La Agencia Española de Protección de Datos (AEPD) ha sancionado con 2.000 euros, que se reducen a 1.200 por pronto pago, al difusor de imágenes artificiales de cuerpos desnudos. Esta técnica, conocida como deepfake, consiste en incrustar con una herramienta de inteligencia artificial (IA) el rostro de la víctima en la imagen de otra persona que esté desnuda.
Aunque la resolución es pública desde el pasado 27 de octubre, los datos del caso son reservados y, por tanto, no se dan detalles sobre la naturaleza de los afectados. El texto no clarifica el sexo de la víctima. Tampoco se especifica que sea menor de edad, si bien eso se puede inferir del hecho de que, en algunas partes de la resolución, se alude a normativas que tienen que ver con menores. Por todo ello, y teniendo en cuenta los tiempos que suelen transcurrir entre que la AEPD decide abrir un expediente hasta que lo resuelve, fuentes consultadas por este periódico afirman que las fechas encajarían con el escándalo de la difusión de imágenes de falsos desnudos creadas con IA de al menos 20 niñas de Almendralejo, Badajoz, que trascendió en septiembre de 2023. Precisamente porque en ese caso hubo al menos dos decenas de víctimas, se espera que Protección de Datos publique en los próximos tiempos más multas similares.
La sanción de Protección de Datos castiga la difusión no autorizada de datos personales, como son las fotografías, de las personas interesadas. En concreto, señala que fue ilícito el tratamiento de datos personales de un tercero, que, de confirmarse que alude al caso de Almendralejo, sería la imagen de una de las chicas.
Se trata de un procedimiento paralelo al penal, vía que en el caso de Almendralejo ya se activó por difusión de contenido pornográfico de menores y se impuso un año de libertad vigilada a 15 menores por manipular imágenes de niñas.
La de la AEPD es la primera sanción que emite una autoridad de protección de datos en la Unión Europea por la difusión de un deepfake. En opinión de algunos expertos, la cuantía de la sanción (2.000 euros rebajables a 1.200) es muy baja, teniendo en cuenta la magnitud de los daños. En algunas sanciones anteriores de la Agencia, en la que se castigaba la publicación de datos personales por parte de personas físicas, se habían impuesto multas de hasta 60.000 euros.
“Muy pocos riesgos relacionados con la IA provocan tanta alarma social como la creación de deepfakes sexuales no consentidos de menores. No digo que poner un millón de euros de sanción en este caso fuera a liquidar el problema, pero alguien podría pensar que una sanción ejemplarizante y admonitoria es lo menos que se puede pedir en este momento”, opina Jorge García Herrero, abogado y delegado de protección de datos.
Según figura en el escrito, la entonces directora de la AEPD, Mar España, decidió iniciar actuaciones previas de investigación el 20 de septiembre de 2023, dos días después de que EL PAÍS desvelara el caso. El 2 de octubre, un particular presentó ante la AEPD la reclamación que ha provocado la sanción.