone la Ley de IA? ¿Durante cuánto tiempo?”. Y añade: “Hace pocos años, pensar en ciudades vigiladas por miles de ojos tecnológicos siempre abiertos nos hacía pensar en el régimen chino; hoy afecta a las democracias más avanzadas. Esta tendencia no se frena con enmiendas puntuales, sino con prohibiciones absolutas”.
Para Huyskes también son problemáticos la opacidad sobre los criterios de entrenamiento o los procedimientos de eliminación de imágenes: “Obstaculizan la supervisión democrática y la protección de los derechos fundamentales”. En palabras de Chiusi: “Para este Gobierno, registrar automáticamente a todos los presentes en una manifestación —es decir, vigilancia masiva— es compatible con una sociedad democrática”.
La periodista Laura Carrer, investigadora del Hermes Center Hacking for Human Rights, coincide: “Se está normalizando una vigilancia que antes no existía. La hemos vinculado al requisito de que exista un delito para usarla, pero mientras tanto, queda registrada”. Y lamenta la falta de control externo: “El único pilar que queda es la supervisión judicial, aunque la activación puede autorizarla el fiscal, no un juez. El fiscal lleva la investigación y es más probable que la autorice”. Insiste en ese punto Aljosa Ajanovic Andelic, de EDRi (European Digital Rights): “El organismo autorizador debería evaluar la necesidad y la proporcionalidad. La cuestión importante es si la autoridad examina realmente la necesidad de ese despliegue en particular, o simplemente valida de manera rutinaria una decisión policial ya tomada”.
Ajanovic cree que la ley italiana “pone a prueba la frontera entre el reconocimiento facial en tiempo real y a posteriori”, con implicaciones que van más allá de Italia: “Si se capturan y almacenan continuamente los datos biométricos de todas las personas que transitan por un espacio público, y luego se decide a quién identificar, ¿es realmente un sistema posterior, o una forma de lograr un efecto de vigilancia muy similar mediante una secuencia técnica diferente? Si esos datos se usan después para criminalizar a los asistentes a una manifestación, se estaría actuando de facto como un sistema en tiempo real”.
El experto pone el ejemplo de Hungría, que “también excluyó la identificación facial rápida de la categoría de ‘tiempo real’ usando imágenes fijas en lugar de transmisión en directo, y luego amenazó con usarla para identificar y multar a quienes asistieran a la manifestación del Orgullo de Budapest [que el Gobierno del ultra Viktor Orbán prohibió]. Según nuestro análisis, el sistema húngaro es en tiempo real porque puede influir en el comportamiento durante una protesta, y por tanto viola el AI Act”. Lo que teme EDRi es que las leyes nacionales “se utilicen para eludir las prohibiciones y expandir los sistemas biométricos de vigilancia masiva”.
Antes de EDRi, Ajanovic coordinó en 2022, desde Òmnium Cultural, la campaña Catalangate, sobre el espionaje con el software israelí Pegasus a políticos, activistas y periodistas catalanes en el contexto del procés: “Utilizar sistemas de vigilancia para combatir el crimen solo con autorización judicial es un concepto que se presta fácilmente al engaño. No solo lo vimos en Cataluña; también con los ecologistas en Francia o los movimientos propalestinos en Alemania y Reino Unido. Cuando ciertos movimientos son etiquetados como terroristas, las garantías judiciales existen solo sobre el papel”. El límite temporal en la retención de datos, añade, es útil porque es auditable en principio, “pero el problema es el mismo que vemos en migración: la falta de transparencia y el secretismo hacen que sea inverificable”.
Para los migrantes y solicitantes de asilo, señala, el efecto disuasorio “puede ser particularmente significativo porque su relación con las autoridades ya es más precaria”. A esto se suma el llamado function creep: “Un migrante puede tener datos biométricos en una base por razones que no tienen nada que ver con la delincuencia. Si la policía puede acceder a esas bases, las consecuencias de una coincidencia errónea son mucho más graves. Con el nuevo Reglamento de Deportación de la UE, los Estados deberán registrar a personas indocumentadas, así que esta interoperabilidad podría producirse casi automáticamente”.
Según el Instituto Xnet, el proyecto español acierta en la obligación de etiquetar deepfakes y al recoger prohibiciones de la Ley de IA como la perfilación social, y al imponer sanciones fuertes al sector privado; pero lo critican por no aplicar esas mismas sanciones cuando es el sector público quien infringe la ley, y por ser, en conjunto, “más una ley de sanción y vigilancia que de derechos ciudadanos”.
Según Ajanovic, España tiene todas las opciones abiertas: puede replicar los usos italianos o “adoptar normas más estrictas y prohibir, por ejemplo, la identificación biométrica ex post”. Y concluye: “La sociedad civil española tiene una oportunidad mucho más importante que la simple supervisión de la ley, porque el legislador puede decidir dónde poner el umbral nacional. No solo importa lo que la ley dice que debe hacer el sistema, sino lo que permite técnicamente que haga la policía. La Ley de IA no le exige a España reproducir la interpretación más permisiva del reglamento”.