Responsabilidad Penal por Deepfakes de Figuras Públicas

Cantantes, actrices, presentadoras, futbolistas y políticos integran hoy el grupo de víctimas más expuesto a la fabricación masiva de deepfakes. Las cifras de los estudios de Sensity y Home Security Heroes indican que más del 95% del contenido deepfake en circulación es de naturaleza pornográfica y que el 99% de las personas representadas son mujeres, mayoritariamente figuras públicas. Como abogados penalistas especializados en delitos digitales, asistimos a un volumen creciente de querellas en este ámbito. Esta guía sintetiza los tipos penales aplicables, la responsabilidad de las plataformas y la estrategia procesal idónea.

Casuística: Tipologías de Deepfake contra Figuras Públicas

Distinguimos cuatro grandes patrones de ataque, cada uno con encaje penal específico:

1. Deepfake pornográfico no consentido: Generación de contenido sexual sintético con el rostro de la víctima superpuesto sobre un cuerpo real. Es el patrón más frecuente. Afecta sobre todo a cantantes, actrices y deportistas. Diversos casos mediáticos que han afectado a figuras públicas en España y Europa (2024-2025) han disparado las denuncias.
2. Deepfake político o propagandístico: Vídeo o audio falso del político A diciendo lo que nunca dijo, con fines de manipulación electoral o descrédito. Especialmente sensible en período de campaña.
3. Deepfake de endoso comercial fraudulento: Anuncios con la imagen y voz sintéticas de famosos promoviendo criptomonedas, productos milagro o estafas piramidales. La víctima sufre daño reputacional y patrimonial.
4. Sextortion mediante deepfake: Amenaza de difusión de un deepfake pornográfico a cambio de dinero. Integra concurso de delitos de amenazas y extorsión (Arts. 169 y 243 CP), además de injurias e intromisión en el honor por el contenido fabricado.

Tipos Penales Aplicables

El abanico de figuras delictivas que pueden converger en un mismo deepfake es amplio. La defensa de la víctima exige seleccionar el encaje óptimo, atendiendo a la pena, al tipo de medida cautelar disponible y a la mecánica probatoria.

• Art. 197.7 CP — Difusión no consentida de imágenes íntimas: castiga difundir, sin autorización, imágenes o grabaciones que el autor hubiera obtenido con la anuencia de la víctima en un domicilio o en cualquier otro lugar fuera del alcance de la mirada de terceros, cuando la divulgación menoscabe gravemente su intimidad. El precepto se concibió para imágenes reales y no menciona expresamente las generadas por IA, por lo que su aplicación a un deepfake puramente sintético es discutida; en la práctica suele invocarse en concurso con injurias y con los delitos contra la integridad moral. Pena de prisión de 3 meses a 1 año o multa de 6 a 12 meses, agravada si la víctima es menor o media relación de pareja.
• Arts. 205-206 CP — Calumnia: Imputación falsa de un delito mediante deepfake. Si hay publicidad (redes sociales, prensa), pena de prisión de 6 meses a 2 años o multa de 12 a 24 meses.
• Arts. 208-210 CP — Injurias: Lesión a la dignidad y reputación. Las injurias graves con publicidad se castigan con multa de 6 a 14 meses.
• Art. 401 CP — Usurpación de estado civil: Aplicable a deepfakes de voz que suplantan identidad para acceder a cuentas o servicios. Prisión de 6 meses a 3 años.
• Art. 248 CP — Estafa: Endoso fraudulento con imagen sintética del famoso. Pena de prisión de 6 meses a 3 años, que puede agravarse conforme al Art. 250 CP.
• Art. 510 CP — Discurso de odio: Deepfake con contenido racista, antisemita o discriminatorio. Pena de prisión de 1 a 4 años.

Sextortion mediante Deepfake

La sextorsión con deepfakes merece análisis autónomo. El esquema típico consiste en remitir a la víctima un deepfake pornográfico fabricado a partir de fotografías públicas de redes sociales y exigir un pago en criptomoneda a cambio de no difundirlo. Aquí concurren:

• Injurias e intromisión en el honor (Arts. 205 y ss. CP y LO 1/1982) por el contenido sexual fabricado; el Art. 197.7 CP solo entraría en juego si se hubiera difundido una imagen íntima real obtenida con consentimiento
• Art. 169 CP (amenazas condicionales) o Art. 243 CP (extorsión) cuando se exige dinero u otra contraprestación
• Art. 264 CP si hay intrusión informática previa para obtener material

La denuncia debe presentarse de inmediato en la Brigada Central de Investigación Tecnológica (BCIT) o en el Grupo de Delitos Telemáticos de la Guardia Civil. La conservación de capturas, mensajes y direcciones de cartera de criptomoneda es decisiva.

Responsabilidad de las Plataformas (DSA y AI Act)

El marco europeo ha cambiado radicalmente en 2024-2026. Las plataformas digitales ya no son simples intermediarios neutrales y soportan obligaciones reforzadas que la víctima puede exigir.

El Reglamento (UE) 2022/2065, de Servicios Digitales (DSA), en vigor plenamente desde febrero de 2024, impone a las plataformas en línea (especialmente las VLOP, very large online platforms con más de 45 millones de usuarios en la UE) las siguientes obligaciones:

• Mecanismos accesibles de notificación y retirada (notice and action) con plazos breves
• Sistema de quejas internas para los afectados
• Cooperación con "trusted flaggers" (señaladores de confianza)
• Evaluación anual de riesgos sistémicos, incluida la integridad electoral y la violencia de género en línea
• Sanciones de hasta el 6% del volumen de negocios mundial por incumplimiento grave

El Reglamento (UE) 2024/1689, de Inteligencia Artificial (AI Act), exige el etiquetado obligatorio del contenido generado o manipulado por IA (deepfakes) cuando represente personas reales o hechos reales (Art. 50 del Reglamento). Las plataformas deben implantar marcas técnicas (watermarks, metadatos C2PA) que permitan distinguir contenido sintético. El incumplimiento abre vía sancionadora ante la AESIA y, en sede penal, refuerza la responsabilidad civil derivada del delito.

Estrategia Procesal: Civil y Penal Combinadas

La defensa de la víctima debe articular acciones paralelas. La vía penal busca el castigo del autor y la retirada cautelar; la vía civil persigue la indemnización por daño moral y patrimonial, además del derecho de rectificación.

Recomendamos el siguiente itinerario:

1. Fase urgente (primeras 48 horas): Acta notarial del contenido publicado, captura con metadatos, notificación de retirada a la plataforma vía DSA, denuncia ante el Canal Prioritario de la Agencia Española de Protección de Datos para la retirada urgente del contenido cuando proceda.
2. Querella penal: Presentación ante el Juzgado de Instrucción competente, calificando el concurso de delitos y solicitando medidas cautelares (retirada del contenido, prohibición de difusión, geolocalización del autor).
3. Demanda civil de protección del honor, intimidad e imagen (LO 1/1982): Acumulable o paralela, con petición de indemnización y publicación de la sentencia.
4. Acciones contra la plataforma: Reclamación administrativa por incumplimiento del DSA y, en su caso, acción civil de responsabilidad si la plataforma mantuvo el contenido tras notificación fehaciente.
5. Acción contra los anunciantes y monetizadores: Cuando el deepfake circula como anuncio (endoso falso), procede la reclamación a la empresa beneficiaria por enriquecimiento injusto y publicidad ilícita.

Estado de la regulación (junio 2026)

Sección actualizada a 12 de junio de 2026. A día de hoy, el Código Penal español no contiene un tipo específico de deepfake. El 26 de mayo de 2026 el Consejo de Ministros aprobó el proyecto de ley de inteligencia artificial y lo remitió a las Cortes Generales: el texto prevé reformar el Código Penal para castigar los deepfakes sexuales no consentidos y agravar el grooming, además de multas administrativas de hasta 35 millones de euros. Mientras no culmine la tramitación parlamentaria, no es Derecho vigente: ninguna acusación puede fundarse en esos tipos anunciados, y cualquier referencia a ellos debe formularse en condicional.

Hoy la persecución penal se articula con los tipos ya existentes: el Art. 197.7 CP —cuyo encaje con imágenes puramente sintéticas es discutido, porque el precepto exige que las imágenes se hubieran obtenido con la anuencia de la víctima en un domicilio o lugar privado—, el delito contra la integridad moral (Art. 173 CP), las injurias y calumnias y, en los endosos comerciales falsos, la estafa. En paralelo, el Reglamento europeo de IA será plenamente aplicable en sus obligaciones para sistemas de alto riesgo el 2 de agosto de 2026, y su Art. 50 impone etiquetar el contenido generado o manipulado por IA, bajo la supervisión en España de la AESIA. Ese etiquetado facilitará acreditar ante el juzgado el carácter sintético de un vídeo y reforzará las acciones de retirada.