La Agencia Española de Protección de Datos (AEPD) ha impuesto la primera sanción en Europa por la creación de un falso desnudo usando técnicas de inteligencia artificial (IA), lo que popularmente se conoce como deepfake. La AEPD ha sancionado al infractor con una multa de 2.000 euros, que se ha visto reducida hasta los 1.200 euros, por pronto pago.
La resolución es pública, pero los datos personales del infractor y de la víctima están protegidos, por lo que es imposible saber la edad y el sexo de ambos. De todas formas, de la lectura de dicha resolución es fácil deducir que esta sanción está relacionada con los hechos que sucedieron, en septiembre de 2023, en Almendralejo, cuando un grupo de 15 menores de edad fueron detenidos por difundir imágenes sexuales de 20 compañeras, también menores de edad, generadas por IA.
Sanción económica
La multa impuesta es de 2.000 euros, pero se ha reducido a 1.200 euros por pronto pago
Por estos hechos, los menores fueron juzgados por veinte delitos de pornografía infantil y otros tantos contra la integridad moral, y condenados penalmente, y de conformidad con las familias de las menores afectadas, a un año de libertad vigilada y medidas educativas especialmente orientadas a recibir formación afectivo-sexual, sobre uso responsable de las tecnologías de la información y la comunicación y sensibilización en materia de igualdad y género.
Según recoge la resolución de la AEPD, este organismo inició las actuaciones de oficio el 20 de septiembre de 2023, tras conocer lo sucedido en la localidad extremeña por la prensa. Posteriormente, el 2 de octubre de 2023, la AEPD recibió una reclamación de una de las víctimas “por la difusión de imágenes falsas de desnudos realizadas con Inteligencia Artificial”, que la AEPD admitió a trámite el día 5 de ese mismo día y año.
Lee también
Posteriormente, la Agencia solicitó a la Fiscalía y la Agencia Tributaria datos que permitieran identificar y localizar al autor de la manipulación de las imágenes de la demandante. A partir de aquí, la AEPD justifica la sanción al considerar que “la imagen de una persona que la identifica o la hace identificable es, por lo tanto, un dato personal a los efectos del RGPD”.
Además, recuerda que “el artículo 6.1 del RGPD determina, por lo tanto, los supuestos en los que la normativa permite realizar el tratamiento de datos personales de un tercero, que se denominan “bases de licitud”. Si no concurre alguno de estos supuestos o condiciones, el tratamiento no será legítimo, o considerado lícito por el RGPD. Cabe recordar en este punto que las personas tienen el poder de disposición sobre sus datos personales, incluyendo su imagen, así como sobre su difusión, resultando, sin lugar a dudas, merecedora de protección la persona cuyos datos personales se capten y difundan vulnerando el ordenamiento jurídico”.
Alemania
En 2024, un tribunal de Berlín prohibió cautelarmente la distribución de un deepfake del canciller Olaf Scholz
Por todo esto, la AEPD concluyó que “en el presente caso, de la documentación obrante en el expediente administrativo, se infiere (i) que A.A.A. participó en la difusión a través (…) de imágenes manipuladas con inteligencia artificial (…) en las que se asociaban sus rostros reales a cuerpos desnudos que no les pertenecían, y (ii) que dicho tratamiento se efectuó sin que concurriera ninguna de las causas de legitimación enumeradas en el artículo 6.1 del RGPD.
Por este motivo, Protección de Datos impone al demandado la sanción -modesta- de 2.000 euros, que finalmente se ha reducido a 1.200 euros por pronto pago.
Hasta esta resolución, en Europa solo había habido un caso algo parecido. En febrero de 2024, el Tribunal Regional de Berlín estableció la prohibición cautelar de difundir un deepfake del canciller Olaf Scholz publicado en el contexto de una acción artística/política. El tribunal ordenó la retirada y cese de distribución del vídeo por vulneración de derechos de la personalidad.
