En España la primera pena en Europa por deepfake: ¿qué pasó?

Multa de 2.000€ por un deepfake sexual de menores: primera sanción de la AEPD en Europa, claves legales y retirada urgente de contenido útil.

La Agencia Española de Protección de Datos ha impuesto una multa de 2.000 euros (que puede quedar en 1.200 por reconocimiento de responsabilidad y pronto pago) a un adolescente por crear y difundir imágenes sexuales falsas de otras personas menores utilizando herramientas de inteligencia artificial. El motivo jurídico es directo: la imagen —el rostro— es un dato personal, y manipularlo para simular desnudos y compartirlos constituye un tratamiento ilícito de datos al no existir base legal que lo ampare. No hay consentimiento, no hay interés público que justifique la intromisión, y el daño para las víctimas es evidente. La resolución marca un precedente claro: los falsos desnudos creados con IA no son “bromas” tecnológicas, sino infracciones graves de privacidad.

La sanción se enmarca en el terreno administrativo: la AEPD actúa para restaurar derechos y ordenar la retirada de contenidos, imponiendo una responsabilidad patrimonial que asumen los progenitores cuando el infractor es menor. Eso no excluye la vía penal cuando proceda: la justicia de menores puede intervenir por delitos relacionados con la integridad moral o la pornografía infantil si los hechos encajan en esos tipos. La novedad es que, además de lo penal, la protección de datos ya ofrece una respuesta rápida y tangible para frenar la difusión y castigar la manipulación de imágenes de adolescentes.

Qué ha pasado y por qué importa

El expediente que motiva la sanción describe una operativa que, por desgracia, se ha vuelto conocida en institutos y grupos de mensajería: superponer la cara de una compañera o compañero sobre un cuerpo desnudo, generar una imagen “realista” con una app y compartirla en chats o redes. La tecnología lo ha hecho sencillo; la difusión, instantánea. La resolución de la AEPD subraya que ese montaje es un tratamiento de datos en toda regla, porque la cara identifica a la persona, y por tanto entra en el ámbito del RGPD. No hay base legítima y el daño no es abstracto: vulnera la dignidad, la intimidad y puede desencadenar acoso.

Este caso no es aislado. Tras el estallido de Almendralejo (Badajoz) en 2023, con decenas de falsos desnudos de alumnas generados y difundidos por menores, llegaron investigaciones policiales y condenas en la vía penal juvenil en 2024. En 2025, cuerpos policiales han seguido abriendo diligencias en distintos puntos del país, con patrones similares: aplicaciones accesibles, grupos de WhatsApp o Telegram y, a veces, intentos de monetización en webs de contenido adulto. La sanción de la AEPD llega en ese contexto como una pieza más del cerco institucional: no solo hay consecuencias penales potenciales; también hay multa administrativa y órdenes de retirada exprés.

La base legal que sustenta la sanción

El Reglamento General de Protección de Datos (RGPD) define dato personal como cualquier información que identifica o hace identificable a una persona. El rostro cumple ese requisito sin discusión. Cuando alguien recorta una cara y la pega sobre un cuerpo desnudo que no es el de la persona retratada y difunde ese montaje, está tratando datos personales: los usa, los transforma, los comunica a terceros. Para tratar datos hace falta una base legal; en estos supuestos no existe. Ni consentimiento, ni contrato, ni interés legítimo que pueda prevalecer ante una intromisión tan intensa en la intimidad y la dignidad, menos aún cuando la víctima es menor de edad.

La AEPD califica la conducta como infracción del artículo 6.1 del RGPD, que exige base legitimadora. También valora circunstancias agravantes: la condición de menores de las víctimas, la difusión en grupos y redes, el carácter sexual de las imágenes y el impacto en el entorno escolar y familiar. Dentro del margen sancionador, el organismo fija 2.000 euros, cifra que en expedientes con adolescentes se pondera según capacidad económica y gravedad concreta. La Agencia, además, ordena la retirada de los contenidos y coordina con plataformas para lograrla en plazos breves, aprovechando su Canal Prioritario.

Reducciones, cuantía y quién paga

En el procedimiento sancionador español, reconocer la responsabilidad y pagar de forma voluntaria permite reducciones acumulables que, en la práctica, suelen dejar la multa en torno al 60 % del importe inicial. Por eso, la cifra de 2.000 euros se convierte en 1.200 si se dan ambas condiciones. Al tratarse de un menor, la responsabilidad patrimonial recae en los padres o tutores. Esta traslación no “exculpa” al adolescente —se le pueden imponer medidas judiciales educativas si hay causa penal—, pero evita que la sanción administrativa quede sin efectos. Es un mensaje nítido al entorno familiar: las ultrafalsificaciones tienen coste real.

Del estallido en Almendralejo a otros casos recientes

La primavera de 2023 dejó un punto de inflexión. En Almendralejo, alumnas de entre 12 y 14 años vieron cómo sus caras aparecían en cuerpos desnudos generados con aplicaciones que prometían “magia” fotográfica. La difusión en aulas y grupos fue fulminante y el daño, profundo. La reacción institucional combinó investigación penal y actuaciones de la AEPD para retirar los contenidos. En 2024, quince menores fueron condenados en la vía juvenil a medidas de libertad vigilada por la creación y la difusión de imágenes sexualizadas que afectaban a compañeras. Más allá del simbolismo, el caso envió una señal: no hay impunidad.

Durante 2025, las fuerzas de seguridad han reportado nuevos episodios: desde publicaciones en redes abiertas a sitios de contenido adulto donde algunos menores intentaban subir material manipulado para ganar dinero. No hay “hackers” de película, sino adolescentes con móviles y acceso a apps de IA generativa que, en segundos, producen montajes verosímiles. El patrón es reconocible: curiosidad, broma pesada, acoso o venganza, y un clic de difusión que multiplica el daño. La sanción de la AEPD se lee a la luz de esa realidad: busca disuadir y aportar respuestas rápidas mientras la vía penal sigue su curso.

También ha evolucionado la percepción social. Lo que empezó presentado por algunos como “memes” o “juegos” se entiende ya como violencia sexual digital, con sesgo claro: la inmensa mayoría de falsos desnudos apunta a chicas. El ámbito educativo lo ha notado. Equipos directivos han actualizado protocolos de convivencia, han incorporado formación sobre consentimiento y huella digital, y han aprendido a activar el Canal Prioritario sin rodeos cuando surge una crisis. Los departamentos de orientación han tenido que ampliar recursos para atender a las víctimas y acompañar a las familias, evitando la revictimización.

Implicaciones prácticas para centros, familias y plataformas

A partir de esta resolución, nadie puede alegar desconocimiento: pegar la cara de una menor en un cuerpo desnudo ajeno y compartir la imagen es tratamiento ilícito de datos. Para los centros educativos, esto se traduce en un itinerario operativo cuando aparece un montaje sexual: documentar los enlaces, preservar pruebas con capturas, solicitar retirada urgente por el Canal Prioritario de la AEPD y comunicar los hechos a las fuerzas de seguridad y, si procede, a Fiscalía de Menores. Todo puede hacerse en paralelo. El orden importa menos que la rapidez con la que se corta la difusión para limitar el daño.

Las familias tienen otro frente. La sanción recuerda que la responsabilidad económica existe aunque el infractor sea un hijo. Explicar en casa que “jugar con una app” puede tener consecuencias legales y sociales no es alarmismo; es educación digital. Exponer casos reales sin morbo, trabajar el consentimiento y la empatía, y dejar claro que una imagen íntima, real o falsa, no se comparte jamás. También conviene separar con nitidez a quienes crean el montaje de quienes lo difunden: ambos participan del daño. En varias actuaciones, la AEPD ha recalcado que reenviar contenido sexualizado es comunicar datos y, por tanto, puede ser sancionable.

Las plataformas reciben un aviso. Aunque la multa no fuera contra una red social, el listón regulatorio sube. España ha puesto en marcha un paquete legislativo para reforzar la verificación de edad, activar controles parentales por defecto en dispositivos y agilizar la retirada de contenidos cuando hay personas menores. El deber de cooperación con las autoridades ya no es una cortesía, es una exigencia. Servicios de mensajería y redes de gran escala se están viendo empujados a desarrollar mecanismos internos para bloquear rápidamente montajes sexualizados que involucren a adolescentes, preservar evidencias para investigaciones y notificar con diligencia.

En el ámbito escolar, los protocolos se actualizan. No solo por el caso de los “deepfakes”, también por otras prácticas que afectan a la privacidad en instalaciones deportivas o en gimnasios escolares, donde la AEPD ha sancionado recientemente usos indebidos de datos biométricos. La señal es coherente: tolerancia cero con cualquier tratamiento sensible sin consentimiento y sin base legal, prioridad para los derechos de la infancia y celeridad para frenar la viralidad.

El marco normativo que viene y el papel de las plataformas

El RGPD y la LOPDGDD ya ofrecían herramientas claras, y la AEPD las ha usado con firmeza: el rostro como dato personal, la ilicitud del tratamiento sin base, el deber de diligencia de quien difunde y el Canal Prioritario para retirar contenidos en horas. Sobre ese suelo, el Gobierno y el Parlamento han abierto la puerta a una Ley Orgánica de protección de las personas menores en entornos digitales con medidas de calado: edad mínima de 16 años para abrir perfiles en redes, controles parentales activados de fábrica en móviles y tablets, prohibición de cajas botín para menores y la tipificación específica de las ultrafalsificaciones sexuales.

Que exista un delito específico importa por varias razones. Aclara el trabajo de fiscalías y juzgados al individualizar conductas que hoy se encajan a veces de forma indirecta en delitos de pornografía infantil o contra la integridad moral. También eleva el listón de prevención para plataformas: si la ultrafalsificación sexual es delito en sí misma, la obligación de retirar y bloquear se vuelve todavía más perentoria, y la colaboración internacional —con Europol y otras agencias— gana velocidad. A nivel práctico, familias, colegios y policías ganan claridad: se sabe qué denunciar, cómo y con qué herramientas.

El otro gran eje es la verificación de edad. No basta con “marcar una casilla”. La tendencia regulatoria empuja a mecanismos efectivos —sin invadir más de lo necesario la privacidad— que impidan que menores entren en redes y sitios donde saben que no deben estar. Al mismo tiempo, fabricantes y operadores tendrán que ofrecer controles parentales con configuraciones por defecto orientadas a la protección. Es un cambio cultural: no se trata de prohibir internet, sino de diseñarlo pensando en quienes son más vulnerables.

Riesgo real y tecnología accesible

El auge de la IA generativa ha democratizado herramientas capaces de producir imágenes ultrarrealistas con apenas tres toques. No hace falta saber programar, ni tener un ordenador potente. Cualquiera puede subir una foto de una clase, seleccionar un modelo y obtener en segundos un falso desnudo de apariencia “real”. Ese acceso, mezclado con la dinámica social de la adolescencia —bromas, retos, grupos que empujan a ir más allá—, explica la expansión de estos montajes. Lo que parecía ciencia ficción hace cinco años cabe ahora en una app gratuita.

Conviene salir del tecnicismo y mirar el coste humano. Para una chica de 14 o 15 años, ver su cara pegada a un cuerpo desnudo puede ser motivo de ansiedad, aislamiento, ausentismo escolar, conflictos en casa y miedo a volver al aula. La huella digital se convierte en una sombra que asusta aunque el material se haya retirado. Por eso, el tiempo de respuesta es crucial: horas, no semanas. Esa es la utilidad del Canal Prioritario y de la coordinación entre centro, familias y autoridades. También explica que la AEPD subraye la importancia de campañas de alfabetización digital y afectivo-sexual en edades tempranas.

Hay además un sesgo de género que la investigación viene marcando: la mayoría de estos deepfakes sexuales se dirigen a chicas. No es un detalle, es una pauta. La violencia digital replica desigualdades que ya existían fuera de la pantalla. Saberlo permite orientar mejor la prevención, el apoyo psicológico y las medidas disciplinarias dentro de los centros. Del lado masculino, trabajar consentimiento, respeto y responsabilidad no es “moralina”: es evitar delitos y sanciones. El mensaje “no reenvíes” tiene que dejar de sonar a póster y convertirse en norma social.

Una última derivada: la monetización. Algunos casos recientes incluyen intentos de vender contenidos manipulados a través de webs y plataformas de pago. La entrada del ánimo de lucro endurece el reproche, abre la puerta a delitos adicionales y deja más rastro económico. Seguir el dinero ayuda a acreditar responsabilidades, identificar cómplices y cerrar canales. Las plataformas que procesan pagos empiezan a adoptar mecanismos de bloqueo cuando reciben avisos fundados de ultrafalsificaciones que involucran a menores.

Lo que conviene tener claro a partir de ahora

El mensaje central de esta sanción no admite matices: manipular con IA la imagen de una persona menor para simular desnudos y difundir ese contenido es ilegal. No hay excusas tecnológicas ni amparo de “broma”. La imagen es un dato personal y su uso sin base legal es un trato ilícito. A partir de ahora, quien cree o reemita un montaje sexual sobre una compañera o compañero se expone a multas, órdenes de retirada inmediatas y, si encajan los tipos, medidas penales en la jurisdicción de menores. La cifra de 2.000 euros —reducible a 1.200— puede parecer modesta a algunos, pero fija un suelo y hace pedagógica la consecuencia: toca el bolsillo de las familias y deja huella administrativa.

Quedan deberes compartidos. La escuela necesita protocolos ágiles y formación sostenida. Las familias deben hablar del tema con claridad, sin estigmas, y configurar los controles parentales que ahora llegan “de serie”. Las plataformas no pueden esconderse: verificación de edad seria, moderación útil y respuesta coordinada en horas cuando hay menores de por medio. En paralelo, el legislador avanza hacia un tipo penal específico para las ultrafalsificaciones sexuales, lo que hará más contundente la respuesta.

La tecnología seguirá mejorando; también los filtros y las herramientas para detectar y bloquear montajes. Aun así, la prevención cultural —entender que la intimidad no es material fungible— es lo que más pesa. La sanción de la AEPD no cierra el problema, pero traza la línea con trazo grueso: ni un “deepfake” sexual sobre menores. Y quien lo cruce, paga. Con la imagen no se juega. Con la dignidad, tampoco.

🔎​ Contenido Verificado ✔️

Este artículo ha sido redactado basándose en información procedente de fuentes oficiales y confiables, garantizando su precisión y actualidad. Fuentes consultadas: AEPD, Consejo General del Poder Judicial, El País, Ministerio de la Presidencia, Congreso de los Diputados, Cadena SER.