Cuando una imagen deja de ser inocente
Una fotografía, un vídeo, un rostro captado en una red social o en un grupo de mensajería parecen hoy materia prima inocua para la diversión digital. Un filtro, un avatar, una broma, un experimento con inteligencia artificial. Sin embargo, la Agencia Española de Protección de Datos (AEPD) recuerda algo fundamental y a menudo olvidado: toda imagen de una persona identificada o identificable es un dato personal, incluso cuando ha sido alterada o generada artificialmente.
La guía publicada por la AEPD en enero de 2026 pone negro sobre blanco una realidad incómoda: subir imágenes de terceros a sistemas de IA generativa no es un acto neutro, ni desde el punto de vista legal ni desde el punto de vista ético. Da igual que el uso sea lúdico, doméstico o aparentemente trivial. En el momento en que una imagen se procesa, se transforma o se utiliza para generar contenido nuevo, se está produciendo un tratamiento de datos personales con consecuencias potencialmente graves.
El auge de los deepfakes y la necesidad de una advertencia clara
La publicación de esta guía no es casual. Llega en un contexto marcado por la explosión de los deepfakes, incluidos los contenidos sexualizados generados sin consentimiento, algunos de ellos vinculados a plataformas de IA generativa ampliamente conocidas. Casos que han puesto de manifiesto no solo la facilidad técnica para crear estas ultrafalsificaciones, sino también la enorme dificultad para reparar el daño una vez producido.
La AEPD no se limita a advertir sobre los casos más extremos. Va más allá y analiza los riesgos visibles y los riesgos invisibles que se producen incluso cuando la imagen generada no llega a difundirse públicamente.
Riesgos visibles: lo que todos pueden ver, pero no siempre medir
Entre los riesgos más evidentes, la Agencia identifica varios factores clave que incrementan el impacto negativo sobre la persona afectada:
Falta de legitimación y expectativa razonable
Que una imagen esté publicada en una red social o se haya compartido una vez no autoriza su uso posterior en sistemas de IA. Transformarla, generar variantes o sacarla de su contexto original exige una base de legitimación clara que, en la mayoría de los casos, no existe.
Difusión masiva y pérdida de control
La facilidad de reenvío, copia y republicación multiplica el daño. Una imagen generada por IA puede escapar rápidamente al control de quien la creó, afectando a la reputación, la vida personal o el ámbito profesional de la persona representada.
Persistencia del contenido en internet
Uno de los aspectos más graves es la irreversibilidad práctica del daño. Aunque una plataforma permita borrar un contenido, las copias, capturas y redistribuciones hacen que su eliminación total sea, en la práctica, imposible.
Sexualización y contenido íntimo sintético
La AEPD identifica este punto como una señal de riesgo extremo. La generación de desnudos, escenas íntimas o erotización a partir de imágenes neutras facilita el acoso, el chantaje y la humillación pública, con consecuencias psicológicas y sociales devastadoras.
Atribución de hechos falsos y daño reputacional
Cuando una imagen o vídeo generado por IA presenta a una persona realizando actos que nunca ocurrieron, pero resultan verosímiles, el perjuicio puede ser grave. El problema no es solo la generación inicial, sino su reinterpretación por terceros como si fuera real.
Especial impacto en personas vulnerables
Menores de edad, personas mayores o con discapacidad requieren un nivel máximo de prudencia. Un uso aparentemente inocente puede desencadenar acoso, estigmatización o riesgos graves en su entorno social.
Riesgos invisibles: lo que ocurre aunque nadie vea el resultado
La parte más inquietante de la guía es, quizá, la dedicada a los riesgos menos visibles, aquellos que se producen por el mero hecho de subir una imagen a un sistema de IA, aunque el resultado no se publique ni se comparta.
Pérdida efectiva de control ante terceros tecnológicos
En cuanto una imagen se sube a una plataforma de IA, sale del control del usuario y de la persona afectada. Es el proveedor tecnológico quien decide cómo se procesa, almacena o reutiliza.
Retención técnica y copias no verificables
Muchas plataformas conservan temporalmente las imágenes para gestionar el servicio, detectar errores o mantener copias de seguridad. Esta retención suele ser opaca y no comprobable.
Intervención de múltiples actores
Infraestructuras en la nube, sistemas de almacenamiento, servicios de moderación y personal técnico amplían el perímetro de acceso a la imagen, incrementando el riesgo.
Usos secundarios y finalidades añadidas
Además de generar el contenido solicitado, las imágenes pueden utilizarse para mejorar el sistema, evaluar su funcionamiento o detectar abusos, prolongando su vida útil más allá de lo imaginable para el usuario.
Metadatos, inferencias y reidentificación
Durante el procesamiento se generan metadatos e inferencias internas. En algunos sistemas, una sola imagen puede servir como base para recrear repetidamente a la misma persona en distintas escenas, aumentando el riesgo de identificación persistente.
Dificultad real para ejercer derechos
La persona afectada suele desconocer qué sistema se ha usado, dónde está su imagen o a quién dirigirse para solicitar su supresión, lo que convierte el ejercicio de derechos en una carrera de obstáculos.
Una advertencia clara: no es un juego
La conclusión de la Agencia es rotunda: subir imágenes de terceros a sistemas de inteligencia artificial no es un acto inocente, incluso cuando no hay intención de causar daño ni difusión posterior. La combinación de opacidad técnica, pérdida de control y facilidad de reutilización convierte estos usos en un terreno de alto riesgo desde la perspectiva de la protección de datos.
La guía recuerda, además, que aunque algunos usos puedan quedar fuera del ámbito del RGPD por su carácter doméstico, siguen pudiendo vulnerarse derechos fundamentales como el honor, la intimidad o la propia imagen, e incluso derivar en responsabilidades penales cuando concurren indicios de delito.
Un documento imprescindible
La publicación de esta guía por parte de la AEPD es una llamada de atención necesaria en un momento en el que la tecnología avanza más rápido que la reflexión social. Antes de subir una imagen ajena a una herramienta de IA generativa, conviene recordar que lo que parece una broma puede convertirse en un daño irreversible.
Con esta noticia se adjunta el PDF íntegro de la Agencia Española de Protección de Datos, un documento imprescindible para entender los riesgos reales de las ultrafalsificaciones y para actuar con la prudencia que exige un derecho tan básico como el control sobre la propia imagen.
Descarga un resumen en formato presentación (PDF)
 alerta: usar imágenes de terceros en IA nunca es inocente, aunque no se publiquen.){kind=link}