Imagen generada con IA.
Una resolución reciente de la Agencia Española de Protección de Datos (AEPD) fija un criterio que va a tener recorrido: manipular con inteligencia artificial la fotografía de una persona para generar una imagen sexual sin su consentimiento constituye, por sí mismo, un tratamiento de datos personales sometido al RGPD. No hace falta que la imagen se publique ni que se difunda masivamente. El mero hecho de generarla ya activa la normativa de protección de datos, con independencia de lo que ocurra después.
El criterio de la AEPD: generar la imagen ya es «tratamiento», aunque no se publique
El caso arrancó cuando la madre de una menor recibió una captura de pantalla de una amistad que le advertía de que un compañero de clase de su hija estaba compartiendo una fotografía de la menor, tomada de su propia red social y alterada con IA para que apareciera desnuda. El caso se investigó por dos vías paralelas: la del Juzgado de Menores, que terminó en un acuerdo de conciliación entre las partes, y la de la AEPD, centrada exclusivamente en la vertiente de protección de datos.
En el expediente —el nº EXP202314956, difundido en redes por la abogada Catalina Pou—, la Agencia concluye que capturar una imagen de una red social, manipularla con una herramienta de inteligencia artificial y compartirla por mensajería constituye tratamiento de datos personales sometido al RGPD. Es decir, el propio acto de generar y enviar la imagen, no su publicación posterior en abierto, es lo que la AEPD analiza como tratamiento ilícito.
Por qué este caso complementa (y va más allá) de sanciones anteriores por deepfakes
Hasta ahora, buena parte de las resoluciones y campañas divulgativas sobre deepfakes —incluida la propia campaña de la AEPD contra la IA generativa que analizamos hace unos meses en este blog— habían puesto el foco en la difusión de este tipo de contenido: el daño reputacional y personal que provoca que una imagen manipulada circule por redes sociales o grupos de mensajería. Esta resolución da un paso más allá: sitúa el origen del problema en el momento de la creación de la imagen, no en su viralización.
La AEPD lo expresa con claridad al calificar a quien genera la imagen como responsable del tratamiento, en la medida en que decide los fines y los medios de esa actividad conforme al artículo 4.7 del RGPD. Esto sienta, según reconoce la propia resolución, «una base para futuras actuaciones frente a fenómenos de deepfakes sexuales entre menores» —un precedente que amplía notablemente el terreno en el que la AEPD puede intervenir, incluso cuando el contenido nunca llegue a salir del entorno cercano de la víctima.
Qué significa esto para quienes usan herramientas de IA generativa de imágenes
El mensaje de fondo para cualquier usuario de herramientas de IA generativa de imágenes es que la responsabilidad no empieza cuando se comparte el contenido, sino cuando se genera. Subir la fotografía de una persona real a una herramienta de edición o generación de imágenes con IA para alterarla ya implica un tratamiento de sus datos personales, y ese tratamiento necesita una base jurídica legítima —que en el caso de imágenes sexuales no consentidas, evidentemente, no existe—.
Para las empresas que ofrecen este tipo de herramientas, o que las incorporan en sus productos (edición de fotos, generación de avatares, retoque automático), la resolución refuerza la necesidad de incorporar medidas técnicas que impidan o dificulten este uso indebido, más allá de las condiciones de uso que el usuario acepta y rara vez lee.
Consecuencias legales incluso sin difusión pública del contenido
En el caso concreto analizado, la AEPD no llegó a imponer una sanción económica: archivó el procedimiento porque el acuerdo de conciliación alcanzado en la vía del Juzgado de Menores ya había cumplido una finalidad equivalente a la punitiva. Pero el archivo no debe leerse como una absolución del criterio de fondo: la Agencia deja fijado que generar y compartir —incluso en un círculo cerrado y sin ánimo de viralización— una imagen manipulada con IA es tratamiento ilícito de datos personales, y que como tal puede dar lugar a responsabilidad, tanto para adultos como, con matices por su condición, para menores de edad.
Para cualquier familia, centro educativo o empresa que gestione el uso de dispositivos y aplicaciones por parte de menores, esta resolución es un argumento adicional —y ahora con respaldo expreso de la AEPD— para reforzar la formación en un uso responsable de las herramientas de IA generativa, mucho antes de que cualquier imagen llegue a compartirse.
Fuente: Confilegal
En Dataibérica ayudamos a centros educativos y empresas a revisar sus protocolos de protección de datos de menores y el uso responsable de herramientas de IA. Si quieres revisar tu caso, contacta con nosotros.
