Responsabilidad Penal por Deepfakes de Figuras Públicas

Cantantes, actrices, presentadoras, futbolistas y políticos integran hoy el grupo de víctimas más expuesto a la fabricación masiva de deepfakes. Las cifras de los estudios de Sensity y Home Security Heroes indican que más del 95% del contenido deepfake en circulación es de naturaleza pornográfica y que el 99% de las personas representadas son mujeres, mayoritariamente figuras públicas. Como abogados penalistas especializados en delitos digitales, asistimos a un volumen creciente de querellas en este ámbito. Esta guía sintetiza los tipos penales aplicables, la responsabilidad de las plataformas y la estrategia procesal idónea.

Casuística: Tipologías de Deepfake contra Figuras Públicas

Distinguimos cuatro grandes patrones de ataque, cada uno con encaje penal específico:

1. Deepfake pornográfico no consentido: Generación de contenido sexual sintético con el rostro de la víctima superpuesto sobre un cuerpo real. Es el patrón más frecuente. Afecta sobre todo a cantantes, actrices y deportistas. Diversos casos mediáticos que han afectado a figuras públicas en España y Europa (2024-2025) han disparado las denuncias.
2. Deepfake político o propagandístico: Vídeo o audio falso del político A diciendo lo que nunca dijo, con fines de manipulación electoral o descrédito. Especialmente sensible en período de campaña.
3. Deepfake de endoso comercial fraudulento: Anuncios con la imagen y voz sintéticas de famosos promoviendo criptomonedas, productos milagro o estafas piramidales. La víctima sufre daño reputacional y patrimonial. Analizamos este tipo de fraude, junto a otras estafas con IA generativa, en una guía dedicada.
4. Sextortion mediante deepfake: Amenaza de difusión de un deepfake pornográfico a cambio de dinero. Puede integrar amenazas o extorsión (Arts. 169 y 243 CP), además de injurias e intromisión en el honor por el contenido fabricado.

Tipos Penales Aplicables

El abanico de figuras delictivas que pueden converger en un mismo deepfake es amplio. La defensa de la víctima exige seleccionar el encaje óptimo, atendiendo a la pena, al tipo de medida cautelar disponible y a la mecánica probatoria.

• Art. 197.7 CP — Difusión no consentida de imágenes íntimas: castiga difundir, sin autorización, imágenes o grabaciones que el autor hubiera obtenido con la anuencia de la víctima en un domicilio o en cualquier otro lugar fuera del alcance de la mirada de terceros, cuando la divulgación menoscabe gravemente su intimidad. El precepto se concibió para imágenes reales y exige imágenes obtenidas con la anuencia de la víctima, por lo que no alcanza a un deepfake puramente sintético, que se reconduce a las injurias y a los delitos contra la integridad moral. Pena de prisión de 3 meses a 1 año o multa de 6 a 12 meses, agravada si la víctima es menor o media relación de pareja.
• Arts. 205-206 CP — Calumnia: Imputación falsa de un delito mediante deepfake. Si hay publicidad (redes sociales, prensa), pena de prisión de 6 meses a 2 años o multa de 12 a 24 meses.
• Arts. 208-210 CP — Injurias: Lesión a la dignidad y reputación. Las injurias graves con publicidad se castigan con multa de 6 a 14 meses.
• Art. 401 CP — Usurpación de estado civil: Puede aplicarse a deepfakes de voz con los que se asume de forma completa la identidad ajena, no al mero uso puntual de la voz. Prisión de 6 meses a 3 años.
• Art. 248 CP — Estafa: Endoso fraudulento con imagen sintética del famoso. Pena de prisión de 6 meses a 3 años, que puede agravarse conforme al Art. 250 CP.
• Art. 510 CP — Discurso de odio: Deepfake con contenido racista, antisemita o discriminatorio. Pena de prisión de 1 a 4 años y multa si incita al odio (Art. 510.1), o de 6 meses a 2 años y multa si lesiona la dignidad (Art. 510.2), en su mitad superior si se difunde por internet (Art. 510.3).

Sextortion mediante Deepfake

La sextorsión con deepfakes merece análisis autónomo. El esquema típico consiste en remitir a la víctima un deepfake pornográfico fabricado a partir de fotografías públicas de redes sociales y exigir un pago en criptomoneda a cambio de no difundirlo. Aquí concurren:

• Injurias e intromisión en el honor (Arts. 205 y ss. CP y LO 1/1982) por el contenido sexual fabricado; el Art. 197.7 CP solo entraría en juego si se hubiera difundido una imagen íntima real obtenida con consentimiento
• Art. 169 CP (amenazas condicionales) o Art. 243 CP (extorsión) cuando se exige dinero u otra contraprestación
• Art. 197 bis CP si hay intrusión informática previa para obtener material

La denuncia debe presentarse de inmediato en la Brigada Central de Investigación Tecnológica (BCIT) o en el Grupo de Delitos Telemáticos de la Guardia Civil. La conservación de capturas, mensajes y direcciones de cartera de criptomoneda es decisiva.

Responsabilidad de las Plataformas (DSA y AI Act)

El marco europeo ha cambiado radicalmente en 2024-2026. Las plataformas digitales ya no son simples intermediarios neutrales y soportan obligaciones reforzadas que la víctima puede exigir.

El Reglamento (UE) 2022/2065, de Servicios Digitales (DSA), en vigor plenamente desde febrero de 2024, impone a las plataformas en línea (especialmente las VLOP, very large online platforms con más de 45 millones de usuarios en la UE) las siguientes obligaciones:

• Mecanismos accesibles de notificación y retirada (notice and action) con plazos breves
• Sistema de quejas internas para los afectados
• Cooperación con "trusted flaggers" (señaladores de confianza)
• Evaluación anual de riesgos sistémicos, incluida la integridad electoral y la violencia de género en línea
• Sanciones de hasta el 6% del volumen de negocios mundial por incumplimiento grave

El Reglamento (UE) 2024/1689, de Inteligencia Artificial (AI Act), exige el etiquetado obligatorio del contenido generado o manipulado por IA (deepfakes) cuando represente personas reales o hechos reales (Art. 50 del Reglamento). Las plataformas deben implantar marcas técnicas (watermarks, metadatos C2PA) que permitan distinguir contenido sintético. El incumplimiento abre vía sancionadora ante la AESIA y, en sede penal, refuerza la responsabilidad civil derivada del delito.

Estrategia Procesal: Civil y Penal Combinadas

La defensa de la víctima debe articular acciones paralelas. La vía penal busca el castigo del autor y la retirada cautelar; la vía civil persigue la indemnización por daño moral y patrimonial, además del derecho de rectificación.

Recomendamos el siguiente itinerario:

1. Fase urgente (primeras 48 horas): Acta notarial del contenido publicado, captura con metadatos, notificación de retirada a la plataforma vía DSA, denuncia ante el Canal Prioritario de la Agencia Española de Protección de Datos para la retirada urgente del contenido cuando proceda.
2. Querella penal: Presentación ante la Sección de Instrucción del Tribunal de Instancia (antiguo Juzgado de Instrucción) competente, calificando el concurso de delitos y solicitando medidas cautelares (retirada del contenido, prohibición de difusión, geolocalización del autor).
3. Demanda civil de protección del honor, intimidad e imagen (LO 1/1982): Acumulable o paralela, con petición de indemnización y publicación de la sentencia.
4. Acciones contra la plataforma: Reclamación administrativa por incumplimiento del DSA y, en su caso, acción civil de responsabilidad si la plataforma mantuvo el contenido tras notificación fehaciente.
5. Acción contra los anunciantes y monetizadores: Cuando el deepfake circula como anuncio (endoso falso), procede la reclamación a la empresa beneficiaria por enriquecimiento injusto y publicidad ilícita.

Estado de la regulación (junio 2026)

Sección actualizada a 12 de junio de 2026. A día de hoy, el Código Penal español no contiene un tipo específico de deepfake. El 26 de mayo de 2026 el Consejo de Ministros aprobó el proyecto de ley de inteligencia artificial y lo remitió a las Cortes Generales: según la referencia oficial del Consejo de Ministros, el texto designa las autoridades de supervisión del Reglamento europeo de IA y fija su régimen sancionador administrativo, con multas de hasta 35 millones de euros o el 7 % del volumen de negocio. Mientras no culmine la tramitación parlamentaria, no es Derecho vigente, y cualquier referencia a su contenido debe formularse en condicional.

Hoy la persecución penal se articula con los tipos ya existentes: el Art. 197.7 CP —que no alcanza a las imágenes puramente sintéticas, porque exige que se hubieran obtenido con la anuencia de la víctima en un domicilio o lugar privado—, el delito contra la integridad moral (Art. 173 CP), las injurias y calumnias y, en los endosos comerciales falsos, la estafa. En paralelo, el Reglamento europeo de IA, cuyas obligaciones para los sistemas de alto riesgo no se aplicarán hasta el 2 de diciembre de 2027 (Reglamento (UE) 2026/1744), prevé en su Art. 50 la obligación de etiquetar el contenido generado o manipulado por IA, bajo la supervisión en España de la AESIA. Ese etiquetado facilitará acreditar ante el juzgado el carácter sintético de un vídeo y reforzará las acciones de retirada.