Las cámaras ya no solo graban. Detectan a alguien que merodea, leen matrículas, cuentan personas y, en algunos casos, intentan reconocer caras. Detrás de todo eso hay inteligencia artificial, y en España hay un organismo creado para vigilar que se use bien: la AESIA, la Agencia Española de Supervisión de la Inteligencia Artificial. Te contamos qué es, qué puede hacer hoy (y qué no), y qué significa para las empresas de seguridad, las centrales receptoras de alarmas y los vigilantes.
Lo esencial en 30 segundos
- Qué es: la AESIA es la agencia estatal que supervisa en España el uso de la inteligencia artificial y el cumplimiento del Reglamento europeo de IA. Tiene su sede en A Coruña y la dirige desde enero de 2026 Alberto Gago.
- El reglamento europeo ya se aplica: desde febrero de 2025 hay usos de la IA prohibidos, como el reconocimiento de emociones en el trabajo.
- El alto riesgo se retrasa: las obligaciones de los sistemas biométricos, de infraestructuras críticas o de gestión de trabajadores pasan al 2 de diciembre de 2027.
- La ley española, en el aire: el proyecto que fijaba las sanciones decayó con la disolución de las Cortes el 6 de octubre de 2026.
- Para la seguridad privada: la AESIA no sustituye a la AEPD ni al Ministerio del Interior. Las tres miradas se suman cuando una cámara incorpora IA.
Qué es la AESIA
La primera agencia de Europa dedicada solo a la inteligencia artificial.
La AESIA se creó con el Real Decreto 729/2023, que aprobó su estatuto en agosto de 2023. Es una entidad de derecho público adscrita al Ministerio para la Transformación Digital y de la Función Pública, a través de la Secretaría de Estado de Digitalización e Inteligencia Artificial. Su sede está en el edificio La Terraza, en A Coruña.
Según su información institucional, le corresponden la supervisión, el asesoramiento, la concienciación y la formación para que la IA se use y desarrolle conforme a la normativa nacional y europea. En su papel de supervisora, el estatuto le atribuye las funciones de inspección, comprobación y sanción previstas en el Reglamento (UE) 2024/1689, el Reglamento de Inteligencia Artificial (RIA). Si quieres repasar la norma desde cero, tienes nuestra guía EU AI Act: qué es, cómo funciona y qué obligaciones impone. Más abajo verás por qué la parte sancionadora todavía está a medio montar.
España fue el primer país de la Unión en crear una autoridad de este tipo, antes incluso de que el reglamento europeo entrara en vigor. En la mayoría de los demás países, estas funciones las asumen organismos que ya existían, como las autoridades de protección de datos.
Su primer director fue Ignasi Belda, desde junio de 2024. El 7 de enero de 2026 le relevó Alberto Gago Fernández, nombrado por el Consejo Rector según publicó el BOE. Según la propia agencia, en octubre de 2026 contaba ya con un equipo de unos cincuenta profesionales.
Infografía · La AESIA en datos
Qué es la AESIA, en cinco cifras
2023
Real Decreto 729/2023 aprueba su estatuto. Primera agencia de IA de la UE.
A CORUÑA
Sede en el edificio La Terraza, cedido por el Ayuntamiento.
16 GUÍAS
Publicadas en diciembre de 2025 para cumplir el reglamento, con listas de autodiagnóstico.
~50
profesionales en su plantilla en octubre de 2026, según la agencia.
+500
consultas recibidas por su canal ciudadano hasta diciembre de 2025.
Fuentes: BOE, AESIA y Ministerio para la Transformación Digital y de la Función Pública.
Qué puede hacer hoy la AESIA (y qué no)
El reglamento europeo se aplica solo. Las multas españolas necesitan una ley que todavía no existe.
Un reglamento europeo no necesita trasponerse: obliga directamente a empresas y administraciones desde las fechas que él mismo fija. Pero deja a cada Estado dos tareas: decidir qué autoridades lo vigilan y aprobar el régimen de sanciones. En España, el Derecho exige que las infracciones y las sanciones estén tipificadas en una norma con rango de ley.
Esa ley iba a ser la Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial. El Consejo de Ministros aprobó el proyecto el 26 de mayo de 2026 y el Congreso lo publicó el 12 de junio (BOCG, expediente 121/000096). El texto situaba a la AESIA en el centro del sistema y preveía multas de hasta 35 millones de euros. Pero el 6 de octubre el BOE publicó el Real Decreto 806/2026, que disolvió las Cortes y convocó elecciones para el 29 de noviembre. Con la disolución, los proyectos en tramitación decaen. Así lo recogieron, entre otros, Mobile World Live y varios despachos especializados.
¿En qué queda la AESIA entonces? Puede supervisar, pedir información, publicar guías, atender consultas y coordinarse con la Comisión Europea y con otras autoridades. Sin embargo, buena parte de los análisis jurídicos publicados en octubre de 2026 coinciden en que, mientras no haya una ley española que tipifique las infracciones del reglamento, no está claro que la agencia pueda imponer multas por incumplirlo. Algunos autores sostienen otra lectura. Lo prudente es no dar por hecho ni una cosa ni la otra y tratar el reglamento como lo que es: una obligación ya vigente.
Y hay un detalle importante para el sector: aunque la AESIA no multe, la Agencia Española de Protección de Datos (AEPD) sí puede sancionar desde hace años, con el RGPD, cualquier tratamiento ilícito de imágenes o datos biométricos. En la práctica, la mayoría de los problemas de una cámara con IA empiezan por ahí.
Infografía · Calendario
Las fechas del Reglamento de IA que vigila la AESIA
2 de febrero de 2025 · En vigor
Prácticas prohibidas (art. 5) y deber de alfabetización en IA del personal (art. 4).
2 de agosto de 2025 · En vigor
Gobernanza, autoridades nacionales y obligaciones de los modelos de IA de uso general.
27 de julio de 2026 · Ómnibus digital
Entra en vigor el Reglamento (UE) 2026/1744, que aplaza las obligaciones de alto riesgo.
2 de agosto de 2026 · En vigor
Obligaciones de transparencia (art. 50): avisar cuando hablas con una IA o ves contenido generado por IA.
6 de octubre de 2026 · Ley española decae
La disolución de las Cortes deja sin tramitar el proyecto de ley orgánica de IA.
2 de diciembre de 2027 · Alto riesgo (anexo III)
Biometría, infraestructuras críticas, empleo y gestión de trabajadores, entre otros.
2 de agosto de 2028 · Alto riesgo (anexo I)
Sistemas de IA integrados en productos regulados, como maquinaria o dispositivos médicos.
Fuentes: Reglamento (UE) 2024/1689, Reglamento (UE) 2026/1744 (Ómnibus digital sobre IA) y Real Decreto 806/2026.
Por qué la AESIA importa a la seguridad privada
El sector usa cada vez más IA, aunque no siempre la llame así.
Piensa en una jornada normal de una empresa de seguridad. La central receptora de alarmas filtra falsas alarmas con analítica de vídeo. Un aparcamiento lee matrículas. Un edificio de oficinas controla accesos con huella o con la cara. Un software reparte los turnos y otro mide la puntualidad de las rondas. Detrás de muchas de esas herramientas hay sistemas de IA, y el reglamento europeo no los trata a todos igual.
El RIA (Reglamento de Inteligencia Artificial, la norma europea que regula los usos de la IA según el riesgo que suponen para las personas) clasifica los usos por niveles de riesgo. Algunos están prohibidos, otros son de alto riesgo y tienen muchas obligaciones, y la mayoría tienen riesgo bajo o mínimo. Lo importante no es la tecnología, sino para qué se usa. La misma cámara puede ser inofensiva o problemática según lo que haga con la imagen.
Infografía · Semáforo del riesgo
Usos de IA en seguridad privada según el reglamento
Ejemplos orientativos. La clasificación depende siempre del uso concreto y del contexto.
Prohibido · desde 02/2025
Líneas rojas
- Reconocer emociones de los trabajadores en el puesto (salvo motivos médicos o de seguridad).
- Identificación biométrica remota en tiempo real en espacios públicos con fines de aplicación de la ley, salvo excepciones tasadas.
- Clasificar a personas por biometría para deducir raza, religión, ideas u orientación sexual.
- Crear bases de datos faciales recopilando imágenes de internet o de cámaras de forma indiscriminada.
Alto riesgo · desde 12/2027
Muchas obligaciones
- Identificación biométrica remota, por ejemplo buscar a una persona en las grabaciones por su cara.
- Sistemas que funcionan como componentes de seguridad de infraestructuras críticas.
- Herramientas que asignan tareas o vigilan y evalúan el rendimiento y el comportamiento de los trabajadores.
- Reconocimiento de emociones fuera del trabajo y categorización biométrica permitida.
Transparencia · desde 08/2026
Hay que avisar
- Asistentes o chatbots que atienden a clientes o a vigilantes.
- Imágenes, audios o vídeos generados o manipulados con IA.
Riesgo bajo o mínimo
Sin obligaciones específicas del RIA
- Detección de movimiento o de intrusión perimetral sin identificar a nadie.
- Filtrado de falsas alarmas en una CRA.
- Verificación 1:1 («eres quien dices ser») en un control de accesos.
Riesgo bajo para el RIA no significa vía libre: el RGPD, la Ley 5/2014 y el Estatuto de los Trabajadores siguen aplicándose. Fuentes: arts. 5, 6 y 50 y anexo III del Reglamento (UE) 2024/1689; fechas según el Reglamento (UE) 2026/1744.
El reconocimiento facial: la frontera que más importa
La pregunta que más se repite en el sector es si una empresa de seguridad puede usar reconocimiento facial. La respuesta corta es que, hoy en España, en la gran mayoría de los casos, no.
La prohibición del reglamento europeo sobre identificación biométrica en tiempo real se refiere a los fines de aplicación de la ley, es decir, a la actuación policial. Pero el freno para la seguridad privada viene sobre todo del RGPD. En 2020, la AEPD analizó en un informe si las empresas de seguridad podían incorporar reconocimiento facial a la videovigilancia. Concluyó que autorizarlo con carácter general carece de base jurídica y sería desproporcionado. Solo admitió supuestos excepcionales, como la protección de infraestructuras críticas, y siempre que una ley los prevea expresamente.
El caso más conocido es el de Mercadona. En julio de 2021, la AEPD le impuso una sanción de 2,52 millones de euros por un piloto de reconocimiento facial en 48 tiendas, pensado para detectar a personas con órdenes de alejamiento. La empresa pagó y dio por terminada la prueba, según recogió Hunton. La AEPD consideró que no había base para tratar datos biométricos de todos los clientes y que la evaluación de impacto era insuficiente.
La IA que mira al vigilante
Hay un segundo frente que afecta directamente a la plantilla. El reglamento prohíbe desde febrero de 2025 los sistemas que intentan deducir las emociones de las personas en el lugar de trabajo, salvo por razones médicas o de seguridad. Una herramienta que pretenda medir el estrés, el cansancio o el «ánimo» de un vigilante a partir de su cara o su voz entra de lleno en esa prohibición, salvo que encaje en esas excepciones.
Además, los programas que asignan servicios o que vigilan y evalúan el rendimiento de los trabajadores serán de alto riesgo a partir del 2 de diciembre de 2027 (te lo contamos en EU AI Act 2027: la nueva fase que cambia las obligaciones). Y desde 2021, el artículo 64.4.d del Estatuto de los Trabajadores ya da al comité de empresa derecho a conocer los parámetros y reglas de los algoritmos que afectan a las condiciones de trabajo.
AESIA, AEPD e Interior: quién vigila qué
Una cámara con IA puede interesar a tres organismos a la vez.
La AESIA no sustituye a nadie. Cuando una empresa de seguridad instala un sistema con IA, cada autoridad mira una parte distinta. Así se reparten hoy los papeles:
Infografía · Mapa de autoridades
Quién mira cada parte de una cámara con IA
El sistema
Videovigilancia con analítica de IA
AESIA
El algoritmo: si el uso está prohibido o es de alto riesgo, y si cumple las obligaciones del Reglamento de IA. Punto de contacto con la Comisión Europea.
AEPD
Los datos: base jurídica, proporcionalidad, información, evaluación de impacto y, sobre todo, datos biométricos. Puede sancionar con el RGPD.
INTERIOR
La actividad: que la empresa esté habilitada y que el servicio cumpla la Ley 5/2014 de Seguridad Privada, incluido su artículo 42 sobre videovigilancia.
En Cataluña y el País Vasco también intervienen sus autoridades de protección de datos cuando el responsable es una administración de su territorio. La APDCAT aprobó en octubre de 2026 una circular sobre videovigilancia con una disposición específica para los sistemas con IA.
El proyecto de ley que decayó en octubre concretaba este reparto. Según los análisis publicados, la AESIA sería el punto de contacto único y la autoridad de vigilancia para la mayoría de los sistemas, y la AEPD mantendría un papel decisivo en biometría. Habrá que ver qué conserva el texto que presente el próximo Gobierno.
Mientras tanto, la AEPD se ha movido. El 6 de octubre de 2026 informó de dos advertencias preventivas a ayuntamientos que querían instalar videovigilancia con análisis automático de imágenes por IA. Según el resumen publicado por ECIJA, la agencia recordó que la normativa de datos no prohíbe la IA. Pero que tenerla disponible no justifica usarla: cada funcionalidad (búsqueda por atributos, clasificación de personas, reconocimiento facial) debe justificarse por separado, con su análisis de necesidad y proporcionalidad y, si hay alto riesgo, una evaluación de impacto previa. Las advertencias se dirigían a administraciones, pero el criterio sirve igual para cualquier empresa que instale o gestione esos sistemas. Ese mismo mes, la AEPD publicó además un decálogo sobre agentes de IA con pautas para supervisar las tareas que se delegan en ellos.
Qué debe hacer ya una empresa de seguridad
Que el alto riesgo se retrase a 2027 no significa que no haya nada que hacer.
Las prohibiciones y el deber de formación están vigentes desde febrero de 2025, y la transparencia desde agosto de 2026. Además, montar el cumplimiento de un sistema de alto riesgo lleva meses. Estos son los pasos que recomiendan las propias guías de la AESIA, adaptados al día a día de una empresa de seguridad:
Haz inventario de toda la IA que usas
Revisa las cámaras y grabadores con analítica, el software de la CRA, el control de accesos, la lectura de matrículas, la planificación de turnos, el control de rondas y los chatbots. Incluye la IA que viene «de serie» en programas de terceros.
Clasifica cada uso por nivel de riesgo
¿Está prohibido, es de alto riesgo, exige transparencia o es mínimo? Si dudas, consulta la guía práctica con ejemplos de la AESIA o pide asesoramiento.
Apaga lo que esté prohibido
Revisa sobre todo cualquier función que pretenda leer emociones de la plantilla y cualquier reconocimiento facial no amparado por una ley. Muchos equipos traen estas funciones desactivadas, pero conviene comprobarlo.
Pide documentación a tus proveedores
Normalmente la empresa de seguridad es «responsable del despliegue» y el fabricante es el «proveedor». Exige instrucciones de uso, la finalidad prevista y, cuando toque, el marcado CE y la declaración de conformidad. Para valorar la seguridad del propio producto, el CCN ha publicado la metodología ESP-IA para productos con inteligencia artificial.
Evalúa el impacto en protección de datos
Hazlo por cada funcionalidad de IA, no solo por la cámara, como ha recordado la AEPD. Si hay alto riesgo, la evaluación de impacto va antes de encender el sistema.
Forma a quien usa los sistemas
El artículo 4 del reglamento pide medidas de alfabetización en IA para el personal que trabaja con ella. El operador de una CRA que valida alertas automáticas debe saber cuándo el sistema puede equivocarse.
Mantén siempre a una persona al mando
Ninguna alerta automática debería traducirse por sí sola en una actuación sobre una persona. La supervisión humana es obligatoria en el alto riesgo y es buena práctica en todo lo demás.
Infografía · Lo que está en juego
Multas máximas que fija el Reglamento de IA
35 M€ · 7 %
prácticas prohibidas: la cifra mayor entre el importe fijo y el % de la facturación mundial
15 M€ · 3 %
incumplir otras obligaciones, como las de alto riesgo o transparencia
7,5 M€ · 1 %
dar información incorrecta o engañosa a las autoridades
Fuente: art. 99 del Reglamento (UE) 2024/1689. Para pymes se aplica la cifra menor. En España falta la ley que concrete el procedimiento; la AEPD puede sancionar por su cuenta con el RGPD.
Si eres vigilante: tus derechos frente a la IA
La IA no solo vigila a terceros. También puede medir tu puntualidad en las rondas, decidir tus turnos o revisar tus grabaciones. Esto es lo que conviene que sepas:
- No pueden leerte las emociones. Un sistema que deduzca tu estado de ánimo en el trabajo está prohibido desde febrero de 2025, salvo por motivos médicos o de seguridad.
- Tu representación puede conocer el algoritmo. El comité de empresa tiene derecho a que le informen de los parámetros de los algoritmos que afectan a las condiciones de trabajo (art. 64.4.d ET).
- Tus datos biométricos están especialmente protegidos. Fichar con huella o cara exige una base jurídica y garantías reforzadas según el RGPD.
- Puedes preguntar y reclamar. Ante dudas sobre un sistema de IA puedes usar el canal de consultas de la AESIA. Si se trata de tus datos, puedes reclamar ante la AEPD.
Lo que queda en el aire
Quedan tres piezas sin cerrar. La primera es la ley española de IA: tendrá que volver a empezar después de las elecciones del 29 de noviembre, y no sabemos con qué contenido. La segunda son las guías de la AESIA: en su página de guías la agencia advertía que se actualizarían tras el Ómnibus digital, en vigor desde el 27 de julio de 2026. La tercera es el reglamento de seguridad privada que desarrolle la Ley 5/2014. El sector lleva años reclamándolo, entre otras cosas para encajar la videovigilancia con IA.
Mientras tanto, la herramienta más útil es gratuita: las 16 guías de la AESIA, con sus listas de autodiagnóstico. Nacieron de la experiencia del sandbox español de IA y no son obligatorias, pero son la referencia más detallada que existe hoy para aterrizar el reglamento. Si quieres ver cómo se está usando ya la IA en el sector, repasa Robótica e IA en seguridad privada: proyectos reales en España. Si buscas una empresa de seguridad o quieres comprobar su habilitación, consulta nuestro directorio de empresas de seguridad privada y el Observatorio de Proseguridad.
Preguntas frecuentes sobre la AESIA
¿Qué significa AESIA?
AESIA son las siglas de Agencia Española de Supervisión de la Inteligencia Artificial, el organismo público que supervisa en España el uso de la IA y el cumplimiento del reglamento europeo.
¿Quién dirige la AESIA y dónde está?
La dirige Alberto Gago Fernández desde el 7 de enero de 2026. Su sede está en el edificio La Terraza, en A Coruña.
¿Puede la AESIA multar a una empresa de seguridad?
El estatuto le atribuye funciones sancionadoras, pero la ley española que debía tipificar las infracciones decayó en octubre de 2026. Muchos análisis jurídicos entienden que, hasta que haya ley, sus multas no tienen el soporte completo. La AEPD, en cambio, sí puede sancionar con el RGPD.
¿Puede una empresa de seguridad usar reconocimiento facial?
Con carácter general, no. La AEPD concluyó en 2020 que su uso generalizado en videovigilancia privada carece de base jurídica. Solo cabrían supuestos excepcionales previstos por una ley.
¿La analítica de vídeo de una CRA es de alto riesgo?
Detectar movimiento o filtrar falsas alarmas sin identificar a nadie suele quedar fuera del alto riesgo. Si el sistema identifica a personas por su biometría, la clasificación cambia. Revisa cada función por separado.
¿Cuándo se aplican las obligaciones de alto riesgo?
Tras el Ómnibus digital, el 2 de diciembre de 2027 para los usos del anexo III (biometría, infraestructuras críticas, empleo…) y el 2 de agosto de 2028 para la IA integrada en productos regulados. Tienes el calendario completo en EU AI Act 2027.
¿Dónde están las guías de la AESIA?
En la web oficial de la AESIA (aesia.digital.gob.es), en el apartado de guías. Son 16 documentos gratuitos y no vinculantes, con listas de comprobación.
Fuentes consultadas
- Real Decreto 729/2023 (estatuto de la AESIA) y BOE-A-2026-389 (nombramiento del director).
- Reglamento (UE) 2024/1689 y Reglamento (UE) 2026/1744 (Ómnibus digital sobre IA).
- Proyecto de Ley Orgánica 121/000096 y Real Decreto 806/2026.
- Guías de la AESIA y nota de la AESIA de 20/10/2026.
- Informe de la AEPD sobre reconocimiento facial en seguridad privada (2020) y advertencias de octubre de 2026, vía ECIJA.
- Ley 5/2014 de Seguridad Privada, Estatuto de los Trabajadores y RGPD.
¿Usas IA en tu servicio de seguridad?
Si eres empresa, CRA o vigilante y quieres contarnos cómo está llegando la inteligencia artificial a tu trabajo, o detectas algún error en este artículo, escríbenos a info@proseguridad.info.
Este artículo tiene carácter informativo y se basa en normas oficiales, documentos públicos y análisis publicados que se citan en cada caso. La clasificación de un sistema de IA depende de su uso concreto: no es asesoramiento jurídico, así que, si tienes un caso concreto, consulta con un profesional. Información actualizada a 31 de octubre de 2026.
