‘Deepfakes’ como objeto de multa: claves de la sanción de la AEPD a un menor por difundir imágenes manipuladas con IA

La Agencia Estatal de Protección de Datos (AEPD) ha sancionado con 2.000 euros (que se reducen a 1.200 por pago voluntario y reconocimiento de la responsabilidad) a un menor que  difundió en internet imágenes de chicas desnudas manipuladas con inteligencia artificial, lo que se conoce como deepfakes.

• Esta es la primera vez que una autoridad de protección de datos emite una sanción por la difusión de imágenes creadas con inteligencia artificial en la Unión Europea. 

• La sanción ha sido impuesta a uno de los menores implicados en el caso ocurrido en Almendralejo (Badajoz) en septiembre de 2023, cuando un grupo de adolescentes crearon y difundieron imágenes de falsos desnudos generados con IA de otras chicas de su entorno.

Qué es un deepfake. Como te contamos en Newtral.es, entre los muchos tipos de información falsa en las redes, el deepfake es uno de los formatos más sofisticados. Son imágenes, audios o vídeos que son manipulados o producidos en su totalidad por inteligencia artificial.

Un estudio llevado a cabo en 2019 a pedido de Sensity AI, una compañía de detección de deepfakes, desveló que el 96% de este tipo de videos eran pornográficos y no consentidos, y que su ritmo se había duplicado en un año. 

• “La pornografía hecha con inteligencia artificial es un fenómeno que apunta y daña exclusivamente a mujeres”, objeto del 99% de los vídeos, cifró también ese informe.

La resolución de la AEPD. La resolución llega dos años después de que este organismo iniciara una investigación sobre el caso tras su publicación en numerosos medios de comunicación.

La resolución de la AEPD está anonimizada, por lo que no se dan detalles sobre la identidad y el origen de las partes implicadas. No obstante, el texto alude a normativas de protección de datos que tienen que ver con menores y el uso que estos hacen de internet.

• Tras publicar la resolución, la AEPD difundió un comunicado, al que ha tenido acceso Newtral.es, en el que confirmaba que la sanción estaba relacionada con los hechos ocurridos en septiembre de 2023 en Almendralejo.

El organismo de protección de datos considera que las personas implicadas vulneraron el artículo 6.1 del Reglamento General de Protección de Datos (RGPD), que establece solo se pueden tratar datos personales de alguien si existe consentimiento de este o alguna otra base de licitud, algo que no ocurrió en este caso.

• La resolución recuerda que “las personas tienen el poder de disposición sobre sus datos personales, incluyendo su imagen, así como sobre su difusión, resultando, sin lugar a dudas, merecedora de protección la persona cuyos datos personales se capten y difundan vulnerando el ordenamiento jurídico”.

Además, el caso reviste mayor gravedad porque las imágenes manipuladas afectaban a menores de edad, lo que implica una protección reforzada en el ámbito de sus datos personales.

La sanción. Aunque la AEPD reconoce que hubo más personas implicadas en la creación o difusión de las imágenes, esta resolución solo se refiere al expediente abierto contra uno de ellas. 

• La AEPD impuso inicialmente una multa administrativa de 2.000 euros para este menor, reducida finalmente a 1.200 euros tras el reconocimiento de responsabilidad y el pago voluntario por parte de sus representantes legales. 

Samuel Parra, abogado especializado en el área tecnológica del derecho y experto en protección de datos, explica a Newtral.es que esta multa “no tiene más recorrido a no ser que vuelva a realizar la misma conducta otra vez; entonces volvería a enfrentarse a una nueva sanción agravada (ya no serían 2000 €, sería mucho más)”.

Qué supone. El experto señala que el pronunciamiento de la AEPD “es importante” porque “envía un mensaje a la sociedad (y a los menores a través de sus padres) de que el uso de este tipo de tecnología puede lesionar algunos derechos, como la protección de datos personales”.

Parra apunta que “no es nuevo considerar la imagen personal (el rostro por ejemplo) como un dato personal, protegido por tanto por la normativa de protección de datos, pero sí es novedoso el pronunciamiento respecto de cómo se ha utilizado el rostro de una persona: en este caso, para crear un deepfake”.

• “Se produce un tratamiento de datos personales sin consentimiento y por tanto castigado por la normativa de protección de datos”, añade.

El caso de Almendralejo. Los hechos que han promovido la sanción de la AEPD se remontan a septiembre de 2023, y ocurrieron en la localidad de Almendralejo (Badajoz). Un grupo de menores de entre 12 y 14 años crearon y difundieron imágenes de falsos desnudos generados con IA de otras adolescentes cercanas a su entorno.

• Estas imágenes se publicaron a través de redes sociales y se difundieron también en portales de internet y páginas pornográficas.

• El Juzgado de Menores de Badajoz declaró a 15 menores de edad responsables de 20 delitos de pornografía infantil y 20 delitos contra la integridad moral, por manipular con inteligencia artificial estas imágenes.