ANÁLISIS EXCLUSIVO
Biometría en los salones de juego: cae la guía de la AEPD, pero el 2 de agosto la Ley de IA aprieta el control de acceso

El control de acceso biométrico dejó de ser hace tiempo una novedad en los salones de juego españoles: la integración con el Registro General de Interdicciones de Acceso al Juego (RGIAJ) y la verificación automática de edad y autoexclusiones son ya la norma en las comunidades que lo han impuesto. La Rioja lo declaró obligatorio con entrada en vigor el 30 de abril de 2026 y un plazo de adaptación de un año —hasta mayo de 2027—, aunque su norma permite a quien no consienta el tratamiento biométrico identificarse por vías alternativas, como el DNI o la identificación electrónica. Murcia, por su parte, ultima un decreto que obligará al control de acceso en la puerta de unos 359 establecimientos, con un coste de instalación que oscila entre 1.500 y 3.000 euros por local según el nivel tecnológico. Pero el marco jurídico que sostiene esos sistemas acaba de moverse en dos direcciones opuestas en cuestión de semanas. Para el empresario que ya tiene la tecnología instalada y para el regulador que la exige, entender esa doble corriente es clave: lo que parece un alivio puede convertirse en una exigencia mayor.

Lo que ha pasado: la Audiencia Nacional anula la guía "antihuella" de la AEPD

El detonante es la sentencia 367/2026, de 30 de junio, de la Sección Primera de la Sala de lo Contencioso-Administrativo de la Audiencia Nacional, conocida a mediados de julio. El fallo anula la "Guía sobre tratamiento de control de presencia mediante sistemas biométricos" que la Agencia Española de Protección de Datos (AEPD) había publicado el 23 de noviembre de 2023, el documento con el que la Agencia había endurecido de hecho el uso de la huella y el reconocimiento facial.

El matiz es decisivo. El tribunal no dice que la doctrina de la AEPD sobre biometría sea incorrecta: la anula por un defecto de procedimiento, al entender que la guía funcionaba como una instrucción o circular de obligado cumplimiento y se aprobó sin seguir el procedimiento exigido. Fue la Asociación Española de Empresas de Seguridad —directamente implicada en el suministro de estos sistemas al sector— quien recurrió el documento, alegando que la Agencia trataba como obligatorios unos criterios presentados como orientativos.

No es la única señal. Meses antes, la sentencia 59/2026, de 11 de febrero, del mismo tribunal, anuló una sanción de 20.000 euros de la AEPD a una empresa por usar huella dactilar en el control de acceso a sus instalaciones. Dos avisos, en pocos meses, de que los tribunales están matizando la línea más dura de la Agencia sobre biometría en el acceso.

Lo que no ha pasado: la obligación de cumplir el RGPD sigue intacta

Para un salón de juego, la lectura tentadora sería concluir que el control de acceso biométrico ha quedado blindado y libre de reproche. No es así. La anulación de la guía no toca el marco de fondo: el Reglamento General de Protección de Datos (RGPD) clasifica los datos biométricos que identifican a una persona como categoría especial (artículo 9), cuyo tratamiento está prohibido salvo excepciones tasadas, régimen que completa la Ley Orgánica de Protección de Datos (LOPDGDD).

En la práctica, las obligaciones que pesaban sobre el operador antes de la sentencia siguen pesando después: hay que acreditar la base jurídica del tratamiento, justificar su necesidad y proporcionalidad, aplicar la minimización de datos y documentarlo con una evaluación de impacto (EIPD) previa. Aquí aparece la tensión propia del sector: cuando una norma autonómica impone la biometría como condición de acceso, el operador debe conciliar esa obligación con el derecho del cliente en materia de protección de datos, un equilibrio que la caída de la guía no resuelve, sino que deja más abierto.

Lo que viene: el 2 de agosto y la Ley de IA europea

Sobre ese escenario se superpone un segundo frente que afecta de lleno a los sistemas ya instalados. El 2 de agosto de 2026 empieza a aplicarse el bloque de la Ley de Inteligencia Artificial de la UE (Reglamento 2024/1689) relativo a los sistemas de alto riesgo, categoría en la que se encuadra la identificación biométrica.

El reglamento ya venía desplegándose por fases: desde el 2 de febrero de 2025 rigen las prohibiciones de prácticas de IA de riesgo inaceptable. A partir de agosto, los sistemas de alto riesgo deberán cumplir requisitos estrictos de gestión de riesgos, gobernanza de datos, documentación, trazabilidad y supervisión humana. Para el control de acceso de un salón que incorpore inteligencia artificial, esto supone una doble carga de cumplimiento simultánea: la del RGPD, por tratar datos de categoría especial, y la de la Ley de IA, por operar un sistema de alto riesgo. Es decir, quien ya invirtió en instalar el sistema puede tener que afrontar una segunda adaptación para cumplir el nuevo estándar europeo.

Cuánto está en juego

Las cifras explican por qué el asunto no es menor para operadores ni reguladores. El incumplimiento del RGPD puede acarrear multas de hasta 20 millones de euros o el 4% de la facturación anual global, la que resulte mayor. La Ley de IA eleva el techo para las prácticas prohibidas hasta 35 millones de euros o el 7% de la facturación anual mundial.

El estado de la cuestión para el sector

El panorama se resume en una tensión que afecta directamente a quien gestiona un salón y a quien lo regula. Por un lado, la caída de la guía de la AEPD reabre el debate y priva a la Agencia de la herramienta con la que había endurecido su posición sobre biometría. Por otro, el calendario europeo avanza en sentido contrario: menos de tres semanas después de conocerse la sentencia, entra en vigor la capa que somete la identificación biométrica a los requisitos más exigentes del nuevo marco de IA.

Para el empresario con el control de acceso ya instalado, la conclusión es que la aparente relajación es un espejismo: la prioridad ya no es instalar, sino asegurar que el sistema en funcionamiento cumple a la vez el RGPD y, desde agosto, la Ley de IA. Para el regulador, el reto es igualmente delicado: sostener la obligatoriedad de un control de acceso que persigue objetivos legítimos —impedir el acceso de menores y de personas autoexcluidas— sin chocar con un marco de protección de datos y de IA que, lejos de aflojar, se refuerza el 2 de agosto.