En febrero de 2026, las cámaras de escaneo de iris de World —el proyecto anteriormente conocido como Worldcoin— han vuelto a instalarse en España. El proyecto, impulsado por Sam Altman, cofundador de OpenAI, regresa con un nuevo establecimiento en Barcelona y una narrativa renovada: ya no ofrece criptomonedas a cambio de datos biométricos, sino que se presenta bajo el concepto de «prueba de humanidad», un mecanismo para verificar que el usuario es una persona real en un entorno digital cada vez más poblado de bots e inteligencias artificiales.

Este retorno no puede analizarse sin tener presente lo ocurrido en marzo de 2024, cuando la Agencia Española de Protección de Datos ordenó, por primera vez en su historia, una medida cautelar de urgencia contra la compañía. La AEPD consideró que existían indicios de graves incumplimientos del Reglamento General de Protección de Datos y que era necesario actuar de forma inmediata para evitar daños potencialmente irreparables. La Audiencia Nacional avaló posteriormente esta decisión. El nuevo escenario plantea una pregunta inevitable: ¿qué ha cambiado realmente y cuáles son los riesgos jurídicos que persisten?

El marco normativo: datos biométricos como categoría especialmente protegida

El artículo 9 del Reglamento (UE) 2016/679 —el RGPD— establece una prohibición general del tratamiento de determinadas categorías de datos personales que merecen una protección reforzada. Entre ellas se encuentran los datos biométricos cuando se utilizan para identificar de manera unívoca a una persona física. El iris pertenece inequívocamente a esta categoría: sus patrones son únicos para cada individuo, más precisos incluso que la huella dactilar, y permanecen estables a lo largo de la vida.

La prohibición del artículo 9.1 admite excepciones tasadas en el apartado segundo; la más relevante para un proyecto como World sería el consentimiento explícito del interesado. Sin embargo, el RGPD exige que este consentimiento sea libre, específico, informado e inequívoco. La AEPD cuestionó en 2024 si el consentimiento obtenido por Worldcoin cumplía estos requisitos, en particular porque la oferta de criptomonedas a cambio del escaneo podía considerarse que viciaba la voluntad del interesado.

La resolución de la autoridad de protección de datos de Baviera (BayLDA), publicada en diciembre de 2024, confirmó estas sospechas. La autoridad alemana —competente por ser Alemania el país donde Tools for Humanity, la empresa de tecnología centrada en identidad digital y blockchain que impulsa el proyecto Worldcoin/World, tiene su establecimiento principal en Europa— declaró que la empresa había infringido varios artículos del RGPD y ordenó la eliminación de todos los códigos de iris almacenados desde el inicio del proyecto. Entre las infracciones constatadas se encontraban el uso de una base jurídica incorrecta para el tratamiento de datos biométricos y la ausencia de medidas adecuadas para impedir el tratamiento de datos de menores de edad.

La singularidad del dato biométrico: cuando la brecha es irreversible

Existe una diferencia cualitativa entre una brecha de seguridad que afecta a contraseñas y otra que compromete datos biométricos. Si alguien obtiene acceso no autorizado a mi contraseña de correo electrónico, puedo cambiarla en cuestión de minutos. El daño, aunque real, es contenible y reversible. Mi iris, en cambio, no admite sustitución. Es el mismo hoy que será dentro de treinta años, y una vez comprometido, queda comprometido de forma permanente.

Esta característica convierte a los datos biométricos en un activo de alto valor para los ciberdelincuentes y en un pasivo de riesgo extremo para quienes los custodian. La brecha de Biostar 2 en 2019 —que expuso más de un millón de huellas dactilares y patrones de reconocimiento facial de empleados de bancos, fuerzas policiales y contratistas de defensa en todo el mundo— ilustra las consecuencias: las víctimas de aquella filtración siguen siendo vulnerables años después, sin posibilidad de «resetear» su identidad biométrica. El sistema indio Aadhaar, que almacena datos biométricos de 1.200 millones de ciudadanos, ha sufrido múltiples violaciones en las que se vendía acceso administrativo por apenas ocho dólares a través de aplicaciones de mensajería.

El propio World reconoce en sus términos y condiciones que «el software utilizado para los Servicios sigue siendo relativamente nuevo y podría presentar errores o vulnerabilidades de seguridad», y que existe un «riesgo de seguridad de la información». La empresa añade que, en caso de producirse un fallo, «es posible que no exista ningún recurso y que no se garantice a los usuarios ninguna solución, reembolso o compensación». Esta cláusula, cuya validez bajo el Derecho europeo de consumo sería cuestionable, revela una asunción de riesgos que el usuario debería ponderar cuidadosamente.

Obligaciones de seguridad y notificación de brechas en el RGPD

El artículo 32 del RGPD impone al responsable del tratamiento la obligación de adoptar medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad proporcional al riesgo. Esta evaluación debe tener en cuenta, entre otros factores, «los riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas». Tratándose de datos biométricos, cuya filtración produce daños irreversibles, el estándar de seguridad exigible es necesariamente más elevado que el exigible para datos personales ordinarios.

Los artículos 33 y 34 regulan las obligaciones de notificación en caso de violación de seguridad. El responsable debe comunicar la brecha a la autoridad de control sin dilación indebida y, a más tardar, 72 horas después de tener constancia de ella, salvo que sea improbable que constituya un riesgo para los derechos y libertades de los afectados. Cuando la brecha entrañe un alto riesgo para estos derechos —como ocurriría con la exposición de datos biométricos—, el responsable debe, además, comunicar la violación directamente a los interesados.

Las sanciones previstas en el artículo 83 del RGPD por incumplimiento de estas obligaciones pueden alcanzar los 20 millones de euros o el 4% del volumen de negocio total anual global del ejercicio anterior, aplicándose la cuantía que resulte mayor. Para una empresa del ecosistema de Sam Altman, vinculada a OpenAI y respaldada por inversores como Andreessen Horowitz, estas cifras podrían representar cantidades astronómicas. La resolución de la BayLDA de diciembre de 2024 ya anticipaba la imposición de multas coercitivas en caso de incumplimiento de las órdenes dictadas, sin perjuicio de las sanciones administrativas que correspondan por las infracciones declaradas.

El nuevo modelo de World: ¿cambio sustancial o maquillaje?

La empresa afirma haber adoptado un sistema de criptografía que cumple con el RGPD y elimina la necesidad de almacenar datos biométricos de forma centralizada. Según fuentes de la compañía, los nuevos sistemas aseguran que los datos personales, incluidos los códigos de iris, ya no se almacenan centralmente y solo residen en los dispositivos de los usuarios. Esta arquitectura descentralizada, si se implementa correctamente, reduciría significativamente el riesgo de brechas masivas como las mencionadas anteriormente.

Sin embargo, persisten interrogantes. El escaneo del iris sigue siendo un tratamiento de datos biométricos que requiere una base jurídica válida conforme al artículo 9 del RGPD. La eliminación del incentivo económico directo —ya no se ofrecen criptomonedas a cambio— podría resolver parcialmente el problema del consentimiento viciado, pero no exime a la empresa de garantizar que la información proporcionada a los usuarios sea completa, clara y comprensible. La AEPD ha indicado que está monitoreando de cerca el regreso de World y que la compañía le ha comunicado su nueva metodología.

Un aspecto que merece atención es la finalidad del tratamiento. World presenta su tecnología como una «prueba de humanidad» necesaria para distinguir entre personas reales e inteligencias artificiales en entornos digitales. Esta finalidad podría considerarse legítima en abstracto, pero el principio de minimización de datos del artículo 5.1.c) del RGPD exige que los datos personales sean «adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados». ¿Es realmente necesario escanear el iris de una persona para verificar que no es un bot? Existen métodos menos invasivos —CAPTCHAs, verificación por SMS, autenticación multifactor— que no implican el tratamiento de categorías especiales de datos.

Riesgos sistémicos: más allá de la brecha individual

La AEPD identificó en 2024 varios riesgos asociados al proyecto que trascienden la mera protección de datos individuales. El primero es el riesgo de suplantación de identidad: si un tercero obtiene acceso al código del iris de una persona, podría utilizarlo para acceder a sistemas que emplean verificación biométrica, desde el desbloqueo de dispositivos hasta la autenticación en servicios financieros. A diferencia de una contraseña comprometida, la víctima no puede simplemente «cambiar» su iris.

El segundo es el riesgo para la intimidad. El iris puede revelar información sensible sobre la salud del individuo: determinadas patologías oculares, la predisposición a enfermedades o incluso el consumo de ciertas sustancias dejan rastros detectables. La finalidad declarada del tratamiento puede ser la verificación de humanidad, pero los datos recopilados podrían potencialmente revelar mucho más.

El tercero, quizás el más preocupante desde la perspectiva de los derechos fundamentales, es el riesgo social. La creación de bases de datos biométricas a escala global plantea interrogantes sobre la vigilancia masiva y el potencial de discriminación. ¿Quién garantiza que estos datos no serán utilizados en el futuro para fines distintos de los declarados? La sede de la Worldcoin Foundation en las Islas Caimán —un territorio conocido por su opacidad regulatoria— no contribuye precisamente a disipar estas inquietudes.

El contexto europeo: hacia una regulación más estricta de la biometría

El regreso de World a España se produce en un momento de intensificación regulatoria en materia de inteligencia artificial y de datos biométricos en la Unión Europea. El Reglamento de Inteligencia Artificial (AI Act), que entró en vigor en 2024 con aplicación progresiva, prohíbe determinados usos de sistemas de identificación biométrica remota en tiempo real en espacios de acceso público, con excepciones limitadas para fines de aplicación de la ley.

Aunque el proyecto World no encaja exactamente en esta prohibición —el escaneo se realiza con el consentimiento del usuario y no constituye vigilancia masiva en el sentido del Reglamento—, el AI Act refleja una tendencia clara del legislador europeo hacia la restricción del uso de tecnologías biométricas. El considerando que sustenta estas prohibiciones invoca explícitamente los riesgos para la dignidad humana y los derechos fundamentales que conlleva la recopilación masiva de datos biométricos.

España, además, fue pionera en actuar contra Worldcoin en el ámbito europeo. Mientras otros países —Portugal, Francia, Alemania, Reino Unido— abrían investigaciones, la AEPD optó por una medida cautelar de urgencia al amparo del artículo 66.1 del RGPD, que permite a una autoridad de control adoptar medidas provisionales con efectos en su territorio cuando considere urgente intervenir para proteger los derechos y libertades de las personas. Esta decisión, ratificada judicialmente, sentó un precedente que otras autoridades europeas han seguido con atención.

Conclusiones: entre la innovación y la prudencia

El debate sobre World no es un debate sobre si la tecnología biométrica tiene usos legítimos —evidentemente los tiene—, sino sobre quién la controla, bajo qué condiciones, para qué usos y con qué garantías. La premisa de una «prueba de humanidad» global puede resultar atractiva en un mundo donde las interacciones digitales se vuelven cada vez más difíciles de autenticar. Pero el medio elegido para lograrla —el escaneo masivo del iris— plantea riesgos que el ordenamiento jurídico europeo ha decidido tomar en serio.

Para cualquier ciudadano que se plantee participar en este proyecto, la pregunta fundamental debería ser: ¿estoy dispuesto a ceder un dato que no puedo cambiar nunca a una empresa cuya sede está en un paraíso fiscal, para obtener un beneficio —la verificación de humanidad— que podría conseguirse por medios menos invasivos? La respuesta, naturalmente, es personal. Pero debería tomarse con pleno conocimiento de los riesgos implicados.

Desde el punto de vista jurídico, el regreso de World a España se produce bajo la vigilancia de una AEPD que ya demostró su disposición a actuar con contundencia. La resolución de la BayLDA de diciembre de 2024 ha establecido un marco de referencia: la empresa debe garantizar un consentimiento verdaderamente explícito, implementar el derecho de supresión efectivo y aplicar medidas de seguridad adecuadas para un tratamiento de tan alto riesgo. El cumplimiento de estos requisitos será, presumiblemente, objeto de escrutinio continuo.

La tecnología biométrica avanza más rápido que nuestra capacidad colectiva para comprender sus implicaciones. El Derecho, inevitablemente reactivo, intenta establecer límites. En ese espacio de tensión entre innovación y protección de derechos fundamentales se juega, en última instancia, el tipo de sociedad digital que queremos construir.

ACTUALIZACIÓN

El día 16 de febrero, la AEPD ha emitido una advertencia a Tools for Humanity, responsable del proyecto World (Worldcoin), ante el anuncio de reinicio de su actividad en España, lo que ha llevado a la empresa a posponer temporalmente dicho relanzamiento mientras revisa su adecuación al RGPD. La advertencia se encuadra en las funciones preventivas de la Agencia cuando aprecia riesgos relevantes, especialmente por el tratamiento de datos biométricos (iris para identificación y rostro para autenticación), y exige que la empresa justifique la necesidad y proporcionalidad del tratamiento mediante una Evaluación de Impacto y adopte medidas que mantengan el riesgo en niveles aceptables.​

Aunque la empresa ha fijado su establecimiento principal en Alemania y la autoridad principal es la BayLDA, la AEPD actúa como autoridad interesada y ha recordado los antecedentes: la medida cautelar de 2024 que ordenó el cese de la recogida de datos en España, confirmada por la Audiencia Nacional, y la resolución posterior de la BayLDA exigiendo la eliminación de códigos de iris, el reconocimiento efectivo del derecho de supresión y garantías adicionales para evitar el tratamiento de datos de menores.