Multas millonarias por usar IA y reconocimiento facial: los casos de Aena, LaLiga y Mercadona que toda empresa debería conocer
El Reglamento Europeo de Inteligencia Artificial (AI Act) ya permite sancionar determinados incumplimientos con multas de hasta 35 millones de euros o el 7 % de la facturación mundial anual. Mientras tanto, casos como Aena, LaLiga y Mercadona demuestran que implantar tecnologías de identificación biométrica sin las garantías adecuadas puede tener consecuencias económicas muy importantes.
¿Puede una empresa recibir una sanción millonaria por utilizar inteligencia artificial? Sí, aunque la respuesta depende de la tecnología, su finalidad y las obligaciones legales que resulten aplicables.
La inteligencia artificial se está incorporando a sistemas de videovigilancia, controles de acceso, gestión de personal, análisis de riesgos y procesos de decisión empresarial. En muchos casos, las organizaciones se centran en sus ventajas operativas sin haber evaluado suficientemente sus consecuencias jurídicas.
Los expedientes sancionadores relacionados con sistemas biométricos en España ofrecen ejemplos especialmente ilustrativos.
Aena recibió una sanción superior a diez millones de euros. LaLiga fue multada con un millón. Mercadona afrontó una sanción de 2,52 millones por un sistema de reconocimiento facial.
Conviene aclarar desde el principio que estas sanciones se impusieron conforme al Reglamento General de Protección de Datos (RGPD), no por infracciones del AI Act.
¿Por qué resultan entonces relevantes?
Porque muestran que una tecnología puede tener una finalidad legítima y, aun así, incumplir obligaciones de protección de datos. Con el AI Act, las empresas deben examinar además si sus sistemas están sujetos a prohibiciones, requisitos de transparencia u obligaciones específicas en función del nivel de riesgo.
AI Act 2026: ¿a cuánto pueden ascender las multas?
El Reglamento (UE) 2024/1689, conocido como AI Act, establece un marco europeo para desarrollar, comercializar y utilizar sistemas de inteligencia artificial.
Su aplicación es progresiva, pero distintas obligaciones ya están vigentes.
El régimen sancionador distingue varios niveles:
En los casos de empresas se utiliza, con carácter general, la referencia que resulte superior, con reglas específicas de proporcionalidad y tratamiento para determinadas pequeñas y medianas empresas.
Estas cantidades representan límites máximos legales. No significa que cualquier utilización irregular de ChatGPT o de una herramienta de IA vaya a generar una sanción de esa magnitud.
La valoración depende de la obligación infringida, la gravedad del caso y los criterios previstos en la normativa.
Cinco casos reales que deberían interesar a cualquier empresa que utilice inteligencia artificial
1. Aena: más de 10 millones de euros por el sistema de embarque biométrico
En noviembre de 2025 se conoció una sanción de la Agencia Española de Protección de Datos a Aena por importe de 10.043.002 euros.
El expediente estaba relacionado con los sistemas de reconocimiento facial utilizados para facilitar el acceso y embarque de pasajeros en varios aeropuertos españoles.
La AEPD consideró que la evaluación de impacto realizada para el tratamiento de datos biométricos no cumplía adecuadamente los requisitos del artículo 35 del RGPD.
La cuestión principal no era que utilizar tecnología biométrica estuviera prohibido en todos los casos, sino la insuficiente justificación de aspectos relacionados con la necesidad, proporcionalidad y riesgos del tratamiento examinado por la autoridad.
Aena manifestó su desacuerdo con la resolución, defendió que había realizado evaluaciones de impacto y anunció su intención de recurrir la sanción.
¿Qué debería aprender una empresa de este caso?
La implantación de un sistema tecnológico requiere algo más que comprobar que funciona.
Si utiliza datos especialmente sensibles, debe estudiarse su necesidad, su proporcionalidad, las alternativas disponibles y las medidas para proteger los derechos de las personas.
En una organización que pretenda incorporar sistemas biométricos a controles de acceso o procesos de identificación, estas cuestiones deberían analizarse antes de su puesta en funcionamiento.
2. LaLiga: un millón de euros por el tratamiento biométrico en estadios
El caso de LaLiga está directamente relacionado con la seguridad física y el control de accesos.
La organización impulsó un sistema de reconocimiento biométrico dirigido a controlar el acceso a las gradas de animación de estadios de fútbol.
La finalidad incluía mejorar la identificación de asistentes en determinadas zonas de los recintos deportivos.
La AEPD consideró que LaLiga tenía responsabilidad sobre el tratamiento examinado y apreció deficiencias en la evaluación de impacto exigible.
El expediente terminó con una sanción de un millón de euros y una medida correctiva que condicionaba la utilización del tratamiento biométrico a una evaluación de impacto adecuada.
LaLiga recurrió la resolución y ha mantenido discrepancias sobre la atribución de responsabilidades.
La lección para la seguridad privada es especialmente relevante.
Una tecnología de control de accesos puede resultar atractiva para evitar suplantaciones o reforzar determinadas medidas de seguridad. Pero la finalidad de proteger unas instalaciones no convierte automáticamente en proporcionado cualquier tratamiento de datos personales.
Antes de utilizar reconocimiento facial, la organización necesita examinar si existen alternativas menos intrusivas y qué fundamento jurídico permite el tratamiento.
3. Mercadona: 2,52 millones de euros por reconocimiento facial
En 2021, la AEPD resolvió un procedimiento relacionado con la instalación de sistemas de reconocimiento facial en determinados establecimientos de Mercadona.
La tecnología se había planteado para identificar a personas afectadas por determinadas medidas judiciales de prohibición de acceso o aproximación.
La autoridad sancionó a la compañía con 2.520.000 euros, tras la aplicación de las reducciones correspondientes, por infracciones de varios artículos del RGPD.
El expediente abordó cuestiones relacionadas con la legitimación del tratamiento, los datos biométricos y el principio de proporcionalidad.
Este caso ilustra un problema que afecta a numerosas organizaciones: utilizar tecnologías cada vez más intrusivas para resolver necesidades de seguridad que requieren una justificación jurídica y técnica rigurosa.
No es lo mismo instalar videovigilancia convencional que utilizar un sistema que identifica biométricamente a las personas. Lo explicamos con más detalle en RGPD y videovigilancia con IA.
La diferencia puede tener consecuencias relevantes sobre las obligaciones exigibles.
4. Osasuna: reconocimiento facial para acceder al estadio
El Club Atlético Osasuna también fue objeto de un procedimiento sancionador relacionado con sistemas biométricos de acceso a instalaciones deportivas, que terminó con una sanción de 200.000 euros.
El sistema de reconocimiento facial se utilizaba como alternativa a mecanismos tradicionales de entrada, como el abono o el código QR.
La AEPD examinó la proporcionalidad del tratamiento y cuestionó que se hubiera justificado suficientemente la necesidad de recurrir al reconocimiento facial.
El caso evidencia que ofrecer una alternativa tecnológica de manera voluntaria no resuelve automáticamente todas las cuestiones legales.
El consentimiento, cuando se utiliza como fundamento del tratamiento, debe cumplir los requisitos establecidos por la normativa, y siguen siendo exigibles los principios de necesidad, minimización y proporcionalidad.
Para los responsables de instalaciones, eventos y seguridad corporativa, resulta especialmente importante evaluar estas cuestiones antes de contratar o implantar una solución.
5. Universidad Internacional de Valencia: 650.000 euros por vigilancia biométrica en exámenes
Los sistemas de inteligencia artificial no se utilizan únicamente para proteger instalaciones.
También se incorporan a plataformas educativas y procedimientos de identificación de personas.
La Universidad Internacional de Valencia (VIU) fue sancionada por un sistema de supervisión de exámenes online que utilizaba reconocimiento facial y monitorización mediante cámaras.
La tecnología permitía verificar la identidad de los estudiantes y supervisar determinadas condiciones de realización de los exámenes.
La AEPD cuestionó la legitimación del tratamiento biométrico obligatorio y la ausencia de alternativas válidas para el alumnado.
El importe de las multas recogidas en el expediente fue de 650.000 euros.
La enseñanza es aplicable a organizaciones que utilizan herramientas de inteligencia artificial para evaluar, supervisar o controlar a personas.
Que un sistema permita automatizar una tarea no significa que su utilización resulte adecuada en cualquier contexto.
¿Qué relación tienen estas sanciones con el AI Act?
Los cinco casos anteriores se tramitaron conforme al RGPD. Ninguno debe presentarse como una multa impuesta por infringir el Reglamento Europeo de Inteligencia Artificial.
Sin embargo, permiten comprender por qué es necesario abordar conjuntamente la protección de datos, la gestión de riesgos tecnológicos y las obligaciones específicas del AI Act.
El Reglamento Europeo de Inteligencia Artificial utiliza un enfoque basado en el riesgo.
Determinadas prácticas están prohibidas. Otras aplicaciones pueden clasificarse como sistemas de alto riesgo. También existen obligaciones de transparencia aplicables a usos concretos.
Entre los ámbitos que requieren especial atención se encuentran determinados sistemas biométricos, aplicaciones relacionadas con el empleo, ciertos usos en infraestructuras críticas y determinadas aplicaciones policiales.
Esto no significa que cualquier cámara inteligente, sistema de análisis de vídeo o herramienta de apoyo a la seguridad sea automáticamente de alto riesgo.
La clasificación depende de las características y la finalidad del sistema, así como de los supuestos definidos en el Reglamento.
Además, las obligaciones de alto riesgo tienen un calendario de aplicación específico. Tras el Ómnibus digital sobre IA (Reglamento (UE) 2026/1744), los requisitos para sistemas independientes incluidos en el anexo III se aplicarán, con carácter general, desde el 2 de diciembre de 2027, y los correspondientes a determinados sistemas integrados en productos regulados, desde el 2 de agosto de 2028.
La normativa de protección de datos sigue siendo aplicable con independencia de esos plazos.
Inteligencia artificial en seguridad privada: ¿qué sistemas deberían revisarse?
Las empresas de seguridad y los departamentos de seguridad corporativa están incorporando cada vez más soluciones tecnológicas.
Algunas utilizan análisis automatizado de vídeo. Otras incluyen algoritmos para clasificar incidentes, analizar información operativa, gestionar accesos o asistir en la planificación.
El primer paso consiste en identificar qué tecnologías utiliza realmente la organización.
Entre los sistemas que conviene examinar se encuentran:
No todos están sometidos al mismo régimen de obligaciones.
Por eso, la revisión debe partir de la finalidad del sistema y del papel que desempeña la organización como proveedor o responsable de su utilización.
También resulta necesario distinguir entre una herramienta convencional de automatización y un sistema de inteligencia artificial comprendido en la definición del Reglamento.
¿Qué deben hacer las empresas para prepararse ante el AI Act?
Una organización que utilice inteligencia artificial debería contar con un procedimiento para conocer sus sistemas, sus finalidades y sus riesgos.
No basta con redactar una política general de uso de ChatGPT.
Inventariar las herramientas de IA
Es necesario identificar las herramientas utilizadas por los distintos departamentos, incluidas las contratadas a proveedores externos y aquellas utilizadas en tareas habituales.
El inventario debe recoger su finalidad, responsable, información tratada y ámbito de utilización.
Clasificar los riesgos y las obligaciones aplicables
No todas las herramientas presentan los mismos riesgos.
Debe examinarse si existe una práctica prohibida, un supuesto de alto riesgo o una obligación específica de transparencia.
Esta clasificación requiere atender al Reglamento y, cuando corresponda, a otras normas aplicables.
Revisar el tratamiento de datos
Si los sistemas trabajan con datos personales, es necesario comprobar su legitimación, las medidas de protección y la necesidad de realizar una evaluación de impacto.
El cumplimiento del AI Act no sustituye al RGPD.
Formar al personal
Desde el 2 de febrero de 2025 se aplica el artículo 4 del AI Act, sobre alfabetización en inteligencia artificial. Tras el Ómnibus digital (Reglamento (UE) 2026/1744), obliga a proveedores y responsables del despliegue a adoptar medidas para apoyar la alfabetización en IA de su personal y de otras personas que utilizan sistemas de IA por su cuenta, sin exigir un nivel concreto. Lo explicamos en qué exige el artículo 4 del AI Act.
Esas medidas deben ajustarse a los conocimientos técnicos, la experiencia, las funciones de los usuarios y el contexto de utilización.
No existe una exigencia general de obtener un certificado concreto de formación en IA para todos los trabajadores.
Lo que se necesita es que las organizaciones adopten medidas adecuadas a sus circunstancias.
Establecer controles y supervisión
Conviene definir qué usos están autorizados, quién puede aprobar nuevas herramientas, cómo se revisan las incidencias y qué decisiones necesitan supervisión humana.
Estos procedimientos permiten ordenar la utilización de la tecnología y reducir riesgos operativos y jurídicos.
AI Act y seguridad pública: especial atención a los sistemas policiales
Las administraciones públicas y los cuerpos policiales necesitan examinar con particular cuidado las aplicaciones de inteligencia artificial.
Determinados usos relacionados con identificación biométrica remota, evaluación de personas o actividades policiales están sometidos a prohibiciones o restricciones específicas.
No todas las aplicaciones policiales de IA están prohibidas.
Herramientas utilizadas para organizar documentación, elaborar borradores o apoyar tareas administrativas pueden tener un tratamiento distinto al de sistemas que identifican personas o intervienen en decisiones que afectan a sus derechos.
La clasificación debe realizarse atendiendo al uso previsto, sus capacidades y el contexto legal.
Para las instituciones policiales, la formación es especialmente importante porque permite diferenciar aplicaciones de apoyo administrativo de aquellas que exigen garantías reforzadas.
¿Necesita su empresa una auditoría de inteligencia artificial?
No todas las organizaciones necesitan el mismo alcance de revisión.
Una empresa que únicamente utiliza asistentes generativos en tareas documentales presenta unas necesidades diferentes a las de una organización que emplea identificación biométrica o sistemas automatizados para decisiones sobre personas.
Antes de contratar una tecnología o ampliar su utilización, conviene poder responder a cinco preguntas:
La ausencia de respuestas claras no demuestra automáticamente una infracción, pero indica que la organización puede necesitar una revisión de su modelo de gestión.
SYRA360: formación y consultoría para aplicar la inteligencia artificial con criterio
En SYRA360 trabajamos en la aplicación de inteligencia artificial y nuevas tecnologías a la seguridad pública y privada, con especial atención a las necesidades de dirección, planificación y gestión operativa.
La incorporación de herramientas de IA debe realizarse teniendo en cuenta su utilidad real, los riesgos que introduce y las obligaciones que afectan a cada organización.
Por eso, la formación de los profesionales y la evaluación de los procesos tecnológicos son elementos importantes de cualquier proyecto de transformación.
Desde SYRA360 podemos ayudar a organizaciones y departamentos de seguridad a analizar sus necesidades, identificar riesgos operativos asociados a las tecnologías utilizadas y establecer procedimientos de uso y supervisión.
Cuando el proyecto requiere un análisis jurídico especializado de cumplimiento normativo, debe contar con los profesionales competentes en esa materia.
También ofrecemos formación en inteligencia artificial aplicada a la seguridad pública, dirección de seguridad privada, análisis de información y gestión de operaciones, como el curso AI Act para empresas.
Consultar formación en inteligencia artificial en el Aula Virtual SYRA360
Preguntas frecuentes sobre el AI Act
¿Cuánto es la multa máxima por incumplir el AI Act?
Para determinadas prácticas de inteligencia artificial prohibidas, el Reglamento establece sanciones de hasta 35 millones de euros o el 7 % de la facturación mundial anual de una empresa, según las reglas aplicables.
¿Cuándo entró en vigor el AI Act en España?
El Reglamento entró en vigor el 1 de agosto de 2024. Su aplicación es progresiva. Las prohibiciones principales comenzaron a aplicarse el 2 de febrero de 2025 y numerosas disposiciones adicionales lo hicieron el 2 de agosto de 2026. Algunas obligaciones de alto riesgo tienen plazos posteriores.
¿LaLiga y Aena fueron multadas por el AI Act?
No. Las sanciones examinadas se impusieron por infracciones del Reglamento General de Protección de Datos relacionadas con el tratamiento de datos biométricos. Son casos útiles para comprender los riesgos normativos de determinadas tecnologías, pero no constituyen sanciones del AI Act.
¿Está prohibido utilizar reconocimiento facial en una empresa?
No existe una prohibición general de cualquier utilización del reconocimiento facial, pero determinados usos están prohibidos y otros requieren garantías legales especialmente exigentes. Es necesario analizar la finalidad, el contexto y la normativa aplicable.
¿Es obligatorio formar a los trabajadores en inteligencia artificial?
El artículo 4 del AI Act obliga a proveedores y responsables del despliegue de sistemas de IA a adoptar medidas, proporcionadas a cada perfil, para apoyar la alfabetización en IA de quienes los utilizan por su cuenta. Tras el Ómnibus digital (Reglamento (UE) 2026/1744) no exige un nivel concreto ni un certificado universal de formación.
¿Las pymes también deben cumplir el AI Act?
Sí, cuando sus actividades entran dentro del ámbito de aplicación del Reglamento. Las obligaciones concretas dependen de los sistemas y de la función que desempeñe cada empresa.
Antes de implantar más IA, conviene saber qué está utilizando su organización
Los expedientes de Aena, LaLiga, Mercadona, Osasuna y la VIU muestran que una tecnología puede funcionar correctamente desde el punto de vista operativo y, sin embargo, presentar problemas de cumplimiento.
El AI Act añade nuevas exigencias a un entorno en el que ya resultaban aplicables otras obligaciones.
Para empresas y administraciones, la prioridad debería ser conocer sus sistemas, comprender sus riesgos y preparar a las personas que van a utilizarlos.
¿Su organización está incorporando inteligencia artificial a procesos de seguridad y necesita evaluar su utilización o preparar a sus responsables?
Contacte con SYRA360 para estudiar sus necesidades de IA y seguridad
SYRA360 | Consultoría estratégica, inteligencia artificial aplicada y formación especializada en seguridad pública y privada.
Rafael Adamez Garrido
AutorCofundador y CEO de SYRA360
Licenciado en Derecho y Director de Seguridad Corporativa, con 20 años protegiendo personas, activos e información crítica. Especializado en inteligencia artificial aplicada a la protección empresarial.
Formación relacionada
Si quieres llevar esto a la práctica, estos programas de Formación SYRA360 SYRA360 lo desarrollan paso a paso.
Casos de éxito relacionados
Artículos relacionados
Qué exige el AI Act a las empresas de seguridad: guía de cumplimiento
Qué exige el Reglamento Europeo de IA a los sistemas de videovigilancia, reconocimiento facial y analítica predictiva. Guía de cumplimiento SYRA360.
Shadow AI en la empresa: cómo controlar el uso de IA por los empleados
Qué es el Shadow AI, qué riesgos genera y cómo controlar el uso de la inteligencia artificial por parte de los empleados: inventario, política y formación.
Cómo reducir riesgos empresariales con inteligencia estratégica: guía completa 2026
Descubre cómo mitigar riesgos empresariales mediante inteligencia estratégica. Anticipa amenazas y protege tu organización. ¡Pide tu diagnóstico!