1. Quedan prohibidas las siguientes prácticas de IA:
(a) la puesta en el mercado, la puesta en servicio o el uso de un sistema de IA que utilice técnicas subliminales que escapen a la conciencia de una persona o técnicas deliberadamente manipuladoras o engañosas, con el objetivo o el efecto de distorsionar materialmente el comportamiento de una persona o de un grupo de personas, mermando de forma apreciable su capacidad de tomar una decisión con conocimiento de causa, haciéndoles tomar una decisión que de otro modo no habrían tomado, de forma que causen o sea razonablemente probable que causen a esa persona, a otra persona o a un grupo de personas un perjuicio importante;
(b) la comercialización, la puesta en servicio o el uso de un sistema de IA que explote cualquiera de las vulnerabilidades de una persona física o de un grupo específico de personas debido a su edad, discapacidad o una situación social o económica específica, con el objetivo, o el efecto, de distorsionar materialmente el comportamiento de esa persona o de una persona perteneciente a ese grupo de manera que cause o sea razonablemente probable que cause a esa persona o a otra un daño significativo;
(c) la puesta en el mercado, la puesta en servicio o la utilización de sistemas de IA para la evaluación o clasificación de personas físicas o grupos de personas durante un determinado período de tiempo en función de su comportamiento social o de sus características personales o de personalidad conocidas, deducidas o previstas, con la puntuación social que conduzca a una de las siguientes situaciones o a ambas:
(i) trato perjudicial o desfavorable de determinadas personas físicas o grupos de personas en contextos sociales que no guardan relación con los contextos en los que se generaron o recopilaron originalmente los datos;
(ii) trato perjudicial o desfavorable a determinadas personas físicas o grupos de personas, injustificado o desproporcionado en relación con su comportamiento social o su gravedad;
(d) la comercialización, la puesta en servicio con este fin específico o la utilización de un sistema de IA para realizar evaluaciones de riesgo de personas físicas con el fin de evaluar o predecir el riesgo de que una persona física cometa un delito, basándose únicamente en la elaboración de perfiles de una persona física o en la evaluación de sus rasgos y características de personalidad; esta prohibición no se aplicará a los sistemas de IA utilizados para apoyar la evaluación humana de la implicación de una persona en una actividad delictiva, que ya se basa en hechos objetivos y verificables directamente relacionados con una actividad delictiva;
(e) la puesta en el mercado, la puesta en servicio para este fin específico o el uso de sistemas de IA que creen o amplíen bases de datos de reconocimiento facial mediante el raspado no selectivo de imágenes faciales de Internet o de grabaciones de CCTV;
(f) la comercialización, la puesta en servicio con este fin específico o el uso de sistemas de IA para inferir emociones de una persona física en los ámbitos del lugar de trabajo y de las instituciones educativas, excepto cuando el uso del sistema de IA esté destinado a ser puesto en marcha o en el mercado por razones médicas o de seguridad;
(g) la comercialización, la puesta en servicio con este fin específico o la utilización de sistemas de categorización biométrica que categoricen individualmente a personas físicas basándose en sus datos biométricos para deducir o inferir su raza, opiniones políticas, afiliación sindical, creencias religiosas o filosóficas, vida sexual u orientación sexual; esta prohibición no cubre ningún etiquetado o filtrado de conjuntos de datos biométricos adquiridos legalmente, como imágenes, basándose en datos biométricos o categorización de datos biométricos en el ámbito de la aplicación de la ley;
(h) la utilización de sistemas de identificación biométrica a distancia "en tiempo real" en espacios de acceso público con fines policiales, a menos y en la medida en que dicha utilización sea estrictamente necesaria para uno de los objetivos siguientes
(i) la búsqueda específica de víctimas concretas de secuestros, trata de seres humanos o explotación sexual de seres humanos, así como la búsqueda de personas desaparecidas;
(ii) la prevención de una amenaza específica, sustancial e inminente para la vida o la seguridad física de las personas físicas o una amenaza real y actual o real y previsible de atentado terrorista;
(iii) la localización o identificación de una persona sospechosa de haber cometido una infracción penal, con el fin de llevar a cabo una investigación o un enjuiciamiento penales o de ejecutar una sanción penal por infracciones contempladas en el anexo II y castigadas en el Estado miembro de que se trate con una pena privativa de libertad o una medida de seguridad privativa de libertad de un máximo de al menos cuatro años. La letra h) del párrafo primero se entiende sin perjuicio de lo dispuesto en el artículo 9 del Reglamento (UE) 2016/679 para el tratamiento de datos biométricos con fines distintos de la aplicación de la ley.
2. La utilización de sistemas de identificación biométrica a distancia "en tiempo real" en espacios de acceso público con fines policiales para cualquiera de los objetivos contemplados en el apartado 1, párrafo primero, letra h), se desplegará para los fines establecidos en dicha letra únicamente para confirmar la identidad de la persona específicamente destinataria, y tendrá en cuenta los siguientes elementos:
(a) la naturaleza de la situación que da lugar a la posible utilización, en particular la gravedad, la probabilidad y la magnitud del perjuicio que se causaría si no se utilizara el sistema;
(b) las consecuencias de la utilización del sistema para los derechos y libertades de todas las personas afectadas, en particular la gravedad, probabilidad y magnitud de dichas consecuencias. Además, el uso de sistemas de identificación biométrica a distancia "en tiempo real" en espacios accesibles al público con fines policiales para cualquiera de los objetivos a que se refiere el apartado 1, párrafo primero, letra h), del presente artículo se ajustará a las salvaguardias y condiciones necesarias y proporcionadas en relación con el uso de conformidad con la legislación nacional que autorice su uso, en particular en lo que se refiere a las limitaciones temporales, geográficas y personales. El uso del sistema de identificación biométrica a distancia "en tiempo real" en espacios accesibles al público sólo se autorizará si la autoridad policial ha realizado una evaluación de impacto sobre los derechos fundamentales según lo dispuesto en el artículo 27 y ha registrado el sistema en la base de datos de la UE de conformidad con el artículo 49. No obstante, en casos de urgencia debidamente justificados, podrá iniciarse la utilización de tales sistemas sin el registro en la base de datos de la UE, siempre que dicho registro se complete sin demora indebida.
3. A efectos del apartado 1, párrafo primero, letra h), y del apartado 2, toda utilización con fines policiales de un sistema de identificación biométrica a distancia "en tiempo real" en espacios accesibles al público estará sujeta a una autorización previa concedida por una autoridad judicial o una autoridad administrativa independiente cuya decisión sea vinculante del Estado miembro en el que vaya a tener lugar la utilización, expedida previa solicitud motivada y de conformidad con las normas detalladas de Derecho nacional a que se refiere el apartado 5. No obstante, en una situación de urgencia debidamente justificada, podrá iniciarse la utilización de dicho sistema sin autorización, siempre que ésta se solicite sin demora indebida, a más tardar en un plazo de 24 horas. Si se deniega dicha autorización, se interrumpirá el uso con efecto inmediato y se descartarán y suprimirán inmediatamente todos los datos, así como los resultados y productos de dicho uso. La autoridad judicial competente o una autoridad administrativa independiente cuya decisión sea vinculante sólo concederá la autorización cuando esté convencida, sobre la base de pruebas objetivas o indicios claros que se le presenten, de que el uso del sistema de identificación biométrica a distancia "en tiempo real" de que se trate es necesario y proporcionado para alcanzar uno de los objetivos especificados en el apartado 1, párrafo primero, letra h), tal como se identifica en la solicitud y, en particular, se limita a lo estrictamente necesario en cuanto al período de tiempo y al ámbito geográfico y personal. Al pronunciarse sobre la solicitud, dicha autoridad tendrá en cuenta los elementos mencionados en el apartado 2. No podrá tomarse ninguna decisión que produzca un efecto jurídico adverso sobre una persona basándose únicamente en los resultados del sistema de identificación biométrica a distancia "en tiempo real".
4. Sin perjuicio de lo dispuesto en el apartado 3, toda utilización de un sistema de identificación biométrica a distancia "en tiempo real" en espacios accesibles al público con fines policiales se notificará a la autoridad de vigilancia del mercado pertinente y a la autoridad nacional de protección de datos de conformidad con las normas nacionales a que se refiere el apartado 5. La notificación contendrá, como mínimo, la información especificada en el apartado 6 y no incluirá datos operativos sensibles.
5. Un Estado miembro podrá decidir prever la posibilidad de autorizar total o parcialmente el uso de sistemas de identificación biométrica a distancia "en tiempo real" en espacios accesibles al público a efectos de aplicación de la ley dentro de los límites y en las condiciones enumerados en el apartado 1, párrafo primero, letra h), y en los apartados 2 y 3. Los Estados miembros de que se trate establecerán en su legislación nacional las normas detalladas necesarias para la solicitud, la expedición y el ejercicio de las autorizaciones a que se refiere el apartado 3, así como para su supervisión y la presentación de informes al respecto. Dichas normas especificarán asimismo respecto de cuáles de los objetivos enumerados en la letra h) del párrafo primero del apartado 1, incluidos los delitos a que se refiere el inciso iii) de la letra h) del mismo apartado, podrá autorizarse a las autoridades competentes a utilizar dichos sistemas a efectos de la aplicación de la ley. Los Estados miembros notificarán dichas normas a la Comisión a más tardar 30 días después de su adopción. Los Estados miembros podrán introducir, de conformidad con el Derecho de la Unión, leyes más restrictivas sobre el uso de sistemas de identificación biométrica a distancia.
6. Las autoridades nacionales de vigilancia del mercado y las autoridades nacionales de protección de datos de los Estados miembros a las que se haya notificado el uso de sistemas de identificación biométrica a distancia "en tiempo real" en espacios accesibles al público con fines policiales de conformidad con el apartado 4 presentarán a la Comisión informes anuales sobre dicho uso. A tal fin, la Comisión facilitará a los Estados miembros y a las autoridades nacionales de vigilancia del mercado y de protección de datos un modelo que incluya información sobre el número de decisiones adoptadas por las autoridades judiciales competentes o por una autoridad administrativa independiente cuya decisión sea vinculante para las solicitudes de autorización de conformidad con el apartado 3 y su resultado.
7. La Comisión publicará informes anuales sobre el uso de sistemas de identificación biométrica a distancia en tiempo real en espacios de acceso público con fines policiales, basados en datos agregados en los Estados miembros sobre la base de los informes anuales a que se refiere el apartado 6. Estos informes anuales no incluirán datos operativos sensibles de las actividades policiales relacionadas. Dichos informes anuales no incluirán datos operativos sensibles de las actividades policiales relacionadas.
8. El presente artículo no afectará a las prohibiciones aplicables cuando una práctica de IA infrinja otra legislación de la Unión.