LA AEPD PUBLICA UNA GUÍA SOBRE EL USO DE IMÁGENES DE TERCEROS
EN SISTEMAS DE IA

Recientemente la Agencia Española de Protección de Datos (AEPD) ha publicado una guía sobre el uso de imágenes de terceros en sistemas de inteligencia artificial (IA) y sus riesgos visibles e invisibles.

En primer lugar, la Agencia indica que una imagen en el que una persona es identificada o identificable es un dato personal, es decir, no es necesario que aparezca su nombre para que exista tratamiento de datos personales si se puede identificar a la persona, aunque solo sea en el contexto en el que se difunde la
imagen. Es independiente si la imagen es una fotografía o vídeo real como si es generado o modificado mediante sistemas de IA.

A continuación, se ocupa del impacto visible y existente de generar y difundir imágenes de terceros mediante IA, centrándose en aspectos tales la sexualización y el contenido íntimo sintético, la atribución de hechos no reales con efectos reputacionales, la descontextualización de las imágenes o la utilización de
contenidos que afectan a menores de edad o personas en situación de especial vulnerabilidad.

Hay que decir que, muchas plataformas de IA generativa incorporan ya mecanismos técnicos para limitar la generación de contenidos lesivos. Dichas medidas hacen que muchos contenidos altamente perjudiciales no acaben generándose, pero no se puede garantizar su desaparición total. En este punto, la Agencia expresa que “los problemas pueden surgir cuando el resultado parece real, cuando se comparte más allá del ámbito inicial o cuando se utiliza con un sentido distinto del previsto, situaciones en las que el impacto para la persona afectada puede seguir siendo significativo. Desde el punto de vista de la persona afectada, el daño visible puede ser equivalente que en el caso de una imagen o un vídeo real”.

Asimismo, y aunque el Reglamento General de Protección de Datos (RGPD) no se aplica a personas fallecidas, la Guía destaca que no debe perderse de vista que la manipulación y difusión mediante IA de la imagen de una persona fallecida puede causar daños intensos a familiares y allegados, activando derechos similares a la protección de datos tales como el honor, la intimidad, la propia imagen o la memoria
familiar.

En segundo término, estarían los riesgos menos visibles, aquellos que se producen por el mero hecho de subir una imagen o un vídeo a un sistema de IA, aunque el resultado no se publique. La Agencia destaca la pérdida efectiva de control sobre la imagen al intervenir un tercero tecnológico, la retención y la existencia de copias no visibles, la intervención de múltiples actores, la generación de metadatos o el riesgo de identificación persistente en sistemas capaces de reutilizar rasgos de una persona en múltiples contenidos. En estos casos, los riesgos para la protección de datos tienen lugar por la combinación de pérdida de control, opacidad técnica, finalidades ampliadas y dificultad de reacción de la persona afectada.

Finalmente, se determinan las situaciones que suelen ser especialmente relevantes para la AEPD, aclarando los límites de la normativa de protección de datos, por ejemplo, en ámbitos personales o domésticos sin difusión más allá de ese entorno. La Agencia presta especial atención a los supuestos en los que el uso de imágenes o vídeos de terceros mediante sistemas de inteligencia artificial incrementa de forma significativa los riesgos para la persona afectada. Esto ocurre, particularmente, cuando se produce una pérdida efectiva de control sobre la propia imagen, se generan contenidos verosímiles que pueden atribuir a la persona hechos o conductas que no han ocurrido, se ven implicados menores de edad o personas especialmente vulnerables, se introducen elementos de sexualización, humillación o descrédito, o se difunden los contenidos en entornos en los que el impacto personal, social o profesional puede ser especialmente intenso.

La Agencia también añade que pueden verse afectados otros derechos fundamentales, como el honor, la intimidad o la propia imagen, y que resulten aplicables otras normas del ordenamiento jurídico, incluido el Código Penal. En caso de indicios de delito, la actuación correspondería a las autoridades policiales, la Fiscalía y, en su caso, los órganos judiciales, que son los competentes para la investigación y persecución penal de estos hechos.

La Agencia ofrece de esta manera criterios claros, oportunos y sencillos para comprender el alcance de los riesgos asociados al uso de imágenes en sistemas de IA, promoviendo un uso responsable y respetuoso con los derechos fundamentales garantizados constitucionalmente.

Desde nuestro Despacho, a su vez, estamos también concienciados con este tipo de publicaciones y de otras muchas y seguiremos informando de cualquier novedad que se produzca en 2026.