Por María Gabriela Cordero González
La discusión sobre reconocimiento facial suele comenzar con una pregunta aparentemente sencilla: ¿puede un Estado identificar biométricamente a una persona en un espacio público?
Italia acaba de demostrar que la pregunta jurídica relevante es más compleja.
Desde el 30 de septiembre de 2026 se encuentra vigente el Decreto Legislativo italiano 160/2026, que adapta el ordenamiento nacional al Reglamento Europeo de Inteligencia Artificial para determinados usos policiales de IA. La norma regula tanto la identificación biométrica remota en tiempo real como el reconocimiento facial realizado después de que las imágenes fueron captadas.
No existe base para afirmar que el Gobierno de Giorgia Meloni haya ordenado identificar biométricamente a todas las personas que participan en manifestaciones.
La norma incluso prohíbe expresamente utilizar estas tecnologías de manera no dirigida, sin conexión con un delito o procedimiento penal, o con fines de identificación biométrica generalizada e indiscriminada.
Pero detener el análisis ahí sería insuficiente.
El artículo 10 permite incorporar componentes de inteligencia artificial destinados al reconocimiento facial a sistemas de videovigilancia ya autorizados. En determinados lugares o eventos vinculados con necesidades de orden y seguridad pública, las imágenes faciales de quienes acceden pueden ser procesadas y almacenadas localmente durante siete días; si posteriormente se comete un delito, las tecnologías de reconocimiento facial pueden activarse para realizar una búsqueda dirigida.
La diferencia jurídica es importante: grabar un rostro no equivale todavía a identificarlo biométricamente.
Pero cuando la infraestructura ha sido diseñada para que esa imagen pueda convertirse posteriormente en material de comparación biométrica, cambia la naturaleza del espacio vigilado.
La pregunta ya no consiste solamente en determinar cuándo ocurrió la identificación.
También debemos preguntarnos cuándo comenzó realmente la vigilancia.
La diferencia entre identificar y dejar a una población técnicamente identificable
La arquitectura italiana establece una separación formal entre captura de imágenes y procesamiento biométrico.
El artículo 10 dispone que, en los lugares o eventos comprendidos por la norma, puede existir tratamiento automatizado de imágenes faciales sin que se genere inmediatamente información biométrica. Sólo después de un delito puede activarse el reconocimiento facial y realizarse la comparación con la persona investigada.
Desde una perspectiva técnica, la distinción es correcta.
Desde una perspectiva de derechos fundamentales, no termina de resolver el problema.
Una persona puede participar en una manifestación sin que su rostro sea comparado inmediatamente con una base de referencia.
Sin embargo, su imagen puede quedar temporalmente incorporada a una infraestructura preparada para convertirla posteriormente en objeto de una búsqueda biométrica.
Esto introduce una categoría que el Derecho tendrá que examinar cada vez con mayor atención:
la identificabilidad biométrica diferida.
No equivale a vigilancia biométrica continua, pero si es jurídicamente relevante.
Entre ambas existe un espacio intermedio en el que una población no está siendo identificada en ese momento, pero permanece técnicamente disponible para una posible identificación posterior.
Y cuando ese espacio coincide con el ejercicio de un derecho político, la cuestión adquiere dimensión constitucional.
El propio Garante italiano detectó el problema
La autoridad italiana de protección de datos formuló una advertencia particularmente relevante durante la revisión del proyecto.
El Garante señaló que la versión examinada podía conducir al tratamiento automatizado de datos biométricos de todas las personas que accedieran a determinados lugares o eventos, y consideró que eso podía resultar incompatible con el Reglamento Europeo de Inteligencia Artificial, que reserva el reconocimiento facial posterior para búsquedas dirigidas.
La autoridad añadió otra observación fundamental: la expresión relativa a “lugares o eventos” con necesidades de orden y seguridad pública puede comprender contextos muy diversos, incluidas manifestaciones, estadios, conciertos, estaciones, grandes eventos y áreas urbanas.
Su preocupación fue precisamente que una formulación demasiado amplia pudiera legitimar una recopilación masiva y preventiva de información biométrica o susceptible de convertirse posteriormente en biométrica.
La versión finalmente publicada incorporó una precisión importante: las imágenes faciales pueden tratarse automatizadamente, pero sin generar en ese momento los datos biométricos; el procesamiento biométrico se activa posteriormente, en relación con un hecho delictivo. Además, la norma establece conservación por siete días, evaluación de impacto, registros técnicos y la prohibición de decisiones jurídicas negativas basadas únicamente en el resultado del reconocimiento facial.
Las garantías existen.
El problema jurídico no desaparece. Seguridad pública y libertad de reunión.
La controversia adquiere mayor importancia después de los disturbios registrados en Milán el 17 de octubre.
Giorgia Meloni declaró entonces que manifestarse es un derecho y distinguió expresamente las protestas pacíficas de los actos violentos. Días después, el Gobierno aprobó nuevas medidas de seguridad, entre ellas un nuevo delito de participación violenta en manifestaciones, con penas que pueden llegar a cinco años de prisión y multas de hasta 20,000 euros en determinados supuestos.
Son dos instrumentos jurídicos distintos.
El régimen biométrico ya estaba vigente antes de esos disturbios.
Pero su coexistencia plantea una cuestión institucional que merece atención.
Una manifestación puede ser grabada.
Puede producirse posteriormente un hecho considerado delito.
La autoridad puede investigar a determinadas personas.
Las imágenes captadas previamente pueden convertirse entonces en material para una búsqueda biométrica dirigida, dentro de los límites legales establecidos.
El sistema jurídico no está autorizando formalmente que todos los manifestantes sean tratados como sospechosos.
Sin embargo, está construyendo una infraestructura en la que la imagen de quienes ejercen un derecho político puede quedar temporalmente disponible para una investigación posterior.
Éste es el verdadero debate.
El derecho de reunión también protege el espacio de libertad previo a la protesta
Tradicionalmente hemos analizado la libertad de reunión atendiendo a restricciones relativamente visibles.
- Permisos.
- Uso del espacio público.
- Intervención policial.
- Disolución de concentraciones.
- Sanciones.
La vigilancia algorítmica introduce una forma distinta de condicionamiento.
Una persona puede conservar formalmente su derecho a asistir a una manifestación y, al mismo tiempo, saber que su rostro puede quedar registrado dentro de una infraestructura susceptible de identificación posterior.
Ese conocimiento puede modificar la conducta.
- Puede disuadir.
- Puede generar autocensura.
- Puede alterar quién decide participar y quién decide permanecer fuera.
Por eso el efecto de una infraestructura biométrica no debe medirse solamente por el número de identificaciones efectivamente realizadas.
También importa su efecto inhibidor sobre el ejercicio de derechos fundamentales.
La pregunta constitucional comienza antes de que el algoritmo produzca un match.
Del dato personal al territorio de la autonomía
Este caso conecta directamente con una de las tesis que he desarrollado desde el Humanismo Digital Mexicano.
La transformación tecnológica está obligando al Derecho a proteger espacios de autonomía que antes no necesitaban ser formulados con la misma precisión.
En el Manifiesto Mexicano de Humanismo Digital planteo la soberanía mental como principio rector y la integridad mental como límite frente al poder tecnológico. La doctrina parte de proteger los procesos cognitivos, emocionales y conductuales frente a formas de intervención tecnológica capaces de comprometer la autonomía personal.
El reconocimiento facial policial no constituye, por sí mismo, una intervención neurotecnológica.
Sería incorrecto equipararlos, pero existe un punto de contacto jurídicamente relevante.
Cuando una persona sabe que participar en una protesta puede incorporarla a una infraestructura de trazabilidad individual, la tecnología comienza a influir en las condiciones bajo las cuales ejerce su autonomía política.
Ahí aparece una dimensión neurocognitiva que merece ser estudiada.
La protección neurocognitiva no debe limitarse exclusivamente a tecnologías que acceden directamente al cerebro.
También debe preguntarse cuándo determinados entornos tecnológicos producen incentivos, presiones o efectos inhibidores capaces de alterar significativamente la libertad con la que una persona decide expresarse, reunirse, protestar o participar políticamente.
La vigilancia cambia cuando se instala antes del delito
Éste es, a mi juicio, el punto doctrinal más importante del caso italiano.
El Derecho penal tradicional investiga hechos.
La infraestructura digital permite algo diferente: preparar técnicamente la posibilidad de identificar antes de saber si existirá un hecho que justifique la identificación.
La diferencia parece pequeña.
No lo es.
Si una cámara registra una plaza únicamente para seguridad general, existe una capacidad de observación.
Si esa misma infraestructura está preparada para convertir posteriormente los rostros capturados en objetos de comparación biométrica, existe además una capacidad latente de identificación individual.
La activación puede estar limitada jurídicamente, el poder tecnológico ya está instalado.
Por eso propongo una pregunta diferente para el análisis constitucional:
¿en qué momento la captura preventiva de una multitud transforma el ejercicio de un derecho político en una población potencialmente investigable?
La respuesta no puede depender únicamente de si el reconocimiento fue realizado “en tiempo real” o “a posteriori”.
Necesitamos observar toda la arquitectura.
Las garantías importan, pero también importa la infraestructura
El decreto italiano contiene controles que no deben ignorarse.
- La identificación generalizada está prohibida.
- Existen requisitos para búsquedas dirigidas.
- Se exige evaluación de impacto.
- Las operaciones deben registrarse.
Los resultados biométricos no pueden producir por sí solos una decisión jurídica negativa.
Existen reglas de conservación y mecanismos de autorización para determinados usos.
Estas garantías son relevantes.
Precisamente por ello, la discusión no debería reducirse a afirmar que Italia ha creado simplemente un sistema de vigilancia masiva.
La cuestión más interesante es otra.
¿Son suficientes las garantías procesales cuando la infraestructura de identificación se vuelve permanente?
Porque existe una diferencia entre controlar cada utilización de una tecnología y limitar la expansión de la capacidad tecnológica del Estado.
La primera pregunta es procedimental.
La segunda es constitucional.
El riesgo de expansión funcional
Toda infraestructura tecnológica construida para una finalidad específica genera una posibilidad futura: ampliar sus usos.
La historia de la regulación tecnológica muestra que las capacidades instaladas tienden a buscar nuevas finalidades.
- Delitos graves.
- Orden público.
- Eventos multitudinarios.
- Seguridad urbana.
- Investigaciones administrativas.
- Control fronterizo.
La ampliación no ocurre necesariamente de una sola vez.
Puede producirse mediante sucesivas modificaciones legales, interpretaciones administrativas o nuevas categorías de riesgo.
Por eso la gobernanza democrática necesita incorporar algo más que autorización.
Necesita límites de finalidad, necesidad, proporcionalidad, trazabilidad institucional y control efectivo sobre la expansión funcional.
El verdadero problema de una infraestructura biométrica no es únicamente lo que puede hacer hoy.
También es qué tan sencillo será ampliar mañana aquello para lo que puede utilizarse.
Esta discusión permite formular un criterio más amplio.
Durante años hemos asociado la vigilancia con observación, pero la inteligencia artificial está modificando esa ecuación. La cámara observa, y los operadores detrás de ellas están supervisando lo que esta ocurriendo, pero la inteligencia artificial nos da un análisis masivo de datos y con una infraestructura biométrica se puede individualizar, relaciona, comprar, reconstruir, y convertir una presencia física en una identidad procesable, con el sesgo de no mirar otras pruebas que existan para controvertir que esa persona realmente es, la que está siendo identificada, esto es un cambio cualitativo.
Cuando el espacio público adquiere capacidad de identificación automatizada, deja de ser únicamente un territorio observado y puede convertirse progresivamente en un espacio de trazabilidad individual y cuando ese espacio es el lugar donde se ejercen libertades políticas, el umbral constitucional debe ser particularmente alto.
México: el Mundial 2026 y la infraestructura que permanece
El caso italiano resulta especialmente relevante para México porque la discusión dejó de ser completamente hipotética.
Durante la Copa Mundial de Futbol 2026, la Ciudad de México llevó a cabo una expansión considerable de su infraestructura de videovigilancia. La Plataforma de Transparencia del Gobierno capitalino registra una inversión de 476 millones de pesos para fortalecer el sistema y adquirir infraestructura para 35,464 nuevas videocámaras.
El dispositivo mundialista se integró, además, a una red de más de 113 mil cámaras de la ciudad. Mediante un esquema de coordinación entre el C5 y la Secretaría de la Defensa Nacional, 13,293 dispositivos ubicados alrededor de sitios estratégicos relacionados con el torneo —incluidos estadios, vialidades y puntos turísticos— fueron incorporados al monitoreo especial del evento.
Por sí mismos, estos datos describen videovigilancia.
No permiten afirmar que todas esas cámaras realizaran identificación biométrica.
Pero existe un elemento adicional.
El secretario de Seguridad Ciudadana de la Ciudad de México, Pablo Vázquez, confirmó públicamente que el operativo contemplaba herramientas de reconocimiento facial en las inmediaciones del estadio para detectar revendedores, además de drones destinados a observar actividades sospechosas y flujos de personas.
La distinción importa.
El Mundial mostró, que esas capacidades pueden comenzar a coexistir dentro de un mismo ecosistema de seguridad urbana.
A ello se sumó la infraestructura propia de FIFA. Su aviso de privacidad para el Mundial estableció que los sistemas CCTV podían operar dentro y alrededor de los estadios, incluidas entradas, salidas, zonas de inspección peatonal, torniquetes y perímetros exteriores. Las imágenes podían utilizarse para seguridad, control de accesos, investigación de incidentes y colaboración con autoridades en los casos legalmente permitidos.
Tenemos entonces distintas capas de observación tecnológica actuando sobre un mismo espacio: infraestructura pública de videovigilancia, herramientas policiales y sistemas privados vinculados con la organización del evento.
Ese punto merece atención mucho después de que termina el Mundial.
El verdadero problema comienza cuando termina el evento
Los megaeventos suelen justificar expansiones extraordinarias de infraestructura mediante una finalidad temporal y fácilmente comprensible: proteger a millones de visitantes, gestionar multitudes, responder a emergencias y prevenir delitos.
El Mundial terminó.
Debemos analizar la capacidad tecnológica que queda instalada después de desaparecer la circunstancia que justificó su expansión.
- ¿Para qué finalidades pueden utilizarse posteriormente esas cámaras?
- ¿Qué analítica puede incorporarse?
- ¿Puede activarse reconocimiento facial sobre las mismas imágenes?
- ¿Quién autoriza un cambio de finalidad?
- ¿Durante cuánto tiempo se conservan los datos?
- ¿Quién puede acceder a ellos?
- ¿Puede una infraestructura creada para gestionar un Mundial terminar utilizándose para vigilar una manifestación, localizar personas o reconstruir movimientos individuales?
Estas preguntas no implican que eso esté ocurriendo.
Precisamente ésa es la función de una arquitectura jurídica anticipatoria: definir los límites antes de que aparezca el conflicto.
El salto jurídico fundamental se produce cuando dejamos de hablar exclusivamente de cámaras.
La videovigilancia tradicional permite observar un espacio, la inteligencia artificial puede añadir clasificación y detección automatizada y la biometría agrega una capacidad cualitativamente distinta: individualizar.
Por eso considero necesario distinguir entre vigilancia e identificabilidad.
El caso italiano muestra precisamente por qué esta diferencia importa. Su regulación intenta separar la captura inicial de imágenes de la generación y comparación posterior de datos biométricos.
México debería observar esa discusión antes de que nuestras categorías jurídicas queden superadas por nuestras propias capacidades tecnológicas.
La pregunta adecuada es:
¿México utiliza reconocimiento facial?
La pregunta institucionalmente más importante es:
¿qué condiciones jurídicas deben cumplirse antes de que una infraestructura de videovigilancia pueda transformarse en una infraestructura de identificación biométrica?
Una lección para México
México ha demostrado que posee capacidad tecnológica para construir sistemas de seguridad y monitoreo de gran escala.
Y quizá la pregunta más importante:
¿quién decide cuándo una cámara deja de observar y comienza a identificar?
Estas preguntas pertenecen a la nueva arquitectura jurídica digital.
El Humanismo Digital Mexicano parte precisamente de esa necesidad de anticipación. La capacidad tecnológica del Estado puede fortalecer seguridad, prevención y respuesta institucional, pero debe operar dentro de límites capaces de preservar dignidad, privacidad, autonomía y derechos fundamentales.
El derecho a protestar, reunirse, expresarse o simplemente circular por una ciudad no debería depender de aceptar una trazabilidad personal ilimitada.
El desafío no consiste en elegir entre tecnología y derechos.
Consiste en construir las reglas que permitan utilizar capacidad tecnológica sin transformar el espacio público en un entorno de identificación permanente.