La llave metálica que durante siglos protegió viviendas, oficinas e instalaciones está siendo sustituida progresivamente por códigos, teléfonos móviles y, cada vez más, por rasgos físicos y comportamentales que identifican a las personas.
Huellas dactilares, rostro, iris, palma de la mano o voz permiten autenticar identidades en cuestión de segundos. La biometría promete accesos más rápidos y difíciles de compartir o perder, pero también introduce un problema que no existe con una tarjeta: una contraseña puede cambiarse y una tarjeta puede anularse; el rostro, la huella o el iris forman parte de la propia persona. Esa diferencia convierte a la privacidad, la seguridad de los datos y la proporcionalidad en elementos centrales del debate.
La historia de la seguridad comienza mucho antes de los sistemas electrónicos. Las primeras cerraduras mecánicas evolucionaron durante siglos hasta convertirse en mecanismos cada vez más complejos, mientras que las llaves permitieron trasladar la autorización de acceso desde el propio mecanismo hacia un objeto que podía llevar consigo su propietario.
El principio era sencillo: quien tenía la llave podía abrir la puerta. Con el tiempo aparecieron tarjetas magnéticas, tarjetas inteligentes, códigos numéricos y sistemas electrónicos capaces de registrar quién había accedido, cuándo y, en determinados casos, a qué zona.
La revolución digital añadió una nueva posibilidad: sustituir el objeto por una característica de la persona. La biometría parte de una idea aparentemente sencilla: cada individuo posee determinados rasgos físicos o comportamentales que pueden utilizarse para verificar su identidad.
La huella dactilar fue una de las primeras tecnologías biométricas en alcanzar un uso generalizado. Después llegaron sistemas de reconocimiento facial cada vez más sofisticados y soluciones capaces de analizar el iris, la geometría de la mano, las venas de la palma o determinadas características de la voz.
El crecimiento de estas tecnologías responde a varias causas. La primera es la comodidad. Una persona no necesita recordar una contraseña ni llevar una tarjeta si puede utilizar su propio rostro o dedo. La segunda es la seguridad: una credencial biométrica resulta mucho más difícil de prestar o transferir deliberadamente que una tarjeta. La tercera es la automatización. Un sistema puede verificar una identidad en fracciones de segundo y registrar el resultado de forma automática.
Los teléfonos móviles han contribuido decisivamente a normalizar esta tecnología. El desbloqueo mediante huella o reconocimiento facial ha convertido la biometría en una experiencia cotidiana para millones de usuarios. La Agencia Española de Protección de Datos (AEPD) reconoce precisamente que los patrones biométricos pueden utilizarse como mecanismos de acceso a dispositivos, junto con códigos y contraseñas.
Pero utilizar la biometría para desbloquear un teléfono y emplearla para identificar personas en un espacio público son situaciones radicalmente diferentes. En el primer caso, normalmente se produce una autenticación uno a uno: el sistema comprueba si el rasgo biométrico coincide con el patrón asociado a un usuario concreto. En el segundo, puede intentar determinar quién es una persona entre miles o millones de individuos.
La diferencia resulta esencial para comprender la regulación europea. La Ley de Inteligencia Artificial de la Unión Europea (AI Act) considera especialmente sensible la identificación biométrica remota. La Comisión Europea explica que la verificación biométrica, como desbloquear un teléfono o comprobar la identidad de una persona en un control fronterizo frente a sus documentos, presenta un riesgo diferente al reconocimiento remoto de individuos en una multitud.
La normativa europea prohíbe, con excepciones muy limitadas, la identificación biométrica remota en tiempo real con fines policiales en espacios de acceso público. Las excepciones están vinculadas a situaciones especialmente graves, como determinadas amenazas terroristas, la búsqueda de personas desaparecidas o la prevención de amenazas a la vida o integridad física, y deben estar sometidas a requisitos de necesidad, proporcionalidad y autorización.
El motivo de esta cautela es que el reconocimiento biométrico puede convertir un espacio público en un entorno de identificación permanente. Una cámara convencional registra una imagen; un sistema biométrico puede intentar determinar quién aparece en ella.
La precisión es otro de los grandes desafíos. La Comisión Europea advierte de que el rendimiento de los sistemas de reconocimiento facial puede verse condicionado por factores como la calidad de la cámara, la iluminación, la distancia, la base de datos utilizada, el algoritmo y características del individuo como edad o sexo. Incluso un porcentaje de error aparentemente pequeño puede adquirir consecuencias relevantes cuando el sistema analiza a grandes cantidades de personas.
La cuestión no es únicamente tecnológica. También existe un problema jurídico. Los datos biométricos utilizados para identificar de manera unívoca a una persona están incluidos en las categorías especiales de datos personales del Reglamento General de Protección de Datos (RGPD), lo que implica una protección reforzada.
La AEPD publicó en noviembre de 2023 una guía específica sobre el uso de datos biométricos para el control de presencia y acceso. En ella considera estos tratamientos de alto riesgo y recuerda que deben existir las condiciones legales necesarias para poder tratar este tipo de datos. En el ámbito laboral, además, la Agencia estableció criterios especialmente estrictos para justificar su utilización.
La posición de la Agencia resulta especialmente relevante para empresas y administraciones que pretendan sustituir tarjetas de acceso por huellas o reconocimiento facial. No basta con que una tecnología funcione o resulte más cómoda. El responsable debe demostrar que su utilización es necesaria y proporcionada para el objetivo perseguido y que no existe una alternativa menos invasiva que permita alcanzar el mismo resultado.
La privacidad se convierte así en una variable de diseño. La AEPD recomienda aplicar el principio de minimización de datos, es decir, utilizar únicamente la información necesaria para la finalidad concreta, durante el tiempo imprescindible y con la menor accesibilidad posible.
La arquitectura tecnológica también importa. No es lo mismo almacenar una plantilla biométrica en una base de datos centralizada que realizar la comparación localmente en el dispositivo y comunicar al sistema únicamente el resultado de la operación.
Intrusión e intimidad
La propia AEPD ha señalado que las soluciones en las que el patrón biométrico permanece bajo control del usuario y el sistema externo recibe únicamente un resultado de coincidencia pueden resultar menos intrusivas. También recomienda, en determinados escenarios, realizar el procesamiento localmente y aplicar medidas frente a falsos positivos y ataques de suplantación.
Aquí aparece una diferencia fundamental entre una llave y un rasgo biométrico. Una llave puede copiarse, pero también puede sustituirse. Una tarjeta puede perderse y ser anulada. Una contraseña puede cambiarse. Una huella digital no puede cambiarse porque una base de datos haya sido comprometida.
Esto convierte la protección de las bases de datos biométricas en un asunto especialmente delicado. El robo de una contraseña puede resolverse generando otra. Una filtración de datos biométricos plantea un problema mucho más complejo y potencialmente permanente.
Además, los sistemas biométricos no son inmunes a la suplantación. Fotografías, vídeos, moldes, grabaciones o técnicas diseñadas específicamente para engañar a los sensores han obligado a desarrollar sistemas de detección de vida, análisis tridimensional y mecanismos antifraude.
La seguridad debe contemplar también los llamados ataques de presentación. Un sistema facial que únicamente analiza una imagen bidimensional puede tener más dificultades para distinguir entre una persona real y una representación artificial. Los sistemas modernos intentan determinar si existe una persona real delante del sensor mediante diferentes señales.
La evolución de la inteligencia artificial está acelerando esta carrera tecnológica. Los algoritmos actuales pueden analizar características faciales con una precisión muy superior a la de generaciones anteriores y combinar múltiples variables en tiempo real. Pero la misma IA que mejora el reconocimiento también puede facilitar técnicas de suplantación cada vez más sofisticadas.
El problema se extiende a la voz. Los sistemas capaces de reconocer hablantes o utilizar características vocales para autenticar operaciones se están desarrollando rápidamente. Pero las voces pueden ser grabadas y, con herramientas de generación de audio mediante IA, también pueden ser imitadas.
Algo similar sucede con el rostro. La proliferación de sistemas de generación de imágenes y vídeo ha incrementado la preocupación por los llamados deepfakes. La seguridad biométrica tiene que evolucionar simultáneamente con las tecnologías que intentan burlarla.
La biometría tampoco tiene por qué significar necesariamente vigilancia masiva. En muchos casos, su utilización puede estar limitada a espacios concretos y usuarios previamente autorizados: una empresa, un laboratorio, un centro de datos, una instalación militar o una zona restringida de un aeropuerto.
En esos escenarios puede proporcionar una capa adicional de seguridad. Una tarjeta puede ser robada; un código puede ser compartido; una credencial puede ser prestada. Un sistema biométrico permite vincular el acceso a una característica física del titular.
Pero incluso en instalaciones privadas resulta necesario definir con precisión qué se recoge, para qué se recoge, dónde se almacena, quién puede acceder a ello y cuándo debe eliminarse. La tecnología no elimina las obligaciones derivadas de la protección de datos.
El equilibrio resulta especialmente delicado en los lugares de trabajo. El empresario puede tener interés legítimo en controlar determinados accesos, pero el trabajador se encuentra en una posición de dependencia respecto de la organización. La AEPD ha advertido expresamente de que el consentimiento no siempre constituye una base válida para legitimar determinados tratamientos biométricos laborales debido a ese desequilibrio.
La evolución normativa europea demuestra que el debate está lejos de haber terminado. En mayo de 2026, la Comisión Europea publicó su revisión de las prácticas prohibidas y de los sistemas de IA de alto riesgo, incluyendo expresamente los usos relacionados con biometría, infraestructuras críticas, empleo, migración y control fronterizo.
El futuro, por tanto, probablemente no será completamente biométrico ni completamente mecánico. La tendencia apunta hacia una autenticación multimodal, en la que diferentes factores puedan combinarse: rostro, dispositivo, código, huella o comportamiento.
En una instalación de alta seguridad, por ejemplo, el sistema podría exigir que una persona presente simultáneamente una credencial digital y un factor biométrico. De esta forma, el robo de una tarjeta no sería suficiente para acceder.
La biometría también puede contribuir a reducir determinadas formas de fraude y facilitar procesos de identificación en sectores como la banca, el transporte, la administración pública o los controles fronterizos. Sin embargo, cuanto más amplia sea la aplicación, mayores serán las consecuencias de un error o de una filtración.
La gran cuestión no será si la tecnología puede reconocer a una persona, sino si debe hacerlo en cada contexto y bajo qué condiciones. La respuesta dependerá de un equilibrio entre seguridad, comodidad, eficacia y derechos fundamentales. En algunos escenarios, la biometría puede ofrecer una mejora significativa frente a las credenciales tradicionales. En otros, una tarjeta, un teléfono o un código pueden conseguir el mismo objetivo con menor impacto sobre la privacidad.
La llave física no desaparecerá necesariamente, pero dejará de ser la única puerta de entrada. El futuro de la seguridad será probablemente híbrido, combinando objetos, dispositivos, contraseñas y características humanas.
El verdadero salto no consistirá, por tanto, en sustituir una cerradura por una cámara o una tarjeta por una huella. Consistirá en construir sistemas capaces de verificar identidades sin convertir esa capacidad en una vigilancia permanente. La biometría puede hacer que abrir una puerta sea más sencillo y seguro, pero también obliga a responder a una pregunta mucho más profunda: ¿quién controla la llave cuando la llave somos nosotros mismos?
