La Agencia Española de Protección de Datos (AEPD) ha impuesto la primera sanción en Europa por la creación de un falso desnudo utilizando técnicas de inteligencia artificial (IA), lo que popularmente se conoce como deepfake. La AEPD ha sancionado al infractor con una multa de 2.000 euros, que se ha visto reducida a los 1.200 euros, por pronto pago. La resolución es pública, pero los datos personales del infractor y de la víctima están protegidos, por lo que es imposible saber la edad y el sexo de ambos. De todas formas, de la lectura de la resolución es fácil deducir que está relacionada con los hechos que pasaron en septiembre de 2023 en Almendralejo, cuando un grupo de 15 menores de edad ser detenidos por haber difundido imágenes sexuales generadas por IA de 20 compañeras, también menores de edad.
Por estos hechos, los menores fueron juzgados por veinte delitos de pornografía infantil y otros contra la integridad moral, y condenados, y de conformidad con las familias de las menores afectadas, a un año de libertad vigilada y medidas educativas, especialmente orientadas a recibir formación afectivo-sexual, sobre uso responsable de las tecnologías de la información y la comunicación y sensibilización en materia.
Según recoge la resolución de la AEPD, este organismo inició las actuaciones de oficio el 20 de septiembre de 2023, tras conocer por la prensa lo ocurrido en la localidad extremeña. Después, el 2 de octubre de 2023, la AEPD recibió una reclamación de una de las víctimas «por la difusión de imágenes falsas de nudo hechas con inteligencia artificial», que la AEPD admitió a trámite el día 5 del mismo mes.
La Agencia justifica la sanción alegando que «la imagen de una persona que la identifica o la hace identificable es un dato personal a los efectos del RGPD».
En este sentido, recuerda que «el artículo 6.1 del RGPD determina los supuestos en los que la normativa permite realizar el tratamiento de datos personales de un tercero (…). Si no se presenta alguno de estos supuestos o condiciones, el tratamiento no será legítimo, o considerado lícito por el RGPD».
Por todo ello, la AEPD concluyó que “en este caso (…), se infiere (i) que A.A.A. participó en la difusión a través (…) de imágenes manipuladas con inteligencia artificial (…) en las que se asociaban sus caras reales con cuerpos desnudos que no les pertenecían a que se trate de las el artículo 6.1 del RGPD”.
Hasta esta resolución que se centra en el tratamiento de la imagen personal sin consentimiento, primera que penaliza la creación de un ‘deepfake’, o imagen generada por IA, sólo había habido un antecedente parecido. En febrero de 2024, el Tribunal Regional de Berlín estableció la prohibición cautelar de difundir un deepfake del canciller Olaf Scholz publicado en el contexto de una acción artística o política. El tribunal ordenó que se retirara y se parara de distribuir por vulneración de derechos de la personalidad.
La de la AEPD es la primera sanción que emite una autoridad de protección de datos en la Unión Europea por la difusión de un deepfake. La cuantía de la sanción (2.000 euros rebajables a 1.200) puede parecer muy baja, teniendo en cuenta la magnitud de los daños. En algunas sanciones anteriores de la Agencia, en la que se castigaba la publicación de datos personales por parte de personas físicas, se habían impuesto multas de hasta 60.000 euros. En cualquier caso, más allá de la sanción administrativa de la AEPD, este es un delito contra la intimidad que, como se ha apuntado, fue juzgado por lo penal.
La aplicación usada para realizar el montaje (ClothOff), así como las plataformas con las que se difundió, quedan exentos de responsabilidades en la resolución de la AEPD.
