Cómo anonimizar vídeo: difuminar caras y pitar el audio

El vídeo es el formato más exigente a la hora de anonimizar. Un solo clip combina caras en movimiento, matrículas y pantallas que entran y salen del encuadre, más una pista de audio llena de nombres y números hablados. Si pierdes una cara durante tres fotogramas has filtrado la identidad de una persona; si te pasas con el desenfoque, las imágenes se vuelven inútiles para revisión, entrenamiento o como prueba.

Esta guía explica cómo anonimizar vídeo correctamente: cómo difuminar caras de modo que permanezcan cubiertas de forma estable en cada fotograma, por qué la detección por fotograma combinada con seguimiento supera al desenfoque ingenuo, cómo tratar la pista de audio y cómo obtener un resultado irreversible, auditable y conforme a la normativa.

En resumen

• Anonimizar vídeo significa destruir los píxeles identificativos (caras, matrículas, pantallas) y eliminar los datos personales hablados del audio — no ocultarlos tras una capa que se puede retirar.
• Un desenfoque estable requiere detección por fotograma más seguimiento geométrico, para que el desenfoque permanezca fijo en una cara aunque el detector falle en algún fotograma.
• La pista de audio necesita el mismo tratamiento que una grabación independiente: localizar los datos personales hablados y luego pitarlos o silenciarlos.
• Bien hecho, el resultado es irreversible: los píxeles y muestras originales se recodifican, no se enmascaran.
• Puedes anonimizar un fichero de vídeo ahora mismo sin cuenta — súbelo, elige qué difuminar y qué pitar, y descarga el resultado.

Qué significa de verdad "anonimizar vídeo"

Anonimizar no es poner una barra negra sobre una cara en una miniatura. En vídeo, anonimizar significa encontrar cada elemento identificativo en cada fotograma y en el audio, y luego destruirlo en el propio fichero para que no pueda recuperarse.

Dentro de esa frase se esconden dos tareas distintas:

1. Localizar el contenido sensible — saber dónde se encuentra una cara, matrícula o pantalla en cada fotograma, y cuándo se dice un nombre o número.
2. Eliminarlo — recodificar exactamente esas regiones de píxeles en un desenfoque y reemplazar exactamente esos rangos de audio por un pitido o silencio.

Confundir ambos pasos es el error más habitual. La parte de "localizar" se beneficia enormemente de la IA (detección de caras, detección de objetos, voz a texto). La parte de "eliminar" nunca debe dejarse a un modelo generativo — debe ser código determinista que opere sobre coordenadas y marcas de tiempo precisas, porque eso es lo que hace el resultado reproducible, testeable y fiable.

Por qué el desenfoque ingenuo no funciona

El enfoque intuitivo es: ejecutar un detector de caras en cada fotograma, difuminar lo que encuentre y pasar al siguiente. Parece bien en una imagen fija y se desmorona con el movimiento.

Los detectores son probabilísticos. En cualquier fotograma dado puede perderse una cara porque el sujeto giró la cabeza, pasó detrás de una columna, fue captado con desenfoque de movimiento o simplemente cayó por debajo del umbral de confianza del modelo para ese fotograma concreto. El resultado es el fallo que todo el mundo ha visto: un desenfoque que parpadea — cubre una cara durante veinte fotogramas, desaparece tres, luego vuelve. Esos tres fotogramas expuestos son una filtración de identidad completa y, a 30 fotogramas por segundo, son invisibles para un revisor descuidado pero triviales de extraer.

La detección por fotograma responde a "¿hay una cara aquí, ahora?" No responde a "esta es la misma cara que estaba aquí hace un momento, así que mantén la cobertura." Esa segunda pregunta es lo que resuelve el seguimiento.

Detección por fotograma más seguimiento geométrico

El enfoque robusto combina dos técnicas:

La detección encuentra caras

Un detector se ejecuta sobre los fotogramas y devuelve cuadros delimitadores para cada cara de la que tiene confianza. Este es el paso de "localización" de la IA — y puede ser imperfecto, porque el seguimiento absorbe sus lagunas.

El seguimiento mantiene el desenfoque fijo

El seguimiento asocia una detección en un fotograma con el mismo sujeto en el siguiente, construyendo una trayectoria para cada cara. El seguimiento geométrico modela cómo se mueve un cuadro delimitador — posición y velocidad — de modo que cuando el detector pierde un fotograma, el rastreador interpola dónde debería estar la cara y mantiene el desenfoque en su lugar. Los componentes habituales incluyen:

• Asociación por IoU / solapamiento — asociar un cuadro en el fotograma N+1 con el que más se solapa en el fotograma N.
• Predicción de movimiento tipo Kalman — estimar la siguiente posición a partir de la velocidad reciente, cubriendo lagunas de detección cortas.
• Suavizado de trayectoria — promediar las posiciones del cuadro en una ventana pequeña para que el desenfoque se deslice en lugar de vibrar.

El resultado: el desenfoque sigue la cara a través de giros de cabeza, oclusiones breves y desenfoque de movimiento, sin fotogramas expuestos que parpadeen.

Enfoque	Estabilidad	Riesgo de filtración	Ideal para
Desenfoque ingenuo por fotograma	Parpadea; lagunas en detecciones fallidas	Alto — fotogramas expuestos	Solo demostraciones rápidas
Detección + seguimiento geométrico	Desenfoque suave y fijo	Bajo	Anonimización en producción
Enmascaramiento manual fotograma a fotograma	Perfecto si se hace exhaustivamente	Bajo, pero con error humano	Clips cortos de alto riesgo

Para cualquier grabación de más de unos segundos, detección más seguimiento es el único enfoque que escala sin filtrar identidades.

Elegir la técnica de ocultación: desenfoque o pixelado

Una vez localizada y rastreada una región, se destruye. Dos operaciones deterministas dominan:

• Desenfoque gaussiano — suaviza la región hasta convertirla en una mancha irreconocible. Visualmente suave, difícil de revertir cuando el núcleo es suficientemente intenso.
• Pixelado (mosaico) — promedia la región en bloques grandes. Visualmente indica que hubo redacción, lo que es útil como señal de auditoría visible.

Ambos son irreversibles cuando se aplican con suficiente intensidad y se recodifican en los píxeles. Un desenfoque débil sobre una cara en alta resolución a veces puede recuperarse parcialmente, así que la intensidad importa: el objetivo es destruir el detalle de alta frecuencia que hace identificable una cara.

No olvides la pista de audio

Un vídeo son dos medios sincronizados. Difuminar las caras dejando el audio intacto es una anonimización incompleta — un clip donde alguien dice "este es Juan García, cuenta ES91 2100 0418 4502 0005 1332" filtra la identidad aunque todas las caras estén cubiertas.

Trata el audio exactamente como tratarías una grabación independiente:

1. Localiza los datos personales hablados con una transcripción con marcas de tiempo — voz a texto con marcas de tiempo por palabra, luego reconocimiento de entidades para nombres, más expresiones regulares con validación por checksum para identificadores estructurados como números de tarjeta e IBANs.
2. Elimínalos de forma determinista sobre la onda — reemplaza cada rango temporal sensible por un pitido (audible, deja una señal de auditoría) o silencio (menos intrusivo).

La misma separación de responsabilidades aplica: el modelo localiza, el código determinista elimina. Para el tratamiento completo del lado del audio, consulta cómo anonimizar grabaciones de audio y, para telefonía específicamente, redactar PII en grabaciones de llamadas.

Por qué la IA debe localizar pero no eliminar

Es tentador entregar el vídeo completo a un modelo y pedirle que "devuelva la versión anonimizada". No lo hagas. La edición generativa es no determinista — ejecútala dos veces y puedes obtener dos resultados distintos, sin garantía de que cada cara en cada fotograma y cada identificador hablado haya sido eliminado.

El patrón robusto separa responsabilidades en todo el pipeline:

• La IA localiza — detección de caras/objetos por fotograma, transcripción más detección de entidades en el audio. Tareas en las que los modelos son realmente buenos.
• El código determinista elimina — coordenadas → desenfoque, marcas de tiempo → pitido/silencio. Tareas que deben ser exactas, testeables y repetibles.

Así es exactamente como Medianonymizer aborda cada tipo de medio: el modelo solo señala el dato sensible; el código simple se encarga de la destrucción, del mismo modo cada vez, con un registro de lo que se cambió.

¿El vídeo anonimizado es realmente irreversible?

Sí — si recodificas los píxeles redactados y las muestras de audio en lugar de superponer una máscara que se puede retirar. Un desenfoque o pixelado genuino destruye el detalle de alta frecuencia en esas regiones; un pitido o silencio destruye las muestras originales en esos rangos. No hay capa oculta, no hay clave, no hay pista separada que retirar.

Esta es la diferencia entre anonimización y seudonimización. La seudonimización cambia los identificadores por tokens reversibles que pueden restaurarse con una clave. La anonimización elimina el dato para siempre — que es lo que saca las imágenes del ámbito de normativas como el RGPD. Si necesitas la distinción en detalle, consulta anonimización frente a seudonimización.

Dos advertencias que rompen silenciosamente la irreversibilidad:

• Máscaras superpuestas — una caja negra o desenfoque dibujado como capa independiente en algunos formatos puede eliminarse. Solo cuenta la recodificación integrada en el fichero.
• Metadatos — los contenedores de vídeo llevan coordenadas GPS, identificadores de dispositivo y marcas de tiempo. Elimínalos, o anonimizas la imagen y filtras la ubicación.

Casos de uso habituales

• Imágenes de videovigilancia — difuminar a los viandantes antes de compartir clips para investigaciones o seguros. (Ver anonimizar imágenes de videovigilancia.)
• Cámaras de salpicadero y bodycam — cubrir caras y matrículas antes de la divulgación o publicación.
• Vídeo de entrenamiento e investigación — proteger la identidad de los participantes manteniendo el comportamiento analizable.
• Medios y marketing — limpiar imágenes de viandantes incidentales para su publicación.
• Archivos de cumplimiento — conservar vídeo con los datos personales eliminados para satisfacer las reglas de minimización.

Una lista de comprobación práctica

Antes de considerar anonimizado un vídeo, confirma:

• Cada cara (y matrícula/pantalla) está difuminada en cada fotograma, incluidos giros de cabeza y oclusiones.
• El desenfoque se guía por detección más seguimiento, sin fotogramas expuestos que parpadeen.
• La ocultación es suficientemente intensa para destruir el detalle — verificada mediante recodificación, no una superposición.
• La pista de audio tiene los datos personales hablados pitados o silenciados.
• Los metadatos del contenedor (GPS, identificadores de dispositivo, marcas de tiempo) se han eliminado.
• El resultado se revisó — detección automática más una comprobación humana, idealmente analizando fotograma a fotograma los momentos más difíciles.

Anonimiza tu vídeo ahora

No necesitas construir este pipeline por tu cuenta. Sube un vídeo, dile al asistente qué difuminar y qué pitar, y descarga una copia anonimizada donde cada cara queda rastreada y cubierta en cada fotograma y cada momento sensible del audio se elimina de forma irreversible.

Anonimizar un fichero de vídeo →