Inteligencia Artificial y Proceso Penal: Prueba, Identidad Digital y Nuevos Riesgos (Guía 2026)

La inteligencia artificial y las tecnologías que la acompañan han dejado de ser una promesa de futuro para convertirse en una realidad cotidiana de los juzgados penales. En esta guía reunimos los cinco frentes donde ese impacto es ya tangible: los ataques cognitivos con IA generativa, la amenaza de la computación cuántica sobre el secreto y la custodia de datos, las implicaciones penales del Wallet de Identidad Digital Europeo (eIDAS 2), el debate sobre el acoso en el metaverso y la irrupción de los neuroderechos frente a la prueba cerebral. Como abogados penalistas especializados en ciberdelincuencia, analizamos qué riesgos crea cada tecnología, a quién se puede exigir responsabilidad y qué líneas de defensa se están consolidando.

1. Ataques Cognitivos: la Ingeniería Social en la Era de la IA

El año 2026 marca un punto de inflexión en la ciberdelincuencia. La masificación de los modelos de IA multimodales ha permitido a las organizaciones criminales escalar sus ataques de ingeniería social a niveles de sofisticación inéditos. Ya no hablamos de simples emails de phishing con faltas de ortografía, sino de ataques cognitivos personalizados: los ciberdelincuentes ya no solo atacan sistemas, atacan a las personas que los manejan, explotando la confianza en lo que ven y oyen.

El ejemplo paradigmático es el fraude por videoconferencia: la clonación de voz e imagen en tiempo real ha roto la barrera de la "prueba de vida", y cada vez son más frecuentes los casos en los que directivos financieros autorizan transferencias millonarias tras mantener videoconferencias con lo que creen que es su CEO, siendo en realidad un avatar sintético hiperrealista.

La cuestión penal se desdobla en dos planos:

• El empleado engañado: es víctima del engaño, no su autor, porque la estafa y la administración desleal solo se castigan con dolo (art. 12 CP). Si se le investiga, la defensa acredita que desconocía el fraude, y la sofisticación técnica del engaño ayuda a demostrarlo.
• La empresa: no responde penalmente por haber sido estafada. El art. 31 bis CP solo le atribuye los delitos de su catálogo cometidos en su nombre y en su beneficio, y el defecto de organización se examina en ese marco. La falta de medidas de seguridad sobre datos personales tiene consecuencias administrativas (RGPD); los protocolos de verificación frente a deepfakes son, sobre todo, prevención del fraude.

2. Computación Cuántica: Cifrado, Custodia de Datos y Negligencia

El riesgo de que la computación cuántica llegue a romper las claves RSA aconseja planificar la migración a la criptografía post-cuántica. El riesgo no es solo futuro: en los ataques conocidos como Harvest Now, Decrypt Later, los datos se roban hoy cifrados para ser desencriptados mañana, cuando la tecnología lo permita.

La dimensión jurídica de este escenario gira en torno al deber de custodia, pero conviene no confundir planos. Es el RGPD el que exige "medidas de seguridad adecuadas" (art. 32 RGPD), y su incumplimiento se sanciona en vía administrativa. No existe un delito de negligencia en la custodia de datos: los delitos contra la intimidad exigen dolo, y la imprudencia solo se castiga cuando la ley lo prevé expresamente (art. 12 CP). El director de seguridad (CISO) responde, ante todo, en el plano laboral y de cumplimiento.

Para profesiones sometidas a secreto profesional, la amenaza es cualitativamente mayor: la confidencialidad prometida hoy solo vale lo que resista el cifrado que la protege mañana.

3. eIDAS 2: la Identidad Digital como Nuevo Objeto del Delito

El despliegue definitivo del European Digital Identity Wallet concentra el DNI, el carné de conducir y las credenciales bancarias en una app oficial. La burocracia se simplifica, pero se crea un punto único de fallo crítico para el fraude.

Dos conductas concentran el riesgo penal:

• Usurpación de identidad digital: acceder sin autorización al Wallet ajeno para firmar un documento puede constituir un delito de falsedad documental (art. 392 CP, o 395 si el documento es privado y se busca perjudicar) y, si se usa para defraudar, estafa. Solo habrá usurpación del estado civil (art. 401 CP) si se asume de forma completa la identidad ajena; con el consentimiento del titular, la calificación depende del caso.
• Phishing biométrico: los ciberdelincuentes ya no buscan contraseñas, buscan la cara del usuario. Mediante deepfake en tiempo real se suplanta la biometría facial para autorizar operaciones en el Wallet. Para la víctima, la carga de prueba consiste en demostrar que el sistema biométrico falló.

4. Acoso en el Metaverso: ¿Delito contra la Integridad Moral?

Parecía ciencia ficción, pero es un debate jurídico real: cabe plantearse si conductas como "agredir sexualmente" al avatar de una persona en un entorno inmersivo de realidad virtual podrían llegar a constituir delito. Aunque no haya contacto físico, se discute si el impacto psicológico y la humillación podrían encajar en un delito contra la integridad moral (art. 173 CP), eventualmente con agravante de odio. Está por ver cómo responderán los tribunales españoles ante estos supuestos.

El fundamento doctrinal apunta a una idea de fondo: en entornos de inmersión total (VR háptica), el avatar podría no considerarse un mero dibujo, sino una proyección de la personalidad de quien lo maneja. Bajo esa lectura, atacar al avatar es atacar la dignidad de la persona real detrás de las gafas.

En el plano cautelar ya se plantean órdenes de alejamiento virtuales: medidas que prohíben al agresor conectarse a los mismos servidores o plataformas que la víctima, bajo apercibimiento de incurrir en quebrantamiento. La geolocalización clásica se sustituye por la "IP-localización" en el ciberacoso inmersivo.

5. Neuroderechos: la Prueba Cerebral y el Derecho a No Autoincriminarse

Dispositivos capaces de leer ondas cerebrales y decodificar intenciones o recuerdos están entrando en el mercado de consumo y en los laboratorios forenses. La pregunta es la más íntima posible: si el cerebro es el último refugio de privacidad inexpugnable ante la ley.

El campo de batalla es la prueba P300: una onda cerebral involuntaria que se emite milisegundos después de reconocer un estímulo familiar. Si a un sospechoso se le muestra la imagen del arma del crimen y su cerebro emite un P300, sabe qué es, aunque verbalmente lo niegue. La acusación podría argumentar que esto no es una "declaración" protegida por el derecho a guardar silencio, sino una prueba biométrica física, como una huella dactilar o el ADN.

La posición de defensa es la contraria: extraer información del cerebro sin consentimiento es una invasión de la integridad moral y física (art. 15 CE) y vulnera el núcleo del derecho a no autoincriminarse. A diferencia de una huella, un pensamiento es contenido cognitivo. Chile fue pionero en legislar los neuroderechos; en España y Europa, la batalla legal está servida, y la doctrina reclama una suerte de habeas mentem: ninguna orden judicial debería poder forzar la extracción de pensamientos, recuerdos o emociones mediante tecnología.

Claves Comunes: Prueba, Responsabilidad y Defensa

Estos cinco frentes comparten tres rasgos que definen la litigación penal tecnológica:

1. La prueba pericial es el centro de gravedad. Demostrar que un vídeo era un deepfake indetectable, que un sistema biométrico falló o que una onda cerebral no equivale a una declaración exige periciales técnicas de alta especialización en ambos lados del proceso.
2. La responsabilidad penal sigue siendo personal y dolosa. El empleado engañado es víctima; la empresa solo responde de los delitos de su catálogo cometidos en su beneficio (art. 31 bis CP), y los fallos de seguridad del CISO se ventilan en el plano administrativo o laboral: la tecnología cambia la prueba, no las reglas de imputación.
3. Los derechos fundamentales marcan el límite. La integridad moral (art. 173 CP), la integridad física y moral (art. 15 CE) y el derecho a no autoincriminarse delimitan hasta dónde puede llegar la tecnología como herramienta de investigación.

Quien afronte una investigación penal en cualquiera de estos escenarios —como investigado o como víctima— debe asegurar desde el primer momento la preservación de la prueba digital y una estrategia pericial sólida. En un terreno donde la tecnología evoluciona más deprisa que la norma, la diferencia entre una condena y una absolución suele decidirse en la calidad técnica de la prueba y en la solidez con que se argumentan los límites constitucionales de su obtención.