La Policía Metropolitana de Londres (‘la Met’) ha recibido una advertencia oficial por parte de la Oficina del Comisionado de Información del Reino Unido (ICO) después de que miembros de su personal compartieran información sensible en una plataforma de terceros no autorizada.
Entre marzo de 2023 y septiembre de 2024, oficiales y empleados usaron la plataforma Auror, dedicada al intercambio de inteligencia, como parte de una operación para combatir el hurto minorista, pese a que esta herramienta no contaba con la aprobación formal para su uso dentro del cuerpo policial.
Auror es un servicio en la nube propiedad de la empresa neozelandesa Auror Limited, gestionada a través de su filial europea, Auror Europe Limited. La plataforma es accesible mediante sitio web y aplicación móvil, y está diseñada principalmente para que minoristas registren, administren y analicen incidentes relacionados con delitos en el comercio al por menor. 
Entre sus funcionalidades se encuentran tecnologías avanzadas como reconocimiento facial, reconocimiento automático de matrículas (ANPR) e inteligencia artificial para procesar esta información. Los comerciantes pueden subir informes de incidentes, imágenes y grabaciones de cámaras de vigilancia vinculadas a sospechas de hurto u otros delitos, que luego pueden compartir gratuitamente con las fuerzas del orden.
Aunque a primera vista esta colaboración tecnológica podría considerarse beneficiosa para la detección y persecución de delitos, la ICO destacó que dicha plataforma no fue sometida a los protocolos adecuados de evaluación ni a controles internos de protección de datos antes de su implantación.
«Las fuerzas de seguridad manejan grandes volúmenes de información personal altamente sensible y deben contar con salvaguardas robustas para protegerla», afirmó David Doodson, jefe de investigaciones en la ICO. «Las nuevas tecnologías pueden aportar mejoras operativas importantes, pero las organizaciones no pueden permitir que la innovación supere sus responsabilidades en materia de protección de datos. Antes de implantar sistemas o plataformas nuevas, han de valorar correctamente sus riesgos, establecer medidas adecuadas y asegurar un control efectivo.»
Concretamente, el regulador señaló que la Policía Metropolitana procesó datos personales sin el consentimiento de los afectados y en situaciones donde el intercambio no era estrictamente necesario para fines policiales. Aproximadamente, se crearon 500 cuentas de usuario en Auror, de las que 375 fueron activamente empleadas para actividades policiales.
Asimismo, entre enero y septiembre de 2024, se subieron a la plataforma datos personales relacionados con 179 personas, de las cuales tres eran menores de 18 años. La información facilitada comprendía nombres, fechas de nacimiento y, en algunos casos limitados, domicilios particulares.
Además, el cuerpo policial no implementó las medidas técnicas y organizativas adecuadas para garantizar la seguridad de esta información ni cumplió con los procesos de evaluación y aprobación de tecnología de terceros establecidos.
La ICO también evidenció que no se realizó un análisis de impacto en la protección de datos (DPIA) y que la Policía Metropolitana continúa sin asegurar que solo se utilicen tecnologías externas autorizadas para procesar datos personales.
Frente a esta situación, el organismo regulador ha instado a la Met a reforzar sus procedimientos para identificar, evaluar y aprobar cualquier servicio externo empleado en el tratamiento de datos personales. Además, exige revisar sus sistemas de control, mejorar la gobernanza, aumentar la concienciación entre sus empleados y realizar pruebas periódicas para comprobar la efectividad de las medidas implementadas.
Controlando la expansión de la inteligencia artificial no autorizada
El problema del shadow IT, y en particular de la inteligencia artificial no regulada, está creciendo rápidamente. Una encuesta de SailPoint realizada a comienzos de este año reveló que dos tercios de las organizaciones no saben qué tipo de datos están compartiendo sus empleados con plataformas de IA y modelos de lenguaje avanzado. Además, un 35% del personal utiliza herramientas externas para tratar datos, en lugar de las aplicaciones internas aprobadas.
David Doodson subrayó que «esta acción debería servir de advertencia para todo el sector policial y más allá: si utilizan nuevas tecnologías para manejar información personal, deben hacerlo de forma legal, transparente y con la gobernanza adecuada desde el principio.»
El responsable de la ICO añadió: «Cuando las organizaciones no protegen debidamente los datos de las personas, actuaremos en consecuencia. Nuestra misión no es solo responsabilizar a las entidades, sino impulsar mejoras y promover los estándares que la sociedad tiene derecho a exigir.»
