Clearview AI: denuncia penal en Austria por fotos de europeos — ¿responsabilidad personal de directivos?

INTELIGENCIA ARTIFICIAL · PRIVACIDAD · BIOMETRÍA

Imagina que diriges una empresa de IA y un día descubres que el riesgo ya no es “una multa” o “un tirón de orejas” del regulador, sino una denuncia penal que apunta directamente a los directivos. No a la marca. A personas con nombre y apellidos.

Eso es lo que, según Reuters, está intentando probar en Austria la organización de privacidad noyb con una denuncia contra Clearview AI por presunta recogida ilegal de fotos y vídeos de residentes de la UE para alimentar una base de datos biométrica.

Cuando una tecnología toca derechos fundamentales, el “marco UE” suele ser más duro de lo que parece desde fuera.

1) Qué ha pasado (en cristiano)

Clearview AI es conocida por construir una base de datos facial a gran escala a partir de imágenes publicadas en internet. Según Reuters, noyb presentó en Austria una denuncia penal alegando que la empresa habría recogido y procesado fotos y vídeos de residentes de la Unión Europea para su sistema de reconocimiento facial, vulnerando el GDPR.

Aquí lo importante no es solo la acusación (biometría sin base legal), sino el mecanismo: Austria tiene disposiciones que permiten abordar ciertas infracciones del GDPR por la vía penal, y noyb busca que esa vía alcance a gestores y responsables, no solo a la entidad.

Ojo: una denuncia no es una condena. Pero sí puede ser el primer dominó en caer, porque cambia la conversación de “cumplimiento” a “consecuencias personales”.

2) Por qué esto puede ser un punto de inflexión

El GDPR nació con un “arma” muy visible: multas administrativas. El problema práctico llega cuando la empresa está fuera, no coopera, y la ejecución se vuelve lenta o ineficaz. En ese contexto, la vía penal (si encaja y prospera) funciona como un atajo psicológico y operativo:

• Eleva el riesgo: no es “un coste de negocio”, es una amenaza real de proceso y sanción personal.
• Activa cooperación: procedimientos penales suelen tener herramientas distintas (y, a veces, coordinación más intensa).
• Crea precedente: si cuaja una vez, muchos proyectos biométricos revisarán su estrategia de “ya veremos”.

Si tienes un proyecto con biometría, aquí hay una lectura incómoda: ya no basta con “tener un DPO” o “un aviso legal bonito”. La conversación se desplaza a gobernanza, trazabilidad y decisión ejecutiva.

3) ¿Qué significa “responsabilidad personal” de directivos?

En la práctica, “responsabilidad personal” suele traducirse en esto: si una norma penal permite perseguir a quienes ordenan, permiten o ignoran un tratamiento ilícito (especialmente a gran escala), el paraguas de “la empresa” protege menos.

Y hay un matiz que muchas compañías subestiman: cuando el producto es biométrico, los reguladores (y la opinión pública) tienden a interpretarlo como tecnología de vigilancia por defecto. Da igual que tú lo veas como “una herramienta”. El impacto percibido importa.

Si quieres un paralelo, piensa en cómo está evolucionando el debate sobre sistemas automatizados que toman decisiones sensibles. No es casualidad que cada vez hablemos más de auditorías, trazabilidad y responsabilidades (si te interesa esta idea, aquí tienes una lectura relacionada: jueces algorítmicos y leyes escritas por IA).

Una cámara es “solo una cámara”… hasta que la conectas a una base de datos facial.

4) La biometría no es “un dato más” (y ahí está el lío)

En GDPR, la biometría usada para identificar de forma única suele caer en categorías especialmente protegidas. Traducido: la barra de exigencia sube muchísimo. Y aquí es donde mucha gente se equivoca por dos caminos típicos:

• “Está en internet, así que es público”. Que una foto sea accesible no significa que puedas convertirla en una plantilla biométrica y vender búsquedas por identidad.
• “Lo hago por interés legítimo”. En biometría, apoyarte en esa base sin una evaluación seria del equilibrio de intereses suele ser meterse en arenas movedizas.

Si estás construyendo producto, esto te interesa incluso aunque tu caso sea “benigno” (control de acceso, antifraude, verificación): la diferencia entre “verificar” y “identificar” importa, pero no te salva si el tratamiento es excesivo, opaco o innecesario.

5) Los 7 síntomas de que tu proyecto se está acercando a una zona peligrosa

No tienes que estar “raspando internet” para meterte en problemas. A veces el riesgo aparece por acumulación. Si reconoces varios de estos puntos, toca parar y rediseñar:

• No puedes explicar en una frase para qué necesitas biometría (y por qué no sirve una alternativa).
• El consentimiento (si lo usas) es forzado: “o aceptas o no entras / no trabajas / no compras”.
• Guardas plantillas faciales “por si acaso”, sin un plazo claro de borrado.
• Entrenas o mejoras modelos con datos de usuarios sin transparencia real ni control.
• Tu proveedor es una caja negra: no sabes dónde procesa, qué subcontrata, ni qué retiene.
• Tienes métricas de precisión, pero no tienes una evaluación de impacto (DPIA) ni un plan de mitigación.
• El equipo cree que “cumplir” es un texto legal, no un diseño de producto (si te suena, aquí tienes un repaso útil sobre fallos comunes de privacidad y confianza: errores típicos al usar IA: alucinaciones y privacidad).

6) Checklist práctico para no acabar en un “caso ejemplo”

No es asesoramiento legal, pero sí un mapa mental útil. Si estás en un proyecto con reconocimiento facial, estas son las piezas que suelen separar un “producto serio” de un “accidente anunciado”:

Y un punto extra que se está volviendo decisivo: alinear GDPR con la regulación de IA. El reconocimiento facial puede caer en categorías de alto riesgo según el contexto, y eso añade obligaciones de gestión, calidad de datos, supervisión y gobernanza. Si operas en España o UE y eres pyme/autónomo, te interesa esto: EU AI Act para pymes y autónomos.

Cuando el debate entra en “penal”, el tablero cambia: la pregunta deja de ser “¿cuánto cuesta?” y pasa a ser “¿quién responde?”.

7) Lo que deberías llevarte hoy (aunque no trabajes en biometría)

Este caso no va solo de Clearview AI. Va de una tendencia: cuando una tecnología es percibida como intrusiva y además se escala sin control, las instituciones buscan herramientas más contundentes.

Si tu empresa trabaja con IA aplicada a personas (identidad, salud, educación, empleo, seguridad), lo inteligente es adoptar una mentalidad de “producto regulatorio”: diseñar para cumplir y para demostrar que cumples. Y eso, te guste o no, empieza arriba: en dirección.

Porque la lección del caso austriaco es simple: cuando una práctica se considera demasiado invasiva, el sistema acaba encontrando una forma de forzar el cambio. Y, a veces, lo hace señalando directamente a quienes deciden.