La Inteligencia Artificial en las investigaciones penales

¿Dónde se regula?

La única regulación existente es la recogida en el Reglamento (UE) 2024/1689, de 13 de junio (RIA). Entra en vigor el 1 de agosto de 2024 y será aplicable a partir del 2 de agosto de 2026.

No obstante, los capítulos I y II serán aplicables a partir del 2 de febrero de 2025, el capítulo III, sección 4, el capítulo V, el capítulo VII y el capítulo XII y el artículo 78 serán aplicables a partir del 2 de agosto de 2025, a excepción del artículo 101, y el artículo 6, apartado 1, y las obligaciones correspondientes del citado Reglamento serán aplicables a partir del 2 de agosto de 2027.

¿Se pueden usar sistemas de IA para la identificación de víctimas y sospechosos?

Se prohíbe el uso de sistemas de IA para la identificación biométrica remota «en tiempo real» de personas físicas en espacios de acceso público, al invadir de forma grave los derechos y las libertades de las personas afectadas, además de poder dar resultados sesgados y tener efectos discriminatorios, por las impresiones técnicas que aún tienen estos sistemas (art. 5.1 h Reglamento (UE) 2024/1689, de 13 de junio).

Se entiende por «sistema de identificación biométrica remota en tiempo real» (art. 3 Reglamento (UE) 2024/1689, de 13 de junio) el reconocimiento automatizado de características humanas de tipo físico, fisiológico, conductual o psicológico para determinar la identidad de una persona física comparando esos datos biométricos con los de personas almacenados en una base de datos, sin su participación activa y generalmente a distancia, en el que la recogida de los datos biométricos, la comparación y la identificación se producen sin una demora significativa. Engloba no solo la identificación instantánea, sino también, a fin de evitar la elusión, demoras mínimas limitadas.

Espacio de acceso público es cualquier lugar físico, de propiedad privada o pública, al que pueda acceder un número indeterminado de personas físicas, con independencia de que deban cumplirse determinadas condiciones de acceso y con independencia de las posibles restricciones de capacidad.

Esta prohibición, tiene las siguientes excepciones, en situaciones en las que su utilización es estrictamente necesaria para lograr un interés público esencial cuya importancia compense los riesgos:

• • La búsqueda de determinadas víctimas de un delito, incluidas personas desaparecidas.
• • Determinadas amenazas para la vida o para la seguridad física de las personas físicas o amenazas de atentado terrorista.
• • La localización o identificación de una persona sospechosa de haber cometido un delito a fin de llevar a cabo una investigación o un enjuiciamiento penales o de ejecutar una sanción penal por alguno de los delitos enumerados en el Anexo II Reglamento (UE) 2024/1689, de 13 de junio

Además, deben cumplirse los siguientes requisitos:

• • Dichas infracciones deben castigarse en el Estado miembro de que se trate con una pena o una medida de seguridad privativas de libertad cuya duración máxima sea de al menos 4 años.
• • Debe llevarse a cabo únicamente para confirmar la identidad de la persona que constituya el objetivo específico y limitarse a lo estrictamente necesario en lo que se refiere al período de tiempo, así como al ámbito geográfico y personal, teniendo en cuenta, en particular, las pruebas o indicios relativos a las amenazas, las víctimas o los autores.
• • Su uso debe haber sido autorizado de manera expresa y específica por una autoridad judicial o por una autoridad administrativa independiente de un Estado miembro y cuya decisión sea vinculante. En principio, dicha autorización debe obtenerse antes de utilizar el sistema de IA con el fin de identificar a una o varias personas. Deben permitirse excepciones a esa norma en situaciones debidamente justificadas por motivos de urgencia, a saber, en aquellas en las que la necesidad de utilizar los sistemas de que se trate sea tan imperiosa que resulte efectiva y objetivamente imposible obtener una autorización antes de iniciar el uso del sistema de IA. En tales situaciones de urgencia, el uso debe limitarse al mínimo imprescindible y satisfacer las garantías y condiciones oportunas, conforme a lo dispuesto en el Derecho nacional y según corresponda en cada supuesto concreto de uso urgente por parte de la propia autoridad garante del cumplimiento del Derecho. Además, en esas situaciones las autoridades garantes del cumplimiento del Derecho deben solicitar dicha autorización e indicar los motivos por los que no han podido hacerlo antes, sin demora indebida y, como máximo, en un plazo de veinticuatro horas. Si se rechaza dicha autorización, el uso de sistemas de identificación biométrica en tiempo real vinculados a la autorización debe interrumpirse con efecto inmediato y todos los datos relacionados con dicho uso deben desecharse y suprimirse.
• • Dicho uso en el territorio de un Estado miembro solo debe ser posible cuando el Estado miembro de que se trate haya decidido contemplar expresamente la posibilidad de autorizarlo en las normas detalladas de su Derecho nacional, y en la medida en que lo haya contemplado. En consecuencia, los Estados miembros siguen teniendo la libertad de no ofrecer esta posibilidad en absoluto o de ofrecerla únicamente en relación con algunos de los objetivos que pueden justificar un uso autorizado conforme al presente
• • El uso de estos sistemas con fines distintos de la garantía del cumplimiento del Derecho no debe estar sujeto al requisito de obtener una autorización previsto en el presente Reglamento ni a las normas de desarrollo aplicables del Derecho nacional que puedan hacer efectiva dicha autorización.

Se entiende por «garantía del cumplimiento del Derecho» las actividades realizadas por las autoridades garantes del cumplimiento del Derecho, o en su nombre, para la prevención, la investigación, la detección o el enjuiciamiento de delitos o la ejecución de sanciones penales, incluidas la protección frente a amenazas para la seguridad pública y la prevención de dichas amenazas.

¿Se puede usar la IA para evaluar la probabilidad de delinquir?

En consonancia con la presunción de inocencia, las personas siempre deben ser juzgadas basándose en su comportamiento real. Nunca deben ser juzgadas a partir de comportamientos predichos por una IA basados únicamente en la elaboración de sus perfiles, en los rasgos o características de su personalidad, como la nacionalidad, el lugar de nacimiento, el lugar de residencia, el número de hijos, el nivel de endeudamiento o el tipo de vehículo, sin una valoración humana y sin que exista una sospecha razonable, basada en hechos objetivos comprobables, de que dicha persona está implicada en una actividad delictiva. Por lo tanto, deben prohibirse las evaluaciones de riesgos realizadas con respecto a personas para evaluar la probabilidad de que cometan un delito o para predecir la comisión de un delito real o potencial basándose únicamente en la elaboración de perfiles de esas personas físicas o la evaluación de los rasgos y características de su personalidad (art. 5.1 d Reglamento (UE) 2024/1689, de 13 de junio).

Además, se clasifican como de alto riesgo los sistemas de IA destinados a ser utilizados para evaluar el riesgo de que una persona física sea víctima de delitos, como los polígrafos y otras herramientas similares, para evaluar la fiabilidad de las pruebas durante la investigación o el enjuiciamiento de delitos y, en la medida en que no esté prohibido conforme al presente Reglamento, para evaluar el riesgo de que una persona física cometa un delito o reincida, no solo sobre la base de la elaboración de perfiles de personas físicas o la evaluación de rasgos y características de la personalidad o comportamientos delictivos pasados de personas físicas o grupos de personas, o para elaborar perfiles durante la detección, la investigación o el enjuiciamiento de delitos.

La consecuencia es que debe implantarse un sistema de gestión de estos riesgos (art. 9 Reglamento (UE) 2024/1689, de 13 de junio)

Constará de las siguientes etapas:

• 1º. La determinación y el análisis de los riesgos que el sistema de IA de alto riesgo pueda plantear para la salud, la seguridad o los derechos fundamentales cuando el sistema de IA de alto riesgo se utilice de conformidad con su finalidad prevista.
• 2º. La estimación y la evaluación de los riesgos que podrían surgir cuando el sistema de IA de alto riesgo se utilice de conformidad con su finalidad prevista y cuando se le dé un uso indebido razonablemente previsible.
• 3º. La evaluación de otros riesgos que podrían surgir, a partir del análisis de los datos recogidos con el sistema de vigilancia poscomercialización a que se refiere el artículo 72 Reglamento (UE) 2024/1689, de 13 de junio.
• 4º. La adopción de medidas adecuadas y específicas de gestión de riesgos diseñadas para hacer frente a los riesgos detectados.