Multa de la AEPD por difusión de deepfakes sexuales con IA: todo lo que debes saber

Multa de la AEPD por difusión de deepfakes sexuales con IA: todo lo que debes saber

Ricardo Scarpa (derechoartificial.com)

La Agencia Española de Protección de Datos sanciona por primera vez la difusión de imágenes íntimas falsas generadas con inteligencia artificial. El caso afecta a menores y sienta un precedente clave en materia de deepfakes y RGPD.

¿Qué ha pasado? El caso en tres claves

La Agencia Española de Protección de Datos (AEPD) ha resuelto un expediente sancionador —EXP202503445— contra una persona que participó en la difusión de imágenes manipuladas con inteligencia artificial. Las imágenes asociaban los rostros reales de personas (con indicios de que entre ellas había menores) a cuerpos desnudos que no les pertenecían. Las imágenes se compartieron en grupos de mensajería y llegaron a publicarse en plataformas como OnlyFans y páginas pornográficas.

El infractor, identificado como A.A.A. (nombre anonimizado en la resolución pública), es menor de edad. Sus progenitores, en calidad de representantes legales, procedieron al reconocimiento de responsabilidad y al pago voluntario de la sanción: 1.200 euros, resultado de aplicar dos reducciones del 20% sobre la multa base de 2.000 euros prevista por la AEPD.

¿Por qué es importante este caso?

• Primera sanción de la AEPD por deepfakes sexuales con IA: Sienta precedente sobre la aplicación del RGPD a este tipo de contenidos.

• Confirma que los deepfakes son un tratamiento de datos personales: Aunque el cuerpo sea falso, el rostro real es un dato personal protegido por ley.

• La difusión —no solo la creación— genera responsabilidad: Compartir estas imágenes en un grupo de mensajería es suficiente para ser sancionado.

• Afecta a menores tanto como víctimas como infractor: La AEPD no exime de sanción por razón de edad y activa mecanismos de protección reforzada.

¿Qué ley se ha aplicado?

La AEPD ha aplicado el artículo 6.1 del Reglamento General de Protección de Datos (RGPD) de la Unión Europea, que exige que todo tratamiento de datos personales tenga una base jurídica legítima. En este caso —como en todos los deepfakes sexuales no consentidos— no existe ninguna base que justifique el tratamiento: ni consentimiento, ni contrato, ni obligación legal, ni ninguna otra.

La infracción se califica como muy grave (artículo 72.1 de la LOPDGDD), con un plazo de prescripción de tres años. La sanción máxima posible sería de hasta 20 millones de euros, aunque la AEPD fijó una cuantía muy reducida atendiendo a las circunstancias del caso (particularmente la minoría de edad del infractor y su condición de persona física sin actividad empresarial).

Si eres víctima de un deepfake, ¿qué puedes hacer?

1. Presenta una reclamación ante la AEPD: Puedes hacerlo a través de la sede electrónica de la Agencia. La AEPD investigará y, en su caso, sancionará a los responsables.

2. Solicita la retirada de las imágenes: Tienes derecho a exigir a las plataformas que eliminen las imágenes bajo el «derecho al olvido» o derecho de supresión del artículo 17 del RGPD.

3. Considera la denuncia penal: La difusión de imágenes íntimas sin consentimiento puede constituir también un delito penal. La vía administrativa y la penal son compatibles.

4. Reclama una indemnización: El pago de la sanción por el infractor no extingue tu derecho a ser indemnizado por los daños que te hayan causado. Puedes ejercerlo ante los tribunales civiles.

¿Qué ocurre si has difundido un deepfake?

Si has participado en la creación o difusión de imágenes manipuladas sexualmente sin el consentimiento de la persona afectada, puedes enfrentarte a una sanción administrativa de la AEPD (que puede llegar hasta 20 millones de euros, aunque en casos de particulares suele ser muy inferior), una denuncia penal por parte de la víctima, una reclamación civil de indemnización de daños y perjuicios, y la obligación de eliminar todas las imágenes que estén bajo tu control.

Ser menor de edad no te exime de estas consecuencias en el ámbito administrativo. La AEPD puede sancionar a través de tus representantes legales.

Preguntas frecuentes (FAQ)

¿Un deepfake es ilegal en España? Sí. La difusión de imágenes sexuales manipuladas con IA sin consentimiento de la persona afectada viola el RGPD y puede constituir también un delito penal.

¿La AEPD puede sancionar a un menor? Sí. La LOPDGDD no prevé exención por razón de edad. La sanción se gestiona a través de los representantes legales del menor.

¿Compartir un deepfake en un grupo de WhatsApp es sancionable? Sí, según la AEPD. Participar en la difusión a través de grupos de mensajería puede hacerte responsable del tratamiento ilícito de datos personales.

¿Qué pasa si la imagen es «falsa»? La falsedad del cuerpo no elimina la realidad del dato personal. El rostro real de la víctima es un dato personal protegido por el RGPD con independencia del contexto en el que aparezca.

¿Cuánto puede llegar a ser la multa? La multa máxima prevista por el RGPD para esta infracción es de 20 millones de euros. En el caso analizado, la AEPD fijó una sanción base de 2.000 € atendiendo a las circunstancias personales del infractor.