Los deepfakes ya no son un fenómeno lejano reservado a campañas electorales en otros países o a vídeos virales de famosos. Cualquier persona con un móvil y una app gratuita puede generar hoy, en segundos, una imagen o un vídeo hiperrealista de otra persona haciendo o diciendo algo que nunca ocurrió. La Agencia Española de Protección de Datos (AEPD) ha decidido salir al paso de esta banalización con una nueva campaña de concienciación centrada, precisamente, en dejar claro que manipular la imagen de alguien con inteligencia artificial «no es una broma». Para las empresas que tratan imágenes de clientes, empleados o usuarios en sus canales de marketing, la iniciativa es también un aviso a navegantes sobre dónde está el límite legal.
Imagen generada con IA.
En qué consiste la campaña de concienciación de la AEPD
El eje central de la iniciativa es un vídeo divulgativo breve en el que la Agencia muestra, con un ejemplo práctico, cómo una herramienta de IA generativa puede crear un contenido audiovisual realista a partir de una simple fotografía. El vídeo utiliza una pantalla dividida: a un lado, la imagen original; al otro, la versión manipulada. Solo al final se revela que se trata de un montaje hecho con inteligencia artificial y, en este caso concreto, con el consentimiento expreso de la persona retratada.
El presidente de la AEPD, Lorenzo Cotino, ha resumido la idea de fondo señalando que «manipular imágenes de terceros con IA no es algo neutro, incluso en contextos aparentemente banales». La Agencia no busca criminalizar el uso de estas herramientas —que tienen aplicaciones legítimas evidentes, desde el cine hasta el doblaje o la edición fotográfica profesional— sino instalar en el usuario medio la misma reflexión que ya exige a las empresas: antes de tratar la imagen de otra persona, hay que preguntarse con qué base legal se hace.
Esta campaña no nace de la nada. Completa a otros materiales que la AEPD ha publicado en los últimos meses, como la guía «El uso de imágenes de terceros en sistemas de inteligencia artificial y sus riesgos visibles e invisibles» y el documento «Cuidado con lo que le confÍAs», ambos orientados a que la ciudadanía entienda qué ocurre realmente cuando sube una foto a una app de IA o permite que un tercero la manipule.
Recomendaciones antes de crear o difundir un deepfake
La Agencia condensa su mensaje en tres ideas muy concretas, que sirven tanto para un particular como para el community manager de una empresa:
- Infórmate antes de usar la herramienta. Entender cómo funciona un sistema de IA generativa y qué puede hacer con una imagen ajena es el primer paso para valorar el riesgo real de un uso aparentemente inocente.
- Pide siempre consentimiento. Si el contenido incluye la imagen, la voz o los datos de otra persona, su autorización expresa no es opcional: es el requisito legal mínimo para que el tratamiento sea lícito.
- Contrasta antes de difundir. Compartir un contenido generado o manipulado con IA sin verificar su origen contribuye a la desinformación y puede convertir a quien lo reenvía en corresponsable de un daño a la reputación o la intimidad de un tercero.
Para un negocio que utiliza IA generativa en publicidad, vídeos corporativos o contenido para redes sociales, estas tres recomendaciones se traducen en un procedimiento interno mínimo: verificar la fuente de cualquier imagen de persona identificable antes de «recrearla» con IA, guardar constancia del consentimiento obtenido y establecer un filtro de revisión antes de publicar cualquier pieza generada o alterada artificialmente.
Consecuencias legales de compartir contenido manipulado con IA
Aunque la campaña de la AEPD tiene un tono divulgativo, detrás de ella hay un marco legal con dientes. Generar o compartir un deepfake sin consentimiento puede activar, según el caso, varias vías de responsabilidad simultáneas:
Protección de datos: la imagen manipulada también es un dato personal
Una fotografía o un vídeo que permite identificar a una persona es un dato personal en el sentido del artículo 4.1 del RGPD, se haya tomado con una cámara o generado con IA a partir de otra imagen. Capturarla, alterarla con una herramienta de inteligencia artificial y enviarla por redes sociales o mensajería constituye, por tanto, un tratamiento de datos personales sujeto al RGPD, con quien lo realiza actuando como responsable del tratamiento en los términos del artículo 4.7. Sin una base jurídica válida —normalmente el consentimiento— ese tratamiento es ilícito, con independencia de que después haya o no viralización.
Honor, intimidad e imagen, y en su caso, vía penal
Al margen del RGPD, la manipulación de la imagen de una persona sin su permiso puede vulnerar su derecho al honor, a la intimidad y a la propia imagen, protegidos por la Ley Orgánica 1/1982. Cuando el contenido tiene carácter sexual, humillante o se dirige contra menores, el caso puede además derivar hacia la vía penal, con delitos que van desde el descubrimiento y revelación de secretos hasta los tipos específicos introducidos en los últimos años para perseguir la difusión de contenido sexual generado con IA sin consentimiento.
Diferencia con las sanciones ya impuestas por deepfakes
Conviene no confundir esta campaña con una actuación sancionadora: no impone multas ni abre expedientes, es puramente preventiva. Pero la AEPD ya ha demostrado en la práctica que no se queda solo en la teoría. En una resolución conocida en junio de 2026 (expediente EXP202314956), la Agencia analizó el caso de un menor que manipuló con IA una fotografía de una compañera para hacerla aparecer desnuda y la difundió por WhatsApp. La AEPD concluyó que ese menor había actuado «en su condición de responsable del tratamiento, dado que era quien determinaba los fines y medios» de la manipulación, sentando un precedente relevante: el reproche legal no nace solo de la viralización posterior de una imagen, sino del propio acto de tratarla ilícitamente con IA, aunque en ese expediente concreto la vía judicial de menores ya hubiera resuelto el conflicto y la AEPD archivara sin sanción adicional.
La lectura para empresas y particulares es clara: la nueva campaña es el aviso; la resolución de 2026 es la prueba de que, cuando el caso llega a la AEPD, la Agencia ya tiene un criterio consolidado para tratar la creación de un deepfake como lo que jurídicamente es, un tratamiento de datos personales, con las consecuencias sancionadoras que ello puede llegar a implicar.
Conclusión y preguntas frecuentes
La campaña «los deepfakes no son una broma» resume en una frase el cambio de mentalidad que exige la AEPD: lo que hasta hace poco se percibía como un filtro divertido de una app puede ser, legalmente, el tratamiento ilícito del dato personal de otra persona. Para las empresas que trabajan con imagen de clientes, empleados o influencers en sus campañas, el mensaje es doble: revisar los procesos internos de consentimiento antes de usar IA generativa con imágenes de personas identificables, y formar al equipo de marketing o comunicación en estos límites antes de que un contenido «creativo» termine convertido en una reclamación.
¿Necesito el consentimiento de la persona si el deepfake es evidentemente una broma o una parodia? Sí. El carácter humorístico o paródico no elimina la necesidad de una base jurídica para tratar la imagen de un tercero; en todo caso, puede matizar la gravedad del caso, pero no lo excluye del RGPD.
¿Puede mi empresa usar IA generativa con fotos de clientes para marketing? Solo si cuenta con una base jurídica válida y, en la práctica, con el consentimiento informado y específico de las personas cuya imagen se va a manipular o recrear con IA.
Si tu empresa utiliza herramientas de inteligencia artificial generativa en marketing, atención al cliente o comunicación, en DataIbérica podemos revisar tus procesos de consentimiento y tu cumplimiento del RGPD antes de que un uso aparentemente inocente se convierta en un problema legal.
Fuente principal: elDerecho.com — «La AEPD promueve el uso responsable de la IA con una iniciativa sobre deepfakes».
