Deepfake y privacidad: una foto pública no implica consentimiento
¿Tener acceso a una foto permite usarla con IA? Analizamos el caso abordado por la autoridad de protección de datos sobre deepfakes y responsabilidad.
👁 117 lecturas
Estado: 10 de octubre de 2026.
La autoridad polaca de protección de datos (UODO) remitió un escrito al cuerpo policial competente en Cracovia tras publicarse en medios que la imagen de una estudiante menor de edad fue manipulada con inteligencia artificial por otra menor. El comunicado del trata sobre una intervención formal, no sobre una sentencia judicial. El núcleo del debate reside en la línea que separa el acceso técnico a una fotografía y la legitimidad para utilizarla. Que la imagen resultante sea falsa no anula la cuestión de la responsabilidad civil y penal por su creación y difusión.
En resumen
- Hecho: La autoridad de protección de datos trasladó el caso formalmente a la policía. UODO, 24.06.2026.
- Alcance: El número exacto de receptores del contenido continúa siendo desconocido. UODO, 24.06.2026.
- Límite de la información: No ha trascendido la resolución o desenlace final de las diligencias. UODO, 24.06.2026.
Cronología del caso
- - Publicación del comunicado sobre la intervención formal.
- - Pronunciamiento marco sobre deepfakes y contenidos ilícitos, sin constituir la resolución del expediente de Cracovia.
Qué se deduce de las actuaciones oficiales
| Elemento | Estado | Límite de la conclusión |
|---|---|---|
| Escrito a la policía | Intervención de oficio | No constituye una sentencia o sanción firme. UODO, 24.06.2026. |
| Pronunciamiento posterior | Marco general | No es el dictamen final de este caso concreto. UODO, 22.09.2026. |
De la cobertura mediática a la intervención institucional
El punto de partida fue la repercusión en medios de comunicación. El regulador recordó que el hecho de que una fotografía sea públicamente accesible no constituye, de manera automática, una base jurídica válida para dicho tratamiento bajo el RGPD. UODO, 24.06.2026. Es una distinción capital: la capacidad material para descargar un archivo responde a un acceso técnico y jamás prejuzga la licitud de su reutilización. La pregunta clave no es únicamente de dónde procede el archivo original, sino qué se hace con él y para qué fines se transforma.
Análisis: imagen sintética, daño y responsabilidad real
La autenticidad técnica y el daño moral exigen un examen diferenciado. Determinar que una imagen ha sido alterada o generada artificialmente aclara su falta de correspondencia con la realidad objetiva, pero no responde a si el uso de la imagen de una persona vulnera sus derechos fundamentales o su intimidad. El contexto atribuido sin consentimiento, la pérdida de control sobre la propia representación externa y la exposición al juicio de terceros siguen siendo criterios lesivos determinantes, incluso si quien recibe el material comprende de inmediato que se trata de un montaje. No hace falta creer que la imagen es auténtica para constatar una vulneración susceptible de reproche legal.
El argumento basado en que «la imagen era pública» traslada injustamente la carga de la diligencia a la víctima. Implicaría exigir que cualquiera que comparta una foto asuma de antemano cualquier manipulación denigrante, eximiendo a quien emplea herramientas de IA de motivar la legalidad de sus actos. El criterio adecuado se basa en evaluar la acción en sí: la finalidad perseguida, el alcance del uso y la vía de difusión elegida. La prudencia previa de la persona afectada no sustituye la responsabilidad jurídica de quien trata y transforma sus datos biométricos o visuales.
La IA generativa actúa como herramienta de ejecución, no como un atenuante que diluya la toma de decisiones humana. Seleccionar el material original, dotarlo de un nuevo significado lesivo y poner el resultado en circulación representan fases completamente diferenciadas. Conviene distinguirlas con rigor: detener la generación de nuevos montajes no equivale a contener el circuito de propagación del material ya existente. Un protocolo enfocado en clasificar o auditar la tecnología utilizada pasa por alto la urgencia inmediata: neutralizar el impacto del contenido que ya está al alcance de otros usuarios.
Del mismo modo, resulta crítico separar la notificación interna de un incidente de su republicación pública. Compartir una captura con un comentario de repulsa moral no evita que se multiplique el número de receptores que visualizan el contenido ilícito. Las buenas intenciones no bastan: lo primordial es canalizar la prueba exclusivamente hacia las autoridades competentes o los responsables de moderación. Cualquier advertencia puede contextualizar lo ocurrido de forma descriptiva sin reproducir el archivo manipulado. Acotar los detalles visuales no minimiza la gravedad de los hechos; evita crear nuevos focos de exposición indeseada.
Balance de riesgos y contención efectiva
En este procedimiento administrativo no existen bases sólidas para proclamar vencedores o vencidos. El comunicado oficial no demuestra que la víctima haya recuperado el control sobre su propia imagen ni que la difusión digital se haya neutralizado con éxito. Lo que sí permite es identificar las ventajas operativas y los costes asociados a una respuesta diligente. La persona afectada se beneficia de mecanismos internos que faciliten denunciar la infracción sin quedar expuesta de nuevo al escrutinio del entorno; ese constituye el objetivo prioritario del protocolo, no un resultado certificado del expediente policial.
Por su parte, cualquier empresa, centro educativo o administrador de comunidades puede estructurar un reparto de tareas claro y trazable. Registrar las incidencias, adoptar decisiones de moderación e informar a los afectados sobre las medidas tomadas no debe recaer en intermediarios sin competencias directas. Asumir este procedimiento implica dedicar tiempo y asumir responsabilidades claras en materia de gobernanza de datos. Una gestión interna solo aporta valor real cuando reduce la propagación del contenido, no cuando se limita a cerrar el ticket con premura administrativa.
El usuario que renuncia a reenviar o compartir el archivo pierde la oportunidad de satisfacer la curiosidad ajena, pero corta de raíz la cadena de distribución del montaje. No es un rol visible ni otorga reconocimiento público inmediato, pero precisamente por ello la conducta debe valorarse por su eficacia real sobre el terreno y no por su notoriedad en redes. La contención discreta protege la intimidad de la víctima con mucha mayor eficacia que una condena pública que termine reproduciendo la imagen sintética.
Pautas de actuación frente a casos de deepfake
Un procedimiento interno eficaz no debe exigir que la persona afectada determine con qué modelo de IA se creó el contenido ni tipifique con exactitud el precepto legal infringido. Debe permitir describir los hechos esenciales y aportar los elementos estrictamente necesarios para su valoración técnica. La capacidad de detectar deepfakes no puede condicionar la admisión a trámite de una denuncia. La entidad necesita ante todo una vía de actuación clara, y el usuario afectado, un canal accesible para activar la protección sin propagar el material.
- La organización debe habilitar un canal restringido de comunicación y designar a una persona responsable de la respuesta. El acceso al expediente debe limitarse exclusivamente a quienes gestionan la incidencia, en lugar de circular entre todo el equipo.
- El acuse de recibo debe distinguir nítidamente entre la apertura de la investigación y la resolución definitiva del problema. Comprometerse a una eliminación total e irreversible requiere constataciones técnicas previas, no meras declaraciones de intenciones.
- El receptor del contenido debe frenar cualquier reenvío posterior, documentar la URL y la marca temporal donde se detectó el material y ponerlo en conocimiento del canal interno, de la plataforma y de las autoridades competentes.
- Si no están claros los elementos probatorios exigidos, conviene consultar directamente con el equipo receptor antes de distribuir copias adicionales bajo el pretexto de recabar pruebas.
Supuesto práctico: notificación en un entorno corporativo
Imaginemos que en un canal interno de comunicación de una empresa se difunde la imagen manipulada de un empleado. Este caso hipotético permite ilustrar la aplicación de estos criterios sin reproducir las particularidades del expediente polaco. El primer dilema radica en cómo alertar a la plantilla: ¿conviene exhibir la imagen para que todo el mundo sepa a qué atenerse, o basta con definir la infracción sin incluir el archivo gráfico? La decisión idónea consiste en emitir una instrucción explícita de no difusión y redirigir cualquier dato adicional al canal de cumplimiento designado. El resto del equipo no necesita visualizar el montaje para acatar la directriz interna.
El segundo punto crítico concierne a la preservación de la prueba. El departamento de seguridad o recursos humanos necesita datos precisos para localizar el contenido en los servidores o registros de actividad, pero eso no justifica reenviar la imagen a toda la cadena de mando. La URL interna, el canal afectado y la hora exacta de publicación bastan para iniciar las pesquisas, coordinando los requerimientos adicionales con el responsable del expediente. El objetivo es posibilitar una respuesta técnica fundada sin crear un archivo paralelo accesible a empleados no autorizados. La retirada preventiva del mensaje y la recopilación forense de evidencias deben gestionarse como tareas independientes.
Finalmente, queda por definir la comunicación directa con la persona afectada. La respuesta corporativa debe detallar las acciones de mitigación adoptadas y facilitarle un interlocutor de seguimiento, evitando prometer falsamente que todas las copias han desaparecido de la red si no existe control sobre dispositivos externos. Cerrar el expediente de inmediato puede resultar cómodo para la administración interna, pero no repara el daño ocasionado. El límite operativo consiste en restringir el acceso salvaguardando la capacidad de respuesta, e informar con rigor sin garantizar resultados técnicos inverificables.
Aspectos no resueltos
El desenlace procesal de la intervención y el alcance definitivo de las personas expuestas al contenido siguen sin hacerse públicos en las fuentes oficiales. UODO, 24.06.2026. Conviene evitar rellenar esas lagunas atribuyendo motivaciones personales o valoraciones subjetivas a las partes implicadas. Los principios de fondo quedan nítidamente fijados: la disponibilidad técnica de un archivo no legitima su explotación, el carácter sintético de un montaje no extingue la ilicitud civil o penal, y una intervención policial o administrativa en curso no equivale a una sentencia judicial firme. Sobre estas distinciones deben cimentarse los protocolos de seguridad y las decisiones diarias a la hora de compartir contenidos en la red. Para examinar más supuestos sobre gobernanza y tecnología, consulta la sección de casos de IA.
Pautas para quien presencia la difusión de un montaje
Cualquier persona que se tope con un contenido de este tipo precisa una instrucción operativa directa: no reenviar la publicación, registrar el enlace o ubicación donde fue hallada y remitir la información al canal de denuncias pertinente. Solicitar apoyo o alertar a los administradores no debe implicar someter el suceso a un debate público. En los protocolos internos es indispensable prever la posibilidad de que testigos directos notifiquen el incidente, especialmente cuando la víctima directa prefiera no interactuar de manera inmediata con los responsables de la plataforma.
Google · Tus fuentesBrilla más alto en tu Google - con un solo clicAñadir a fuentes preferidas →Fuentes
More on this from FULGOR
