Y nadie lo ha regulado bien todavía.
La IA ha transformado lo que un sistema de videovigilancia hace — y por tanto lo que puede hacer legalmente. Las mismas cámaras que antes solo registraban imágenes ahora analizan comportamientos, infieren estados emocionales y generan datos biométricos. El problema: la mayoría de las organizaciones que las han instalado no saben exactamente qué está haciendo el sistema. Y desde febrero de 2025, esa ignorancia tiene consecuencias legales muy concretas.
Durante años, la videovigilancia empresarial fue un territorio normativo predecible: instalar las cámaras en zonas justificadas, poner el cartel informativo, conservar las grabaciones un máximo de treinta días y firmar el contrato de encargado del tratamiento con la empresa de seguridad. Un esquema claro, con riesgos conocidos y bien documentados por la AEPD.
Ese escenario ha cambiado de forma radical. La inteligencia artificial ha transformado lo que una cámara es capaz de hacer. La misma cámara que antes solo grababa ahora puede detectar si un empleado lleva demasiado tiempo inmóvil, inferir el estado emocional de un cliente, identificar patrones de comportamiento previos a un conflicto o generar mapas de calor del movimiento de personas en tiempo real. Y lo hace de forma silenciosa, sin que el responsable de seguridad, el director de RRHH o el DPO hayan tomado una decisión consciente sobre si ese tratamiento tiene base legal.
La videovigilancia fue en 2024 la materia con más reclamaciones ante la AEPD, con un incremento del 19% respecto al año anterior. Y el AI Act europeo lleva en vigor desde agosto de 2024, con sus primeras prohibiciones aplicables desde febrero de 2025. La confluencia de ambos factores crea una situación de riesgo que muchas empresas todavía no han identificado.
— materia más reclamada1
1. Lo que una cámara con IA hace hoy en su empresa
El primer problema es terminológico. Cuando hablamos de videovigilancia con IA, la mayoría de los responsables de seguridad piensan en reconocimiento facial. Pero eso es solo la punta del iceberg — y además es la parte que tiene la regulación más clara y restrictiva. Lo que realmente está ocurriendo en miles de instalaciones empresariales españolas es algo más sutil y, en muchos casos, más problemático desde el punto de vista jurídico.
Capacidades reales de los sistemas comerciales disponibles en España · AI Act + RGPD · Abril 2026
El problema no está en las capacidades que una organización decide activar conscientemente. Está en las que se activan por defecto cuando se instala una plataforma de analítica de vídeo y nadie revisa exactamente qué hace el sistema que acaba de ponerse en marcha.
⚡ El riesgo del "viene de serie": muchos sistemas de videovigilancia comerciales incluyen módulos de analítica de comportamiento activados por defecto — detección de merodeo, análisis de postura, alertas por permanencia prolongada. El instalador los configura como funcionalidad estándar y el cliente nunca toma una decisión explícita sobre si quiere ese tratamiento. Desde el punto de vista del RGPD, la ignorancia del responsable no es una excusa. Si el sistema trata datos personales de una determinada manera, la empresa es responsable de ese tratamiento aunque no lo supiera.
2. La zona gris: lo que existe
y nadie regula bien aún
El AI Act ha venido a poner orden en una parte del problema. Pero lo ha hecho de forma escalonada, y la regulación más detallada para muchos casos de uso todavía está en desarrollo. Eso crea una zona gris con consecuencias prácticas muy concretas para las empresas.
El caso más claro es el análisis de comportamiento. Un sistema que detecta si un empleado lleva diez minutos sin moverse, si un visitante en un almacén se desvía de la zona autorizada o si un cliente dedica más de dos minutos frente a un lineal concreto está generando inferencias sobre conductas humanas a partir de imágenes. Esas inferencias son datos personales cuando la persona es identificable — y en muchos entornos empresariales, la identificación es trivial.
📌 Lo clave del AI Act en videovigilancia: el Reglamento no regula la cámara en sí — regula la inteligencia artificial que analiza las imágenes. Si el sistema de videovigilancia incluye algoritmos de machine learning que toman decisiones o generan inferencias sobre personas, ese software puede estar sujeto al AI Act con independencia de que la cámara sea la de siempre. La distinción relevante es entre "grabar" y "analizar".4
3. Las líneas rojas del AI Act:
prohibiciones en vigor desde febrero 2025
El AI Act no es futuro — es presente. Desde el 2 de febrero de 2025, una serie de prácticas están directamente prohibidas en toda la Unión Europea. Su incumplimiento ya es sancionable con multas de hasta 35 millones de euros o el 7% de la facturación global. Y en julio de 2025, la AEPD dejó claro que puede actuar sobre sistemas de IA que violen estas prohibiciones cuando afecten a datos personales — sin necesidad de esperar a la plena aplicación del régimen sancionador del AI Act en agosto de 2026.5
4. Lo que la AEPD está
sancionando — casos reales
La AEPD no espera al pleno despliegue del AI Act para actuar sobre videovigilancia. Los expedientes recientes muestran exactamente qué tipo de situaciones está sancionando — y el patrón es consistente: no es la tecnología, es la ausencia de decisiones conscientes y documentadas sobre el tratamiento.
Procedimientos sancionadores AEPD en 2024 — videovigilancia el área más frecuente
Videovigilancia acumula el mayor número de procedimientos sancionadores y apercibimientos, siendo también la materia más reclamada por los ciudadanos con un incremento del +19%. La AEPD finalizó 414 procedimientos en total en 2024. Fuente: Memoria AEPD 2024.
Clínica dental con 11 cámaras grabando 24 horas — quirófanos, despachos clínicos y zonas de trabajo
Una clínica dental instaló un sistema de videovigilancia de 11 cámaras con grabación continua en todas las dependencias — incluidos gabinetes clínicos con pacientes, zonas de trabajo del personal y áreas de descanso. La AEPD detectó tres problemas simultáneos: grabación de datos especiales de salud de pacientes sin base legal suficiente, vigilancia continua desproporcionada de los empleados y ausencia de documentación justificativa. El error más frecuente: asumir que instalar cámaras "por seguridad" tiene cobertura automática del interés legítimo en cualquier zona. No la tiene.
50.000 € Sanción impuesta — reducida por reconocimiento voluntarioEmpresa industrial con videovigilancia externa sin contrato de encargado del tratamiento
Una empresa madrileña del sector de fabricación tenía su sistema de videovigilancia gestionado por una empresa de seguridad externa — sin haber formalizado el contrato de encargado del tratamiento que exige el artículo 28 del RGPD. La AEPD señaló que esa omisión impide conocer las obligaciones de cada parte en la cadena de tratamiento y genera inseguridades respecto a las medidas técnicas que debe aplicar el encargado. El fallo no era técnico ni operativo — era exclusivamente documental. El alcance del tratamiento afectaba no solo a los empleados sino también a clientes y visitantes.
10.000 € Sanción impuesta⚠️ El patrón de las resoluciones de la AEPD sobre videovigilancia: no se trata solo de dónde apunta la cámara. La AEPD verifica si el responsable puede demostrar que tomó una decisión consciente y documentada sobre cada elemento del tratamiento: finalidad, base legal, proporcionalidad, plazo de conservación, accesos autorizados y, si hay proveedor externo, el contrato de encargado del tratamiento. Las empresas con ese expediente en regla salen bien de las inspecciones. Las que improvisan cuando llega la reclamación son las que acaban siendo sancionadas.
5. Cuándo es obligatoria la
Evaluación de Impacto — la pregunta que nadie hace
La Evaluación de Impacto en la Protección de Datos (EIPD) es el instrumento que el RGPD prevé para los tratamientos de alto riesgo. Y los sistemas de videovigilancia con IA, en una gran cantidad de supuestos, la requieren obligatoriamente antes de ponerse en marcha — no después de que llegue la primera reclamación.
La AEPD establece que la EIPD es preceptiva cuando concurren al menos dos de los criterios de riesgo del artículo 35 del RGPD. En el caso de sistemas de videovigilancia con analítica de IA, se suelen cumplir varios simultáneamente: tratamiento de datos biométricos, evaluación de personas, tratamiento a gran escala, uso de nuevas tecnologías y vigilancia sistemática. La conclusión es que la mayoría de los sistemas modernos de videovigilancia empresarial con capacidades de analítica de comportamiento o reconocimiento deberían haber pasado por una EIPD antes de instalarse.
✓ Lo que la EIPD obliga a hacer antes de instalar: identificar el propósito exacto del tratamiento, evaluar su necesidad y proporcionalidad, valorar los riesgos para los derechos de las personas afectadas, documentar las medidas previstas para mitigarlos y, si los riesgos residuales son altos, consultar previamente a la AEPD. No es un trámite formal — es un ejercicio de toma de decisiones que protege a la organización frente a reclamaciones futuras y demuestra responsabilidad proactiva.
6. Lo que debe revisar
un responsable de seguridad hoy
Conclusión: la cámara que
sabe demasiado
La videovigilancia inteligente no es una amenaza futura — ya está instalada en miles de empresas españolas, y la regulación que la rige ya está en vigor. El mercado global de videovigilancia con IA alcanzó los 6.500 millones de dólares en 2024 y crecerá a un ritmo del 30% anual hasta 2030. El 25% de las organizaciones tiene como prioridad implementar o ampliar estos sistemas en los próximos doce meses.
El problema no es la tecnología — que ofrece beneficios reales en seguridad, eficiencia operativa y gestión de instalaciones. El problema es la brecha entre lo que el sistema hace y lo que el responsable de la organización sabe que está haciendo. En el contexto regulatorio de 2026, esa brecha puede ser una sanción de la AEPD por incumplimiento del RGPD, una infracción de las prohibiciones del AI Act con multas de hasta 35 millones de euros, o la prueba que invalida un procedimiento disciplinario en un tribunal laboral.
La solución no es desinstalar las cámaras. Es tomar el control de lo que hacen.
¿Sabe exactamente qué está haciendo
su sistema de videovigilancia?
En Artico realizamos auditorías específicas de sistemas de videovigilancia con IA: inventario de capacidades activas, verificación de cumplimiento RGPD y AI Act, EIPD y revisión de contratos con proveedores. Primera consulta gratuita.
Escríbenos por WhatsApp