Veinte millones de rostros
Veinte millones de personas pasan cada día por las aproximadamente 5.700 estaciones de ferrocarril de Alemania. Desde el viernes 10 de julio de 2026, la ley alemana dice que una máquina puede mirarlas a todas.
Aquella mañana —el último día de sesión antes del receso estival del Bundestag, en plena semana de cuartos de final del Mundial, con el país todavía discutiendo el despido del seleccionador nacional Julian Nagelsmann— el parlamento aprobó la reescritura de la Bundespolizeigesetz, la Ley de la Policía Federal. CDU/CSU y SPD votaron a favor; Los Verdes y La Izquierda en contra; AfD se abstuvo. La prensa especializada no se anduvo con matices. El medio de derechos digitales netzpolitik.org publicó su veredicto como titular en cuestión de horas: el Bundestag "acaba de inaugurar la era de la vigilancia automatizada".
El nuevo artículo 31b de la ley, "detección biométrica en tiempo real", autoriza a las cámaras de la policía federal en estaciones de tren, aeropuertos y zonas fronterizas a escanear todos los rostros que pasan y compararlos, en la señal en directo, contra un fichero policial de referencia. La misma norma entrega a la Bundespolizei su primer troyano estatal —vigilancia de telecomunicaciones en la fuente, software malicioso colado por vulnerabilidades de seguridad para leer los mensajes antes de que se cifren— para uso preventivo, y sin régimen alguno que regule las vulnerabilidades sobre las que cabalga. Y alrededor de esas dos facultades estelares atornilla toda una hacienda: análisis con IA del comportamiento en el vídeo de las estaciones, SMS silenciosos, IMSI-catchers y Wi-Fi-catchers, lectores de matrículas, drones, datos de pasajeros aéreos, acceso a la base común de identidad de la UE. El coste ronda los 185 millones de euros anuales, más 18 millones de euros de implantación — superpuestos a las 11.000 cámaras de 750 estaciones que hasta el viernes podían grabarle, pero no reconocerle.
La más invasiva de esas facultades no existía en el proyecto que revisaron los expertos. La comparecencia pública ante la Comisión de Interior se celebró el 26 de enero, sobre un borrador del Gobierno que no contenía biometría en tiempo real en absoluto. La cláusula del escaneo facial y la del análisis de comportamiento se insertaron mediante enmienda de la coalición el 7 de julio, pasaron la comisión el 8 de julio y eran ley el 10 de julio — "solo tres días antes de la votación", según contó netzpolitik. El corte más profundo en los derechos fundamentales de todo el paquete no se enfrentó a un solo perito, y aterrizó justo la semana en que el país miraba el fútbol.
La prohibición que venía con un interruptor
He aquí la parte que debería inquietar incluso a quien apruebe la política. Alemania no desafió la ley estrella de inteligencia artificial de la Unión Europea para hacer esto. La usó.
El artículo 5 de la Ley de IA convierte la identificación biométrica remota en tiempo real en espacios públicos, con fines policiales, en una práctica prohibida: vetada por defecto desde el 2 de febrero de 2025. Esa era la disposición que los defensores de la privacidad llamaban una línea roja de verdad, la primera prohibición firme del reconocimiento facial en directo en espacios públicos de todo el mundo democrático. Pero la prohibición viene con tres excepciones latentes incorporadas a su propio texto: búsquedas selectivas de víctimas de trata y personas desaparecidas; una amenaza específica e inminente para la vida o un atentado terrorista; y la caza de sospechosos de delitos graves castigados con al menos cuatro años. Y el artículo 5 permite a cualquier Estado miembro despertar esas excepciones mediante ley nacional, sujeto a filtros procedimentales: autorización previa de un juez o autoridad independiente, evaluación de impacto sobre los derechos fundamentales, registro del sistema en una base de datos de la UE.
El artículo 31b es la mano de Alemania sobre ese interruptor. Traspone las excepciones casi literalmente: se exige orden judicial salvo en circunstancias de urgencia, dos agentes formados están obligados a confirmar cada coincidencia de la máquina antes de que nadie actúe, cotejo solo en tiempo real, sin enlace con otras bases de datos durante una ejecución. El Gobierno lo describe como algo estrecho, y sobre el papel es más estrecho que lo que algunos temían.
Pero fíjese en dónde se sitúan las salvaguardas. Todas y cada una de ellas rigen lo que ocurre después de una coincidencia. Antes de la coincidencia, para encontrar el rostro de la lista, el sistema tiene que generar la plantilla del rostro de todos los que están en la estación: el que va al trabajo, el turista, el escolar de excursión, la mujer que sale de un centro de acogida, el hombre que va a una clínica. El tratamiento sin sospecha de toda la multitud no es un efecto secundario de la identificación biométrica remota. Es el mecanismo. No existe ninguna versión de "escanear la estación en busca de un rostro buscado" que no escanee primero la estación.
Y esa es exactamente la práctica que la Ley de IA calificó de prohibida — ahora encendida, de forma lícita, mediante la redacción de una ley nacional, tres semanas antes de que la Ley sea plenamente aplicable, el 2 de agosto. Cuando Hungría hizo una versión más burda en marzo de 2025, habilitando el reconocimiento facial para infracciones tan triviales como asistir a una marcha del Orgullo prohibida o cruzar mal la calle, las instituciones europeas lo trataron como una prueba de estrés díscola de la línea roja. La versión alemana llega vestida de jueces y evaluaciones de impacto — que es lo que la hace más corrosiva, no menos. Hungría rompió la línea. Alemania la disolvió en una lista de comprobación de cumplimiento que cualquier ministerio del Interior puede rellenar. El portavoz de Interior de la CDU, Alexander Throm, dijo la parte incómoda con orgullo desde la tribuna: esta ley, pronosticó, sería maßstabsbildend — "que sienta pauta" — "para los estados de la República Federal". Dieciséis Länder alemanes tienen sus propias policías. Otros veintiséis Estados miembros tienen sus propios ministerios del Interior. Las plantillas viajan; para eso sirve una plantilla.
La misma semana, en todo el continente
El viernes alemán no fue una decisión nacional aislada. Fue la nota más alta de un acorde.
El día anterior, el 9 de julio, el Parlamento Europeo celebró su votación en segunda lectura sobre el resucitado reglamento del "Chat Control", la norma que permite a los proveedores escanear mensajes privados en busca de imágenes ilegales. Una mayoría relativa de los presentes votó por rechazarlo, 314 frente a 276. Perdieron igualmente. Rechazar una posición del Consejo en segunda lectura exige la mayoría absoluta de todos los miembros —360 según el propio recuento del Parlamento—, y unos 112 legisladores, dos días antes del receso, sencillamente no estaban en la sala. El régimen de escaneo que el Parlamento había liquidado en marzo volvió a la vida hasta abril de 2028, resucitado por la aritmética de las ausencias. El Parlamento sí ganó una cosa: la primera exclusión explícita de los mensajes cifrados de extremo a extremo jamás escrita en una ley de escaneo de la UE. Pero salió adelante solo porque desangró a la oposición: después de que prosperara la excepción del cifrado, la coalición para rechazar el texto entero se desplomó de 314 votos a 276. El premio de consolación compró la derrota.
Y el mismo viernes de la votación alemana, la Ofcom británica publicó el primer registro al amparo de la Online Safety Act y, junto a él, una "lista de vigilancia" legal de servicios que aún podría designar para las obligaciones más estrictas — incluida la facultad de exigir que los usuarios verifiquen su identidad. Wikipedia, librada del nivel superior por ahora, quedó colocada en esa lista de vigilancia, anotada junto a iMessage y Messenger, sin criterios de salida publicados y con reevaluación posible en cualquier momento. La Fundación Wikimedia, que ya había perdido un recurso judicial precisamente sobre esto, calificó una designación continuada de "amenaza existencial" para los aproximadamente 260.000 voluntarios a los que podría empujarse a entregar su identidad legal para editar una enciclopedia — algunos de ellos en países donde ser conocido como editor de Wikipedia es peligroso.
Tres países, una semana: un escáner facial encendido en Alemania, el escaneo de mensajes resucitado en Estrasburgo, una amenaza de verificación de identidad suspendida sobre la enciclopedia del mundo en Londres. Añada el detalle que afloró días antes —que un miembro de la propia comisión de investigación sobre programas espía del Parlamento Europeo había sido hackeado él mismo con Pegasus, según Citizen Lab— y el tema es difícil de pasar por alto. En las semanas previas a que su histórica Ley de IA entrara en pleno vigor, Europa no estaba apretando sus líneas rojas. Las estaba cruzando.
Los números de los que la máquina no puede escapar
Alemania ya ha hecho este experimento antes, y guardó los recibos.
El piloto de 2017-18 en la estación berlinesa de Südkreuz produjo la cifra triunfal del ministerio del Interior: más del 80 por ciento de detección, una tasa de falsos positivos inferior al 0,1 por ciento, éxito declarado. El Chaos Computer Club calificó el informe de embellecido y anticientífico. Pero ni siquiera hace falta discutir la cifra para ver el problema; basta con multiplicarla. Con unos 100.000 pasajeros al día por Südkreuz, una tasa de falsas alarmas del 0,1 por ciento son unas 100 personas inocentes señaladas al día — en una sola estación. La entonces comisionada de protección de datos de Berlín, Maja Smoltczyk, cifró el total del piloto en 80.000 a 100.000 personas capturadas indebidamente. Los estadísticos del Instituto Max Planck archivaron el mismo argumento bajo su "Antiestadística del mes": frente a los 11,9 millones de viajeros ferroviarios diarios de Alemania, una tasa del 0,1 por ciento son unas 11.900 falsas alarmas al día — más de 350.000 al mes. Un sistema puede llamarse "exitoso" y seguir acusando a inocentes a ese ritmo, porque los inocentes son casi todo el mundo.
La tecnología acompañante tiene peor hoja de servicios. El software de análisis de comportamiento que esta misma ley federaliza lleva vigilando plazas de Mannheim desde 2018 y sigue sin poder distinguir de forma fiable un puñetazo de un abrazo. Una de sus categorías marcadas es "aparente desamparo", que en la práctica significa que el sistema denuncia a personas sin hogar. Esta es la clase de máquina que el artículo 31b asciende de piloto municipal a infraestructura federal.
El argumento honesto a favor
El argumento a favor del interruptor es real, y merece sus mejores números en lugar de los peores.
De octubre de 2025 a marzo de 2026, la Policía Metropolitana de Londres operó cámaras fijas de reconocimiento facial en directo en la calle principal de Croydon: 173 detenciones en 24 despliegues —una cada 35 minutos de funcionamiento—, incluidas personas buscadas por secuestro, violación y agresión sexual grave. En la zona del piloto, la delincuencia registrada cayó un 10,5 por ciento respecto del año anterior, y los delitos de violencia contra mujeres y niñas cayeron un 21 por ciento. Más de 470.000 personas pasaron ante las cámaras; la Met registra una única alerta falsa en toda esa serie, y ninguna detención basada nunca en una coincidencia falsa. La frase de Throm —que las estaciones de tren "no deben ser espacios de miedo"— cala precisamente porque es medio verdad. Para una mujer que iba a ser agredida y ahora no lo será, la máquina no es una abstracción sobre la libertad. Es lo que atrapó al hombre.
Así que la réplica no puede ser que la máquina nunca funciona. Es triple, y sobrevive intacta a los números de Croydon. Primero: la seguridad en las estaciones también se puede comprar con iluminación, personal y juzgados más rápidos — medidas que reducen el miedo sin construir una máquina de identificación de propósito general que un futuro gobierno peor heredará ya montada. Segundo: la objeción a la identificación biométrica en directo nunca fue solo cuestión de precisión. Un sistema con un 99,9 por ciento de acierto ha tenido igualmente que generar la plantilla del otro 99,9 por ciento de la multitud para llegar hasta ahí; el daño es el fichaje biométrico, no meramente el error, porque un país que puede reconocer automáticamente a todo el mundo en la estación puede reconocer con la misma facilidad y el mismo equipo al huelguista, al manifestante, a la fuente de un periodista y a la mujer que sale del centro de acogida. Tercero, y lo más alemán de todo: estas facultades solo avanzan en un sentido. Se introducen estrechas, se justifican con los casos más duros y se ensanchan después — que es la trayectoria que el abogado de derechos digitales Michael Kolain nombró esta semana cuando llamó al artículo 31b "el principio del fin del anonimato en el espacio público". Irene Mihalic, de Los Verdes, agente de policía antes que diputada, expuso la versión institucional con claridad: con la vigilancia biométrica en tiempo real, "la coalición mete la mano hasta el fondo en los derechos fundamentales". Clara Bünger, de La Izquierda, nombró el punto de llegada: la vigilancia generalizada "se convierte en el estado normal".
La segunda vía, y quién cobra
La ley del 10 de julio es solo la mitad del plan alemán. El miércoles 8 de julio, el Bundestag dio primera lectura a un "paquete de vigilancia" aparte, de tres proyectos de ley, del ministro del Interior Alexander Dobrindt. Su pieza central es la búsqueda biométrica retrospectiva por internet abierto: la imagen de una persona buscada comparada contra fotografías "de acceso público" raspadas de redes sociales, fotos de equipo, material de archivo — con sospechosos, testigos y meros contactos dentro del alcance. A su alrededor se sitúan el análisis con IA cruzando bases de datos de localización, ADN, registros de llamadas y ficheros policiales, y el permiso para entrenar IA con datos no anonimizados de los ciudadanos allí donde anonimizarlos exigiría un "esfuerzo desproporcionado".
El artículo 5 de la Ley de IA también prohíbe construir bases de datos de reconocimiento facial mediante el raspado indiscriminado de internet — la cláusula escrita pensando en Clearview AI. La respuesta del ministerio de Justicia alemán es una maravilla del literalismo: la prohibición, argumenta, solo se aplica si es un sistema de IA el que hace el raspado. El experto de AlgorithmWatch, el científico de la información Dirk Lewandowski, califica la prohibición de ausnahmslos —sin excepción— y señala que, sin una base de datos de referencia, todo el planteamiento se derrumba tanto jurídica como prácticamente. AlgorithmWatch entregó más de 167.000 firmas de una petición contra el paquete ese mismo miércoles. El diputado verde Konstantin von Notz le dijo a la coalición lo que le espera: "Si aprueban esto, volverán a verse ante el Tribunal Constitucional". Tiene el precedente de su parte. En febrero de 2023, el Tribunal Constitucional Federal anuló el análisis policial de datos impulsado por Palantir en Hesse y Hamburgo por exactamente esta clase de correlación sin límites.
Alguien cobra en cada paso de esto. Cognitec, de Dresde, opera desde 2007 la búsqueda facial de la Oficina Federal de Policía Criminal contra una base de datos de unos cuatro millones de imágenes, y un mandato de 185 millones de euros anuales con un requisito de tiempo real adosado es un maná para la contratación pública. Los institutos Fraunhofer venden los escáneres de comportamiento. Dobrindt está revisando el despliegue nacional de Palantir que su predecesor rechazó. Y la búsqueda de fotos en internet permitiría a la policía federal encargar el cotejo a proveedores privados — el modelo de Clearview y PimEyes, nacionalizado, dos años después de que unos periodistas, con nada más que una suscripción a PimEyes, usaran exactamente esa clase de herramienta para ayudar a localizar a la exmilitante Daniela Klette, largamente oculta. A la capacidad le da igual quién la tenga. De eso se trata al construirla.
Lo que realmente se puede hacer
Sea honesto sobre las herramientas, porque la honestidad es el argumento. Ninguna VPN oculta su rostro ante una cámara en una estación pública. Frente al artículo 31b, las únicas defensas son políticas — y dos de ellas están vivas ahora mismo. Una es la petición contra el paquete de vigilancia acompañante, que todavía tiene que aprobarse. La otra es el Bundesrat, la cámara de los estados: esta ley necesita el consentimiento de los gobiernos regionales este otoño, la abstención cuenta como un no, y los Länder cogobernados por Los Verdes tumbaron una reforma de la policía federal casi idéntica en junio de 2021 haciendo exactamente eso. El lugar donde esto se decide es una carta al ministerio del Interior de su estado, no un ajuste en su teléfono.
El troyano estatal es donde la pelea técnica es real, y apunta en dirección contraria a la desesperación. La vigilancia en la fuente existe porque el cifrado funciona: el Estado tiene que comprometer el dispositivo precisamente porque el cable se ha quedado a oscuras. Así que mantenga el cable a oscuras y encarezca el extremo: hardware actualizado, mensajeros cifrados de extremo a extremo y transporte abierto, auditable y de mínimo poder, como Tor, WireGuard y redes descentralizadas como URnetwork. Nada de eso es un adorno retórico; es la diferencia entre una vigilancia que hay que apuntar, contra una persona con nombre, con una orden judicial, y una vigilancia que viene gratis con la infraestructura y apunta a todo el mundo por defecto. En eso consiste todo lo que se juega esta semana. Mantenga la identificación cara, individual y sujeta a un juez — porque el 10 de julio fue una demostración de la rapidez con la que se vuelve ambiental, automática y gratuita.
La Ley de IA será plenamente aplicable el 2 de agosto. Su línea roja biométrica o aguanta cuando el Bundesrat vote este otoño, en dieciséis capitales regionales, o deja de ser una línea en ningún punto del continente que la trazó. Europa se pasó una década diciéndole al mundo que sería el único lugar que se negaría a escanear todos los rostros. Tiene tres semanas para decirlo en serio.
Referencias (1 fuentes)
Referencias
- Deutscher Bundestag, diario de sesiones y Drucksachen de la modernización de la Ley de la Policía Federal (Bundespolizeigesetz), votación del 10 de julio de 2026; informe de la Comisión de Interior de 8 de julio de 2026; comparecencia de expertos ante la Comisión de Interior de 26 de enero de 2026 — bundestag.de.
- netzpolitik.org, "Der Bundestag hat gerade das Zeitalter der automatisierten Überwachung eingeläutet" y cobertura relacionada del §31b, las facultades de análisis de comportamiento, el troyano estatal y la primera lectura del paquete de vigilancia del 8 de julio (2026).
- heise online, "Federal Police: Coalition OKs AI real-time tracking, state trojans" (2026); taz, "Modernisierung des Bundespolizeigesetzes" (2026); digitalrechte.de, Michael Kolain (8 de julio de 2026).
- Ley de IA de la UE, artículo 5 (prácticas prohibidas; identificación biométrica remota en tiempo real, excepciones y condiciones procedimentales del artículo 5); plena aplicabilidad el 2 de agosto de 2026 — AI Act Service Desk (Comisión Europea); artificialintelligenceact.eu.
- Ministerio Federal del Interior, resultados del piloto de reconocimiento facial de Südkreuz (2018); críticas del Chaos Computer Club y de la "Unstatistik" del Instituto Max Planck; aritmética de falsas alarmas de la autoridad de protección de datos de Berlín (Maja Smoltczyk).
- Metropolitan Police, "Met makes one arrest every 35 minutes during live facial recognition pilot" (Croydon, 13 de mayo de 2026); ITV News London; The Register.
- AlgorithmWatch/Campact, petición "Stoppt Dobrindts Überwachungspläne" (más de 167.000 firmas, entregadas el 8 de julio de 2026); Bundesverfassungsgericht, 1 BvR 1547/19 & 2634/20 (16 de febrero de 2023, Palantir/Hessendata).
- Votaciones en segunda lectura del Parlamento Europeo sobre la derogación CSA/"Chat Control", 9 de julio de 2026 (rechazo 314-276; exclusión del cifrado de extremo a extremo adoptada 369/362); oficina de prensa del PE; netzpolitik; heise.
- Wikimedia Foundation, "Wikimedia Foundation challenges UK Online Safety Act regulations" (10 de julio de 2026); Register of Categorised Services de Ofcom y lista emergente de Categoría 1 (10 de julio de 2026); Online Safety Act 2023, ss. 64, 97.
- Enmiendas húngaras de vigilancia biométrica (marzo de 2025) e impugnación al amparo de la Ley de IA — ECNL/EDRi/Liberties. Citizen Lab, infección con Pegasus de un miembro de la comisión PEGA (Report 194, julio de 2026).