Deepfakes sexuales y protección de datos

Por Santiago Alenza Carro, abogado. 

Recientemente, la Agencia Española de Protección de Datos (AEPD) ha resuelto dos casos sobre difusión de contenido sexual generado con inteligencia artificial (IA). Su relevancia es evidente al tratarse de las primeras resoluciones en la materia no solo a nivel nacional, sino también a nivel europeo.

Pero, además, tanto los hechos por sí mismos, como su castigo en vía administrativa, han provocado un gran debate social, ético y tecno-jurídico. No obstante, conviene conocer bien ambos casos, puesto que ni los hechos ni su conclusión son los mismos.

La primera resolución que salió a la luz fue la finalizadora del Expediente Nº: EXP202503445. Concretamente, se investigó la adición de cuerpos desnudos ficticios a la cara original de varias personas mediante una aplicación de IA, y su difusión por distintos canales de mensajería, redes sociales y plataformas de contenido para adultos.

Pese a la discreción de la resolución, es inevitable suponer que los hechos investigados por la Agencia se relacionan con lo sucedido en un instituto de un concreto municipio español en septiembre de 2023. Estos hechos fueron de notorio conocimiento público debido al eco que hicieron los medios de comunicación. Así que, si el asunto era de por sí peliagudo y sensible, a ello se le suma la minoría de edad de los afectados y la repercusión social.

La resolución de la autoridad nacional de control es sencilla: la imagen, de acuerdo con el artículo 4.1 RGPD, es un dato personal que permite la identificación de la persona, y su difusión, una operación del tratamiento conforme al artículo y 4.2 RGPD. Y de acuerdo con ello, la Agencia consideró que se incumplió el principio de licitud del tratamiento (o dicho de otra manera, que no existe ninguna base de legitimación para tratar los datos) y sancionó la conducta con 2.000 euros al responsable. Posteriormente, se reduce por pago voluntario y reconocimiento de responsabilidad, quedando finalmente determinada en 1.200 euros.

Pero más allá de que la conducta infractora y sancionada (que consiste simple y llanamente en la difusión no autorizada de la imagen como dato personal), la verdadera transcendencia del asunto es respecto a la generación de cuerpos desnudos falsos mediante IA. Y ello por distintas razones:

• Primero, porque la calificación de los hechos y sus implicaciones van más allá que una mera infracción del tratamiento de datos personales. De hecho, paralelamente a la investigación de la Agencia se inició un procedimiento penal que condenó a los responsables[1].
• Segundo, porque el tratamiento afectaba a menores, sujetos especialmente vulnerables que cuentan con una protección reforzada.
• Tercero, por la connotación sexual que se deriva de la asociación de rostros reales con cuerpos desnudos ajenos.
• Cuarto, por el alcance de los hechos, tanto de manera directa (por la divulgación que hicieron los propios responsables), como indirecta (por la repercusión informativa que tuvo la noticia).
• Quinto, y a modo de englobar todo lo anterior, por las repercusiones sociales, familiares y personales de los hechos para las víctimas y sus derechos (dignidad, honor, intimidad personal…).

Todos estos elementos agravan, a mi parecer, la ya intensa magnitud de los hechos, y debería haber permitido la imposición de una sanción más relevante. En efecto, expertos en la materia han criticado la cuantía sancionadora debido a que ha podido perderse una buena oportunidad para responder de manera férrea, contundente y ejemplarizante unas conductas que lejos de desaparecer van a ser cada vez más habituales[2]. No obstante, frente a la limitada sanción administrativa de los hechos, celebro personalmente la contundente y unánime condena social.

En cuanto a la segunda resolución, la tramitada en el Expediente N.º: EXP202506010, se trata nuevamente la difusión de una fotografía de una menor de edad manipulada artificialmente para que pareciera desnuda. La reclamante, madre de la menor, tiene conocimiento de ello debido a que la menor recibió una captura de pantalla de un amigo a modo de aviso. La imagen original había sido extraída del perfil de la afectada en una conocida red social.

Las actuaciones de investigación de la Agencia permitieron dilucidar que el usuario del número de teléfono que remitió la imagen con falso desnudo era otro menor de edad y que la imagen no fue publicada en redes sociales, en plataformas o en internet, más allá del canal de mensajería por el que se derivó la imagen.

La autoridad de control, tras un análisis de los hechos idéntico al asunto anterior, considera que se ha incumplido igualmente la obligación de licitud del tratamiento. No obstante, la sanción resultó ser de mero apercibimiento (por lo tanto, sin condena económica), y ello porque:

1. Por un lado, y pese a las implicaciones del caso, se debía tener en cuenta que el responsable podía presentar una falta de capacidad para llegar a tener una plena conciencia acerca de la ilicitud de la conducta realizada.
2. Por otro lado, la difusión de la imagen manipulada fue limitada (véase en comparación con la primera resolución analizada).

De esta segunda resolución he de destacar necesariamente el siguiente párrafo (que, por cierto, la Agencia habría podido y/o debido intercalar en la resolución anterior): “Asimismo, no ha de olvidarse que debido el importante menoscabo a la intimidad y al derecho a la protección de datos personales derivada de la difusión de información personal a través de internet, con una incidencia especialmente relevante, debido a su vulnerabilidad, en el caso de los menores de edad, exige una respuesta por parte de esta Agencia Española de Protección de Datos, de acuerdo con las competencias que tiene atribuidas y con los poderes puestos a su alcance”. Pese a que pudiera parecer una excusatio non petita, en mi opinión constituye, sobre todo en casos como los presentes, una legitimación encomiable de las potestades y actuaciones de nuestra autoridad de control.

En efecto, los tratamientos ilícitos y perjudiciales de datos personales mediante el empleo de IA van a incrementarse en número y en complejidad. Y estas resoluciones, más allá del acierto sancionador, consolidan a la AEPD como un bastión en la garantía y protección de nuestros derechos. Sobre todo teniendo en cuenta, como se ha traslucido de los hechos analizados, las amenazas existentes –aplicaciones y herramientas de IA que permiten realizar manipulaciones– y la pasividad de quienes deberían actuar como aliados o al servicio de las personas –las plataformas por las que se difundieron las imágenes y que ni detectaron ni eliminaron los contenidos–.

[1] La resolución de la AEPD solamente analiza la infracción de uno de los responsables, pero la elaboración de las imágenes y su difusión fue realizada por otros tantos. De hecho, se esperan nuevas resoluciones sobre los mismos hechos respecto a otros autores.

[2] No obstante, otros expertos consideran que la sanción administrativa no es ni idónea ni necesaria, y que lo preferible habría sido que la cuestión se resolviera exclusivamente por vía penal.