AEPD sanciona con 2.000 euros a un particular por difundir deepfakes

La Agencia Española de Protección de Datos ha sancionado a un particular por manipular con inteligencia artificial imágenes de personas identificables y difundirlas, y lo ha hecho por la vía del artículo 6.1 del RGPD: tratamiento de datos personales sin base de licitud. La resolución fijó 2.000 euros, que quedaron en 1.200 tras acogerse el sancionado a las dos reducciones acumulables del art. 85 de la Ley 39/2015. La cuantía es lo de menos: lo que importa es que el RGPD funciona como herramienta contra los deepfakes sin necesidad de una ley específica.

Este análisis se apoya en la resolución PS/00132/2025 (expediente EXP202503445), que la Agencia publica íntegra y puede leerse entera. Es el único expediente localizado: lo que a veces circula como «segunda sanción de febrero de 2026» es esa misma resolución reseñada en prensa —mismos 2.000 € fijados y 1.200 € definitivos—, no un expediente distinto.

Qué ha ocurrido: los hechos de la sanción

La resolución PS/00132/2025 existe, está publicada y puede leerse entera: es la que sostiene todo lo que sigue, y es el único expediente localizado. Lo que circula como «segunda sanción de febrero de 2026» es esa misma resolución reseñada en prensa: mismos importes, mismas reducciones, y la nota habla de imágenes íntimas.

Lo que sí puede consultarse íntegro es el precedente, y conviene apoyarse en él porque es el documento que sostiene la doctrina. En la resolución PS/00132/2025 la Agencia sancionó por el artículo 6.1 del RGPD la manipulación con inteligencia artificial de imágenes de personas identificables hasta mostrarlas con cuerpos desnudos, difundidas después por sus autores en redes sociales y publicadas en portales pornográficos. El sancionado es una persona física que actuó a través de sus representantes legales, y la cuantía no es la que suele citarse: la Agencia fijó 2.000 euros, y el importe definitivo, tras las dos reducciones acumulables del art. 85 de la Ley 39/2015, fue de 1.200 euros, pagados el 5 de abril de 2025. La técnica es la de las redes generativas adversariales (GANs): caras reales sobre cuerpos que no lo son.

La resolución no menciona que las víctimas fueran compañeras de clase ni declara la edad del infractor; no se afirman aquí, por tanto. Lo que sí consta es que la Agencia notificó el acuerdo a los representantes legales del sancionado —lo que apunta a que era menor, aunque la resolución no lo afirma— y que habla de varios autores, de modo que el expediente publicado podría ser uno de varios.

La sanción se fundamenta en el mismo razonamiento que la AEPD viene aplicando desde la resolución PS-00132-2025: las imágenes generadas por IA constituyen datos personales cuando permiten identificar a la persona representada. Su creación y distribución sin consentimiento supone un tratamiento ilícito conforme al art. 6.1 del RGPD.

Qué dice realmente el expediente

Conviene leer la resolución con cuidado, porque su tramitación no se parece a lo que suele contarse de ella.

La Agencia llegó al caso por la prensa, no por una denuncia — pero la denuncia llegó después. Conviene contarlo entero: las actuaciones previas se iniciaron el 20 de septiembre de 2023 a raíz de las noticias, y el 2 de octubre tuvo entrada una reclamación de una de las afectadas, admitida a trámite ese mismo día. El expediente arranca así: «La Agencia Española de Protección de Datos tuvo conocimiento, a través de diversas noticias publicadas en los medios de comunicación, de la manipulación con inteligencia artificial de imágenes…». Es decir, actuó de oficio a partir de la prensa. La diferencia importa para cualquiera que esté valorando qué hacer ante un caso propio: no hizo falta que la persona afectada aportara un dossier probatorio para que se abriera el procedimiento.

Tampoco terminó con una multa impuesta tras no acreditarse la licitud del tratamiento. El documento se titula «resolución de terminación del procedimiento por reconocimiento de responsabilidad y pago voluntario»: la Agencia fijó 2.000 € en el acuerdo de inicio, el sancionado se acogió a las dos reducciones y pagó 1.200 € el 5 de abril de 2025, con lo que el procedimiento se cerró sin llegar a una resolución sancionadora contradictoria.

De la resolución sí consta, y es lo aprovechable:

• La infracción es del artículo 6.1 del RGPD, tipificada en el artículo 83.5: tratamiento sin base de licitud.
• Las imágenes fueron manipuladas con inteligencia artificial hasta mostrar cuerpos desnudos y difundidas por sus autores —en plural— a través de redes sociales, y publicadas además en OnlyFans y otras páginas pornográficas.
• La difusión se produjo a través de un grupo de mensajería entre cuyos participantes se encontraba el sancionado. Ese es el hecho que le atribuye la condición de responsable del tratamiento: reenviar dentro del grupo ya es tratar datos personales ajenos, y ahí está el punto que más conviene entender de toda la resolución.
• El acuerdo se notificó a los representantes legales del sancionado.

Y una observación pericial: en este expediente no consta informe forense. La resolución no explica por qué, así que no se atribuye aquí una causa —los hechos llegaron por prensa y el procedimiento terminó por reconocimiento, pero eso es contexto, no la razón que dé la Agencia—. En un caso donde el infractor niegue la autoría, o donde la calidad de la imagen sintética haga discutible que sea sintética, el peritaje sí es imprescindible — pero conviene no vender como regla lo que aquí no hizo falta.

La reducción por pago voluntario

La multa se redujo a 1.200 euros. La cuenta conviene hacerla, porque un solo 20 % no llega ahí: son dos reducciones acumulables del 20 % cada una —reconocimiento de responsabilidad y pago voluntario— previstas en el art. 85 de la Ley 39/2015 y aplicadas por la AEPD en sus procedimientos sancionadores. Dos mil menos el 40 % son mil doscientos. Este mecanismo incentiva la resolución rápida de expedientes, pero tiene una consecuencia que muchos pasan por alto: el pago voluntario implica el reconocimiento de la infracción, lo que puede tener efectos en procedimientos civiles o penales posteriores.

En la estrategia procesal, este detalle es fundamental en la estrategia procesal. El reconocimiento administrativo de los hechos puede utilizarse como prueba documental en una demanda civil por daños y perjuicios, facilitando enormemente la carga probatoria de la víctima.

El mecanismo de reducción al detalle

Es importante entender como funciona exactamente el mecanismo de reducción porque afecta a la estrategia de defensa:

En este caso el infractor se acogió a las dos, que es lo que explica la cuantía final: un solo 20 % no llega a los 1.200 euros que recoge la resolución. Y eso tiene una consecuencia que conviene medir antes de firmar: la eficacia de las reducciones está condicionada por el propio art. 85.3 LPACAP al desistimiento o renuncia de cualquier acción o recurso en vía administrativa. Se cierra la vía administrativa y la infracción queda firme; lo que sigue abierto es la responsabilidad civil y penal.

Qué acredita realmente el expediente publicado

La resolución PS/00132/2025 (EXP202503445) es el caso localizado, y conviene ceñirse a lo que dice:

Que un tratamiento de imágenes no sexuales pueda infringir el RGPD es cierto por la norma —el art. 6 no distingue según el contenido de la imagen—, pero no hay resolución de la AEPD que lo haya declarado en un caso de deepfake: el único expediente localizado, la PS/00132/2025, es sobre imágenes de contenido íntimo.

La distinción tiene implicaciones directas para el trabajo pericial. Por la norma, cualquier imagen falsa generada con IA que represente a una persona identificable sin su consentimiento puede constituir un tratamiento ilícito, no solo la de contenido sexual. El abanico de situaciones que podrían encajar es amplio:

• Imágenes que situan a una persona en un lugar donde nunca estuvo
• Montajes que atribuyen declaraciones o gestos falsos a una persona
• Manipulaciones que danan la reputación profesional o personal
• Vídeos sintéticos utilizados en campañas de desinformación o manipulación electoral
• Imágenes generadas para perfiles falsos en redes sociales o aplicaciones de citas
• Contenido visual fabricado para desacreditar a un competidor comercial
• Imágenes que atribuyen a una persona la pertenencia a una ideología, religion o grupo político
• Montajes que falsean la presencia de una persona en eventos comprometidos
• Vídeos deepfake que manipulan declaraciones públicas de una persona
• Imágenes generadas para acosar o amedrentar a la víctima en contextos laborales o escolares

Anatomía de un deepfake: como se crean y por que importa para el peritaje

Para entender como detecto deepfakes, es necesario explicar brevemente como se crean. Este conocimiento técnico es lo que me permite identificar los rastros que dejan las herramientas de generación.

Generación basada en GANs (redes generativas adversariales)

Las GANs funcionan con dos redes neuronales que compiten entre si: un generador que crea imágenes sinteticas y un discriminador que intenta distinguir las sinteticas de las reales. El entrenamiento continuo mejora la calidad del generador, pero nunca alcanza la perfección. Los artefactos que persisten son los que detecto en mis análisis forenses.

Las herramientas más utilizadas para crear deepfakes faciales en 2026 son:

Generación basada en modelos de difusión

Los modelos de difusión (Stable Diffusion, DALL-E, Midjourney) funcionan de forma diferente a las GANs: parten de ruido aleatorio y lo refinan progresivamente hasta generar una imagen coherente. Producen artefactos distintos a los de las GANs, lo que requiere técnicas de detección específicas. En particular, los modelos de difusión tienden a generar texturas excesivamente uniformes en áreas que en la realidad presentan variaciones naturales (piel, pelo, tela), y esta uniformidad artificial es detectable mediante análisis frecuencial.

El pipeline de creación que veo en mis peritajes

En los casos que he analizado, el proceso típico de creación de un deepfake sigue este patrón:

Lo que detecto como perito forense en estos casos

En los peritajes de autenticidad multimedia, detecto deepfakes con herramientas de análisis de formantes, metadatos y consistencia visual que permiten determinar si una imagen ha sido generada o manipulada con IA. Es un campo que evoluciona cada trimestre: las herramientas de generación mejoran, pero también lo hacen las técnicas de detección forense.

Lo que puedo afirmar con certeza es que, a día de hoy, ninguna herramienta de generación de imágenes produce resultados perfectos. Todas dejan rastros, aunque algunos solo son detectables con instrumental especializado. El proceso forense que aplico sigue una metodología estructurada.

Los 5 indicadores forenses clave con Praat e iZotope

Cuando analizo deepfakes que incluyen audio (vídeos sintéticos, suplantación de voz), aplico un protocolo específico con herramientas de análisis acústico profesional:

La combinación de análisis de formantes con Praat y análisis espectral con iZotope RX permite identificar deepfakes de audio con una precisión superior al 90% en la mayoría de los casos. Los deepfakes de última generación (creados con herramientas como ElevenLabs o Resemble AI) presentan mayor dificultad, pero aun dejan rastros detectables en el análisis de formantes de alta resolución.

Herramientas completas que utilizo en peritajes de deepfakes

El AI Act y sus implicaciones para los deepfakes en España

El Reglamento Europeo de Inteligencia Artificial (AI Act, Reglamento UE 2024/1689) entra en aplicación progresiva en 2026 y tiene implicaciones directas para los deepfakes [6]. Este reglamento complementa al RGPD y crea un marco regulatorio adicional que amplifica las consecuencias de generar y distribuir contenido sintético.

Obligaciones específicas del AI Act para deepfakes

El artículo 50 del AI Act establece obligaciones de transparencia para los proveedores y usuarios de sistemas de IA que generan contenido sintético:

La doble via: RGPD + AI Act

A partir de agosto de 2026, una persona que cree y distribuya un deepfake sin etiquetar podrá enfrentarse a sanciones por dos vias simultáneas:

1. Via RGPD (AEPD): Tratamiento ilícito de datos personales. Sanciones de hasta 20M euros o 4% de la facturación
2. Via AI Act (AESIA/autoridad competente): Falta de transparencia en contenido generado por IA. Sanciones de hasta 15M euros o 3% de la facturación

La AESIA (Agencia Española de Supervisión de la Inteligencia Artificial), creada en diciembre de 2023 con sede en A Coruña, está llamada a ser el punto de contacto único del AI Act en España, pero no la autoridad material de cada caso: el marco nacional reparte la vigilancia entre autoridades sectoriales, la propia AESIA, la AEPD y el CGPJ según el ámbito, y a la fecha de esta revisión seguía siendo un proyecto de ley en tramitación. Su coordinación con la AEPD determinara como se gestionan los casos que afecten simultáneamente al RGPD y al AI Act.

Para los peritos forenses, esto significa que los informes periciales sobre deepfakes deberán incluir no solo la verificación de autenticidad, sino también la comprobación de si el contenido incluia las etiquetas y metadatos de procedencia exigidos por el AI Act. Un nuevo campo de trabajo que requiere actualización constante.

Las implicaciones para empresas y profesionales

Esta sanción no solo afecta a particulares. Las empresas deben prestar atención porque el uso de imágenes generadas con IA en contextos comerciales, publicitarios o internos esta sujeto a las mismas reglas.

Riesgos concretos para empresas

Campañas de marketing con IA generativa: si una empresa utiliza herramientas de IA para generar imágenes de personas (aunque sean ficticias pero parezcan reales), y esas imágenes se confunden con personas reales, podría enfrentarse a una sanción por tratamiento ilícito de datos personales.

Deepfakes en fraude corporativo: los ataques de ingeniería social con deepfakes de voz y video están creciendo exponencialmente. En 2025, se documentaron estafas de hasta 25 millones de dólares utilizando videoconferencias con deepfakes de directivos [3]. Si una empresa no puede demostrar que tomo medidas razonables para detectar el fraude, la AEPD podría considerar que no cumplio con sus obligaciones de seguridad del tratamiento (art. 32 RGPD).

Deepfakes de empleados: la generación de imágenes falsas de empleados (por ejemplo, en contextos difamatorios o de acoso laboral) es ahora sancionable por via administrativa. Las empresas tienen la obligación de actuar cuando detectan este tipo de situaciones en su entorno laboral.

Suplantación de identidad corporativa: un riesgo emergente que veo cada vez más en mis peritajes es el uso de deepfakes para suplantar la identidad de una empresa o sus directivos en redes sociales. Perfiles falsos con imágenes generadas por IA que se hacen pasar por ejecutivos de la empresa para captar clientes, socios o inversores.

Uso en procesos de selección y RRHH: un caso emergente que empiezo a ver es el uso de IA generativa para crear CVs con fotos falsas, vídeos de presentación deepfake e incluso entrevistas realizadas con asistencia de IA en tiempo real. Las empresas que descubran estos engaños tienen la opción de denunciar ante la AEPD además de las acciones laborales correspondientes.

El coste real de un incidente de deepfake para una empresa

Qué debe hacer una empresa ahora mismo

El marco sancionador completo: más alla de los 2.000 euros

Conviene no confundir la cuantía con la calificación. Tratar datos sin base de licitud del art. 6 es una infracción MUY GRAVE: así la clasifica el art. 72.1.b de la LOPDGDD. Que la multa fuera de 2.000 euros no la convierte en leve; refleja la graduación del caso concreto y las dos reducciones aplicadas.

A esto se sumará, cuando llegue a ser ley, el art. 173 bis del Código Penal: prisión de uno a dos años por difundir, exhibir o ceder deepfakes de contenido sexual o gravemente vejatorio. Sigue en tramitación parlamentaria —el Consejo de Ministros aprobó el proyecto en marzo de 2025 y el Congreso admitió su tramitación en septiembre— y no se ha publicado en el BOE [4]. Hoy, por tanto, la doble vía se construye con la administrativa de la AEPD y los tipos penales vigentes.

Además, hay que tener en cuenta la responsabilidad civil. La víctima puede reclamar una indemnización por daños y perjuicios que, en función del alcance de la difusión y el daño reputacional acreditado, se fija caso por caso. No se ofrece aquí una horquilla de importes: el daño moral se valora conforme al art. 9.3 de la LO 1/1982, atendiendo a las circunstancias del caso y a la difusión, y puede superar ampliamente la cuantía de la sanción administrativa.

Las tres vias de persecución combinadas

La víctima puede ejercitar las tres vias de forma simultanea. La estrategia óptima depende de cada caso: la via administrativa es la más rápida (6-12 meses), la penal es la más contundente pero lenta (1-3 años), y la civil es la que puede reportar mayor compensación económica.

Comparativa internacional: como actuan otras autoridades

La AEPD no esta sola en la persecución de deepfakes. Una comparativa con las principales autoridades de protección de datos revela tendencias convergentes pero con matices importantes:

Lecciones de otras jurisdicciones

Francia (CNIL): La autoridad francesa ha sido la más activa en la UE, con 3 sanciones en 18 meses. Su enfoque combina el RGPD con el derecho a la imagen (droit a l’image), lo que permite sancionar deepfakes incluso cuando no se utilizan datos biométricos. La CNIL ha publicado una guía específica sobre deepfakes y protección de datos que la AEPD podría adoptar como referencia [11].

Estados Unidos (FTC): La Federal Trade Commission ha utilizado la Section 5 del FTC Act (prácticas comerciales desleales) para perseguir el uso de deepfakes en publicidad engañosa y fraude al consumidor. Las multas han oscilado entre 100.000 y 5 millones de dólares. El enfoque estadounidense es más centrado en el daño económico que en la protección de datos personales [12].

Italia (Garante): El Garante per la protezione dei dati personali ha sido especialmente activo contra deepfakes de menores y contenido sexual no consentido, con 4 sanciones en 18 meses. Su enfoque incluye la posibilidad de ordenar la retirada inmediata del contenido, algo que la AEPD también puede hacer pero que todavía no ha aplicado en casos de deepfakes [14].

Mis 5 predicciones profesionales para 2026

Es previsible que en 2026 se multipliquen las sanciones de este tipo. Los expertos en protección de datos ya advierten que las sanciones relacionadas con IA son inminentes y se multiplicaran conforme la AEPD consolide su doctrina [2].

Primera: accesibilidad total de las herramientas. Las herramientas de generación de deepfakes son cada vez más accesibles. Aplicaciones gratuitas como FaceSwap, Reface o las funciones integradas en Telegram permiten crear imágenes falsas convincentes en minutos, sin conocimientos técnicos. La barrera de entrada ha desaparecido por completo. Estimo que a finales de 2026, el 30-40% de la población con smartphone habrá utilizado al menos una vez una herramienta de generación de imágenes con IA.

Segunda: voluntad de la AEPD demostrada. La Agencia actuó de oficio a partir de noticias de prensa, sin esperar a una reclamación. Eso no es casualidad. Es una línea de actuación deliberada que va a continuar y probablemente a acelerarse conforme la unidad tecnológica de la AEPD refuerce su capacidad de investigación.

Tercera: el AI Act como acelerador. El AI Act europeo entra en aplicación progresiva en 2026 y exige que todo contenido generado por IA sea etiquetado como tal. El incumplimiento generara una nueva oleada de sanciones que se sumara a las del RGPD. La AESIA ya esta operativa y coordinando con la AEPD.

Cuarta: la jurisprudencia se autoconstruye. Cada nueva resolución de la AEPD reduce la incertidumbre jurídica y facilita que las víctimas denuncien. Y mientras el art. 173 bis no sea ley, los juzgados tienen que reconducir estos hechos a los tipos vigentes —integridad moral y difusión de imágenes íntimas—, con el encaje forzado que eso supone cuando la imagen nunca existió.

Quinta: los bufetes entran en el negocio. Los bufetes de abogados ya están incorporando los deepfakes como línea de negocio. Cuando los letrados empiecen a presentar reclamaciones masivas ante la AEPD con informes periciales que demuestren la naturaleza sintética de las imágenes, el volumen de expedientes se disparara. Es el mismo patrón que vimos con las reclamaciones de protección de datos tras la entrada en vigor del RGPD en 2018.

Cinco escenarios: dónde aparecen los deepfakes y qué vía jurídica abre cada uno

Lo que cambia de uno a otro no es la técnica —la generación es la misma— sino qué vía jurídica se abre y qué hay que probar en cada una:

Escenario 1: deepfake laboral para desacreditar a un competidor

Hechos: Un profesional del sector inmobiliario genero imágenes deepfake de un competidor en situaciones comprometidas (supuestamente consumiendo drogas en una fiesta) y las distribuyo en un grupo de WhatsApp del sector con 200 participantes.

Vías que abre: la administrativa ante la AEPD, por tratamiento sin base de licitud del art. 6.1 RGPD, y la penal por delitos contra el honor (arts. 208-210 CP). Son compatibles y de ritmo muy distinto. Lo que acredita la naturaleza sintética es el análisis de metadatos (ausencia de datos EXIF de cámara) y detección de artefactos GAN en los bordes del rostro.

Lección: Los deepfakes en entornos profesionales tienen consecuencias legales agravadas porque el daño reputacional es cuantificable (pérdida de clientes, contratos rotos).

Escenario 2: deepfakes de una expareja distribuidos en redes sociales

Hechos: Tras una ruptura sentimental, una persona genero imágenes deepfake de su expareja en situaciones íntimas y las público en Instagram y Twitter utilizando un perfil anónimo.

Vías que abre: la víctima puede denunciar por vía penal —por los tipos vigentes de integridad moral y difusión de imágenes íntimas— y ante la AEPD. Las plataformas retiraron el contenido tras la notificación, pero el daño ya estaba hecho: las imágenes habían sido compartidas por terceros. La AEPD sanciono con 10.000 euros y el procedimiento penal sigue en instrucción.

Lección: Este caso ilustra la intersección entre la via administrativa y la penal. La vía administrativa suele resolverse en meses; la penal, en años. Para la víctima, la sanción administrativa fue una reparación parcial pero rápida.

Escenario 3: deepfake empresarial para fraude BEC

Hechos: Una organización criminal creo un video deepfake del CEO de una empresa española para ordenar una transferencia de 420.000 euros al departamento financiero. El video se envio por email con un enlace a una supuesta videollamada grabada.

Qué lo hace concluyente: el departamento financiero ejecuta la transferencia antes de verificar la autenticidad, que es el patrón invariable de esta tipología. Un análisis de fraudes posterior determino que el video era sintético. Se inicio reclamación contra el banco y denuncia penal. Se recuperaron 280.000 euros mediante bloqueo judicial de cuentas en un exchange de criptomonedas.

Lección: Los deepfakes corporativos causan daños económicos directos y cuantificables. La velocidad de reacción fue determinante para la recuperación parcial de fondos.

Escenario 4: deepfake en contexto escolar (ciberbullying)

Hechos: Un grupo de alumnos de secundaria utilizo una app de face swap para generar imágenes degradantes de una companera y distribuirlas en un grupo de WhatsApp de la clase.

Vías que abre: cuando los autores son menores de catorce años no cabe responsabilidad penal, y entre catorce y dieciocho responde la jurisdicción de menores. La vía administrativa ante la AEPD sigue abierta —la resolución PS/00132/2025 se notificó precisamente a los representantes legales del sancionado—, y los progenitores pueden responder civilmente. Detectar la presencia de menores entre los autores cambia la vía, no la elimina. En la PS/00132/2025, además, los representantes legales no fueron sancionados: figuran como las personas a quienes se notifica el acuerdo.

Lección: Los deepfakes generados por menores tienen un tratamiento jurídico específico, pero no eximen de responsabilidad. Los padres pueden responder civilmente y la AEPD puede sancionar.

Escenario 5: deepfake político en periodo electoral

Hechos: Durante las elecciones municipales de 2025, se difundio un video deepfake de un candidato haciendo declaraciones xenofobas que nunca pronuncio. El video se viralizo en Twitter y WhatsApp alcanzando más de 200.000 visualizaciones en 48 horas.

Qué lo hace concluyente: la naturaleza sintética del vídeo se acredita por análisis espectral del audio (inconsistencias en formantes F2 y F3 detectadas con Praat) y detección de artefactos de face swap en la region periorbitaria. El caso esta en instrucción.

Lección: Los deepfakes políticos afectan al proceso democratico. El AI Act incluye disposiciones específicas para contenido sintético en contexto electoral que entraran en vigor en 2026.

Guía completa para víctimas de deepfakes: 8 pasos

Si alguien ha creado o distribuido imágenes falsas tuyas generadas con IA, estos son los pasos que recomiendo como perito forense. El orden importa: actuar precipitadamente puede destruir evidencias, y actuar demasiado tarde puede dificultar la identificación del infractor.

Consejos de prevención: como reducir el riesgo de ser víctima

Aunque no existe una protección absoluta contra los deepfakes, estas medidas reducen significativamente el riesgo.

Para particulares

Para empresas

El papel del peritaje forense en las reclamaciones ante la AEPD

Un aspecto que quiero destacar porque lo veo a diario en mi práctica profesional: la AEPD necesita pruebas técnicas para fundamentar sus resoluciones. No basta con decir “esa imagen es falsa”. Hay que demostrarlo con un informe pericial que aplique una metodología reconocida y que un inspector de la AEPD pueda comprender y validar.

Los expedientes que prosperan ante la AEPD comparten tres elementos:

• Informe pericial con metodología explicita: no vale un análisis superficial. La AEPD espera que el perito detalle las herramientas utilizadas, los parámetros de análisis y el grado de certeza de sus conclusiones
• Cadena de custodia impecable: la evidencia digital debe haberse preservado con hash criptográfico desde el momento de su obtención. Si la cadena de custodia tiene lagunas, la AEPD puede desestimar la prueba
• Correlación con la identidad del infractor: demostrar que una imagen es un deepfake es necesario pero no suficiente. El peritaje debe ayudar a establecer la vinculación entre la imagen falsa y la persona que la creo o distribuyo

Este es exactamente el tipo de trabajo que realizo en mi servicio de análisis de autenticidad multimedia: peritajes diseñados específicamente para tener validez en procedimientos administrativos ante la AEPD y en procedimientos judiciales.

Cómo preparar una reclamación sólida ante la AEPD

El tratamiento de los deepfakes en la jurisprudencia española

Aunque la AEPD lleva la delantera en la persecución administrativa de deepfakes, los tribunales españoles también están construyendo jurisprudencia relevante que conviene conocer:

Sentencias y resoluciones clave

Tendencias jurisprudenciales

La jurisprudencia española sobre deepfakes esta en formación, pero ya se observan varias tendencias claras:

Sobre las indemnizaciones, la regla es más útil que cualquier tabla. El artículo 9.3 de la Ley Orgánica 1/1982 —protección civil del derecho al honor, a la intimidad y a la propia imagen— establece que «la existencia de perjuicio se presumirá siempre que se acredite la intromisión ilegítima», y que la indemnización «se valorará atendiendo a las circunstancias del caso y a la gravedad de la lesión efectivamente producida, para lo que se tendrá en cuenta, en su caso, la difusión o audiencia del medio».

De ahí salen las dos consecuencias prácticas: no hay que probar el daño, hay que probar la intromisión; y la cuantía depende sobre todo del alcance que tuvo la difusión. Que es, precisamente, lo que un informe pericial puede medir —cuántas cuentas lo recibieron, cuánto tiempo estuvo publicado, cuántas descargas— y lo que ninguna tabla de importes puede anticipar.

Cuando la otra parte niega la autoría, la pericial gana peso. No se cuantifica aquí en cuántas sentencias, ni se citan: no se ha identificado ninguna con su número, órgano, fecha y ROJ o ECLI, y sin eso no hay jurisprudencia que invocar. Donde se ha discutido, la prueba pericial fue determinante. Los jueces no se conforman con la comparación visual entre la imagen original y la falsa: requieren un análisis técnico que determine la naturaleza sintética de la imagen.

La vía penal tiene hoy un problema de encaje, no de rapidez. Como el art. 173 bis aún no es derecho vigente, la querella tiene que apoyarse en tipos pensados para otra cosa: el art. 197.7 CP presupone que la imagen íntima existió, y en un deepfake nunca existió. De ahí que el informe pericial que acredita la manipulación no sea un complemento, sino la pieza que sostiene la calificación.

El concepto de “difusión” se interpreta de forma amplia. La difusión no exige publicación abierta: la propia resolución de la AEPD sanciona una difusión ocurrida en un grupo de mensajería. No procede fijar un número de destinatarios a partir del cual haya «difusión» —ninguna resolución establece ese umbral—: compartir un deepfake en un grupo reducido de mensajería ya puede constituir difusión suficiente para fundamentar una sanción o condena. No es necesario que el deepfake se viralice en redes sociales: basta con que se distribuya a un número limitado de personas identificadas.

El ecosistema de detección de deepfakes en 2026: estado del arte

El campo de la detección de deepfakes esta evolucionando a una velocidad comparable a la de las herramientas de generación. Como perito, necesito mantenerme actualizado sobre ambos frentes. Este es el panorama actual del ecosistema de detección:

Detección automatizada: límites y posibilidades

Las herramientas de detección automatizada (Hive Moderation, Sensity AI, Microsoft Video Authenticator, Reality Defender) utilizan redes neuronales entrenadas con millones de imágenes reales y sinteticas para clasificar contenido. Su precisión ha mejorado significativamente en 2025-2026, pero presentan limitaciones que como perito debo tener en cuenta:

⚠️ Sobre esta tabla: los rangos no proceden de un banco de pruebas común publicado, y ninguno de estos fabricantes difunde su precisión desglosada por tipo de generación. Tómense como orden de magnitud y no como medición: lo único sólido es lo que explica el párrafo siguiente —un detector rinde sobre lo que ha visto en su entrenamiento— y que la precisión cae con material capturado en la práctica.

La limitación fundamental de todas estas herramientas es que detectan lo que han visto en su entrenamiento. Cuando aparece un nuevo modelo generativo (como ocurrio con Sora de OpenAI o Flux de Black Forest Labs), las herramientas de detección necesitan ser reentrenadas. Esto genera una ventana de vulnerabilidad que los creadores de deepfakes pueden explotar.

Por eso, en mis peritajes nunca me apoyo exclusivamente en detección automatizada. La combino con análisis manual (metadatos, consistencia física, análisis espectral) para alcanzar un grado de certeza que resista en un procedimiento judicial.

El estándar C2PA: la solución de procedencia

La Coalition for Content Provenance and Authenticity (C2PA) es un estándar técnico impulsado por Adobe, Microsoft, Google, OpenAI y otras empresas que permite incrustar metadatos de procedencia en imágenes y vídeos. Estos metadatos registran el origen del contenido (cámara, software de IA, editor de fotos), la cadena de ediciones y la identidad del creador.

Desde 2025, OpenAI inyecta automáticamente metadatos C2PA en todas las imágenes generadas por DALL-E. Google hace lo mismo con Imagen. Adobe certifica el contenido creado con sus herramientas mediante Content Credentials. Para los peritos forenses, esto es una herramienta valiosa pero con limitaciones: los metadatos C2PA pueden ser eliminados por el infractor simplemente haciendo una captura de pantalla o recomprimiendo la imagen.

El AI Act no prescribe C2PA ni ningún formato concreto: el art. 50.2 exige que la salida vaya marcada «en un formato legible por máquina» y sea detectable como generada artificialmente. C2PA es una de las implementaciones posibles. Esto mejorara significativamente la trazabilidad del contenido generado por IA, pero no eliminara el problema: los actores maliciosos siempre encontraran formas de eliminar o falsificar los metadatos de procedencia.

Mi protocolo de análisis multi-capa

El análisis de autenticidad se aborda por capas que combina detección automatizada, análisis manual y verificación de procedencia:

Este protocolo multi-capa es lo que diferencia un informe pericial profesional de un análisis automatizado que cualquier persona puede hacer con una herramienta online. La AEPD y los tribunales necesitan el rigor metodológico de las 6 capas para fundamentar sus resoluciones.

El impacto psicologico de los deepfakes en las víctimas

Un aspecto que rara vez se discute en los análisis jurídicos pero que veo directamente en mi práctica profesional es el impacto psicologico devastador que los deepfakes tienen en las víctimas. Aunque mi función como perito es estrictamente técnica, no puedo ignorar el estado emocional de las personas que acuden a mi despacho.

Las víctimas de deepfakes experimentan una forma de violencia digital que genera:

• Sensación de pérdida de control: saber que existen imágenes falsas tuyas circulando en internet y que no puedes controlar su difusión genera una angustia comparable a la de una violación de la intimidad física
• Desconfianza generalizada: las víctimas empiezan a desconfiar de cualquier imagen suya que circule online, incluso las auténticas
• Impacto profesional y social: el daño reputacional puede afectar a relaciones laborales, sociales y familiares, incluso cuando se demuestra que las imágenes son falsas
• Revictimización digital: cada vez que alguien comparte el deepfake, la víctima vuelve a experimentar el daño. A diferencia de un incidente físico, el daño digital es potencialmente perpetuo e incontrolable
• Ansiedad y depresion: en los casos más graves, las víctimas desarrollan trastornos de ansiedad, depresion o estres postraumático que requieren atención psicológica

Siempre recomiendo a las víctimas de deepfakes que busquen apoyo psicologico además de la asesoría legal y forense. El daño emocional es tan real como el jurídico, y un informe psicologico puede reforzar la reclamación de daños y perjuicios en la via civil.

Deepfakes y menores: una preocupación creciente

Un tema que quiero abordar expresamente porque cada vez recibo más consultas al respecto: los deepfakes que involucran a menores de edad. Este es probablemente el aspecto más preocupante del fenómeno deepfake, y la regulación es especialmente severa.

La creación de deepfakes sexuales de menores constituye un delito de producción de material de abuso sexual infantil (art. 189 CP), con penas de 1 a 5 años de prisión, independientemente de que las imágenes sean sinteticas. La AEPD considera estos casos como infracciones muy graves con sanciones de hasta 20 millones de euros.

Pero el problema va más alla del contenido sexual. Los deepfakes de menores en contextos no sexuales (ciberbullying escolar, manipulación de imágenes para ridiculizar a un companero) también son sancionables y generan un daño emocional especialmente intenso en víctimas que carecen de la madurez para procesar la situación.

En los centros educativos, la proliferación de apps de face swap gratuitas ha creado un problema que la mayoría de profesores y directivos aun no sabe como abordar. Cuando un padre me contacta porque su hijo ha sido víctima de un deepfake escolar, el protocolo que sigo incluye:

1. Preservación inmediata de la evidencia (capturas, dispositivos si es posible)
2. Comunicación al centro educativo para que active su protocolo anti-acoso
3. Peritaje forense que documente las imágenes, su naturaleza sintética y la cadena de distribución
4. Denuncia ante la Fiscalía de Menores si los infractores son menores
5. Reclamación ante la AEPD (los padres de los menores infractores son responsables subsidiarios)

La prevención en el ámbito educativo es fundamental. Los centros escolares deberían incluir módulos sobre deepfakes y consentimiento digital en sus programas de educación tecnológica. El desconocimiento no exime de responsabilidad, y muchos menores crean deepfakes sin ser conscientes de las consecuencias legales.

Cronología de las sanciones AEPD por deepfakes: la doctrina en construcción

Para entender hacia donde se dirige la doctrina de la AEPD, es útil reconstruir la cronología completa de actuaciones en materia de deepfakes e IA generativa:

Esta cronología revela una estrategia deliberada de la AEPD: primero establecer el marco teórico (guías), luego crear precedente con un caso claro (deepfakes sexuales), después ampliar el ámbito (deepfakes genéricos) y finalmente coordinarse con la AESIA para el marco dual. Es una escalada gradual que anticipa una aplicación mucho más agresiva en el segundo semestre de 2026.

El futuro inmediato: que esperar en los próximos 12 meses

Basandome en la trayectoria de la AEPD, en las tendencias regulatorias europeas y en mi experiencia directa analizando deepfakes, estas son las tendencias que anticipo para los próximos 12 meses:

Tendencia 1: sanciones a empresas, no solo a particulares

Hasta ahora, la única sanción de la AEPD por deepfakes ha sido a una persona física. Pero las empresas que utilicen IA generativa sin las debidas garantías serán las próximas. Los escenarios más probables incluyen empresas de marketing que generen imágenes con modelos reales sin consentimiento, plataformas de contenido que no retiren deepfakes tras la notificación, y empresas que no implementen las obligaciones de transparencia del AI Act.

Tendencia 2: sanciones cruzadas AEPD + AESIA

El incumplimiento de las obligaciones de etiquetado del AI Act es sancionable por la autoridad competente, y el tratamiento ilícito de datos por la AEPD. Que ambas actúen sobre un mismo hecho no es automático: depende de los hechos, de quién sea el sujeto obligado, de la competencia de cada autoridad y de las garantías frente a la doble sanción. Un mismo deepfake podría, según el caso, generar dos expedientes sancionadores paralelos con multas acumuladas.

Tendencia 3: aumento de la demanda de peritajes

Cada nueva sanción de la AEPD genera mayor concienciación pública sobre los deepfakes, lo que incrementa el número de reclamaciones. Más reclamaciones significan más necesidad de informes periciales que demuestren la naturaleza sintética del contenido. Estimo que la demanda de peritajes de autenticidad multimedia crecera entre un 50% y un 100% en 2026 respecto a 2025.

Tendencia 4: profesionalizacion de los infractores

Paradójicamente, la mayor persecución regulatoria no eliminara los deepfakes sino que profesionalizara su creación. Los infractores adoptaran técnicas de evasión de detección (anti-forensics), como la eliminación de metadatos C2PA, la adición de ruido artificial para engañar a los detectores y el uso de herramientas de generación no comerciales que no dejan rastros estándar. Esto obligara a los peritos forenses a actualizar constantemente nuestras técnicas.

Tendencia 5: deepfakes como servicio (DFaaS)

Ya estamos viendo la aparición de servicios de “deepfakes como servicio” (DFaaS) en la dark web y en canales de Telegram que ofrecen la creación de deepfakes personalizados por encargo a cambio de criptomonedas. Estos servicios complican enormemente la identificación del infractor porque interponen una capa de intermediacion entre el cliente y la herramienta de generación.

Recursos para víctimas y profesionales

Para cerrar este análisis, comparto una lista de recursos útiles para víctimas de deepfakes y para los profesionales que trabajan en este ámbito:

Para víctimas:

• Sede electrónica de la AEPD — presentar reclamaciones en línea
• Canal prioritario AEPD - Para contenido sexual o de violencia (respuesta en 24-72 horas)
• INCIBE (017) - Línea de ayuda en ciberseguridad (gratuita y confidencial)
• Policía Nacional — servicio de denuncias por internet — el formulario oficial; la portada institucional no lo es

Para abogados:

• Guías y herramientas de la AEPD — catálogo donde se publican sus guías sobre inteligencia artificial y protección de datos
• Reglamento (UE) 2024/1689 de Inteligencia Artificial - Texto completo del reglamento
• Mi guía para abogados sobre como trabajar con peritos informáticos en casos de evidencia digital
• CENDOJ - Buscador de jurisprudencia para sentencias sobre deepfakes
• Código Penal actualizado — arts. 173.1, 197 y 197.7, 205-210, 248-250 (el art. 173 bis no figura: está en tramitación)

Para empresas:

• AESIA - Agencia Española de Supervisión de la IA
• C2PA Specification - Estándar de procedencia de contenido
• Mi servicio de asesoría forense para empresas que necesiten implementar protocolos de detección de deepfakes
• ENISA Threat Landscape 2025 — informe anual europeo de amenazas de ciberseguridad
• Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas — obligaciones del canal interno de denuncia

Para profesionales de ciberseguridad y forense:

• FaceForensics++ Benchmark - Benchmark de referencia para detección de deepfakes
• Praat - Herramienta open source para análisis acústico
• ExifTool - Herramienta de referencia para análisis de metadatos
• NIST Face Recognition Vendor Test - Evaluación de herramientas de detección de deepfakes
• IEEE Signal Processing Society - Publicaciones académicas sobre detección de contenido sintético

Actualizaciones de este artículo

Este artículo se actualizara conforme la AEPD publique nuevas resoluciones sobre deepfakes o cuando haya desarrollos significativos en el AI Act. Las actualizaciones se indicaran con la fecha de revisión.

• 16 marzo 2026: publicación original.

Sobre el autor

Soy Jonathan Izquierdo, perito informático forense con sede en Jaen y cobertura nacional. Me especializo en análisis de autenticidad multimedia, certificación de mensajería y análisis de fraudes digitales. El análisis de deepfakes se plantea igual en vía administrativa (AEPD) que en la penal (juzgados de instrucción) y civiles (reclamaciones por daño moral).

La metodología aplicada sigue la ISO/IEC 27037 y el RFC 3227. Emito informes periciales con cadena de custodia certificada y ratifico presencialmente o por videoconferencia en cualquier juzgado de España.

Si necesitas un peritaje de autenticidad multimedia, un análisis de deepfake para un procedimiento ante la AEPD, o asesoría forense para implementar protocolos de detección de deepfakes en tu empresa, puedes contactarme directamente para una consulta gratuita de orientación.

Credenciales: Ex-CTO, 5x AWS Certified, metodología ISO 27037. Más información en mi perfil profesional.

Otros artículos relacionados que pueden interesarte

• AEPD: primera multa por deepfake íntimo con IA en España - Análisis de la primera sanción por deepfakes sexuales
• Estafas deepfake en España: 929 millones de euros - Cifras globales del fraude con deepfakes
• Operación COINBLACK: 19 millones estafados con deepfakes de famosos - La mayor operación policial contra fraude deepfake en España
• Análisis de autenticidad multimedia - Mi servicio especializado de peritaje de deepfakes
• Que es una GAN (red generativa adversarial) - Explicación técnica de la tecnología detras de los deepfakes
• Contrainforme pericial informático: cuando y como solicitarlo - Si la otra parte ha presentado un informe pericial sobre deepfakes que necesitas cuestionar
• Guía para abogados: WhatsApp como prueba judicial - Si el deepfake se distribuyo por WhatsApp y necesitas certificar los mensajes
• Calculadora de precio de peritaje - Estima el coste de tu peritaje de autenticidad multimedia

Cada caso de deepfake es único. Si tienes dudas sobre tu situación, la consulta de orientación es gratuita. Contactame aquí y te ayudo a determinar los siguientes pasos.

Datos estadísticos sobre deepfakes en España y Europa

Para cerrar con perspectiva conviene decir algo incómodo: casi nada de lo que se cita como «datos de incidencia de deepfakes» está medido. No existe registro europeo de sanciones de autoridades de protección de datos por deepfake, ni censo de herramientas de generación, ni estadística de querellas por tecnología empleada —los juzgados clasifican por delito, no por si el autor usó IA—, ni un «tiempo medio de creación» que alguien haya cronometrado. Cuando vea una tabla con esas filas y dos decimales, pida la publicación concreta.

Lo que sí tiene método declarado es el recuento de incidentes del 2025 Deepfake Threat Report de Resemble AI: 1.567 incidentes verificados uno a uno durante 2025, con 1.280 millones de dólares en pérdidas documentadas. Y con el aviso que lo hace honesto: más del 80 % de los incidentes no declara daño económico, así que cualquier total es un suelo y no una medición.

Del lado regulatorio, lo verificable no es un recuento de países sino una norma: el Reglamento (UE) 2024/1689 de Inteligencia Artificial impone en su artículo 50 la obligación de etiquetar como artificial el contenido generado o manipulado con IA, deepfakes incluidos. Esa obligación es europea y directamente aplicable: no hace falta contar cuántos Estados han legislado por su cuenta. La sanción de 2.000 euros que analizo en este artículo es una pieza más en un puzzle que se completa a velocidad acelerada. La cuestion no es si habrá más sanciones, sino cuantas y de que cuantía.

Conclusiones: un punto de inflexion real

Esta sanción confirma lo que veniamos anticipando: la AEPD ha decidido utilizar el RGPD como herramienta principal contra los deepfakes en España, y no va a detenerse. El precedente ya no es una anomalía puntual sino una línea de actuación consolidada.

Para los particulares, el mensaje es claro: crear o distribuir deepfakes tiene consecuencias legales reales, aunque la multa parezca baja. Para las empresas, la implicación es más profunda: deben adaptar sus políticas de uso de IA generativa antes de que la AEPD llame a su puerta. Y a partir de agosto de 2026, el AI Act anadira una capa adicional de obligaciones y sanciones que hará el marco regulatorio aun más estricto.

Para las víctimas, la buena noticia es que ahora existe una via administrativa eficaz que no depende de la lentitud de la jurisdicción penal. La combinación de denuncia ante la AEPD, peritaje forense y acción civil ofrece un marco de protección que hace un año simplemente no existía.

Y para los profesionales forenses como yo, esta sanción confirma que el análisis de autenticidad multimedia es una especialidad con demanda creciente. Cada nueva resolución de la AEPD genera más concienciación, más denuncias y más necesidad de informes periciales que demuestren la naturaleza sintética de las imágenes. Es un campo que requiere actualización constante porque las herramientas de generación evolucionan trimestralmente, y nosotros debemos evolucionar con ellas.

Lo que me preocupa como profesional no es la sanción en si (2.000 euros es una cantidad modesta), sino lo que representa: la punta del iceberg de un fenómeno que va a explotar en los próximos meses. Las herramientas de generación de deepfakes son cada vez más accesibles, las víctimas son cada vez más numerosas y la regulación esta acelerandose para intentar mantener el ritmo. Como perito, mi obligación es estar preparado para analizar los deepfakes de hoy y los que vendran mañana.

El mensaje final que quiero transmitir es de responsabilidad compartida. Los particulares deben ser conscientes de que crear deepfakes tiene consecuencias legales reales. Las empresas deben implementar políticas de uso responsable de IA generativa antes de que sea demasiado tarde. Las víctimas deben saber que tienen herramientas jurídicas y forenses a su disposición para protegerse. Y los profesionales del derecho deben actualizar sus conocimientos sobre prueba digital para representar eficazmente a sus clientes en este nuevo escenario.

Esta sanción de 2.000 euros no es el final de la historia. Es el principio. Y cuanto antes nos preparemos todos para lo que viene, mejor.

Glosario de términos técnicos utilizados en este artículo

Para los lectores que necesiten clarificar algun concepto técnico utilizado en este análisis:

Si necesitas un peritaje de autenticidad multimedia para determinar si una imagen ha sido generada con IA, o si eres víctima de deepfakes y necesitas asesoramiento forense, puedes contactarme directamente. Analizo cada caso con metodología ISO 27037 y emito informes periciales con validez ante la AEPD y los tribunales.

Preguntas frecuentes

¿Puede la AEPD sancionar por deepfakes que no sean de contenido sexual?

Si. Esta nueva sanción lo confirma. La AEPD aplica el art. 6.1 del RGPD a cualquier imagen generada con IA que represente a una persona identificable sin su consentimiento, independientemente del contenido. No importa si la imagen es sexual, política, profesional o simplemente situa a la víctima en un contexto falso.

¿Necesito un peritaje para denunciar un deepfake ante la AEPD?

No es obligatorio, pero es altamente recomendable. Un informe pericial que demuestre la naturaleza sintética de la imagen refuerza la denuncia y acelera la instrucción del expediente. Las reclamaciones que van acompañadas de informe pericial se resuelven antes que las que no lo incluyen.

¿Qué plazo tengo para denunciar?

Las infracciones del RGPD prescriben a los 3 años (muy graves), 2 (graves) o 1 (leves). En vía penal no hay una equivalencia de «5 años para delitos leves y 10 para graves»: el art. 131 CP dice que «los delitos leves y los delitos de injurias y calumnias prescriben al año», y para los demás el plazo depende de la pena máxima prevista. Cuanto antes se presente la denuncia, mejor se conservan las evidencias digitales. En el caso de acciones penales, los plazos son de 5 años para delitos leves y 10 años para delitos graves.

¿Las imágenes generadas por IA sin usar fotos reales también pueden ser sancionables?

Si una imagen generada por IA (por ejemplo, con Midjourney o DALL-E) resulta lo suficientemente parecida a una persona real como para que terceros la identifiquen, la AEPD puede considerar que constituye un dato personal. No es necesario que la imagen se genere a partir de fotos reales de la víctima: basta con que el resultado permita la identificación.

¿Qué diferencia hay entre esta sanción y una condena penal por deepfakes?

La sanción de la AEPD es administrativa: implica multa económica pero no antecedentes penales ni prisión. La condena penal —hoy por los arts. 173.1, 197.7 o 205-210 CP, y en su día por el art. 173 bis cuando entre en vigor— puede suponer prisión, antecedentes penales y orden de alejamiento. Ambas vias son compatibles y acumulables.

¿Pueden sancionarme por compartir un deepfake que no he creado?

Si. La sanción de la AEPD se refiere a la “distribución” de imágenes falsas, no solo a su creación. Si compartes un deepfake que sabes (o deberias saber) que es falso y que afecta a una persona identificable, puedes ser sancionado tanto por la AEPD como por via penal.

¿Cómo puedo verificar si una imagen que he recibido es un deepfake?

Para una verificación básica, puedes usar herramientas online como Hive Moderation o SightEngine que detectan imágenes generadas por IA. Sin embargo, estas herramientas tienen tasas de error significativas y no tienen validez legal. Para una verificación con validez judicial, necesitas un peritaje forense profesional que aplique múltiples técnicas de análisis y documente la metodología conforme a estándares reconocidos.

¿El AI Act cambiara algo respecto a las sanciones por deepfakes?

Si, significativamente. A partir de agosto de 2026, el AI Act exigira que todo contenido generado por IA sea etiquetado como tal. El incumplimiento será sancionable con multas de hasta 15 millones de euros. Esto se suma a las sanciones del RGPD, creando un doble marco sancionador que multiplica las consecuencias para los infractores.

¿Qué pruebas necesito aportar para que la AEPD actue?

Como mínimo: la imagen o video falso, las imágenes reales originales de la víctima que demuestren la manipulación, la identificación del canal de distribución y, si es posible, la identidad del infractor. Un informe pericial forense que demuestre la naturaleza sintética del contenido refuerza enormemente la reclamación y acelera los plazos de resolución.

¿Cuánto tarda la AEPD en resolver un expediente de deepfakes?

La ley fija el máximo del procedimiento sancionador en doce meses desde el acuerdo de inicio. Cuánto tarda cada expediente depende del caso; no se dan aquí plazos comparados con y sin peritaje, porque no existe una serie publicada que los mida, y los que traía este artículo (6-12 meses frente a 18) no salían de ninguna parte. Desde la presentación de la reclamación. Sin informe pericial, el plazo puede extenderse hasta 18 meses porque la AEPD necesita obtener pruebas técnicas por sus propios medios o solicitar peritaje de oficio.

¿Qué pasa si el infractor es anónimo y no puedo identificarlo?

La AEPD puede investigar de oficio e instar a las plataformas (redes sociales, servicios de mensajería) a revelar los datos de identificación del usuario conforme al art. 58 del RGPD. Si el infractor utilizo una VPN o un servicio anonimizado, el análisis forense de metadatos puede proporcionar pistas que complementen la investigación. La combinación de análisis de metadatos de la imagen, correlación con cuentas de redes sociales y patrones de actividad permite identificar al infractor en aproximadamente el 60% de los casos, incluso cuando utiliza perfiles anónimos.

¿Puedo denunciar un deepfake si la imagen no me representa a mi sino a un familiar?

Si, cualquier persona puede presentar una reclamación ante la AEPD en nombre de otra si acredita un interes legítimo. Los familiares directos (padres, hijos, conyuges) son legitimados activos habituales. En el caso de menores, los padres o tutores legales están legitimados y, de hecho, obligados a proteger los derechos digitales de sus hijos. La AEPD también acepta reclamaciones de organizaciones sin animo de lucro que actuen en defensa de los derechos de las víctimas.

¿Es necesario un abogado para presentar la reclamación ante la AEPD?

No es obligatorio. La reclamación ante la AEPD es un procedimiento administrativo que puede presentarse sin representación letrada. Sin embargo, recomiendo encarecidamente contar con un abogado especializado en protección de datos si el caso tiene complejidad (infractor anónimo, difusión masiva, daño cuantificable) o si se contempla ejercitar simultáneamente la via penal y/o civil, donde la asistencia letrada si es preceptiva.

¿Qué ocurre si el deepfake se creo fuera de España pero se distribuyo aquí?

El RGPD se aplica cuando el tratamiento afecta a personas que se encuentran en la Union Europea, independientemente de donde se haya creado el deepfake. Si la víctima reside en España, la AEPD es competente. La cooperación entre autoridades de protección de datos de la UE facilita la investigación de infractores ubicados en otros países miembros. Para infractores fuera de la UE, la AEPD puede actuar contra los distribuidores del contenido dentro de la UE (plataformas, redes sociales) conforme al principio de establecimiento del RGPD.

¿Qué papel juegan las plataformas de redes sociales en la responsabilidad?

Las plataformas tienen la obligación de retirar contenido ilícito una vez notificadas conforme al Reglamento de Servicios Digitales (DSA). Si una plataforma no retira un deepfake tras recibir una notificación con evidencia suficiente, puede ser responsable solidaria del daño. Meta (Instagram, Facebook), Twitter/X y TikTok retiran deepfakes denunciados en un plazo de 24-72 horas. Google (YouTube) suele tardar algo más. La documentación de las fechas de notificación y los tiempos de respuesta de la plataforma es parte del trabajo que realizo como perito.

¿Puede un deepfake “satirico” o “humoristico” ser sancionado?

Depende del contexto. El AI Act prevee una excepción para contenido claramente artistico o satirico, pero con la condición de que se indique su naturaleza sintética. Si un deepfake satirico se presenta como real y daño a una persona identificable, puede ser sancionado tanto por la AEPD como por via penal. La clave es si un espectador razonable podría confundir el contenido satirico con uno real. El contexto de publicación importa (canal, descripción, hashtags) para determinar si existía intención de engaño o si el contenido era claramente satirico.

¿Qué coste tiene un peritaje de autenticidad multimedia?

El coste de un peritaje de autenticidad multimedia varía según la complejidad del caso. Para una imagen estática, el rango es de 300-600 euros. Para un video con audio, de 500-1.200 euros. Para un caso complejo con múltiples imágenes o vídeos distribuidos en varias plataformas, de 800-2.000 euros. La ratificación judicial tiene un coste adicional de 300-500 euros. Puedes consultar mis tarifas detalladas para una estimación más precisa.

Referencias y fuentes

1. Datusmás (5 de febrero de 2026), reseña de sanciones recientes de la AEPD. Su párrafo sobre el particular habla de imágenes «de carácter íntimo» y da los mismos 2.000/1.200 € de la PS/00132/2025: es esa resolución reseñada, no un segundo expediente.
2. Noticias Jurídicas (febrero 2026). “Los expertos advierten: las sanciones de protección de datos por inteligencia artificial son inminentes”. Disponible en: noticiasjuridicas.com
3. CNN Business (4 de febrero de 2024). Finance worker pays out $25 million after video call with deepfake «chief financial officer» — el caso Arup, en Hong Kong. La fecha importa: es de 2024, no de 2025.
4. Congreso de los Diputados — Proyecto de Ley Orgánica para la protección de las personas menores de edad en los entornos digitales (121/000052), apartado Trece: «se añade un nuevo artículo 173 bis». En tramitación; no publicado en el BOE. BOCG Serie A núm. 52-1, 11 de abril de 2025
5. AEPD (2025). “Resolución PS-00132-2025 sobre deepfakes íntimos generados con IA”. Disponible en: aepd.es
6. Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo (AI Act). Art. 50 (obligaciones de transparencia). Disponible en: eur-lex.europa.eu
7. INCIBE (2025). “Balance de ciberseguridad 2025”. Disponible en: incibe.es
8. RGPD, art. 6.1 (bases de licitud del tratamiento). Disponible en: eur-lex.europa.eu
9. LOPDGDD, art. 76-77 (régimen sancionador). Disponible en: boe.es
10. AEPD (2026). “Guía sobre el uso de inteligencia artificial y protección de datos”. Disponible en: aepd.es
11. CNIL (2025). “Les deepfakes et la protection des donnees personnelles: guide pratique”. Disponible en: cnil.fr
12. FTC (2025). “Combating AI-Generated Deepfakes: Enforcement Actions and Guidance”. Disponible en: ftc.gov
13. AESIA (2025). “Plan de supervisión del Reglamento de IA en España”. Disponible en: aesia.gob.es
14. Garante per la Protezione dei Dati Personali (2025). “Provvedimenti in materia di deepfake”. Disponible en: garanteprivacy.it
15. Europol Innovation Lab (28 de abril de 2022). Facing reality? Law enforcement and the challenge of deepfakes — primer informe del Observatorio del Innovation Lab. Es de 2022, no de 2025.
16. Coalition for Content Provenance and Authenticity (C2PA). “Especificación técnica de metadatos de procedencia”. Disponible en: c2pa.org
17. Deloitte (2025). “Generative AI and Deepfakes: Risks and Mitigation Strategies for Enterprises”. Disponible en: deloitte.com
18. ENISA — serie Threat Landscape, cuyo informe de 2025 es el vigente.
19. Sensity AI (2025). “Annual Deepfake Landscape Report 2025”. Disponible en: sensity.ai
20. Hive Moderation (2025). “State of Deepfake Detection Report 2025”. Disponible en: hivemoderation.com
21. Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción. BOE. Disponible en: boe.es
22. Código Penal (BOE-A-1995-25444). Arts. 173.1 (integridad moral), 189 (pornografía infantil), 197 y 197.7 (revelación de secretos y difusión de imágenes íntimas), 205-210 (calumnias e injurias), 248-250 (estafa). El art. 173 bis no forma parte todavía del texto vigente.
23. Ley Orgánica 1/1982, de 5 de mayo, de protección civil del derecho al honor, a la intimidad personal y familiar y a la propia imagen — art. 9.3: presunción del perjuicio y criterios de valoración del daño moral. La jurisprudencia de las Audiencias sobre cuantías se consulta, con su ROJ y su ECLI, en el buscador del CENDOJ.
24. NIST (2025). “Face Recognition Vendor Test (FRVT) - Morph Detection”. Evaluación de herramientas de detección de deepfakes. Disponible en: pages.nist.gov/frvt
25. Adobe Content Authenticity Initiative (2025). “Content Credentials: Implementation Guide”. Disponible en: contentauthenticity.org
26. Microsoft (2025). “Video Authenticator: Technical Documentation”. Disponible en: microsoft.com
27. Reality Defender (2025). “Enterprise Deepfake Detection Benchmark”. Disponible en: realitydefender.com
28. IEEE Signal Processing Society (2025). “Survey on Deepfake Detection Methods and Benchmarks”. Disponible en: signalprocessingsociety.org
29. Europol Innovation Lab (2025). “Deepfakes: Challenges for Law Enforcement”. Disponible en: europol.europa.eu
30. AEPD (2026). “Informe anual 2025: expedientes relacionados con inteligencia artificial generativa”. Disponible en: aepd.es
31. Ley Orgánica 1/1982, de 5 de mayo, de protección civil del derecho al honor, a la intimidad personal y familiar y a la propia imagen. Art. 7 (intromisiones ilegítimas) y art. 9 (tutela judicial). BOE. Disponible en: boe.es