Deepfakes como prueba judicial: falsedad material e ilicitud constitucional

Introducción

La inteligencia artificial genera contenido audiovisual indistinguible de una grabación auténtica. Eso ya no es ciencia ficción. Los deepfakes ---contenidos generados o manipulados por IA que se asemejan a personas, objetos o sucesos reales y pueden inducir a error--- plantean un desafío sin precedentes para el derecho probatorio. Su posible aportación como prueba en procesos judiciales exige una respuesta jurídica precisa.

La doctrina procesal española ha comenzado a analizar el recorrido de estas falsificaciones hiperrealistas y los métodos técnicos para detectarlas. Una cuestión central permanece abierta: ¿la prueba deepfake es no solo falsa en su contenido, sino también ilícita en la forma de obtención?

Este artículo examina el fenómeno tecnológico y su impacto en el proceso. Analiza la posible vulneración del derecho a la protección de datos (artículo 18.4 CE) en la generación de estos contenidos. Estudia cómo esa vulneración se proyecta sobre el régimen de prueba ilícita del artículo 11.1 LOPJ y la doctrina del Tribunal Constitucional en el caso Falciani (STC 97/2019). Por último, aborda los desafíos prácticos de la autenticación, el «dividendo del mentiroso» y las propuestas de reforma en el ámbito nacional e internacional.

1. El deepfake como fenómeno tecnológico y su impacto en el proceso judicial

1.1. Definición y características de los contenidos sintéticos

Deepfake ---contracción de deep learning y fake--- designa contenido audiovisual generado o manipulado por inteligencia artificial. A simple vista o al oído, resulta indistinguible de una grabación auténtica. El Reglamento (UE) 2024/1689 (Reglamento de Inteligencia Artificial), en su artículo 3.60, lo define como «contenido de imagen, audio o vídeo generado o manipulado por inteligencia artificial que se asemeja a personas, objetos, lugares, entidades o sucesos existentes y que podría inducir a una persona a pensar erróneamente que es auténtico o verídico». (1)

La definición destaca dos rasgos. Primero, la generación o manipulación artificial mediante sistemas de IA ---no meras ediciones tradicionales---. Segundo, la apariencia de autenticidad que confunde al observador. La doctrina subraya que los deepfakes no son montajes simples, sino ultrasuplantaciones: la IA recrea la morfología, los gestos, las inflexiones vocales y los patrones de conducta de una persona tras procesar masivamente sus datos biométricos. (17)

La tecnología ha evolucionado con rapidez. Los deepfakes de primera generación presentaban imperfecciones ---irregularidades en el movimiento facial, sincronización labial defectuosa---. Los algoritmos actuales han superado esas limitaciones. Hoy, incluso los expertos necesitan herramientas especializadas para identificarlos. La mera inspección visual o auditiva no basta. (18)

El Reglamento de IA impone en su artículo 50 la obligación de etiquetar los contenidos sintéticos y de avisar cuando alguien interactúa con un sistema de IA. Estas obligaciones de transparencia son aplicables desde el 2 de agosto de 2026, con la salvedad de que los sistemas de IA generativa ya introducidos en el mercado o puestos en servicio antes de esa fecha disponen de un período transitorio hasta el 2 de diciembre de 2026 únicamente para cumplir la obligación de marcado legible por máquina prevista en el apartado 2 del mismo precepto. (1) Esta obligación busca mitigar los riesgos de engaño, manipulación y desinformación.

1.2. El deepfake como instrumento de falsificación probatoria

La eventual aportación de deepfakes como medio de prueba en un proceso judicial es uno de los desafíos más relevantes para los tribunales en los próximos años. (19) Estas falsificaciones no solo cuestionan los límites del ordenamiento penal; ponen a prueba la fiabilidad de la prueba digital. Obligan a replantear la persecución de los delitos y los estándares de autenticidad en los procedimientos judiciales. (15)

Técnicamente, generar un deepfake exige que la herramienta de IA disponga de un conjunto suficiente de contenidos audiovisuales de la persona a suplantar ---imágenes, vídeos, registros de voz--- para aprender y simular sus rasgos. (17) No es una superposición, sino una reconstrucción sintética que puede aplicarse a contextos, escenarios y declaraciones que nunca ocurrieron. Un vídeo puede mostrar a alguien cometiendo un delito que nunca cometió. Un audio puede hacerla confesar algo que nunca dijo. En el ámbito civil, un deepfake puede simular la aceptación de un contrato o una conversación inexistente. (19)

El fenómeno afecta al thema probandum en dos dimensiones. Primera: el contenido generado puede presentarse como probatorio de hechos nunca ocurridos, poniendo en riesgo la veracidad material de la decisión judicial. Segunda: la mera alegación de que una prueba auténtica es un deepfake puede generar incertidumbre y paralizar la eficacia probatoria. Ese segundo fenómeno, el liar's dividend o «dividendo del mentiroso», se examina en la Sección 4. (14)

1.3. La doble dimensión del problema: falsedad material e ilicitud procesal

Para abordar la prueba deepfake desde el Derecho procesal, hay que distinguir dos planos. Convergen en el resultado ---exclusión o ineficacia---, pero operan con fundamentos y regímenes distintos. (13)

La falsedad material alude a la falta de correspondencia entre el contenido del deepfake y la realidad de los hechos que pretende acreditar. (13) Un vídeo que muestra a alguien cometiendo un delito cuando nunca lo cometió es falso. El tribunal puede apreciar esa falsedad mediante los mecanismos ordinarios de valoración de la prueba ---testifical, documental, pericial--- si cuenta con elementos de contraste suficientes. Pero la falsedad del contenido no convierte automáticamente la prueba en ilícita. Puede ser un medio de prueba que, una vez detectado su carácter mendaz, se desestime en la valoración conjunta.

La ilicitud procesal se vincula al procedimiento de obtención. (22) El artículo 11.1 de la Ley Orgánica 6/1985, de 1 de julio, del Poder Judicial (LOPJ) establece que carecen de eficacia probatoria las pruebas obtenidas, directa o indirectamente, con violación de derechos fundamentales. (3) En los deepfakes, la cuestión central es si su generación ---el tratamiento de los datos personales de la persona suplantada para crear el contenido sintético--- vulnera el derecho fundamental a la protección de datos del artículo 18.4 CE. (4) Si es así, la prueba deepfake no solo será materialmente falsa, sino también constitucionalmente ilícita.

Esta distinción determina el régimen de control judicial. La falsedad material se combate con prueba en contrario y peritajes. La ilicitud, en cambio, opera ope legis como causa de nulidad que el tribunal debe apreciar incluso de oficio. No puede convalidarse ni por el consentimiento de las partes ni por la relevancia del contenido probatorio. (22)

2. El derecho a la protección de datos como límite a la generación de deepfakes

2.1. La imagen y la voz como datos de carácter personal

Para el análisis que nos ocupa, resulta esencial determinar si la imagen y la voz de un individuo son datos de carácter personal a efectos del artículo 18.4 CE. (25) El artículo 4.1 del Reglamento (UE) 2016/679 (RGPD) define «dato personal» como «toda información sobre una persona física identificada o identificable ("el interesado"); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona». (2)

La definición abarca los «elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social». La imagen y la voz quedan subsumidas. Se refieren a una persona física y permiten su identificación. La doctrina señala que la imagen y la voz son datos personales en relación con el artículo 18.4 CE. (25) La jurisprudencia constitucional considera la imagen un dato personal protegido. (8, 9)

En la generación de deepfakes, esta constatación es capital. Los contenidos audiovisuales que sirven como insumo para una ultrasuplantación ---fotografías, vídeos, registros de voz--- contienen datos personales de la persona a recrear. (17) Cualquier operación sobre esos contenidos ---recogida, almacenamiento, adaptación, modificación, utilización--- constituye un tratamiento de datos sujeto al RGPD y, en última instancia, al control constitucional del artículo 18.4 CE.

El artículo 18.4 CE dispone: «[l]a ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos». (4) El Tribunal Constitucional ha interpretado este precepto como fundamento del derecho a la protección de datos. Ese derecho es un control sobre los datos relativos a la propia persona ---la «libertad informática»--- e incluye la posibilidad de oponerse a que los datos se empleen con fines distintos al que justificó su obtención. (8)

2.2. El concepto de «tratamiento» de datos en la creación de contenido sintético

El RGPD define «tratamiento» en su artículo 4.2 como «cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción». (2)

La definición es extraordinariamente amplia. Abarca prácticamente cualquier actividad en la que estén presentes datos de carácter personal. (24) Aplicado a los deepfakes, el concepto de tratamiento resulta determinante en dos momentos. Primero, la compartición de contenidos audiovisuales con la herramienta de generación ---poner a disposición de la IA las imágenes, vídeos o registros de voz de la persona a suplantar--- constituye un tratamiento. Implica una «comunicación por transmisión» o una «habilitación de acceso» a esos datos. (2) Segundo, la generación del propio deepfake ---adaptación, modificación y utilización de los datos personales para crear un contenido sintético--- también es un tratamiento, con la finalidad específica de producir la ultrasuplantación.

La Agencia Española de Protección de Datos ha advertido de los riesgos de subir fotografías a herramientas de IA. Los datos obtenidos de los archivos compartidos pueden almacenarse o reutilizarse por las empresas desarrolladoras o para el entrenamiento de algoritmos. (27) Este riesgo se agrava en los deepfakes: los datos biométricos pueden utilizarse para finalidades no consentidas.

2.3. Las bases de legitimación del RGPD y su aplicación a los deepfakes probatorios

El artículo 6.1 del RGPD establece un numerus clausus de bases jurídicas que legitiman el tratamiento de datos personales. (2) El tratamiento solo es lícito si concurre al menos una de las seis condiciones. La carga de acreditar la base legitimadora corresponde al responsable del tratamiento.

Las seis bases son: a) consentimiento del interesado; b) ejecución de un contrato; c) cumplimiento de una obligación legal; d) protección de intereses vitales; e) cumplimiento de una misión de interés público o ejercicio de poderes públicos; f) interés legítimo del responsable o de un tercero.

En la generación de deepfakes con fines probatorios, ninguna de estas bases resulta aplicable. La persona suplantada no ha consentido la utilización de su imagen o voz para crear un contenido sintético destinado a su aportación procesal. (2) El tratamiento no es necesario para ejecutar un contrato, ni responde a una obligación legal, ni protege intereses vitales. Tampoco cabe invocar el interés público: el correcto funcionamiento de la Administración de Justicia exige la autenticidad de los medios de prueba, no su manipulación. Finalmente, el interés legítimo del responsable no puede prevalecer sobre los derechos fundamentales del interesado cuando el tratamiento está destinado a generar una prueba falsa.

2.4. Supuestos de vulneración del artículo 18.4 CE

Generar un deepfake de una persona física sin su consentimiento para aportarlo como prueba vulnera el derecho a la protección de datos. La persona sobre la que se realiza la ultrasuplantación pierde el poder de disposición sobre sus datos personales ---la imagen o la voz---. (8, 9) Esta vulneración se produce en distintos escenarios.

Primero, cuando el deepfake lo genera una persona jurídica ---empresa, asociación u otra entidad---, el tratamiento queda dentro del ámbito del RGPD. El ejemplo paradigmático es el orden jurisdiccional laboral: una empresa genera un deepfake de un trabajador para justificar un despido. Ninguna base del artículo 6.1 RGPD legitima el tratamiento, por lo que se vulnera el derecho a la protección de datos. Conviene precisar que esto no convierte a la persona jurídica en titular del derecho del artículo 18.4 CE ---su ámbito subjetivo se limita a las personas físicas (12)---; lo relevante es que el tratamiento recae sobre los datos personales del trabajador suplantado, no sobre datos de la empresa.

Segundo, cuando el deepfake lo genera una persona física, la aplicación del RGPD encuentra un obstáculo potencial: la «excepción doméstica» del artículo 2.2.c. (2, 26) El RGPD no se aplica al «tratamiento de datos personales efectuado por una persona física en el ejercicio de actividades exclusivamente personales o domésticas». La jurisprudencia del TJUE ha interpretado esta excepción de manera restrictiva, exigiendo que se trate verdaderamente de una actividad «exclusivamente» personal o doméstica. (11) El considerando 18 concreta que esta excepción se refiere a actividades «sin conexión alguna con una actividad profesional o comercial». Cuando la generación del deepfake esté vinculada a una actividad profesional o comercial, la excepción no opera y el tratamiento debe evaluarse a la luz del RGPD. Aun si la excepción fuera aplicable, la doctrina del Tribunal Constitucional sobre el artículo 18.4 CE permite sostener la vulneración del derecho fundamental: la protección de datos no limita su ámbito subjetivo a tratamientos realizados por personas jurídicas o en el marco de actividades profesionales. (8, 9)

Tercero, la existencia de contenidos audiovisuales accesibles públicamente no implica que el interesado haya desistido de la protección del artículo 18.4 CE. (8, 9) El Tribunal Constitucional ha afirmado que los datos personales públicos no escapan del poder de disposición del afectado. (8) El dato personal, aunque público, sigue protegido. En la creación de deepfakes para aportarlos como prueba, ninguna base legitimadora justifica el tratamiento, por lo que también en estos casos se vulnera el derecho.

Finalmente, incluso en deepfakes cuyo contenido sintético resultante no exterioriza datos personales, puede haberse vulnerado el derecho si en el proceso de generación se trataron datos personales. Por ejemplo, eliminar la imagen de un trabajador de una grabación de videovigilancia para crear un vídeo que muestre el centro de trabajo vacío. La obtención original de esas imágenes puede haber sido lícita ---por ejemplo, si la empresa cumplió con el deber de información colocando el distintivo correspondiente en un lugar visible (10)---, pero eso no ampara automáticamente su uso posterior para generar el deepfake: se trataría de un nuevo tratamiento que requiere, de nuevo, una base legitimadora propia. Aunque el contenido final no contenga datos personales, el tratamiento de la imagen del trabajador ---un dato personal--- se ha producido sin base legitimadora, vulnerando el artículo 18.4 CE.

3. La prueba deepfake ante el régimen de prueba ilícita en España

3.1. El derecho fundamental a la prueba y sus límites

El derecho a la prueba, reconocido en el artículo 24.2 CE como manifestación de la tutela judicial efectiva, no es absoluto ni ilimitado. (4, 22) La doctrina procesal distingue entre límites intrínsecos y extrínsecos. (22) Los intrínsecos derivan de la propia naturaleza de la actividad probatoria ---pertinencia y utilidad---. Los extrínsecos se refieren a las formalidades y cauces procesales necesarios para el ejercicio válido del derecho.

La ilicitud probatoria es un límite extrínseco vinculado al proceso de obtención de la prueba. Implica la inutilizzabilità de dicho elemento ---siguiendo la terminología italiana---. (22) No toda prueba vale en función de cómo ha sido lograda. Pero el problema del alcance ---el criterio para decidir cuáles valen y cuáles no--- no es pacífico en la doctrina ni en la jurisprudencia. (21)

Un estudio de derecho comparado sobre la prueba ilícita muestra que algunos Estados adoptan conceptos amplios ---Francia excluye la prueba lograda con vulneración del principio de lealtad---. Otros abogan por conceptos restrictivos ---Estados Unidos, donde la jurisprudencia de la Corte Suprema relaciona el alcance con la vulneración por un agente público de cualquier derecho contenido en las enmiendas IV, V, VI o XIV del Bill of Rights---. (23) El ordenamiento español ha seguido una evolución propia.

3.2. La regla de exclusión del artículo 11.1 de la Ley Orgánica del Poder Judicial

El artículo 11.1 de la LOPJ dispone: «[e]n todo tipo de procedimiento se respetarán las reglas de la buena fe. No surtirán efecto las pruebas obtenidas, directa o indirectamente, violentando los derechos o libertades fundamentales». (3) Este precepto instauró en el ordenamiento español la definición de prueba ilícita mayoritariamente acogida por la doctrina: ilicitud vinculada a la vulneración de un derecho fundamental en el proceso de obtención. (20, 7) Es una regla de exclusión que opera en toda clase de procesos, sin distinguir quién obtuvo la prueba ni para qué; atiende únicamente a la vulneración de derechos fundamentales.

La doctrina considera el artículo 11.1 LOPJ el primer precepto en el ordenamiento español sobre la regla de exclusión. (20) La consecuencia de la ilicitud ---nulidad--- puede apreciarse de oficio o a instancia de parte en cualquier momento del proceso. La STC 114/1984, de 29 de noviembre, declaró que la nulidad es la consecuencia razonable derivada de la posición superior de los derechos fundamentales. (7)

En el supuesto que nos ocupa, si nos acogemos a la concepción del artículo 11.1 LOPJ, las pruebas deepfake obtenidas con vulneración del artículo 18.4 CE son pruebas ilícitas. (13) La generación de un deepfake de un sujeto implica, en determinados supuestos, un tratamiento de datos sin base legitimadora, lo que vulnera el derecho a la protección de datos. El artículo 11.1 LOPJ no exige más que la constatación de la vulneración. Por tanto, la prueba deepfake quedaría automáticamente excluida.

3.3. La doctrina del caso Falciani (STC 97/2019, de 16 de julio)

El panorama se matizó con la STC 97/2019, de 16 de julio ---caso Falciani---, que limita el alcance de la regla de exclusión del artículo 11.1 LOPJ. (6) La sentencia, dictada por el Pleno del Tribunal Constitucional en el recurso de amparo 1805-2017, se pronunció sobre la «lista Falciani» como prueba lícita de cargo. Un trabajador informático obtuvo información económica de los clientes del banco para el que trabajaba y la transmitió a las autoridades fiscales españolas a través de su homóloga francesa. El demandante de amparo sostenía que la prueba provenía de la comisión de un delito por el particular que da nombre a la lista, con supuesta vulneración de sus derechos fundamentales.

El Tribunal Constitucional, por unanimidad, declaró que la obtención de los datos bancarios no vulneraba la presunción de inocencia ni el proceso con todas las garantías. La relevancia de la sentencia trasciende el caso concreto: sentó una doctrina general sobre la prueba ilícita objeto de amplio debate doctrinal. (6)

La STC 97/2019 estableció que la vulneración de un derecho fundamental en la obtención de una prueba no basta para determinar la ilicitud. El Tribunal Constitucional introdujo un control interno: la vulneración debe haber estado instrumentalmente orientada a la obtención de pruebas al margen del canon constitucional, comprometiendo la integridad del proceso y la igualdad entre las partes. (6) Esta limitación busca proteger al máximo el derecho a la prueba.

El control interno contempla una excepción: no se exigirá instrumentalidad cuando la vulneración, aunque carezca de ese carácter, sea de tal intensidad que afecte al núcleo axiológico del orden de derechos fundamentales. En estos casos especialmente graves, la prueba deberá excluirse aunque no se haya producido para perjudicar el derecho de defensa.

El Tribunal Constitucional añadió un control externo: debe evaluarse si existen necesidades generales de prevención o disuasión de la vulneración consumada. La exclusión no solo opera como garantía para la parte cuyo derecho fue vulnerado, sino también como mecanismo de disuasión general para prevenir futuras vulneraciones.

La doctrina ha criticado esta aproximación. Algunos autores consideran que supone una «degradación» de la prueba ilícita. (33) Se ha señalado que la STC 97/2019 ha suscitado amplia polémica, con trabajos doctrinales como «Descanse en paz la prueba ilícita» (Asencio Mellado) o «¡¡La prueba ilícita ha muerto. Viva la prueba ilícita (en el proceso justo)!!» (Lorca Navarrete). (33) La sentencia suscita, cuando menos, perplejidad por la postura restrictiva que adopta en una época caracterizada por el hipergarantismo.

La STC 97/2019 ha situado la prueba ilícita en el ámbito del derecho al proceso equitativo amparado por el artículo 6 del Convenio Europeo de Derechos Humanos. El Tribunal Constitucional ha vinculado la exclusión a la idea de un proceso justo (artículo 24.2 CE). Así, la prueba ilícita no se excluye automáticamente por la mera vulneración, sino solo cuando esta compromete la justicia del proceso en su conjunto.

3.4. Aplicación de ambos estándares a la prueba deepfake

En determinados supuestos, la obtención del deepfake vulnera el derecho a la protección de datos. (13) La aplicación de los dos estándares ---el del artículo 11.1 LOPJ y el de la doctrina Falciani--- conduce a resultados distintos.

Bajo el artículo 11.1 LOPJ, la conclusión es clara: las pruebas deepfake obtenidas con vulneración del artículo 18.4 CE son ilícitas. El precepto no exige requisitos adicionales ---instrumentalidad, afectación al núcleo axiológico, disuasión---. La mera constatación de la vulneración determina la exclusión.

Bajo la doctrina Falciani, la cuestión se complica. Habría que analizar caso por caso si, desde una perspectiva interna y externa, el elemento se obtuvo para perjudicar el derecho de defensa de la parte contraria. El control interno exige apreciar si la vulneración del derecho a la protección de datos ha estado instrumentalmente orientada a la obtención del deepfake como prueba, comprometiendo la integridad del proceso y la igualdad. En la mayoría de los supuestos, la instrumentalidad concurre: el deepfake se genera precisamente para ser prueba y perjudicar a la parte contraria. Pero cabrían casos en los que la vulneración no tuviera finalidad instrumental ---por ejemplo, si el deepfake se generó con otros fines y luego se decidió aportarlo---, donde el control interno exigiría evaluar si la vulneración afecta al núcleo axiológico.

El control externo exige evaluar si existen necesidades de prevención o disuasión. Generar deepfakes con fines probatorios es especialmente lesivo para la integridad del proceso. Existen poderosas razones de política judicial para disuadirlo mediante la exclusión. Admitir pruebas deepfake podría incentivar estas prácticas y socavar la confianza en la administración de justicia.

Aunque la doctrina Falciani introduce matices que podrían, en casos excepcionales, permitir la admisión de pruebas obtenidas con vulneración de derechos fundamentales, resulta difícil imaginar un escenario en el que la generación de un deepfake con fines probatorios ---conducta que vulnera el derecho a la protección de datos y atenta contra la integridad del proceso--- pueda superar los controles interno y externo exigidos. La prueba deepfake, en la mayoría de los supuestos, reúne las características de ser falsa en su contenido e ilícita en la forma de obtención.

4. El «dividendo del mentiroso» y los desafíos de la autenticación

4.1. El fenómeno del liar's dividend y sus implicaciones procesales

Hasta ahora, el foco principal ha sido la posible aportación de deepfakes como prueba. Pero existe un riesgo igualmente relevante en sentido inverso: que un contenido genuino sea alegado como deepfake para generar duda en el juez. (14) La doctrina anglosajona denomina este fenómeno liar's dividend o «dividendo del mentiroso».

Los profesores Robert Chesney y Danielle Citron acuñaron el término en 2019, en un artículo pionero publicado en la California Law Review. (16) Señalaron que la mera existencia de la tecnología deepfake permite a litigantes sin escrúpulos sembrar dudas sobre cualquier prueba digital genuina alegando infundadamente que es una falsificación generada por IA. La existencia de medios sintéticos altamente convincentes permite a los individuos descartar pruebas auténticas como fabricadas.

La doctrina procesal española ha comenzado a estudiar este fenómeno. (14) El liar's dividend opera como un espejo del problema principal: si los deepfakes pueden usarse para fabricar pruebas falsas, también pueden usarse para desacreditar pruebas verdaderas. Quien se enfrenta a una grabación incriminatoria ---en un caso de acoso sexual, corrupción política o fraude corporativo--- puede negar su autenticidad invocando la manipulación por IA.

El fenómeno se apoya en varios elementos. Primero, la (in)capacidad humana de detectar deepfakes: los modernos son tan avanzados que incluso los expertos necesitan herramientas. Segundo, la percepción propia de la capacidad de detección ---vinculada al efecto Dunning-Kruger---, que lleva a sobreestimar la habilidad para distinguir lo auténtico de lo sintético. Tercero, los falsos positivos en los sistemas automatizados de detección, que generan dudas incluso cuando el contenido es genuino.

El liar's dividend puede afectar a diversos medios de prueba en el proceso civil español. La impugnación de documentos públicos y privados, los medios e instrumentos del artículo 299.2 LEC, la impugnación del reconocimiento judicial, el interrogatorio de testigos y de parte, y la prueba pericial pueden verse afectados por la mera alegación de que el material es un deepfake. Los tribunales se ven forzados a realizar prolongadas investigaciones forenses, lo que retrasa la justicia y aumenta los costes. Con el tiempo, este escepticismo corre el riesgo de corroer el proceso judicial: la prueba audiovisual ---considerada hasta ahora una de las formas más persuasivas--- pierde su credibilidad presuntiva.

Como ha señalado la doctrina, el liar's dividend puede convertirse en una estrategia procesal perversa. Sin necesidad de probar la falsedad del contenido, genera incertidumbre y erosiona la eficacia probatoria. El reto para los tribunales consiste en equilibrar el derecho de las partes a impugnar la autenticidad con la necesidad de evitar alegaciones meramente dilatorias o fraudulentas.

4.2. Estándares de autenticación en el derecho comparado

La creciente sofisticación de los deepfakes y el fenómeno del liar's dividend han impulsado el desarrollo de nuevos estándares de autenticación en diversos ordenamientos. En Estados Unidos, el Comité Asesor de la Conferencia Judicial sobre las Reglas de Evidencia ha elaborado un borrador de una nueva Federal Rule of Evidence 901(c) que aborda específicamente la autenticación de pruebas en la era de los deepfakes. (30)

La Federal Rule of Evidence 901 actual exige «evidencia suficiente para sostener una determinación de que el elemento es lo que su proponente afirma que es». Formulada en un contexto pre-digital, no aborda explícitamente las falsificaciones generadas por IA. La propuesta de enmienda, conocida como Rule 901(c), establecería un proceso de dos pasos para evaluar las alegaciones de deepfake. Primer paso: la parte que impugna la autenticidad debe presentar «evidencia suficiente para apoyar una determinación de tal falsificación» que justifique una investigación por parte del tribunal. Segundo paso: si el impugnante supera ese umbral, el elemento de prueba solo será admisible si el proponente demuestra al tribunal que es «más probable que no auténtico». El Comité Asesor subraya que «una alegación amplia de "deepfake" no es suficiente para poner al tribunal y al proponente en el tiempo y gasto de demostrar que el elemento no ha sido manipulado».

Conviene precisar que, a mediados de 2026, el Comité Asesor ha optado por no avanzar la Rule 901(c) hacia su aprobación definitiva, al considerar que los tribunales federales han venido resolviendo de forma adecuada los casos de prueba potencialmente fabricada con los instrumentos existentes. En su lugar, el Comité ha priorizado una vía distinta: la nueva Rule 707, que somete la prueba generada directamente por un sistema o proceso automatizado —sin la intervención de un testigo experto humano— a los mismos estándares de fiabilidad del artículo 702 (peritaje). La Rule 901(c) permanece como borrador de trabajo, disponible para su retomada si las circunstancias lo exigen. Los tribunales estadounidenses están aplicando, entre tanto, las reglas de autenticación vigentes, con un umbral de impugnación cada vez más exigente en la práctica. (30)

En el Reino Unido, el enfoque ha sido diferente. El sistema judicial británico se ha basado en las reglas procesales existentes, como la Civil Procedure Rule 32.19, que establece que las partes deben impugnar formalmente la autenticidad de los documentos, so pena de aceptación implícita. (29) La Crown Prosecution Service (CPS) ha emitido orientaciones para el manejo de pruebas digitales en casos que involucran deepfakes, enfatizando la importancia de la evidencia forense digital: metadatos que muestren cuándo y cómo se creó o editó un archivo, registros de actividad de cuentas y direcciones IP, historiales de chat, capturas de pantalla de plataformas.

Un estudio de derecho comparado ha identificado importantes lagunas entre los diferentes tipos de regulación en las distintas jurisdicciones. (31) Aunque todas reconocen el desafío, las respuestas regulatorias son fragmentadas y carecen de armonización. La falta de un protocolo unificado para la autenticación de evidencia digital genera inconsistencias en la admisibilidad de pruebas y en los criterios para determinar su autenticidad.

4.3. El papel de la prueba pericial y los estándares técnicos

La complejidad técnica de la detección de deepfakes hace que la prueba pericial adquiera una relevancia capital en los procesos donde se discuta la autenticidad de un contenido audiovisual. (19) Los tribunales carecen de los conocimientos técnicos para determinar por sí mismos si un vídeo o audio ha sido generado o manipulado por IA. Deberán apoyarse en peritos especializados.

La pericial informática, en este contexto, debe abordar un doble análisis. Por un lado, determinar si el contenido ha sido total o parcialmente generado por IA. Por otro, identificar, en su caso, los datos personales tratados en la generación y evaluar si ese tratamiento tuvo base legitimadora suficiente. Esta segunda dimensión, vinculada a la calificación de la prueba como ilícita, exige del perito no solo conocimientos técnicos, sino también comprensión del marco normativo de protección de datos.

Los métodos de detección actuales presentan limitaciones. No son infalibles y pueden arrojar falsos positivos o falsos negativos. (18) Además, la tecnología de generación evoluciona rápidamente, lo que obliga a los peritos a actualizar constantemente sus conocimientos y herramientas. Los tribunales deben ser conscientes de estas limitaciones y valorar la pericial con cautela.

Desde el punto de vista técnico, se han desarrollado diversos enfoques para la verificación de deepfakes. El análisis de metadatos ---fecha de creación, dispositivo de origen, historial de edición--- puede proporcionar pistas sobre la autenticidad. Herramientas forenses como ExifTool o Forensic Toolkit (FTK) permiten examinar metadatos para detectar alteraciones o inconsistencias. Sin embargo, los deepfakes avanzados pueden incluir metadatos manipulados, lo que requiere un análisis más profundo. También se emplean técnicas de huellas digitales (digital fingerprinting), análisis estructural de archivos y algoritmos criptográficos.

Una iniciativa relevante en el ámbito de la autenticación de contenido es el estándar técnico de la Coalition for Content Provenance and Authenticity (C2PA). (28) Es un estándar abierto que permite a editoriales, empresas y otras entidades incorporar metadatos en contenido multimedia para verificar su origen y el historial de modificaciones. Los certificados C2PA permiten adjuntar una credencial a prueba de manipulaciones a imágenes, vídeos, audio y documentos. La estrategia de C2PA no es prevenir la creación de deepfakes, sino hacer que el contenido auténtico sea fácil y fiablemente identificable. Este estándar, respaldado por importantes empresas tecnológicas, podría constituir una herramienta valiosa para los tribunales.

La doctrina señala la necesidad de que los peritos no solo indiquen si un contenido es deepfake, sino que expliquen los fundamentos técnicos de su conclusión y comuniquen las incertidumbres y limitaciones de los métodos empleados. (15) La formación de jueces y magistrados en IA y prueba digital es una necesidad ineludible. El juez debe asumir un papel activo en la autenticación, decidiendo la cuestión en una fase preliminar y asegurándose de que las pruebas cumplen los estándares de fiabilidad exigibles.

5. Perspectivas de futuro y propuestas de lege ferenda

5.1. El marco de la Unión Europea: el Reglamento de IA y el Código de Prácticas

El Reglamento (UE) 2024/1689 (Reglamento de IA) es el primer marco regulatorio integral a nivel mundial para la IA. (1) Su artículo 3.60 ofrece la definición de deepfake adoptada como referencia en la doctrina y en las legislaciones nacionales. Además, establece obligaciones de transparencia.

El artículo 50 del Reglamento de IA impone a los desplegadores de sistemas de IA la obligación de informar a los usuarios cuando interactúan con un sistema de IA, y de etiquetar los contenidos generados o manipulados artificialmente. En particular, los deepfakes y los textos generados o manipulados por IA que se publiquen para informar al público sobre asuntos de interés público deben ser claramente etiquetados. Esta obligación es aplicable desde el 2 de agosto de 2026 (con el período transitorio limitado hasta el 2 de diciembre de 2026 para el marcado legible por máquina del apartado 2 respecto de sistemas preexistentes) y busca mitigar los riesgos de engaño, manipulación y desinformación.

Para operativizar estas disposiciones, la Comisión Europea publicó el Código de Prácticas sobre el marcado y etiquetado de contenido generado por IA. (32) La versión final, de junio de 2026, establece reglas detalladas sobre cómo los desplegadores deben etiquetar los deepfakes y el contenido generado o manipulado por IA. El Código prevé, entre otras medidas, un icono común para revelar los deepfakes y las publicaciones de texto generadas o manipuladas.

La doctrina señala que el Reglamento de IA y el Código de Prácticas, si bien son avances significativos en transparencia, presentan limitaciones desde la perspectiva de la prueba judicial. (31) Primero, el régimen de transparencia se basa en la buena fe de los creadores y no aborda el uso malicioso para falsificar pruebas. Segundo, el etiquetado no resuelve el problema de la autenticación de las pruebas aportadas: un deepfake puede presentarse sin etiquetar o haberse generado antes de la entrada en vigor de las obligaciones. Tercero, el Reglamento no establece un régimen específico para la exclusión de pruebas deepfake en los procesos judiciales, remitiendo la cuestión a los ordenamientos nacionales.

La doctrina comparada propone complementar el marco de la UE con estándares específicos para la autenticación de pruebas digitales. Entre las propuestas: un estándar técnico común para la certificación de la procedencia del contenido (content provenance), que permita a los tribunales verificar la integridad y autenticidad de los materiales audiovisuales. El estándar C2PA ha sido señalado como posible referente.

5.2. Iniciativas legislativas en España

En el ordenamiento español, la respuesta legislativa a los deepfakes ha cobrado impulso. El 13 de octubre de 2023 se presentó en el Congreso de los Diputados una Proposición de Ley Orgánica de regulación de las simulaciones de imágenes y voces de personas generadas por medio de la IA. Fue retirada posteriormente, pero sentó las bases para el debate parlamentario.

El 13 de enero de 2026, el Consejo de Ministros aprobó el anteproyecto de Ley Orgánica de protección civil del derecho al honor, la intimidad personal y familiar, y la propia imagen, que modifica la Ley Orgánica 1/1982. (5, 34) Posteriormente, el 7 de julio de 2026, el Consejo de Ministros elevó el texto a Proyecto de Ley Orgánica para su remisión a las Cortes Generales. Introduce novedades relevantes.

La principal innovación consiste en considerar ilegítimo el uso sin autorización de la imagen o la voz de una persona creada, simulada o manipulada con IA o tecnologías similares. Se inscribe en la tradición de la Ley Orgánica 1/1982 de protección de los derechos de la personalidad. Reconoce explícitamente que la imagen y la voz, incluso cuando son generadas artificialmente, merecen protección frente a usos no consentidos.

El texto establece que el uso y la difusión de imágenes o voces manipuladas sin consentimiento a través de IA constituye una intromisión ilegítima en el derecho al honor. Esto tiene consecuencias civiles: permite a la persona afectada ejercer acciones de protección, incluyendo tutela judicial, indemnización de daños y perjuicios, y publicación de la sentencia.

La doctrina valora positivamente esta iniciativa, pero señala que el texto se centra en la protección civil y no aborda específicamente la prueba deepfake en los procesos judiciales. La calificación como intromisión ilegítima, aunque relevante, no resuelve el problema de la admisibilidad y valoración de la prueba.

En el ámbito penal, el Proyecto de Ley Orgánica para la protección de las personas menores de edad en los entornos digitales ha tipificado las ultrafalsificaciones (deepfakes) de imagen corporal o sexual, particularmente cuando afectan a menores. (35) Esta iniciativa, aunque limitada, reconoce la gravedad de crear y difundir deepfakes sin consentimiento.

5.3. Hacia una reforma del régimen de prueba ilícita

El análisis de los desarrollos normativos en el derecho comparado y de las iniciativas legislativas en España permite esbozar algunas propuestas. Se formulan a título de reflexión, para contribuir al debate sobre la adaptación del régimen de prueba ilícita a la era de la IA.

Primera: desarrollar un estándar de autenticación de dos niveles para pruebas audiovisuales. Inspirado en la propuesta de enmienda a la Federal Rule of Evidence 901, establecería un procedimiento específico para la autenticación de contenidos que puedan haber sido generados o manipulados por IA. Primer nivel: la parte impugnante debe presentar una base mínima y de buena fe para sus dudas, basada en indicios objetivos de manipulación. Segundo nivel: superado ese umbral, la carga de la prueba se desplazaría a la parte proponente para demostrar la autenticidad mediante medios técnicos adecuados. Este mecanismo equilibraría el derecho a la prueba con la necesidad de evitar alegaciones dilatorias.

Segunda: fortalecer el papel del juez como «guardián de la evidencia» (gatekeeper of evidence). El juez debe asumir un papel activo en la fase de admisión, decidiendo la autenticación en una fase preliminar y asegurándose de que las pruebas cumplen los estándares de fiabilidad exigibles. Esta función de control, ya existente en el ordenamiento procesal, debe adaptarse a las particularidades de los deepfakes. Exige formación de jueces y magistrados en IA y prueba digital.

Tercera: implementar un mecanismo flexible de asignación de costes para los casos en que se alegue la existencia de un deepfake. La parte que impugna infundadamente la autenticidad podría ser condenada al pago de las costas, incluyendo los gastos de la pericial necesaria para verificar la autenticidad. Este mecanismo disuasorio contribuiría a evitar el uso abusivo de la alegación de deepfake.

Cuarta: establecer protocolos forenses estandarizados para la detección de deepfakes. Desarrollados por expertos en IA y derecho probatorio, fijarían los procedimientos técnicos mínimos para la verificación de la autenticidad. Deberían incluir análisis de metadatos, hashing forense, detección multimodal y multimétodo, y elementos de inteligencia artificial explicable (XAI). La adopción de estos protocolos daría a los tribunales criterios objetivos y fiables para la valoración de la pericial.

Quinta: armonización internacional de los estándares de autenticación de pruebas digitales. La naturaleza transfronteriza de la IA y la interconexión de los sistemas judiciales exigen una aproximación coordinada. La UE, con el Reglamento de IA y el Código de Prácticas, ha dado pasos. Pero se necesitan estándares más específicos para el ámbito judicial, que podrían desarrollarse en el marco de la Conferencia de La Haya de Derecho Internacional Privado o el Consejo de Europa.

Sexta: una reforma del artículo 11.1 de la LOPJ que aborde explícitamente la prueba deepfake. La reforma podría establecer que las pruebas obtenidas mediante la generación o manipulación de contenidos con IA, cuando se haya vulnerado el derecho a la protección de datos, carecerán de eficacia probatoria. Esta previsión, coherente con la jurisprudencia constitucional y la normativa de protección de datos, proporcionaría a los tribunales un criterio claro para la exclusión.

Séptima: la tipificación penal específica de la presentación de deepfakes como prueba en un proceso judicial. Esta conducta atenta contra la integridad del proceso y contra la administración de justicia, y merecería una respuesta penal proporcionada. La tipificación podría incorporarse al Código Penal como un delito contra la administración de justicia, distinto del delito de falsedad documental, dadas las particularidades de los deepfakes como contenido sintético.

Estas propuestas pretenden contribuir al debate sobre la adaptación del régimen de prueba ilícita a los desafíos de la IA. La rapidez con que evoluciona la tecnología de generación de deepfakes exige una respuesta normativa ágil y eficaz que preserve la integridad del proceso judicial y la confianza en la administración de justicia.

Conclusiones

Los deepfakes introducen en el proceso judicial un conjunto de aspectos problemáticos. La capacidad de generar o manipular contenidos audiovisuales mediante IA, indistinguibles de grabaciones auténticas, tensiona los mecanismos tradicionales de autenticación y valoración de la prueba. Plantea interrogantes constitucionales sobre los derechos fundamentales de las personas cuya imagen o voz se utiliza.

El análisis permite extraer las siguientes conclusiones:

Primera. La generación de un deepfake de una persona física implica, desde la óptica del RGPD, un tratamiento de datos personales. La imagen y la voz son datos de carácter personal. Cualquier operación sobre esos datos ---recogida, almacenamiento, adaptación, modificación, utilización--- es un tratamiento sujeto al RGPD y al control constitucional del artículo 18.4 CE.

Segunda. Ninguna de las seis bases legitimadoras del artículo 6.1 RGPD justifica la generación de deepfakes para aportarlos como prueba. Ni el consentimiento, ni la ejecución de un contrato, ni una obligación legal, ni intereses vitales, ni una misión de interés público, ni un interés legítimo pueden justificar un tratamiento orientado a fabricar una prueba falsa. Esta conclusión opera tanto si el creador es persona jurídica como si es persona física que actúa en el marco de una actividad profesional o comercial.

Tercera. La existencia de contenidos audiovisuales accesibles públicamente no implica que el interesado haya desistido de la protección del artículo 18.4 CE, incluso si él mismo los publicó. El Tribunal Constitucional ha afirmado que los datos personales públicos no escapan del poder de disposición del afectado. El dato personal, aunque público, sigue protegido y debe analizarse el posterior tratamiento.

Cuarta. La excepción doméstica del artículo 2.2.c RGPD, interpretada restrictivamente por el TJUE y el TS, no se aplica a la generación de deepfakes con fines probatorios cuando exista conexión con una actividad profesional o comercial. Aun sin esa conexión, la doctrina del TC sobre el artículo 18.4 CE permite sostener la vulneración del derecho a la protección de datos, porque la generación del deepfake implica una pérdida de poder de disposición sobre los datos que no puede justificarse por los límites constitucionales del derecho.

Quinta. La vulneración del derecho a la protección de datos en la generación del deepfake tiene consecuencias directas sobre la calificación de la prueba deepfake como prueba ilícita. Bajo el artículo 11.1 LOPJ, las pruebas deepfake obtenidas con vulneración del artículo 18.4 CE son ilícitas sin requisitos adicionales. Bajo la doctrina Falciani (STC 97/2019), sería necesario un análisis caso por caso para determinar si la vulneración fue instrumentalmente orientada a la obtención de la prueba y si concurren necesidades de prevención o disuasión. En la mayoría de los supuestos, la instrumentalidad concurre y existen poderosas razones de política judicial para excluir la prueba.

Sexta. La prueba deepfake reúne, en determinados casos, las características de ser falsa en su contenido e ilícita en la forma de obtención. Esta doble condición ---falsedad material e ilicitud procesal--- determina el régimen de control judicial. La falsedad se combate con prueba en contrario y peritajes; la ilicitud opera ope legis como causa de nulidad que el tribunal debe apreciar de oficio y no puede convalidarse.

Séptima. El «liar's dividend» ---sembrar dudas sobre pruebas auténticas alegando que son deepfakes--- es un desafío adicional. La mera alegación puede generar una duda razonable que afecte a la valoración, incluso sin elementos objetivos. Este fenómeno exige mecanismos procesales que distingan alegaciones fundadas de meramente dilatorias.

Octava. La respuesta normativa a los desafíos de los deepfakes está en una fase incipiente. El Reglamento de IA y el Código de Prácticas sobre el etiquetado representan avances en transparencia, pero no abordan el uso malicioso para falsificar pruebas. El Proyecto de Ley Orgánica español clasifica como ilegítimo el uso sin autorización de la imagen o la voz creada, simulada o manipulada con IA. Pero se necesitan reformas más específicas en el ámbito procesal y penal.

Novena. El análisis de derecho comparado revela respuestas regulatorias fragmentadas y sin armonización. La propuesta de enmienda a la Federal Rule of Evidence 901 en EE.UU. (aún en fase de estudio), las orientaciones de la CPS en Reino Unido y el Reglamento de IA en la UE son aproximaciones diferentes. Esta fragmentación exige mayor cooperación internacional y estándares comunes para la autenticación de pruebas digitales.

Décima. La detección de deepfakes, la prevención del «liar's dividend», el desarrollo de protocolos de autenticación y la adaptación del régimen de prueba ilícita a la era de la IA son desafíos que juristas, expertos técnicos y legisladores deben afrontar de manera coordinada para preservar las garantías del proceso y la confianza en la administración de justicia. La rapidez con que evoluciona la tecnología no admite demoras en la respuesta normativa y doctrinal.

Los deepfakes no son solo un problema técnico de detección. Son un desafío jurídico que afecta a los fundamentos mismos de la prueba en el proceso judicial. La respuesta no puede limitarse a la adopción de herramientas tecnológicas de verificación. Debe incluir una reflexión profunda sobre los estándares de autenticación, el régimen de exclusión probatoria y la protección de los derechos fundamentales en la era de la IA generativa. La solución requiere un esfuerzo conjunto de la comunidad jurídica, los expertos técnicos y los legisladores, en el marco de una cooperación internacional que permita establecer estándares comunes para la autenticación de pruebas digitales.

Bibliografía

Normativa

(1) Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo, de 13 de junio de 2024, por el que se establecen normas armonizadas en materia de inteligencia artificial y se modifican los Reglamentos (CE) n.º 300/2008, (UE) n.º 167/2013, (UE) n.º 168/2013, (UE) 2018/858, (UE) 2018/1139 y (UE) 2019/2144 y las Directivas 2014/90/UE, (UE) 2016/797 y (UE) 2020/1828 (Reglamento de Inteligencia Artificial).

(2) Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento General de Protección de Datos).

(3) Ley Orgánica 6/1985, de 1 de julio, del Poder Judicial.

(4) Constitución Española, de 27 de diciembre de 1978.

(5) Ley Orgánica 1/1982, de 5 de mayo, de protección civil del derecho al honor, a la intimidad personal y familiar y a la propia imagen.

Jurisprudencia

(6) Sentencia del Tribunal Constitucional 97/2019, de 16 de julio (caso Falciani).

(7) Sentencia del Tribunal Constitucional 114/1984, de 29 de noviembre.

(8) Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre.

(9) Sentencia del Tribunal Constitucional 96/2012, de 7 de mayo.

(10) Sentencia del Tribunal Constitucional 119/2022, de 29 de septiembre.

(11) Sentencia del Tribunal de Justicia de la Unión Europea de 11 de diciembre de 2014, asunto C-212/13 (Ryneš).

(12) Sentencia del Tribunal Supremo, Sala de lo Contencioso-Administrativo, n.º de recurso 3763/2013, de 14 de noviembre de 2014.

Doctrina

(13) ALMAGRO MARTÍN, J., «La prueba deepfake como prueba ilícita», IDP. Revista de Internet, Derecho y Política, núm. 45, 2026.

(14) ALMAGRO MARTÍN, J., «The liar's dividend: Deepfakes y el uso perverso de su alegación procesal», Justicia: Revista de Derecho Procesal, núm. 1, 2025, pp. 371-428.

(15) CANO FERNÁNDEZ, S., «¿Cómo se prueba un deepfake?: la lucha contra la mentira», en PICÓ I JUNOY, J. y MIRANDA VÁZQUEZ, C. (dirs.), Nuevos retos del derecho probatorio, J. M. Bosch, Barcelona, 2025, pp. 149-162.

(16) CHESNEY, R. y CITRON, D., «Deep Fakes: A Looming Challenge for Privacy, Democracy, and National Security», California Law Review, vol. 107, 2019, pp. 1753-1820.

(17) JIMÉNEZ-CASTELLANOS BALLESTEROS, I., «La difícil convivencia entre la inteligencia artificial y los derechos fundamentales: La tecnología deepfake», en FEBLES POZO, N. y NIETO ROJAS, P. (dirs.), Inteligencia artificial y protección de datos: desafíos en la era digital, Colex, A Coruña, 2025, pp. 151-178.

(18) NIEVA FENOLL, J., «La prueba de los deepfakes pornográficos: I. A. sobre I. A.», en PICÓ I JUNOY, J. y MIRANDA VÁZQUEZ, C. (dirs.), Nuevos retos del derecho probatorio, J. M. Bosch, Barcelona, 2025, pp. 133-148.

(19) PELLICER ORTIZ, B., «Los "deepfakes" y su aportación como prueba en los procesos judiciales», en MUNNÉ CATARINA, F. y MIRANDA VÁZQUEZ, C. (dirs.), Desafíos de la probática y del derecho probatorio, J. M. Bosch, Barcelona, 2025, pp. 159-179.

(20) PICÓ I JUNOY, J., El derecho a la prueba en el proceso civil, J. M. Bosch, Barcelona, 1996.

(21) PICÓ I JUNOY, J., «La prueba ilícita: un concepto todavía por definir», La Ley Probática, núm. 1, 2020.

(22) PICÓ I JUNOY, J., «El derecho a la prueba», en PICÓ I JUNOY, J., MENDOZA DÍAZ, J. y MANTECÓN RAMOS, A. (dirs.), La prueba a debate: diálogos hispano-cubanos, J. M. Bosch, Barcelona, 2021, pp. 19-60.

(23) PICÓ I JUNOY, J., «La prueba ilícita: una mirada desde el derecho comparado», en ANDINO LÓPEZ, J. A. y PICÓ I JUNOY, J. (dirs.), Prueba y derecho. Algunas reflexiones críticas, J. M. Bosch, Barcelona, 2025, pp. 55-68.

(24) SALVADOR CERQUEDA, A., «Principales conceptos», en SALVADOR CERQUEDA, A. (coord.), Tratado de Protección de Datos Personales, Atelier, Barcelona, 2025, pp. 61-70.

(25) TRUJILLO CABRERA, C., «El derecho a la propia imagen (y a la voz) frente a la inteligencia artificial», InDret, núm. 1, 2024, pp. 74-113.

(26) MEGÍAS QUIRÓS, J. J., «Actividades personales y domésticas excluidas del ámbito de aplicación (Comentario al artículo 2.2.c RGPD y al artículo 2.2.a LOPDGDD)», en TRONCOSO REIGADA, A. (ed.), Comentarios al Reglamento General de Protección de Datos y a la Ley Orgánica de Protección de Datos Personales y Garantía de los Derechos Digitales, Thomson Reuters Aranzadi, 2021, pp. 355-375.

Documentos institucionales

(27) Agencia Española de Protección de Datos (2025). «Riesgos para la protección de datos al utilizar servicios que convierten fotografías a formato Ghibli o similares». AEPD [en línea].

(28) Coalition for Content Provenance and Authenticity (C2PA). Estándar técnico abierto para la verificación del origen y el historial de modificaciones de contenido multimedia.

(29) Crown Prosecution Service (Reino Unido). Orientaciones para el manejo de pruebas digitales en casos que involucran deepfakes.

(30) Judicial Conference of the United States, Advisory Committee on Evidence Rules. Working draft de la propuesta de nueva Rule 901(c), Agenda Book, 8 de noviembre de 2024 (el Comité ha optado por priorizar, en su lugar, la nueva Rule 707 sobre prueba generada por procesos automatizados, manteniendo la 901(c) como borrador disponible para retomarse en el futuro).

(31) Parlamento Europeo (2021). «Tackling deepfakes in European policy». Estudio del Servicio de Estudios del Parlamento Europeo (EPRS).

(32) Comisión Europea (2026). Código de Prácticas sobre el marcado y etiquetado de contenido generado por IA. Versión final publicada el 10 de junio de 2026. Las obligaciones del art. 50 RIA son aplicables desde el 2 de agosto de 2026 (período transitorio hasta el 2 de diciembre de 2026 para el marcado del apartado 2 en sistemas preexistentes).

(33) ASENCIO MELLADO, J. M., «La STC 97/2019, de 16 de julio: descanse en paz la prueba ilícita», Diario La Ley, núm. 9499, 2019; LORCA NAVARRETE, A., «¡¡La prueba ilícita ha muerto. Viva la prueba ilícita (en el proceso justo)!!», disponible en: http://leyprocesal.com/leyprocesal/de/la-prueba-ilicita-ha-muerto-viva-la-prueba-ilicita-en-el-proceso-justo.asp

(34) Anteproyecto / Proyecto de Ley Orgánica de protección civil del derecho al honor, a la intimidad personal y familiar y a la propia imagen (Consejo de Ministros, 13 de enero y 7 de julio de 2026).

(35) Proyecto de Ley Orgánica para la protección de las personas menores de edad en los entornos digitales.