Imagen generada con IA.
Durante años, la respuesta legal frente a los llamados «deepfakes» sexuales se ha buscado casi en exclusiva en el Código Penal. Pero la Agencia Española de Protección de Datos (AEPD) ha empezado a dejar claro que estos casos también tienen una lectura desde el RGPD, y que esa lectura abre una vía adicional —y en muchos casos más rápida de activar— para las familias afectadas. El detonante fueron los casos, ya conocidos públicamente, de menores que usaron aplicaciones de inteligencia artificial para generar imágenes de contenido sexual a partir de fotografías reales de compañeras de clase, sin su consentimiento. La AEPD ha confirmado que esa manipulación con IA es, ella misma, un tratamiento de datos personales sometido al RGPD, con independencia de la vía penal que pueda seguir en paralelo.
El caso: generación de contenido sexual con IA a partir de fotos reales de menores
El supuesto que ha llegado a la AEPD parte de una situación que se ha repetido, con distintas variantes, en varios institutos españoles: un menor descarga una fotografía que una compañera ha subido a sus redes sociales y utiliza una aplicación de inteligencia artificial generativa para «quitarle la ropa» digitalmente, produciendo una imagen sexualizada y falsa a partir de su rostro real. Esa imagen manipulada se difunde después entre compañeros, normalmente a través de WhatsApp u otras redes sociales.
Cuando los hechos llegan a conocimiento de las familias, se suelen abrir dos vías paralelas: la penal o de reforma de menores, ante el Juzgado de Menores, y la de protección de datos, mediante una denuncia ante la AEPD. La Agencia ha tramitado ya varios expedientes sobre esta cuestión, incluidos casos derivados de la investigación abierta en 2023 a raíz de la difusión mediática del conocido como «caso Almendralejo», en el que se sancionó a la persona responsable de difundir fotografías de menores manipuladas con IA para que aparentaran estar desnudas.
¿Por qué esto es «tratamiento de datos personales» bajo el RGPD?
La clave jurídica del razonamiento de la AEPD es sencilla de entender aunque tenga mucho recorrido técnico: una fotografía de una persona identificable es un dato personal, y cualquier operación que se haga sobre ella —descargarla, modificarla con una herramienta de IA, reenviarla— constituye un tratamiento de datos personales en el sentido del artículo 4.2 del RGPD, sin que importe que quien lo haga sea un particular, un menor de edad o una empresa.
La Agencia ha señalado además que, en estos casos, quien genera y difunde la imagen actúa como responsable del tratamiento conforme al artículo 4.7 del RGPD, «dado que es quien determina los fines y medios» de esa actividad: decide qué imagen manipular, con qué herramienta, con qué resultado y a quién enviarla. Es decir, no hace falta ser una empresa ni actuar con ánimo comercial para asumir esa condición: basta con decidir por cuenta propia qué se hace con los datos personales de otra persona.
Este planteamiento es relevante porque abre una puerta adicional a la exclusivamente penal: aunque en algunos casos la responsabilidad penal del menor autor de los hechos se resuelva por la vía de reforma —con medidas educativas, conciliación o reparación del daño—, la calificación del hecho como tratamiento ilícito de datos personales permite además activar la maquinaria de protección de datos, con sus propios plazos, garantías y posibilidad de sanción.
Qué dice la resolución de la AEPD
En los expedientes conocidos, la AEPD ha fijado un criterio claro: la manipulación de una fotografía real mediante inteligencia artificial para generar contenido sexual, y su posterior envío por redes sociales o aplicaciones de mensajería, constituye tratamiento de datos personales sujeto al RGPD, con independencia de que la imagen no llegue a viralizarse de forma masiva. Para la Agencia, el problema de fondo no es la difusión a gran escala, sino el propio tratamiento ilícito de la imagen desde el momento en que se manipula sin consentimiento.
En algún caso concreto, la AEPD ha optado por archivar el expediente sin imponer sanción económica al constatar que, por la vía de reforma de menores, ya se había alcanzado un acuerdo de conciliación entre las partes que cumplía una finalidad equivalente a la de la sanción. Pero el archivo del caso concreto no resta valor al criterio jurídico fijado: la Agencia ha dejado establecido que este tipo de conductas encajan en el RGPD y son, por tanto, susceptibles de sanción en protección de datos cuando no concurran esas circunstancias atenuantes, sentando un precedente relevante de cara a casos futuros.
Responsabilidad de quien crea y de quien difunde el contenido
Conviene distinguir dos comportamientos que, aunque suelen darse juntos, tienen relevancia jurídica propia:
- Quien genera la imagen manipulada con una herramienta de IA a partir de una fotografía real sin consentimiento del afectado ya está realizando un tratamiento ilícito de datos personales desde el momento de la creación, aunque no llegue a compartirla con nadie.
- Quien reenvía o redifunde una imagen de este tipo —aunque no la haya creado— realiza también un tratamiento de datos personales al comunicarla a terceros, lo que puede generar responsabilidad propia, independiente de la del creador original.
A esto se suma que, cuando el contenido es de naturaleza sexual y afecta a un menor de edad, los hechos pueden constituir además un ilícito penal (por ejemplo, delitos relacionados con pornografía infantil o contra la integridad moral, según las circunstancias concretas), cuya persecución corresponde a las autoridades policiales y judiciales, en paralelo y sin perjuicio de la vía de protección de datos.
Qué pueden hacer los padres o tutores si detectan un caso así
Si unos padres o tutores descubren que se ha generado o difundido una imagen manipulada de este tipo sobre un hijo o hija menor de edad, conviene actuar en varios frentes a la vez, sin esperar a que una vía excluya a la otra:
- Conservar la prueba (capturas de pantalla, conversaciones, la propia imagen) sin viralizarla más allá de lo estrictamente necesario para la denuncia.
- Denunciar los hechos ante la Policía o la Guardia Civil, dado que pueden ser constitutivos de delito, especialmente cuando el contenido tiene carácter sexual y afecta a un menor.
- Presentar una reclamación ante la AEPD por tratamiento ilícito de datos personales, en paralelo a la vía penal, aportando la prueba disponible y la identificación de quien generó o difundió la imagen, si se conoce.
- Solicitar la retirada del contenido en las plataformas o redes donde se haya difundido, utilizando sus canales de denuncia de contenido íntimo no consentido, que suelen actuar con prioridad en casos que afectan a menores.
- Buscar apoyo del centro educativo cuando los hechos hayan ocurrido en el entorno escolar, ya que los protocolos de convivencia y, en su caso, la normativa de protección de la infancia frente a la violencia (LOPIVI) pueden activar medidas adicionales de protección para la menor afectada.
Conclusión
La doctrina que empieza a consolidar la AEPD en estos casos tiene una consecuencia práctica importante: generar o difundir una imagen sexualizada de otra persona mediante IA, a partir de una fotografía real y sin su consentimiento, no es una conducta que quede fuera del alcance de la protección de datos solo porque no se persiga con fines comerciales o porque su autor sea menor de edad. Es tratamiento de datos personales, y como tal, puede dar lugar a responsabilidad en materia de RGPD además de la que corresponda por otras vías.
En Dataibérica ayudamos a centros educativos, empresas y particulares a entender sus obligaciones frente a la inteligencia artificial generativa y los riesgos de protección de datos que plantea. Si necesitas asesoramiento sobre un caso concreto, contacta con nosotros.
Fuente principal: ElDerecho.com — ¿Puede generarse contenido sexual con IA a partir de imágenes reales de menores?.
