Deepfakes, clonación de voces y suplantación de identidad mediante IA: las normas internacionales ya están aquí, pero no coinciden

Una voz de un ejecutivo clonada. Un respaldo falso. Un anuncio de campaña sintético. Una imagen íntima generada mediante deepfake. Cada uno de estos casos puede dar lugar ahora a responsabilidades penales, reclamaciones en materia de protección del consumidor, obligaciones de retirada de las plataformas o demandas por violación de los derechos de identidad, dependiendo del lugar donde opere tu empresa y de la legislación de qué país sea aplicable en primer lugar.

Los gobiernos de todo el mundo están regulando la imagen, la voz y los medios sintéticos generados por la inteligencia artificial, pero no lo hacen todos de la misma manera. Algunos recurren a normas de transparencia. Otros, al derecho penal. Otros, a la legislación electoral. Y otros están estableciendo obligaciones de retirada para las plataformas o probando medidas de protección de los derechos de la personalidad.

El resultado es un mosaico cada vez más heterogéneo a nivel mundial. Para las empresas que operan a nivel transfronterizo, esto ya supone un problema real en materia de cumplimiento normativo.

El mundo no está convergiendo hacia una única norma

La Unión Europea hace hincapié en la transparencia y la divulgación de información en el marco de la Ley de IA. Estados Unidos acaba de aprobar una ley federal contra las imágenes íntimas sin consentimiento. China regula directamente a los proveedores de medios sintéticos, desde los requisitos de etiquetado hasta las normas sobre manipulación de la identidad. Corea del Sur, Australia, Francia, Singapur y Brasil han adoptado enfoques más específicos, a menudo centrados en los deepfakes sexuales o en la integridad electoral, más que en la propiedad de la identidad en general.

No se trata de variaciones sobre un mismo tema. Son teorías jurídicas distintas, obligaciones de cumplimiento diferentes y perfiles de riesgo distintos. Una empresa no puede resolver esto limitándose a memorizar la normativa de un país y dando por sentado que el resto del mundo la seguirá.

Europa está acumulando obligaciones, en lugar de elaborar un reglamento claro y conciso

A nivel de la UE, el artículo 50 de la Ley de IA impone obligaciones de transparencia respecto al contenido generado o manipulado mediante IA, incluidos los deepfakes. Se trata de un modelo de divulgación: no establece un derecho general de propiedad sobre la imagen o la voz de una persona.

Al mismo tiempo, la Directiva de la UE de 2024 sobre la lucha contra la violencia contra las mujeres y la violencia doméstica ejerce una mayor presión para que los Estados miembros adopten medidas más contundentes contra el abuso basado en imágenes. Se trata de un modelo centrado en la protección de las víctimas y vinculado al derecho penal.

Francia es un ejemplo del enfoque más restrictivo, basado en el perjuicio. Su ley SREN de 2024 modificó el Código Penal francés para prohibir explícitamente determinados deepfakes no consentidos. Francia no intentó redefinir la identidad como un derecho de autor, sino que se centró en un abuso concreto.

Dinamarca es el ejemplo más ambicioso desde el punto de vista conceptual: ha propuesto una modificación de la ley de derechos de autor destinada a reforzar el control sobre las reproducciones digitales no autorizadas de la imagen y la voz. Sin embargo, conviene considerarla más como una propuesta a la que hay que prestar atención que como un régimen jurídico ya probado.

Para las empresas, Europa no supone un único problema. Se trata de una serie de obligaciones: la obligación de informar, la protección de las víctimas, la tipificación de delitos específicos y unas normas sobre los derechos de la personalidad que podrían ser más amplias. Esto resulta más difícil de gestionar que un único conjunto de normas.

Estados Unidos está fragmentado, pero ya no se queda estancado

Estados Unidos aún no cuenta con un marco legal federal claro en materia de uso indebido de la imagen en la inteligencia artificial. Para muchos usos de imágenes, voces e identidad, todavía hay que lidiar con los derechos de publicidad previstos en la legislación estatal, las reclamaciones por violación de la privacidad, las teorías sobre competencia desleal, el derecho de daños, las políticas de las plataformas y las normas específicas de cada sector.

En mayo de 2025 se promulgó la Ley TAKE IT DOWN. Esta ley aborda el tema de las imágenes íntimas no consentidas, incluidos los deepfakes generados por IA, y exige a las plataformas afectadas que eliminen el contenido denunciado y realicen esfuerzos razonables para evitar que se vuelva a subir. No se trata de una ley federal general sobre los deepfakes, pero sí constituye una intervención nacional significativa en una de las categorías más perjudiciales del uso indebido de la IA.

El riesgo en Estados Unidos se presenta ahora en varios frentes a la vez. Hay que estar atentos a los derechos de identidad a nivel estatal, la normativa federal sobre el abuso de imágenes íntimas, las obligaciones de las plataformas y el creciente escrutinio en torno a los medios sintéticos engañosos.

El Reino Unido está actuando en el ámbito del derecho penal, no en el de los derechos de propiedad

El Reino Unido ha optado por recurrir a la legislación penal y a las medidas de seguridad en Internet, en lugar de basarse en la legislación sobre derechos de autor o en una teoría general sobre los derechos de imagen.

En enero de 2025, el Gobierno del Reino Unido anunció que tipificaría como delito la creación de imágenes deepfake de carácter sexualmente explícito. El delito de difusión, tipificado en el marco de la Ley de Seguridad en Internet, ya estaba en vigor. Esto pone de manifiesto una tendencia habitual en las jurisdicciones de derecho anglosajón: en lugar de inventar un nuevo derecho de propiedad de carácter general sobre la identidad, los legisladores están ampliando la legislación relativa al abuso, la explotación sexual y la seguridad de las plataformas.

En el caso de las empresas, la responsabilidad no suele depender tanto de cuestiones abstractas relacionadas con la autoría como de si el contenido es perjudicial, de carácter sexual, engañoso o abusivo, y de la rapidez con la que la empresa responde al recibir una notificación.

China está regulando la propia tecnología

La normativa china sobre síntesis profunda regula a los proveedores y usuarios de servicios de información en Internet basados en la síntesis profunda. Establece requisitos en materia de etiquetado, manipulación relacionada con la identidad y responsabilidades de los proveedores. Prohíbe determinados usos perjudiciales o engañosos del contenido sintético y exige controles técnicos y de gobernanza.

La atención se desplaza hacia las fases iniciales. En China, la cuestión no es solo si una víctima puede presentar una demanda posteriormente, sino si el servicio se ha desarrollado, implementado, etiquetado y controlado de conformidad con la normativa desde el principio. Para las empresas que ofrecen herramientas de IA o funciones de medios sintéticos en China o dirigidas a este mercado, se trata de un problema de cumplimiento normativo mucho más operativo.

Corea del Sur y Australia demuestran lo rápido que puede avanzar el derecho penal

Corea del Sur ha adoptado una de las posturas públicas más firmes con respecto a los deepfakes de carácter sexual. La legislación aprobada en 2024 tipificó como delito la visualización o la posesión de determinados deepfakes sexuales no consentidos, además de establecer medidas más amplias de represión contra la pornografía basada en deepfakes.

Australia también ha adoptado medidas de tipificación penal específicas. Su Ley de 2024 por la que se modifica el Código Penal (material sexual deepfake) endureció los delitos relacionados con la creación y la difusión no consentida de material sexualmente explícito en Internet, incluido el material creado o alterado mediante inteligencia artificial.

Estos ejemplos muestran la rapidez con la que actúan los gobiernos cuando el uso indebido de los deepfakes se convierte en una cuestión de urgencia política. Lo que tu empresa considera hoy un problema de moderación de contenidos puede convertirse mañana en un asunto de derecho penal.

Algunos países regulan los deepfakes principalmente a través de la legislación electoral

No todos los gobiernos se centran principalmente en los abusos sexuales o en la suplantación de identidad de famosos. Algunos consideran los deepfakes como un problema para la integridad electoral.

Singapur modificó su legislación electoral en 2024 para prohibir la publicación de publicidad electoral en línea que contuviera determinados contenidos generados o manipulados digitalmente sobre los candidatos; las modificaciones entraron en vigor en enero de 2025.

El Tribunal Superior Electoral de Brasil aprobó la Resolución n.º 23.732/2024, que actualiza las normas sobre publicidad electoral para abordar la inteligencia artificial y los deepfakes en el contexto electoral.

Para las plataformas, las empresas de tecnología publicitaria, los consultores políticos, los distribuidores de medios y los proveedores de herramientas de inteligencia artificial, se trata de un marco normativo distinto. El contenido sintético que es legal en un contexto comercial puede ser ilegal en un contexto electoral.

Canadá demuestra que «en fase de desarrollo» no es sinónimo de «bajo riesgo»

El caso de Canadá nos sirve para recordar que algunas jurisdicciones aún no han zanjado la cuestión. El Gobierno federal presentó el proyecto de ley C-63, la Ley sobre daños en línea, pero este quedó sin efecto al disolverse el Parlamento en enero de 2025.

Un país sin un marco normativo consolidado no es necesariamente de bajo riesgo. A menudo, esas son precisamente las jurisdicciones en las que surgen nuevas obligaciones con rapidez: tras un incidente grave, un cambio político o un nuevo impulso legislativo.

Mantente al tanto de esto a nivel mundial y hazlo de forma constante

Si tu empresa desarrolla herramientas de inteligencia artificial, utiliza medios sintéticos en publicidad, aloja contenido generado por los usuarios, gestiona derechos de imagen, se encarga de la comunicación externa o opera a nivel internacional en los sectores del entretenimiento, los videojuegos, las redes sociales o el comercio electrónico, necesitas estar al tanto de los cambios que se producen en esta normativa.

No una vez al año. No cuando surge un escándalo. No cuando un asesor externo lo señala a posteriori. De forma continua.

La razón es sencilla. Un solo contenido sintético puede dar lugar a múltiples cuestiones jurídicas en varios países al mismo tiempo. Una voz clonada puede suponer un riesgo de fraude. Un respaldo falso puede dar lugar a reclamaciones relacionadas con la protección del consumidor y los derechos de identidad. Un vídeo de campaña sintético puede activar disposiciones de la legislación electoral. Una imagen íntima generada mediante deepfake puede suponer un riesgo penal y obligaciones de retirada. Una plataforma que etiquete adecuadamente el contenido en un mercado puede seguir sin cumplir los requisitos en otro en el que se preste mayor atención al consentimiento, a la rapidez de retirada o a los controles de los proveedores.

Esto ya no es una cuestión política de nicho. Se trata de una labor habitual de cumplimiento normativo transfronterizo.

¿Qué hacer ahora?

Analiza tu exposición. Identifica en qué ámbitos de tu empresa aparecen elementos sintéticos como imágenes, voces y avatares: marketing, atención al cliente, herramientas para creadores, subidas a la plataforma y usos internos. Si tú no lo sabes, tu departamento de cumplimiento normativo tampoco lo sabe.

Hay que analizar cada país por separado. No basta con un único documento normativo global sobre IA. El mundo no avanza en una sola dirección, y lo que es lícito en un mercado puede ser delito en otro.

Revisa tus sistemas de divulgación, consentimiento, moderación y retirada de contenidos. En algunos países, lo más importante será el etiquetado. En otros, la cuestión clave será el consentimiento, la responsabilidad penal o la rapidez de respuesta.

Elimina los silos internos. La regulación de los deepfakes afecta a los equipos de producto, marketing, asuntos jurídicos, confianza y seguridad, y políticas públicas. Si estas áreas no se comunican entre sí, tu exposición al riesgo es mayor de lo que crees.

Hay que dar por hecho que serán más los países que den el paso, no menos. La tendencia es clara, aunque las doctrinas difieran.

En resumen

En muchos de los primeros comentarios se presentaba a Dinamarca como el tema central. Pero no es así.

La realidad es que los países de todo el mundo están regulando los deepfakes, la clonación de voz y la suplantación de identidad mediante IA a través de diferentes combinaciones de derechos de autor, normas de transparencia, derecho penal, legislación electoral, obligaciones de las plataformas y restricciones basadas en el consentimiento. Ese mosaico se está volviendo cada vez más complejo, en lugar de simplificarse.

Lo más inteligente es abordar la legislación sobre suplantación de identidad mediante IA del mismo modo que las empresas serias han aprendido con el tiempo a abordar la legislación sobre privacidad: no como un tema legal secundario que hay que gestionar una vez al año, sino como una cuestión de cumplimiento normativo transfronteriza y en constante evolución que afecta simultáneamente a los productos, las plataformas, el marketing, las operaciones y la reputación.

Las normas ya están aquí. Lo que pasa es que todavía no se ponen de acuerdo entre sí.