Deepnude con IA: qué es, cuándo es delito y qué hacer si es víctima

Se llama deepnude a cualquier imagen en la que una inteligencia artificial «desnuda» la foto de una persona real: el desnudo es falso, pero la persona es reconocible. En España, fabricar un deepnude de alguien y difundirlo sin su consentimiento es un tratamiento ilícito de datos personales que la Agencia Española de Protección de Datos (AEPD) ya ha sancionado y, según el caso, un delito: contra la integridad moral si la víctima es adulta y de pornografía infantil si es menor.

Esta guía no describe ni recomienda ninguna herramienta: explica sus consecuencias legales y qué hacer si usted es la víctima o la persona denunciada. Nuestros abogados penalistas especializados en deepfakes e inteligencia artificial intervienen en ambos lados. Para el análisis de cada tipo penal, vea también la defensa penal frente a los deepfakes sexuales.

Qué es un deepnude y por qué importa que la foto sea de una persona real

Un deepnude es una ultrasuplantación, el término que usa el Reglamento europeo de Inteligencia Artificial para el deepfake: el sistema toma una foto de una persona vestida y genera un cuerpo desnudo verosímil que conserva su rostro. El cuerpo es inventado, pero el resultado sigue identificando a una persona concreta, y eso activa todo el régimen jurídico:

• La imagen es un dato personal (art. 4.1 RGPD). Difundir un desnudo falso de alguien sin su consentimiento es tratar ese dato sin base jurídica (art. 6.1 RGPD).
• Lo falso también daña. La imagen atribuye a la víctima una desnudez que no existió y la expone ante quienes la reconocen.
• Con menores, el umbral es otro. El Código Penal considera pornografía infantil las «imágenes realistas» de un menor en una conducta sexualmente explícita o de sus órganos sexuales con fines principalmente sexuales (art. 189.1 CP), sin exigir que la imagen sea auténtica. Para la Fiscalía, el simple desnudo no basta: la imagen debe centrarse en un comportamiento sexual o en los órganos sexuales del menor, y un montaje tan tosco que revele su condición de montaje queda fuera (Circular 2/2015 de la Fiscalía General del Estado).

Por eso la pregunta jurídica no es qué herramienta se ha usado, sino de quién es la imagen, qué se ha hecho con ella y a quién se ha enviado.

Qué hacer (y qué no) si es víctima de un deepnude

Si descubre que circula un desnudo falso suyo o de su hijo o hija, el orden de los pasos importa:

1. Conserve la prueba sin difundirla. Haga capturas en las que se vean la imagen, el perfil o número que la envía, la fecha y la URL, y guarde el mensaje o correo original completo: en uno de los expedientes publicados, la AEPD archivó porque no se aportaron ni el correo ni la imagen. No reenvíe el material salvo a la policía o a su abogado; si la víctima es menor, reenviarlo puede ser en sí mismo un delito.
2. Pida la retirada cuanto antes a la plataforma y a través del Canal prioritario de la AEPD, previsto para la retirada urgente de fotos, vídeos o audios de contenido sexual o violento publicados en internet sin consentimiento.
3. Denuncie ante la Policía Nacional, la Guardia Civil, el juzgado de guardia o la Fiscalía (vea cómo denunciar un delito paso a paso). Es la vía que permite identificar al autor cuando la AEPD no puede hacerlo. Si la víctima es menor, debe intervenir el Ministerio Fiscal (art. 84.2 LOPDGDD), y el juez puede ordenar retirar o bloquear las webs que difundan el material (art. 189.8 CP).
4. Reclame ante la AEPD y valore la vía civil. Ambas son compatibles con la denuncia. La Ley Orgánica 1/1982 considera intromisión ilegítima la reproducción o publicación de la imagen de una persona (art. 7.5) y permite pedir el cese y una indemnización que incluye el daño moral (art. 9).

Lo que conviene evitar: contactar o señalar en redes a quien cree que es el autor, o pagar si alguien le exige dinero o más imágenes a cambio de no difundir el montaje; eso último es, además, un posible delito de amenazas o de extorsión que debe denunciar.

Por qué la AEPD lo considera un tratamiento ilícito de datos

Para la AEPD, quien decide enviar el montaje determina los fines y los medios de esa difusión y actúa como responsable del tratamiento (art. 4.7 RGPD). No hace falta una empresa ni una finalidad comercial: en el expediente PS/00132/2025, el responsable era un menor que había participado en la difusión a través de un grupo de mensajería. Sin consentimiento ni otra base del artículo 6.1 del RGPD, el tratamiento es ilícito: una infracción muy grave que prescribe a los tres años (art. 72.1 LOPDGDD).

Dos matices:

• No hace falta una viralización masiva. En el expediente PS/00274/2024 bastó un único envío por mensajería instantánea, aunque el autor alegó haber borrado la imagen a las dos horas, para que la Agencia le considerase responsable del tratamiento.
• El uso puramente doméstico tiene otro encaje. En su nota de enero de 2026 sobre imágenes de terceros en sistemas de IA, la AEPD advierte que muchos usos estrictamente personales o domésticos, sin difusión fuera de ese entorno, quedan fuera de la normativa de protección de datos. Eso no los hace inocuos: si la imagen es de un menor, su mera producción puede ser delito (art. 189.1 CP).

La AEPD delimita además su papel: cuando hay indicios claros de delito, la investigación corresponde a la policía, la Fiscalía y los jueces.

Qué ha resuelto la AEPD: multa, apercibimiento y archivos

Las resoluciones publicadas en aepd.es, todas anonimizadas, muestran cómo aplica la Agencia este criterio:

La lectura conjunta: la AEPD afirma la ilicitud del tratamiento, gradúa la respuesta según la edad del responsable y la vía penal seguida, y necesita pruebas completas y un autor identificable.

Qué delito puede ser crear o difundir un deepnude

El Código Penal no tiene, a fecha de hoy, un delito específico de deepfake o de deepnude: el proyecto de ley orgánica que pretendía crearlo caducó el 6 de octubre de 2026 con la disolución de las Cortes, sin llegar a aprobarse. La respuesta penal se construye con los tipos vigentes, según quién sea la víctima y qué se haga con la imagen:

Tres precisiones:

• El art. 197.7 CP, en principio, no encaja. Castiga difundir imágenes o grabaciones de la víctima que el autor «hubiera obtenido con su anuencia en un domicilio o en cualquier otro lugar fuera del alcance de la mirada de terceros». Un desnudo fabricado a partir de una foto corriente no es una imagen obtenida así, de modo que habrá que acudir a otros tipos, como el trato degradante del art. 173.1 CP cuando la difusión menoscabe gravemente la integridad moral. Otra cosa es que se difunda una imagen íntima auténtica obtenida en esas condiciones: ese es el supuesto del art. 197.7 (vea difusión no consentida de imágenes íntimas).
• Quien reenvía también puede responder. Con menores, el art. 189.1 CP castiga a quien distribuye o facilita la difusión del material «por cualquier medio», así que reenviar a un grupo el deepnude de una compañera no es inocuo. Con adultos, el art. 173.1 CP exige menoscabar «gravemente» la integridad moral.
• La agravante por la edad de la víctima tiene un límite. Para la Fiscalía, en estos montajes no se utiliza realmente al menor, sino que se abusa de su imagen; por eso, la agravante de utilizar a menores de 16 años (art. 189.2.a CP), que exige menores reales, no se aplica a la pornografía virtual. La de material de notoria importancia (art. 189.2.e CP) sí puede apreciarse si se difunde (Circular 2/2015 de la Fiscalía General del Estado).

Si el deepnude se usa para exigir dinero o nuevas imágenes, vea sextorsión: defensa penal y forense digital y, con víctimas menores, el protocolo legal de la sextorsión de menores.

Si el autor es menor de edad: qué responsabilidad tiene y qué pasa con sus padres

Tres de los expedientes publicados tienen como autores a menores. La respuesta depende de la edad:

• Menor de 14 años. No se le exige responsabilidad penal: el fiscal remite el caso a la entidad pública de protección de menores (art. 3 LORPM). La AEPD sí puede actuar, como muestra el apercibimiento a un chico de 13 años del expediente PA/00023/2025.
• De 14 a 17 años. Responde ante la jurisdicción de menores conforme a la Ley Orgánica 5/2000 (art. 1 LORPM), con medidas como la libertad vigilada, la prohibición de comunicarse con la víctima o las tareas socioeducativas (art. 7 LORPM). Si el hecho es delito menos grave o leve, el fiscal puede desistir del expediente cuando el menor se concilia con la víctima o repara el daño (art. 19 LORPM); en un caso así, la AEPD archivó después su propio procedimiento (PS/00274/2024).
• Los padres. En el proceso de menores responden solidariamente con él de la indemnización (art. 61.3 LORPM), y en la vía administrativa fueron los progenitores, como representantes legales, quienes recibieron y pagaron la multa de la AEPD.

Para las familias que reciben una citación, hemos preparado una guía para padres cuyo hijo menor está investigado.

Si le han denunciado por crear o difundir un deepnude

Estos hechos no se tratan como una gamberrada digital, pero tampoco toda imagen ni todo envío es delito. Antes de declarar conviene revisar con un abogado:

• Autoría: quién generó la imagen y quién la envió. Las cuentas compartidas, los dispositivos de uso común y los perfiles anónimos obligan a acreditarla con algo más que la sospecha.
• Tipicidad: si la imagen identifica realmente a la persona, si salió del ámbito personal y si el daño alcanza la gravedad que exige el art. 173.1 CP.
• Prueba digital: cómo se obtuvieron las capturas y si se ha preservado la integridad de los archivos; es habitual la pericial informática (vea deepfakes como prueba).
• Reparación: colaborar en la retirada del contenido y reparar el daño antes del juicio oral puede dar lugar a la atenuante del art. 21.5.ª CP y, si el autor es menor, abrir la vía de la conciliación.

Mientras tanto, no contacte con la víctima ni con los testigos, no comente los hechos en redes y no vuelva a enviar la imagen a nadie.

Qué cambia con la normativa europea sobre IA

Tres normas europeas condicionan ya este terreno:

• Reglamento de Inteligencia Artificial (UE) 2024/1689. Desde el 2 de agosto de 2026, quien utilice en su actividad profesional un sistema de IA que genere ultrasuplantaciones debe hacer público que el contenido es artificial (art. 50.4).
• Reglamento (UE) 2026/1744 («ómnibus digital» sobre IA). Prohíbe introducir en el mercado, poner en servicio o utilizar sistemas que generen imágenes realistas de las partes íntimas de una persona identificable, o de esa persona en actividades sexualmente explícitas, sin su consentimiento, cuando esa sea su finalidad o un resultado previsible sin salvaguardas razonables (nuevos art. 5.1, letra b bis, y 5.1 bis del Reglamento de IA). Será aplicable a partir del 2 de diciembre de 2026, con multas de hasta 35 millones de euros o el 7 % del volumen de negocios mundial (art. 99.3). La prohibición de uso solo alcanza al «responsable del despliegue» que utilice el sistema con el fin de generar ese material (art. 5.1 bis, letra b), y el Reglamento excluye de ese concepto el uso en una actividad personal de carácter no profesional (art. 3.4). Quien fabrica o difunde un montaje así a título particular sigue respondiendo, en todo caso, conforme al Código Penal y, si hay difusión, al RGPD.
• Directiva (UE) 2024/1385. Obliga a castigar como delito producir o manipular y después hacer accesible al público material que haga parecer que una persona realiza actividades sexualmente explícitas sin su consentimiento, cuando sea probable que le cause un perjuicio grave (art. 5.1.b). España tiene hasta el 14 de junio de 2027 para trasponerla; una directiva no crea por sí sola un delito aplicable.

Mientras no se publique una ley que tipifique expresamente estos montajes, la respuesta se articula con el Código Penal vigente, la Ley Orgánica 1/1982 y la potestad sancionadora de la AEPD.

En Alonso Sala asesoramos tanto a víctimas como a personas investigadas por deepfakes sexuales y desnudos generados con IA. Llame al 91 078 65 74.