Control de accesos con reconocimiento facial: qué es de verdad y qué es marketing

«Con reconocimiento facial nadie va a poder colarse en el portal». Es el argumento de venta más repetido del control de accesos en 2026, y suena convincente: nada de tarjetas que se pierden, nada de códigos que se comparten, tu cara es tu llave. El problema es que, mientras la tecnología se ha vuelto barata y fácil de instalar, la ley que regula su uso se ha vuelto mucho más estricta, casi al mismo tiempo. Y muy pocos instaladores te cuentan la segunda parte antes de firmar el presupuesto.

Esta guía es esa segunda parte: qué es de verdad el control de accesos, qué promete el reconocimiento facial, qué dice ahora mismo la Agencia Española de Protección de Datos al respecto, y por qué agosto de 2026 es un mes especialmente inoportuno para instalar uno sin haberlo pensado bien.

Qué es el control de accesos, sin marketing de por medio

Controlar el acceso significa, en esencia, decidir quién puede entrar, cuándo y por dónde, y dejar constancia de ello. No es una tecnología concreta: es una función que se puede resolver con herramientas muy distintas, con niveles de coste, comodidad y riesgo legal muy diferentes entre sí. Antes de hablar de biometría conviene tener claro el mapa completo.

• Tarjeta o llavero de proximidad. El estándar del sector desde hace décadas: se pierde, se bloquea, se reemite. Sin datos personales sensibles de por medio.
• Código PIN. Barato y sin hardware que perder, aunque se puede compartir u observar por encima del hombro.
• Credencial en el móvil. Bluetooth o NFC desde una app: se da de alta y de baja al instante, sin tarjetas físicas que gestionar.
• Biometría. Huella dactilar o reconocimiento facial. La promesa es que no se presta ni se pierde. El problema, como vas a ver, es que tampoco se puede cambiar si algo sale mal, y eso pesa mucho en cómo la trata la ley.

Las tres primeras opciones llevan resolviendo el control de accesos con solvencia desde hace años, en edificios y comunidades y en negocios como coworkings o joyerías. La biometría es la única que introduce una categoría de datos completamente distinta, y es donde está el matiz que casi nadie te explica en la visita comercial.

La promesa del reconocimiento facial

El argumento comercial tiene su lógica: una cámara identifica a la persona autorizada en el acceso, sin que tenga que hacer nada, sin tarjeta que llevar ni código que recordar. Para una comunidad de vecinos cansada de llaves copiadas sin control, o para un negocio con rotación de personal, suena a la solución definitiva. Y técnicamente, hoy, funciona razonablemente bien: la tecnología ha mejorado mucho y es barata de desplegar.

El problema no es que no funcione. El problema es que, en 2026, la ley española y europea le ha puesto un listón mucho más alto del que la mayoría de instaladores está trasladando a sus clientes.

Lo que dice ahora la AEPD, y por qué ha cambiado

La Agencia Española de Protección de Datos ha publicado una guía específica sobre el uso de sistemas biométricos para control de accesos y de presencia, y el criterio que fija es notablemente más estricto que el que se venía aplicando hasta hace poco. El rostro y la huella dactilar son datos biométricos de categoría especial en el Reglamento General de Protección de Datos: no es un dato personal más, es de los que la normativa protege con más cautela, junto a datos de salud o de origen étnico.

Eso significa que instalar un sistema biométrico ya no basta con justificarlo por comodidad o por ser «lo más moderno». La AEPD exige ahora un análisis de riesgos, una evaluación de impacto y, sobre todo, un test de necesidad y proporcionalidad: demostrar que no existe una alternativa menos invasiva que resuelva el mismo problema igual de bien. Y como acabas de ver, sí existe: tarjeta, código o app hacen exactamente el mismo trabajo sin tocar un dato de categoría especial.

La consecuencia práctica es dura pero clara: en la mayoría de los casos, justificar un sistema biométrico frente a esa alternativa menos invasiva es, en palabras de los despachos que han analizado la guía, una tarea bastante complicada. No imposible, pero exige mucho más que un contrato de instalación firmado a la ligera.

La Ley de IA europea entra en juego justo ahora

Hay un segundo frente, más nuevo todavía. El Reglamento europeo de Inteligencia Artificial (Reglamento (UE) 2024/1689) es de aplicación general a partir del 2 de agosto de 2026, con algunas disposiciones —incluidas ciertas prohibiciones— ya vigentes desde febrero de 2025. Si tu sistema de control de accesos usa inteligencia artificial para identificar rostros, que es exactamente lo que hace el reconocimiento facial moderno, entra dentro del ámbito de esta ley, además de la normativa de protección de datos.

No se trata de una prohibición general para cualquier uso de reconocimiento facial, pero sí de una capa adicional de obligaciones y de riesgo según cómo esté implementado el sistema. Si estás valorando instalar uno, o si ya tienes uno funcionando, este es exactamente el momento de documentarlo, revisar con qué base legal se sostiene y confirmar que la instaladora que lo vendió conoce este marco, no solo el técnico.

En una comunidad de vecinos, el listón es doble

Antes de llegar siquiera a la parte biométrica, cualquier sistema de videovigilancia en una comunidad de propietarios necesita acuerdo previo de la Junta de Propietarios, con el quórum que exige la Ley de Propiedad Horizontal para este tipo de decisiones. Las cámaras solo pueden cubrir zonas comunes, nunca captar vía pública más allá de una franja mínima e inevitable en el acceso, y las grabaciones deben eliminarse en un plazo máximo de 30 días salvo que documenten un delito o incidente concreto. Todo esto ya se aplica a la videovigilancia normal, y lo tratamos con más detalle en nuestra guía sobre cámaras en garajes y zonas comunes.

Añadir reconocimiento facial no sustituye ninguno de esos requisitos: los suma. Necesitas el acuerdo de la comunidad para las cámaras y superar el test de necesidad y proporcionalidad para justificar por qué hace falta biometría en lugar de una tarjeta o un código. En la práctica, para la inmensa mayoría de comunidades de vecinos, esa segunda justificación es muy difícil de sostener: no hay un riesgo tan singular en un portal residencial que no pueda resolver perfectamente una app o una tarjeta.

En una empresa, el mismo problema con otro nombre

El escenario se repite en el ámbito laboral, y con un matiz interesante: la AEPD ha cambiado de postura también aquí. Durante años se consideró razonablemente aceptable usar huella o reconocimiento facial para el control horario de la plantilla. El criterio actual va en la dirección contraria: salvo que la empresa pueda demostrar una necesidad real y específica que ninguna alternativa cubra igual de bien, se recomienda sustituir estos sistemas por opciones que no impliquen datos biométricos, como tarjetas inteligentes o certificados digitales, o directamente por una persona que verifique el acceso.

Si tu negocio usa biometría para fichar o para controlar accesos y lo instalaste hace tiempo, cuando el criterio era más permisivo, conviene saber que su aplicación es inmediata: una inspección no distingue entre un sistema instalado en 2022 y uno instalado la semana pasada.

Las alternativas que dan la misma seguridad, sin el riesgo legal

• Credencial en el móvil (Bluetooth o NFC). Alta y baja al instante desde la app, sin hardware físico que perder ni dato biométrico que proteger. Es la opción que más ha madurado en los últimos años.
• Tarjeta o llavero de proximidad. Sigue siendo la solución más extendida y probada, sobre todo en comunidades con vecinos de perfiles muy distintos, no todos cómodos con una app.
• Código PIN individual. Barato, sin hardware, y perfectamente combinable con las otras dos para reforzar zonas concretas.
• Videovigilancia convencional del acceso. Sin identificación biométrica, una cámara que registra quién entra sigue siendo una herramienta de seguridad legítima y mucho más sencilla de justificar legalmente.

Ninguna de estas cuatro opciones es peor en seguridad real que la biometría para el caso de uso habitual de un portal o una oficina. Son, simplemente, las que no obligan a superar el listón legal más alto que exige ahora mismo un dato de categoría especial.

Qué preguntar antes de instalar un sistema biométrico

• ¿Habéis hecho el test de necesidad y proporcionalidad que exige la AEPD? Si la respuesta es vaga o no saben de qué hablas, es una señal de alarma.
• ¿Por qué no basta con tarjeta, código o app en mi caso concreto? La respuesta tiene que ser específica de tu situación, no un argumento genérico de comodidad.
• ¿Dónde y cómo se almacenan los datos biométricos? Cifrado, plazo de conservación y quién tiene acceso son preguntas obligatorias, no opcionales.
• ¿El sistema usa inteligencia artificial? Si es así, pregunta expresamente cómo cumple el Reglamento europeo de IA, no solo el RGPD.
• ¿Qué pasa si decido dar marcha atrás? Debe existir un procedimiento claro para eliminar los datos biométricos ya recogidos, no solo para dejar de usarlos.