El usuario quiere comprender los datos biométricos en el contexto de la privacidad de datos en IA y aplicarlos a trabajos prácticos de gobernanza o cumplimiento de IA.
Los datos biométricos son datos personales producidos por un tratamiento técnico específico de características físicas, fisiológicas o conductuales de una persona. Ejemplos incluyen imágenes faciales, huellas dactilares, patrones de voz, forma de andar y otros identificadores que pueden apoyar el reconocimiento o la identificación.
Sí. Los datos biométricos son datos personales cuando se relacionan con una persona física identificada o identificable, y el derecho de protección de datos de la UE define los datos biométricos como datos personales resultantes de un tratamiento técnico específico de características físicas, fisiológicas o conductuales que permiten o confirman la identificación única. Ejemplos incluyen plantillas faciales, huellas dactilares, patrones de iris, huellas de voz, patrones de marcha y algunas formas de biometría de pulsación de teclas o comportamiento. Cuando los datos biométricos se tratan con la finalidad de identificar de manera única a una persona, también pueden entrar dentro de las categorías especiales de datos del RGPD.
Una fotografía no siempre se trata igual que un identificador biométrico. Una foto de perfil normal puede ser dato personal porque se relaciona con una persona. Pero cuando el software extrae geometría facial o crea una plantilla para reconocer a esa persona en distintas imágenes, el tratamiento se vuelve biométrico. El riesgo jurídico y de gobernanza aumenta porque el sistema ya no solo almacena una imagen; utiliza características del cuerpo o del comportamiento para identificación o verificación.
Analogía
Una foto de rostro es información sobre una persona; una plantilla de reconocimiento facial es una llave técnica para identificarla.
Los datos biométricos importan porque son difíciles de cambiar, están profundamente vinculados al cuerpo y a menudo se utilizan para identificación, control de acceso, vigilancia, detección de fraude, policía, empleo, educación, viajes o seguridad. Si se comprometen o usan indebidamente, pueden crear riesgos de privacidad y discriminación a largo plazo. Los sistemas de IA que usan reconocimiento biométrico, categorización biométrica, inferencia de emociones, agrupación de rostros, identificación por voz o identificación conductual pueden activar análisis estrictos de privacidad y, en algunos casos, restricciones u obligaciones de alto riesgo bajo la Ley de IA de la UE. Los equipos de cumplimiento deben revisar estos sistemas antes de pilotos, compras, creación de datasets o despliegue público.
Urgencia
La IA biométrica no debe tratarse como analítica ordinaria porque el daño potencial y la sensibilidad jurídica son materialmente mayores.
Los equipos deben identificar la función biométrica exacta: detección, verificación, identificación, categorización, autenticación, prueba de vida, inferencia de emociones o analítica. Deben determinar si el sistema procesa datos biométricos para identificación única, qué interesados se ven afectados, si aplican condiciones de categorías especiales, qué transparencia se ofrece, cómo se almacenan las plantillas, si existen alternativas y cómo se gestionan falsos positivos o riesgos de exclusión. Los controles de seguridad deben cubrir cifrado, limitación de acceso, eliminación, protección de plantillas, restricciones a proveedores, pruebas, monitoreo y respuesta a incidentes.
Un error común es decir que los datos biométricos solo son datos de categoría especial si son muy precisos. La cuestión jurídica depende de la naturaleza y finalidad del tratamiento, no solo del rendimiento. Otro error es tratar imágenes faciales, grabaciones de voz o patrones conductuales como inofensivos porque se recogieron en público o por comodidad. La disponibilidad pública no elimina automáticamente las obligaciones de privacidad. Los equipos también confunden verificación biométrica con identificación biométrica; ambas pueden ser sensibles, pero la identificación entre poblaciones suele implicar mayores riesgos de vigilancia y derechos.
Error 1: Tratar embeddings faciales o huellas de voz como metadatos ordinarios.
Error 2: Ignorar falsos positivos, brechas de rendimiento demográficas, calidad del consentimiento y proporcionalidad porque el proveedor llama al sistema «analítica de seguridad».
Esta página debería conectarse con personal-data y special-categories-of-personal-data, porque los datos biométricos se sitúan en el límite entre datos personales generales y datos de categoría especial. La comparación más sólida es biometric-data-vs-special-categories-of-personal-data. CASE-0011 puede usarse como ancla de incidente para análisis de riesgo biométrico o de reconocimiento facial cuando sea relevante. Las preguntas relacionadas deberían incluir what-is-special-category-data-in-ai, what-is-anonymisation-in-ai-data-governance y what-is-personal-data-in-ai.