Responsabilidad de las redes sociales ante la difusión de imágenes manipuladas

En España, una red social no responde de forma automática por las imágenes manipuladas que publican sus usuarios, pero sí puede responder si, una vez que tiene conocimiento efectivo de que el contenido es ilícito, no lo retira o bloquea su acceso con diligencia. Quien crea o difunde la imagen (incluido quien la reenvía) responde directamente por la vía civil, penal y de protección de datos.

¿Qué se considera una imagen manipulada?

Son imágenes, vídeos o audios alterados para mostrar a una persona real en una situación que no ocurrió o con un aspecto que no tiene:

• Deepfakes: Contenido generado o alterado con inteligencia artificial que reproduce el rostro, el cuerpo o la voz de una persona.
• Montajes de desnudos: rostros reales sobre cuerpos desnudos, o desnudos generados con aplicaciones de IA a partir de una foto vestida.
• Fotografías retocadas o descontextualizadas que atribuyen a alguien hechos, actitudes o declaraciones falsas.

No es necesario que la imagen sea hiperrealista para generar responsabilidad: basta con que sea identificable la persona y que el contenido lesione su honor, su intimidad o su propia imagen.

¿Qué derechos vulnera?

El artículo 18.1 de la Constitución Española garantiza el derecho al honor, a la intimidad personal y familiar y a la propia imagen. La Ley Orgánica 1/1982 los desarrolla y considera intromisiones ilegítimas, entre otras:

• La captación, reproducción o publicación de la imagen de una persona sin su consentimiento (art. 7.5).
• La utilización del nombre, la voz o la imagen con fines publicitarios, comerciales o análogos (art. 7.6).
• La imputación de hechos o juicios de valor que lesionen la dignidad de otra persona o menoscaben su fama (art. 7.7).

Cuando se acredita una intromisión ilegítima, el artículo 9 de esa ley permite reclamar el cese inmediato, la retirada del contenido, una indemnización (que incluye el daño moral) y la publicación de la sentencia. La ley presume el perjuicio una vez probada la intromisión.

Responsabilidad de la red social o plataforma

El régimen aplicable es el Reglamento (UE) 2022/2065 de Servicios Digitales (DSA), directamente aplicable en España, junto con la Ley 34/2002 de servicios de la sociedad de la información (LSSI).

Exención de responsabilidad condicionada

Las plataformas que alojan contenido de terceros no son responsables de él si se cumplen dos condiciones (art. 6 DSA):

1. No tienen conocimiento efectivo de que el contenido es ilícito.
2. En cuanto lo tienen, actúan con rapidez para retirarlo o bloquear el acceso.

Si la plataforma conoce la ilicitud y no actúa, pierde la exención y puede ser demandada por los daños causados a partir de ese momento. El DSA reconoce además el derecho de los afectados a reclamar indemnización por los daños derivados del incumplimiento de las obligaciones del reglamento (art. 54).

Cómo se genera el «conocimiento efectivo»

El artículo 16 del DSA obliga a las plataformas de alojamiento a ofrecer un mecanismo de notificación y acción accesible y de uso sencillo. Una notificación suficientemente precisa y motivada (con la ubicación exacta del contenido, la explicación de por qué es ilícito y los datos del notificante) puede generar conocimiento efectivo cuando permite a un operador diligente reconocer la ilicitud sin un examen jurídico detallado. Por eso la forma de denunciar importa.

¿Qué obligaciones tienen las plataformas?

• Sin deber general de vigilancia (art. 8 DSA): no están obligadas a rastrear todo el contenido que alojan.
• Mecanismo de notificación y acción (art. 16) y motivación de las decisiones de retirar o mantener contenido (art. 17).
• Sistema interno de reclamaciones (art. 20) y acceso a órganos de resolución extrajudicial de litigios (art. 21).
• Atención prioritaria a los alertadores fiables (art. 22).
• Cumplimiento de órdenes de autoridades judiciales o administrativas de actuar contra contenidos ilícitos (art. 9).
• Gestión de riesgos sistémicos para las plataformas de muy gran tamaño, las que superan los 45 millones de usuarios mensuales en la UE (arts. 34 y 35), que incluye evaluar riesgos para los derechos fundamentales.

En España, la Comisión Nacional de los Mercados y la Competencia (CNMC) actúa como Coordinador de Servicios Digitales. Las multas por incumplimiento del DSA pueden alcanzar el 6 % del volumen de negocio mundial anual del prestador.

Si la plataforma no retira el contenido

La persona afectada puede reclamar ante la propia plataforma, acudir a la AEPD cuando el contenido incluye datos personales, denunciar ante el Coordinador de Servicios Digitales o ejercitar una acción civil contra la plataforma y contra el autor para obtener la retirada y la indemnización.

Responsabilidad de quien crea o difunde la imagen

Vía civil

Quien crea, publica o comparte una imagen manipulada que lesiona el honor, la intimidad o la propia imagen comete una intromisión ilegítima según la LO 1/1982 y debe cesar, retirar el contenido e indemnizar. Compartir o reenviar también cuenta como difusión: la responsabilidad no se limita al creador original. Además, el Código Civil (art. 1902) obliga a reparar el daño causado por culpa o negligencia.

Vía penal

En la actualidad no existe en el Código Penal un delito genérico y específico de «deepfake». La calificación depende de la imagen, de su contenido y del daño causado. Los tipos que más se aplican son:

El encaje de los montajes sexuales de personas adultas en el artículo 197.7 se discute, porque ese precepto se refiere a imágenes obtenidas con la anuencia de la víctima y un montaje no se obtiene de ese modo. Los tribunales analizan cada caso y la reforma penal en trámite pretende cubrir ese vacío.

Vía administrativa y de protección de datos

La imagen de una persona identificable es un dato personal. Su difusión sin base jurídica puede vulnerar el Reglamento General de Protección de Datos. La persona afectada puede ejercer el derecho de supresión (art. 17 RGPD) y reclamar ante la Agencia Española de Protección de Datos (AEPD), que puede imponer sanciones económicas. La excepción de uso doméstico del RGPD no ampara, en general, la difusión masiva de imágenes en redes sociales.

Para imágenes sexuales o violentas difundidas sin consentimiento, la AEPD dispone de un Canal Prioritario que permite solicitar su retirada urgente.

Cuando el autor es menor de edad

• Los menores de 14 años no tienen responsabilidad penal.
• Entre los 14 y los 17 años responden conforme a la Ley Orgánica 5/2000 de responsabilidad penal del menor, con medidas educativas como la libertad vigilada.
• La responsabilidad civil derivada del hecho recae de forma solidaria sobre los padres, tutores o guardadores (art. 61.3 LO 5/2000).

El caso de Almendralejo (Badajoz), en el que menores difundieron desnudos creados con IA de compañeras, terminó en 2024 con sentencia del Juzgado de Menores de Badajoz que impuso libertad vigilada a quince menores por delitos contra la integridad moral y de pornografía infantil.

El Reglamento europeo de inteligencia artificial

El Reglamento (UE) 2024/1689 define los deepfakes y, en su artículo 50, impone obligaciones de transparencia:

• Quien utilice un sistema de IA para generar o manipular imágenes, audio o vídeo que parezcan auténticos debe revelar que el contenido ha sido generado o manipulado artificialmente. Para obras claramente artísticas, creativas, satíricas o de ficción la obligación se limita a informar de forma que no perjudique la exhibición de la obra.
• Los proveedores de sistemas de IA generativa deben marcar los resultados en un formato legible por máquina para que puedan detectarse como artificiales.

Estas obligaciones se aplican según el calendario escalonado del reglamento. No sustituyen a la responsabilidad civil, penal o de protección de datos, que se mantiene.

Reformas legislativas en tramitación

A fecha de actualización de este artículo, las siguientes reformas no están en vigor:

• Proyecto de Ley Orgánica de Protección Civil de los Derechos al Honor, a la Intimidad Personal y Familiar y a la Propia Imagen. El Consejo de Ministros lo aprobó el 7 de julio de 2026 y lo remitió al Congreso. Sustituiría a la LO 1/1982. Considera intromisión ilegítima el uso de la voz o la imagen de una persona sin autorización, mediante inteligencia artificial o tecnologías similares, con fines publicitarios o comerciales, y adapta el régimen del consentimiento al entorno digital. Fija en 16 años la edad para que un menor consienta el uso de su imagen y prevé excepciones para contextos claramente satíricos, recreativos o de ficción y para hechos de relevancia pública. Al ser ley orgánica, requiere mayoría absoluta del Congreso.
• Anteproyecto de ley de protección de las personas menores en los entornos digitales, que contempla tipificar como delito la difusión sin autorización de imágenes o audios generados con IA de contenido sexual, los llamados deepfakes pornográficos.

Hasta su aprobación, se aplica el marco vigente descrito arriba.

Qué hacer si eres víctima de una imagen manipulada

1. Conserva las pruebas antes de que se borren: capturas de pantalla con fecha y hora, URL exacta del contenido, perfil que lo publica y número de reproducciones o comparticiones. Una prueba notarial o un informe pericial informático refuerzan su valor en juicio.
2. Notifica a la plataforma mediante su mecanismo de denuncia, indicando la URL, explicando por qué el contenido es ilícito y señalando que no has consentido su uso.
3. Reclama ante la AEPD el borrado de los datos y, si la imagen es sexual o violenta, utiliza el Canal Prioritario.
4. Denuncia ante la Policía Nacional, la Guardia Civil o la Fiscalía si puede constituir delito, sobre todo en casos de contenido sexual, menores, amenazas o acoso.
5. Ejerce acciones civiles por intromisión ilegítima para obtener la retirada, la indemnización y, si es necesario, medidas cautelares urgentes.
6. Respeta el plazo: la acción de protección civil del honor, la intimidad y la propia imagen caduca a los cuatro años desde que el legitimado pudo ejercitarla (art. 9.5 LO 1/1982).

Normativa de referencia

• Constitución Española, art. 18.
• Ley Orgánica 1/1982, de protección civil del derecho al honor, a la intimidad personal y familiar y a la propia imagen.
• Reglamento (UE) 2022/2065, de Servicios Digitales (DSA).
• Reglamento (UE) 2024/1689, de Inteligencia Artificial, art. 50.
• Reglamento (UE) 2016/679 (RGPD) y Ley Orgánica 3/2018 de protección de datos.
• Ley 34/2002, de servicios de la sociedad de la información y de comercio electrónico.
• Ley Orgánica 10/1995, del Código Penal, arts. 172 ter, 173.1, 189, 197.7 y 205 a 210.
• Ley Orgánica 5/2000, reguladora de la responsabilidad penal de los menores.

Este contenido es informativo y no sustituye el asesoramiento jurídico sobre un caso concreto.