Crear un desnudo con IA a partir de una foto real: tratamiento ilícito de datos

La irrupción de las aplicaciones que "desnudan" fotografías con inteligencia artificial ha abierto un frente jurídico que va mucho más allá del derecho a la propia imagen. La Agencia Española de Protección de Datos (AEPD) ha consolidado una línea según la cual tomar la foto real de una persona, alterarla con IA para mostrarla desnuda y difundirla constituye, en sí mismo, un tratamiento de datos personales sometido al Reglamento General de Protección de Datos. No se trata de una afirmación aislada en un expediente, sino de una doctrina sostenida en varias resoluciones, especialmente en casos que afectan a menores.

Esta calificación tiene consecuencias prácticas de primer orden, porque convierte una conducta que muchos perciben como una "broma" tecnológica en una infracción administrativa sancionable y, en paralelo, en un posible delito. Para la víctima abre dos vías de reacción; para quien crea o comparte estas imágenes, multiplica la exposición. En este artículo analizamos la doctrina de la AEPD, su encaje con el Código Penal y el marco regulatorio europeo que se está construyendo en torno a la IA.

Véase también: la defensa penal frente a los deepfakes sexuales.

Por qué la AEPD lo califica como tratamiento de datos

El punto de partida es que la imagen de una persona que la identifica o la hace identificable es un dato personal en el sentido del artículo 4.1 del RGPD. Un deepnude parte precisamente de un rostro real reconocible al que se acopla un cuerpo desnudo generado por el sistema; el resultado sigue identificando a una persona concreta, de modo que la materia prima y el producto final son datos personales.

A partir de ahí, la AEPD razona que quien decide manipular esa imagen y difundirla determina los fines y los medios de esa actividad y, por tanto, actúa como responsable del tratamiento conforme al artículo 4.7 del RGPD. No hace falta una empresa ni una finalidad comercial: basta con tomar la decisión de tratar el dato. Y como ese tratamiento se realiza sin el consentimiento de la persona afectada y sin ninguna otra base de licitud del artículo 6 del RGPD, es un tratamiento ilícito.

La consecuencia conceptual es decisiva. La AEPD subraya que el problema no es únicamente la viralización de las imágenes, sino el propio tratamiento ilícito de la imagen en sí. Es decir, la infracción se consuma con la manipulación no consentida, con independencia de cuántas personas lleguen a ver el resultado.

Lo que han resuelto: sanción en un caso, archivo en otro

Esta doctrina no es teórica. En un expediente vinculado a hechos ocurridos en Almendralejo (Badajoz) en septiembre de 2023, donde varios adolescentes generaron y difundieron desnudos falsos de compañeras menores, la AEPD impuso una multa de 2.000 euros que quedó reducida a 1.200 euros tras el reconocimiento de responsabilidad y el pago voluntario, con las correspondientes reducciones legales. Se considera la primera sanción de una autoridad de protección de datos por deepfakes sexuales.

En otro expediente con hechos similares entre menores, la AEPD acordó archivar sin sanción. El motivo no fue que la conducta fuera lícita, sino que ya se había alcanzado por la vía del Juzgado de Menores, mediante un acuerdo de conciliación en el que el menor responsable reconoció el daño y pidió disculpas, una finalidad análoga a la pretendida con la sanción administrativa: castigar y reparar.

La lectura conjunta de ambos expedientes es clara: la AEPD afirma su competencia y la ilicitud del tratamiento en todos los casos, pero modula la respuesta sancionadora cuando otra vía punitiva ya ha cumplido la función disuasoria y reparadora, evitando una doble sanción por los mismos hechos.

La doble vía: protección de datos y derecho penal

La víctima de un deepnude no tiene que elegir entre una respuesta u otra: puede denunciar ante la AEPD para que actúe la vía administrativa y, además, acudir a la vía penal. Son cauces distintos, con autoridades distintas y finalidades complementarias. La protección de datos persigue el tratamiento ilícito; el derecho penal castiga el ataque a bienes jurídicos como la integridad moral o la intimidad.

Cuando intervienen personas mayores de edad, la conducta puede encajar en el delito contra la integridad moral del artículo 173 del Código Penal, en los delitos contra la intimidad del artículo 197 del Código Penal y, si la imagen difundida proyecta sobre la víctima un trato gravemente humillante, refuerza el reproche por integridad moral. Cada caso exige un análisis específico de dolo, difusión y daño.

Cuando la víctima es menor de edad, el reproche penal es notablemente más severo: el material puede constituir pseudopornografía infantil del artículo 189 del Código Penal, que sanciona la producción, difusión o posesión de imágenes de apariencia pornográfica de menores, incluso cuando la imagen ha sido generada o manipulada artificialmente. En el ámbito de menores infractores, además, la respuesta se canaliza a través de la Ley Orgánica de Responsabilidad Penal del Menor y del Juzgado de Menores.

Qué significa para autores y para víctimas

Para quien crea o reenvía estas imágenes, la principal advertencia es que la conducta no es inocua ni queda en el terreno de la simple gamberrada digital. Compartir un deepnude por un grupo de mensajería ya implica un tratamiento de datos y puede sumar reproche penal. La minoría de edad del autor no excluye la responsabilidad: la atenúa y la deriva al sistema de justicia juvenil, pero la conducta sigue siendo ilícita.

Para la víctima, la doctrina de la AEPD es una herramienta valiosa, porque permite reaccionar aunque la difusión haya sido limitada: si el tratamiento en sí es ilícito, no es necesario probar una viralización masiva. Conviene preservar pruebas (capturas con fecha, URL, identificación del canal), solicitar la retirada urgente del contenido y valorar de forma simultánea la denuncia penal y la reclamación ante la Agencia.

En ambos escenarios, el asesoramiento temprano es determinante. La coordinación entre la estrategia penal y la de protección de datos evita errores procesales, ordena la respuesta a las plataformas y permite cuantificar correctamente el daño moral y reputacional de cara a una eventual indemnización.

El AI Act y la regulación que viene

La actuación de la AEPD se apoya en normas ya vigentes —el RGPD y la legislación española de protección de datos— sin necesidad de esperar a una norma específica sobre IA. Pero el contexto regulatorio está cambiando con rapidez. El Reglamento europeo de Inteligencia Artificial (AI Act) ya está aprobado y de aplicación escalonada, e impone obligaciones de transparencia y etiquetado a los contenidos generados o manipulados artificialmente.

En España, además, está en tramitación un proyecto de ley para la gobernanza de la IA que adapta ese reglamento europeo y que contempla prohibir expresamente los deepfakes sexuales no consentidos, con un régimen sancionador propio. Se trata de un texto remitido a las Cortes que todavía no es ley definitiva, por lo que su contenido puede modificarse durante la tramitación parlamentaria.

En paralelo, existe una reforma penal anunciada por el Gobierno para tipificar de forma específica la difusión de contenidos sexuales generados o alterados con IA sin consentimiento, también pendiente de aprobación. Hasta que estas iniciativas culminen, la respuesta sigue articulándose con los artículos del Código Penal vigentes y con la potestad sancionadora de la AEPD.