Copyrights. Eleonora,
2026. Todos los derechos reservados.
Un deepfake es un contenido audiovisual —ya sea una imagen, un vídeo o un archivo de audio— generado o manipulado mediante inteligencia artificial (IA) con el fin de simular que una persona ha dicho o hecho algo que nunca ocurrió. La tecnología subyacente, basada en redes generativas antagónicas y modelos de aprendizaje profundo, permite replicar con un realismo asombroso el rostro, la voz o los gestos de cualquier individuo. Aunque existen usos legítimos en sectores como el cine, la educación o la accesibilidad, su aplicación malintencionada ha escalado hasta convertirse en una amenaza tangible para la seguridad jurídica, la reputación y la confianza de las organizaciones.
En el entorno empresarial, los deepfakes ya no son una rareza tecnológica, sino una herramienta de ataque cada vez más frecuente. La suplantación de directivos para autorizar transferencias fraudulentas, la creación de vídeos con declaraciones falsas que dañan la reputación corporativa o la generación de voces sintéticas para engañar a empleados y clientes son solo algunos ejemplos reales que han encendido las alarmas en despachos jurídicos y departamentos de cumplimiento normativo. La Agencia Española de Protección de Datos (AEPD) ha advertido con contundencia que, más allá del impacto mediático, un deepfake es, en la mayoría de los casos, un tratamiento ilícito de datos personales, lo que abre la puerta a responsabilidades administrativas, civiles e incluso penales.
La difusión de un deepfake puede lesionar múltiples derechos fundamentales y generar responsabilidades en diversos planos legales. El ordenamiento español ofrece, al menos en teoría, instrumentos para reaccionar, pero su aplicación práctica se enfrenta a retos inéditos debido a la velocidad de propagación de los contenidos sintéticos y a la complejidad técnica de su detección. Es crucial que las empresas comprendan el abanico de consecuencias legales para adoptar una estrategia de defensa integral.
La Ley Orgánica 1/1982, de 5 de mayo, de protección civil del derecho al honor, a la intimidad personal y familiar y a la propia imagen (LOPCDH) sigue siendo el pilar central para combatir los ataques a la reputación. Su artículo 7.7 considera intromisión ilegítima la imputación de hechos o la manifestación de juicios de valor que lesionen la dignidad de otra persona, menoscabando su fama o atentando contra su propia estimación. Sin embargo, este texto se redactó en una era analógica, y su aplicación a los deepfakes obliga a reinterpretar conceptos como el de “imputación de hechos”, especialmente cuando el contenido manipulado parece real y no es evidente que se trate de una expresión de opinión.
La jurisprudencia del Tribunal Supremo ha delimitado el honor como la buena reputación que la sociedad tiene de una persona, pero también ha subrayado que el derecho no es absoluto y debe ponderarse con la libertad de expresión. En la práctica, los tribunales admiten un alto grado de tolerancia hacia expresiones ofensivas cuando se insertan en contextos de crítica social o política. Esta flexibilidad, pensada para proteger el debate público, puede convertirse en un obstáculo cuando un deepfake difamatorio se escuda en la apariencia de veracidad que le confiere la tecnología. El reciente Anteproyecto de Ley Orgánica de protección civil del derecho al honor, aprobado por el Consejo de Ministros, incorpora expresamente los deepfakes como posible intromisión ilegítima, pero la reforma legislativa por sí sola no garantiza una tutela efectiva si no va acompañada de una respuesta judicial ágil y de indemnizaciones que compensen adecuadamente el daño moral.
Más allá del honor, un deepfake suele implicar un tratamiento ilícito de datos personales. La imagen y la voz de una persona identificada o identificable son datos personales, y su utilización sin consentimiento para generar contenidos sintéticos puede infringir el Reglamento General de Protección de Datos (RGPD). La AEPD ha insistido en que subir una fotografía o un vídeo a una herramienta de IA, aunque sea con fines lúdicos o de prueba, entraña riesgos visibles (daño reputacional, descontextualización) e invisibles (pérdida de control sobre la imagen, retención de copias, generación de metadatos). Las sanciones, que pueden alcanzar los 20 millones de euros o el 4 % del volumen de negocio anual global, sitúan esta cuestión como una prioridad de cumplimiento normativo.
En paralelo, la conducta puede ser constitutiva de delito. La suplantación de identidad para cometer estafas, las amenazas, las coacciones, las injurias y las calumnias son tipos penales aplicables en función del uso concreto del deepfake. La dificultad probatoria y la necesidad de identificar al autor material —a menudo escudado en el anonimato digital— complican la persecución penal, pero no la excluyen. Por ello, cualquier protocolo empresarial de respuesta debe contemplar la recogida meticulosa de evidencias y la posible interposición de acciones legales coordinadas en las vías civil, administrativa y penal.
La AEPD ha convertido la lucha contra los deepfakes en una prioridad institucional en 2026, lanzando iniciativas como ‘Los deepfakes no son una broma’. Su mensaje es claro: toda organización que trate imágenes o voces de personas debe ser consciente de que esos activos son datos personales protegidos por el RGPD. El simple hecho de usar una fotografía de un empleado en una herramienta de IA generativa para crear un avatar comercial puede desencadenar una reclamación si no se cuenta con el consentimiento explícito y una base jurídica adecuada.
Para las empresas, el foco debe estar en la responsabilidad proactiva. No basta con reaccionar cuando el deepfake ya se ha difundido; es necesario revisar qué imágenes de personas se tienen publicadas en webs corporativas, redes sociales o materiales de marketing, y asegurarse de que el consentimiento está actualizado y cubre todos los usos posibles. Asimismo, conviene incorporar en los contratos con proveedores de IA cláusulas que regulen el tratamiento de datos personales y prohíban la reutilización de esos datos para entrenar modelos sin autorización. La formación de los equipos es igualmente crítica: un empleado que sube una foto de un compañero a una aplicación de moda puede estar abriendo una brecha de cumplimiento sin saberlo.
La Unión Europea ha desplegado un marco normativo de dos capas para abordar los contenidos sintéticos. En primer lugar, el Reglamento (UE) 2024/1689, conocido como Reglamento de Inteligencia Artificial (RIA), en vigor desde el 1 de agosto de 2024, impone obligaciones de transparencia a los sistemas de IA que generen o manipulen contenidos audiovisuales. Su artículo 50 exige que dichos contenidos sean identificables como artificiales, una medida útil para combatir el engaño, pero que no repara por sí sola el daño causado a la persona afectada. La transparencia reduce el riesgo de desinformación, pero no elimina la lesividad del contenido difamatorio.
En segundo lugar, el Reglamento de Servicios Digitales (DSA) actúa sobre la difusión, regulando la responsabilidad de las plataformas y redes sociales. Manteniendo el principio de exención de responsabilidad editorial mientras el prestador no tenga conocimiento efectivo del contenido ilícito, el DSA obliga a retirar o bloquear los contenidos manifiestamente ilícitos una vez notificados. Sin embargo, en materia de difamación, la apreciación de esa ilicitud no es sencilla: exige ponderar el contexto, la veracidad y la libertad de expresión, tarea que las plataformas difícilmente pueden realizar sin una orden judicial. Esta limitación convierte a menudo la vía judicial en el único camino realista, pese a sus tiempos a menudo incompatibles con la viralidad digital.
Además, cuando el contenido es generado directamente por modelos o sistemas de IA —y no por usuarios—, resulta cuestionable que los proveedores de esos sistemas puedan acogerse al régimen de exención de responsabilidad del DSA. Esta distinción entre contenidos creados por usuarios y contenidos generados por IA es una de las fronteras más delicadas del nuevo marco europeo, y su interpretación final marcará el alcance de la responsabilidad de los desarrolladores tecnológicos.
| Norma | Ámbito de actuación | Obligación principal | Limitación práctica |
|---|---|---|---|
| RGPD | Protección de datos personales | Consentimiento para tratar imagen/voz; derechos de supresión | Dificultad para identificar al responsable en el anonimato; dependencia de la cooperación de plataformas |
| LOPCDH | Derecho al honor, intimidad e imagen | Indemnización por intromisión ilegítima | Ponderación con la libertad de expresión; lentitud judicial |
| RIA | Transparencia de sistemas de IA | Identificar contenidos generados artificialmente | No impide la difusión del contenido lesivo; no repara el daño |
| DSA | Responsabilidad de plataformas | Retirar contenidos manifiestamente ilícitos tras notificación | Escasa efectividad en supuestos de difamación no evidente; no obliga a monitorizar ex ante |
Ante la amenaza de los deepfakes, las organizaciones necesitan un enfoque preventivo y reactivo que combine medidas jurídicas, tecnológicas y organizativas. No se trata solo de evitar sanciones, sino de preservar la confianza de clientes, empleados y accionistas, un activo que puede evaporarse en minutos si un contenido falso se viraliza sin una respuesta adecuada.
Un protocolo eficaz debe partir de una auditoría de activos digitales: identificar qué imágenes, vídeos y archivos de voz de personas vinculadas a la empresa están publicados o almacenados, y verificar que existe una base legal para su uso. A continuación, conviene establecer un canal interno de denuncia y un equipo multidisciplinar (legal, comunicación, tecnología, RR. HH.) que actúe de forma coordinada ante cualquier incidente. La rapidez es clave: solicitar la retirada del contenido en las plataformas afectadas y recopilar pruebas (capturas, enlaces, metadatos) son los primeros pasos irrenunciables.
Desde el punto de vista contractual, las empresas deben revisar sus acuerdos con proveedores de servicios de IA, incluyendo cláusulas que limiten el tratamiento de datos personales y prohíban la generación de modelos sintéticos a partir de imágenes o voces sin autorización. Igualmente, es recomendable actualizar las políticas internas de uso de herramientas de IA generativa por parte de los empleados, estableciendo prohibiciones claras y consecuencias disciplinarias. La AEPD ha subrayado que incluso usos aparentemente lúdicos o de prueba pueden desencadenar riesgos invisibles de gran calado, por lo que la concienciación debe permear toda la organización.
Ningún protocolo será efectivo si los empleados desconocen los riesgos. La formación debe orientarse a que cada persona entienda que una fotografía o una grabación de voz no son simples archivos, sino datos personales protegidos, y que subirlos a una aplicación de inteligencia artificial sin las debidas precauciones puede generar responsabilidades para sí mismos y para la empresa. Además, es crucial entrenar a los equipos para que sepan reconocer posibles intentos de suplantación mediante deepfakes, especialmente en áreas sensibles como finanzas o comunicación corporativa.
Los altos directivos merecen una atención particular: sus imágenes y voces son objetivos de alto valor para los atacantes. Establecer sistemas de verificación adicionales para órdenes de transferencia o declaraciones públicas —como la confirmación presencial o mediante canales alternativos— puede frustrar muchos intentos de fraude. En un entorno donde la tecnología difumina los límites entre lo auténtico y lo manipulado, la duda metódica y la verificación se convierten en herramientas de defensa tan importantes como cualquier software.
Los deepfakes son una amenaza real para las empresas de cualquier tamaño. No es necesario entender cómo funciona la inteligencia artificial para comprender su impacto: basta con imaginar que alguien pudiera crear un vídeo falso del director general anunciando despidos o admitiendo irregularidades, y que ese vídeo corriera como la pólvora por las redes sociales antes de que nadie pudiera desmentirlo. La buena noticia es que existen leyes como la del honor y la de protección de datos que amparan a las víctimas, y que la Agencia Española de Protección de Datos está vigilante. Pero la clave está en la prevención: revisar qué fotos de empleados se publican, informar a la plantilla de los riesgos y tener claro a quién acudir cuando algo así ocurra.
Si tu empresa aún no ha pensado en este problema, el momento de actuar es ahora. Un protocolo sencillo, una formación básica y el apoyo de un asesor especializado en protección de datos pueden marcar la diferencia entre un incidente controlado y una crisis jurídica y reputacional de graves consecuencias.
La interacción entre la LOPCDH, el RGPD, el RIA y el DSA configura un ecosistema regulatorio complejo que ofrece múltiples vías de protección, pero que también revela lagunas funcionales significativas. La tutela civil del honor, anclada en criterios jurisprudenciales que favorecen la libertad de expresión, encuentra serias dificultades para ofrecer una respuesta ágil y resarcitoria ante deepfakes que se difunden de forma instantánea y cuyo autor permanece en el anonimato. La reforma legislativa en curso puede mejorar la seguridad jurídica, pero no resolverá el problema de fondo sin una modernización de los mecanismos procesales que permita una ponderación judicial rápida y eficaz, acompañada de indemnizaciones que actúen como verdadero desincentivo.
Por otra parte, la aplicación combinada del RIA y del DSA traslada parte de la responsabilidad a las plataformas y a los proveedores de sistemas de IA, aunque con importantes matices. Mientras los contenidos generados por usuarios sigan beneficiándose de la exención de responsabilidad hasta el conocimiento efectivo, y ese conocimiento efectivo sea difícil de alcanzar en supuestos de difamación no evidente, el espacio para la impunidad seguirá siendo amplio. El verdadero avance llegará cuando los desarrolladores de modelos fundacionales asuman obligaciones claras de trazabilidad y las autoridades de control, como la AEPD, ejerzan su potestad sancionadora con contundencia. En este escenario, las empresas deben adoptar una postura de cumplimiento activo que integre evaluaciones de impacto en protección de datos específicas para el uso de IA, cláusulas contractuales robustas y una cultura interna de responsabilidad digital.
Protege tus intereses con nuestro asesoramiento experto. Abogada Eleonora, especializada en servicios jurídicos personalizados y de calidad.
