La Agencia Española de Protección de Datos (AEPD) ha dictado la primera multa en Europa por la creación y difusión de un desnudo falso generado mediante inteligencia artificial, un hito que marca el inicio de una nueva etapa jurídica en la era digital.

El expediente sancionador se remonta al caso de Almendralejo, que sacudió al país en septiembre de 2023. Un grupo de menores utilizó aplicaciones de IA para generar imágenes sexuales falsas de unas veinte compañeras de instituto, también menores, y las difundió por redes sociales. La AEPD, tras conocer el caso por los medios, actuó de oficio e impuso al autor de una de esas manipulaciones una multa de 2.000 euros, reducida finalmente a 1.200 euros por pronto pago.

La sanción, aunque simbólicamente importante, es independiente del proceso penal ya cerrado contra los menores implicados, quienes fueron condenados a un año de libertad vigilada y a la participación en programas de educación afectivo-sexual y uso responsable de las tecnologías.

La resolución de la AEPD subraya que el infractor trató y difundió imágenes “manipuladas con inteligencia artificial (…) en las que se asociaban rostros reales a cuerpos desnudos que no les pertenecían”, sin ninguna causa de legitimación. En consecuencia, el organismo concluyó que se vulneró el derecho fundamental a la protección de datos personales y a la propia imagen.

“Una sanción ejemplificante”, según los expertos

Para Cristina Villasante, abogada especializada en derecho tecnológico y asociada del despacho ECIJA, esta resolución “es un aviso a navegantes”. En declaraciones a Telemadrid durante este lunes, la jurista señalaba que esta multa “tiene un carácter ejemplificante, porque demuestra que este tipo de actuaciones no solo pueden castigarse por la vía penal, sino también por la administrativa, como tratamiento inconsentido de datos personales”.

Las imágenes falsas, aun sin mostrar a la persona real, utilizan su identidad visual y vulneran su derecho a decidir sobre el uso de su imagen. Además, en este caso concreto en el que las víctimas eran menores, supone un agravante que “refuerza la necesidad de una protección reforzada en el entorno digital”.

Más allá de la sanción individual, el caso reabre el debate sobre la responsabilidad de las plataformas digitales que permiten la generación o difusión de contenido manipulado.

El Reglamento Europeo de Inteligencia Artificial (AI Act), aprobado en 2024 y aplicable a partir de 2026, pretende cubrir ese vacío. Este marco normativo obligará a las empresas tecnológicas a implementar sistemas de detección, verificación de edad y mecanismos de denuncia para contenidos generados por IA. Las sanciones, además, podrán alcanzar cifras multimillonarias en caso de incumplimiento.

Hasta esta resolución, Europa solo había conocido un precedente: en febrero de 2024, un tribunal alemán ordenó la retirada de un deepfake del canciller Olaf Scholz, aunque sin multa económica. España, por tanto, se convierte en el primer país europeo en sancionar económicamente el uso ilícito de la inteligencia artificial.

El caso de Almendralejo ha servido como catalizador de una conversación más amplia sobre los límites de la tecnología y la lentitud del derecho. Como recordaba Cristina Villasante, “no puede ir por delante la norma de la tecnología”. Aunque los 1.200 euros finales no compensen el daño emocional de las víctimas, el mensaje institucional es claro: crear o difundir imágenes falsas de otra persona, es delito y puede acarrear sanciones.

Esta primera multa europea marca el inicio de una era en la que los deepfakes dejan de ser un juego y pasan a tener consecuencias jurídicas tangibles. España abre el camino de la regulación en un terreno donde la ética, la tecnología y el derecho se cruzan peligrosamente.