Deepfakes sexuals i protecció de dades

Per Santiago Alenza Carro, Advocat. 

Recentment, l‟Agència Espanyola de Protecció de Dades (AEPD) ha resolt dos casos sobre difusió de contingut sexual generat amb intel·ligència artificial (IA). La seva rellevància és evident en tractar-se de les primeres resolucions en la matèria no només a nivell nacional, sinó també a nivell europeu.

Però, a més, tant els fets per si mateixos com el seu càstig en via administrativa han provocat un gran debat social, ètic i tecnojurídic. No obstant això, convé conèixer bé tots dos casos, ja que ni els fets ni la seva conclusió són els mateixos.

La primera resolució que va sortir a la llum va ser la finalitzadora de l'expedient núm.: EXP202503445. Concretament, es va investigar l'addició de cossos nus ficticis a la cara original de diverses persones mitjançant una aplicació d'IA, i la difusió per diferents canals de missatgeria, xarxes socials i plataformes de contingut per a adults.

Tot i la discreció de la resolució, és inevitable suposar que els fets investigats per l'Agència es relacionen amb el que ha passat en un institut d'un municipi espanyol concret el setembre de 2023. Aquests fets van ser de notori coneixement públic a causa del ressò que van fer els mitjans de comunicació. Així que, si l'assumpte era per si mateix espinós i sensible, a això se li suma la minoria d'edat dels afectats i la repercussió social.

La resolució de l'autoritat nacional de control és senzilla: la imatge, d'acord amb l'article 4.1 RGPD, és una dada personal que permet la identificació de la persona, i la difusió, una operació del tractament d'acord amb l'article i 4.2 RGPD. I d'acord amb això, l'Agència va considerar que es va incomplir el principi de licitud del tractament (o dit altrament, que no hi ha cap base de legitimació per tractar les dades) i va sancionar la conducta amb 2.000 euros el responsable. Posteriorment, es redueix per pagament voluntari i reconeixement de responsabilitat, i finalment queda determinada en 1.200 euros.

Però més enllà que la conducta infractora i sancionada (que consisteix simple i planament en la difusió no autoritzada de la imatge com a dada personal), la veritable transcendència de l'assumpte és respecte a la generació de cossos nus falsos mitjançant IA. I això per diferents raons:

• Primer perquè la qualificació dels fets i les seves implicacions van més enllà que una mera infracció del tractament de dades personals. De fet, paral·lelament a la investigació de l'Agència es va iniciar un procediment penal que va condemnar els responsables[1].
• Segon, perquè el tractament afectava menors, subjectes especialment vulnerables que compten amb una protecció reforçada.
• Tercer, per la connotació sexual que deriva de l'associació de rostres reals amb cossos nus aliens.
• Cambra, per l'abast dels fets, tant de manera directa (per la divulgació que van fer els mateixos responsables), com indirecta (per la repercussió informativa que va tenir la notícia).
• Cinquè, ia manera d'englobar tot això, per les repercussions socials, familiars i personals dels fets per a les víctimes i els seus drets (dignitat, honor, intimitat personal…).

Tots aquests elements agreugen, al meu parer, la magnitud ja intensa dels fets, i hauria d'haver permès la imposició d'una sanció més rellevant. En efecte, experts en la matèria han criticat la quantia sancionadora perquè s'ha pogut perdre una bona oportunitat per respondre de manera fèrria, contundent i exemplaritzant unes conductes que lluny de desaparèixer seran cada cop més habituals[2]. No obstant això, davant de la limitada sanció administrativa dels fets, celebro personalment la contundent i unànime condemna social.

Quant a la segona resolució, la tramitada a l'Expedient Núm.: EXP202506010, es tracta novament la difusió d'una fotografia d'una menor d'edat manipulada artificialment perquè semblés nua. La reclamant, mare de la menor, en té coneixement perquè la menor va rebre una captura de pantalla d'un amic com a avís. La imatge original havia estat extreta del perfil de l'afectada a una coneguda xarxa social.

Les actuacions de recerca de l'Agència van permetre dilucidar que l'usuari del número de telèfon que va remetre la imatge amb fals nu era un altre menor d'edat i que la imatge no va ser publicada a xarxes socials, a plataformes oa internet, més enllà del canal de missatgeria pel qual es va derivar la imatge.

L'autoritat de control, després d'una anàlisi dels fets idèntica a l'assumpte anterior, considera que també s'ha incomplert l'obligació de licitud del tractament. No obstant això, la sanció va resultar ser de simple advertència (per tant, sense condemna econòmica), i això perquè:

1. D'una banda, i malgrat les implicacions del cas, calia tenir en compte que el responsable podia presentar una manca de capacitat per arribar a tenir una plena consciència sobre la il·licitud de la conducta realitzada.
2. D'altra banda, la difusió de la imatge manipulada va ser limitada (vegeu en comparació de la primera resolució analitzada).

D'aquesta segona resolució he de destacar necessàriament el paràgraf següent (que, per cert, l'Agència hauria pogut i/o hagut d'intercalar en la resolució anterior): “Així mateix, no cal oblidar que a causa de l'important menyscabament a la intimitat i al dret a la protecció de dades personals derivada de la difusió d'informació personal a través d'internet, amb una incidència especialment rellevant, a causa de la seva vulnerabilitat Agència Espanyola de Protecció de Dades, dacord amb les competències que té atribuïdes i amb els poders posats al seu abast”. Tot i que pogués semblar una excusatio non petita, al meu entendre constitueix, sobretot en casos com els presents, una legitimació encomiable de les potestats i actuacions de la nostra autoritat de control.

En efecte, els tractaments il·lícits i perjudicials de dades personals mitjançant l'ús d'IA s'incrementaran en nombre i complexitat. I aquestes resolucions, més enllà de l'encert sancionador, consoliden l'AEPD com un bastió en la garantia i la protecció dels nostres drets. Sobretot tenint en compte, com s'ha translluït dels fets analitzats, les amenaces existents –aplicacions i eines d'IA que permeten fer manipulacions– i la passivitat dels que haurien d'actuar com a aliats o al servei de les persones –les plataformes per les quals es van difondre les imatges i que ni van detectar ni eliminar els continguts–.

[1] La resolució de l'AEPD només analitza la infracció d'un dels responsables, però l'elaboració de les imatges i la seva difusió la van fer altres. De fet, s'esperen noves resolucions sobre els mateixos fets respecte d'altres autors.

[2] Tot i això, altres experts consideren que la sanció administrativa no és ni idònia ni necessària, i que el més preferible hauria estat que la qüestió es resolgués exclusivament per via penal.