IA y Derecho Penal: Deepfakes, Fraude y Nuevos Riesgos

Los deepfakes, las estafas generadas por IA, el phishing automatizado y la clonación de voz para el robo de identidad ya son casos penales activos en los juzgados españoles. Nuestros abogados penalistas especialistas en ciberdelincuencia en Madrid pueden ayudarle con este tipo de situaciones.

Deepfakes y Derecho Penal

Un deepfake puede constituir múltiples delitos simultáneos: usurpación de estado civil (Art. 401 CP), injurias o calumnias (Arts. 205-208 CP), delito contra la integridad moral (Art. 173.1 CP) cuando el contenido es humillante o degradante y, si se usa para estafar, estafa informática (Art. 249 CP).

Conviene precisar un punto en el que la confusión es frecuente. El artículo 197.7 CP castiga a quien, sin autorización de la persona afectada, difunde, revela o cede a terceros imágenes o grabaciones audiovisuales de aquélla que hubiera obtenido con su anuencia en un domicilio o en cualquier otro lugar fuera del alcance de la mirada de terceros. El tipo presupone, por tanto, una grabación real obtenida con consentimiento y difundida después sin él. Cuando la imagen íntima está enteramente generada por IA no existe esa grabación previa consentida, de modo que el encaje en el 197.7 es discutido y no puede darse por descontado.

Para los deepfakes de contenido sexual las vías realmente transitadas son las injurias (Art. 208 CP), el delito contra la integridad moral (Art. 173.1 CP) y, cuando el montaje parte de imágenes reales de la víctima, los delitos contra la intimidad del artículo 197 CP. Es un terreno con debate doctrinal abierto y con propuestas legislativas dirigidas a tipificar de forma específica las imágenes sexuales sintéticas no consentidas, así que la calificación depende del caso concreto y admite discusión: precisamente por ello conviene no aceptar sin examen la calificación que proponga la acusación.

El Reto de Probar la Autoría

El gran desafío de la acusación en los casos con IA es probar la autoría y el dolo. Un vídeo falsificado o una voz clonada pueden haberse generado desde cualquier lugar del mundo, con herramientas al alcance de cualquiera, y rara vez dejan una firma evidente. La atribución exige reconstruir la cadena técnica completa: cuentas utilizadas, direcciones IP, dispositivos, pagos a servicios de generación y metadatos de los archivos. Cada eslabón de esa cadena es también una oportunidad de defensa: errores de atribución, dispositivos compartidos o accesos de terceros son explicaciones alternativas que la acusación debe descartar.

Mientras tanto, los tribunales aplican los tipos penales existentes con normalidad: quien estafa con una voz clonada responde como cualquier estafador, y quien difunde un vídeo falso responde por los delitos contra el honor o la intimidad que correspondan. La novedad tecnológica no crea impunidad, pero sí complica la prueba.

Fraude Potenciado por IA

Los estafadores usan IA para clonar voces, generar correspondencia convincente y automatizar phishing a escala industrial. Los tribunales aplican los Arts. 248-251 CP, pero la complejidad técnica de probar el elemento IA crea oportunidades de defensa significativas.

Líneas de Defensa en Casos con IA

Frente a una acusación basada en evidencia generada o tratada con inteligencia artificial, la defensa dispone de varios frentes:

• Pericial tecnológica de parte: verificar si el material es realmente sintético, cómo se generó y si los indicios técnicos que se atribuyen al acusado resisten un análisis independiente.
• Cadena de custodia digital: la prueba electrónica es volátil y fácil de alterar; su recogida y conservación deben cumplir garantías estrictas para desplegar valor en el juicio.
• Cuestionar el elemento subjetivo: en delitos como la estafa, la acusación debe probar el engaño y el ánimo de obtener un beneficio, no solo el uso de una herramienta tecnológica.
• Delimitar la calificación: como se ha visto, un mismo deepfake puede encajar en varios tipos penales, y discutir la calificación correcta tiene consecuencias directas sobre la pena.

Reglamento de IA de la UE (2024)

El Reglamento de IA de la UE establece obligaciones para sistemas de IA de alto riesgo cuyo incumplimiento puede generar responsabilidad penal. España y la UE siguen trabajando en la regulación específica de la conducta delictiva relacionada con la IA.

Para las empresas que desarrollan o integran sistemas de IA, este marco añade una capa de riesgo regulatorio que conviene incorporar a los programas de compliance, porque el incumplimiento de las obligaciones europeas puede acabar derivando en responsabilidad ante los tribunales nacionales.

Si Es Víctima de un Deepfake o de un Fraude con IA

La perspectiva inversa también llega a los despachos: personas cuya imagen o voz ha sido clonada, o empresas que han transferido fondos engañadas por una voz idéntica a la de un directivo. Los pasos esenciales: preservar de inmediato las pruebas (enlaces, archivos, capturas con fecha), solicitar a las plataformas la retirada del contenido, denunciar para que se investigue la autoría y valorar las acciones penales disponibles según la calificación de los hechos. La rapidez es crítica: tanto el contenido como el dinero desaparecen pronto.