La pornografía sintética contra la infancia: respuestas normativas, fracturas judiciales y estándares internacionales en Iberoamérica

Estudio crítico del marco regulatorio, la jurisprudencia emergente y la protección de datos frente a los deepfakes sexuales de menores en España y América Latina

Introducción

1. Planteamiento del problema y justificación

La convergencia entre la inteligencia artificial generativa y la producción de contenido sexual ha abierto un frente inédito en la protección de los derechos de la infancia. Los denominados deepfakes —sintetizaciones hiperrealistas de imagen, voz o vídeo obtenidas mediante redes neuronales entrenadas con grandes conjuntos de datos— han dejado de ser una curiosidad tecnológica para convertirse en un instrumento de agresión sexual y reputacional contra menores de edad, con una capacidad de difusión y un potencial lesivo que desbordan las categorías tradicionales del derecho penal y civil. El punto de inflexión en la conciencia social y judicial del fenómeno vino de la mano de la Sentencia del Juzgado de Menores de Badajoz 86/2024, que declaró a quince menores responsables de veinte delitos de pornografía infantil y veinte delitos contra la integridad moral por manipular con inteligencia artificial y difundir imágenes de compañeras para que apareciesen desnudas (15). Este pronunciamiento, que supuso la primera respuesta judicial de calado a los deepfakes sexuales en el ámbito hispanohablante, fue seguido por el procesamiento en Córdoba de un joven de 19 años por generar imágenes pornográficas falsas de sus compañeras (17), la investigación en Logroño de un menor de 14 años por utilizar inteligencia artificial para "desnudar" digitalmente a nueve compañeras (18), y la apertura de diligencias en otros puntos del territorio español, que evidencian una tendencia ascendente y una respuesta judicial aún fragmentada.

La dimensión cuantitativa del problema comienza a ser mensurable, aunque las cifras disponibles apuntan a una realidad probablemente subestimada. El estudio internacional liderado por UNICEF, ECPAT e INTERPOL, publicado en febrero de 2026, estima que al menos 1,2 millones de niños y niñas en once países, entre ellos México, han reportado haber sido afectados por manipulaciones de sus imágenes mediante deepfakes con contenido sexual explícito en el último año (22). Esta cifra, por su propia naturaleza, infrarepresenta la realidad, dado el silencio que suele acompañar a las agresiones sexuales contra menores y la dificultad técnica para detectar este tipo de contenidos generados sintéticamente, que no siempre son identificados como ilícitos por las plataformas o por los propios afectados.

Desde la perspectiva jurídica, el deepfake sexual de menores plantea una intersección de bienes jurídicos especialmente sensibles. De un lado, los derechos de la personalidad —honor, intimidad personal y familiar, y propia imagen—, reconocidos en el ordenamiento español por la Ley Orgánica 1/1982 y cuya protección se ha visto reforzada por el Anteproyecto de 2026 que considera ilegítimo el uso o difusión de imágenes o voces generadas o manipuladas mediante inteligencia artificial sin el consentimiento de la persona afectada (2). De otro lado, la indemnidad sexual del menor, que constituye el bien jurídico protegido por los delitos de pornografía infantil y que el legislador ha tratado de actualizar mediante la incorporación del artículo 173 bis al Código Penal, con penas de hasta dos años de prisión para la difusión no consentida de imágenes sexuales generadas por inteligencia artificial (4). Sin embargo, las categorías tradicionales del derecho penal muestran signos de tensión al enfrentarse a una tecnología que permite generar representaciones de desnudez sin que medie captación real de la imagen del menor, lo que cuestiona la subsunción en los tipos de pornografía infantil tal como han sido concebidos históricamente (26, 29). Esta dificultad interpretativa ha generado una disparidad de criterios judiciales que se ha hecho patente en el contraste entre la sentencia condenatoria de Badajoz y la absolución dictada por la Audiencia Provincial de Valladolid en un supuesto similar (15, 16).

La respuesta normativa se ha desarrollado a velocidad desigual. En España, el Proyecto de Ley Orgánica para la protección de las personas menores de edad en los entornos digitales (aprobado por el Consejo de Ministros el 25 de marzo de 2025), el Anteproyecto que modifica la Ley 1/1982 (enero de 2026), el Proyecto de Ley Orgánica para un uso ético de la inteligencia artificial (mayo de 2026) y la reforma del Código Penal configuran un ecosistema normativo en construcción (1, 2, 3, 4). A nivel europeo, el Acuerdo de la Unión Europea de 7 de mayo de 2026, a propuesta del Gobierno de España, prohíbe en todo el territorio comunitario los sistemas de IA que generen deepfakes sexuales y pornografía infantil, enmienda que complementa la Ley Europea de Inteligencia Artificial (7). En América Latina, se han impulsado reformas penales en México (Código Penal Federal y reforma de la Ciudad de México, marzo de 2026), Argentina (proyectos S-0070/2025 y modificación del artículo 128), Chile (Ley 21.430 y proyecto de artículo 374 bis), Perú (Ley N.º 32314, abril de 2025), Uruguay (modificación de la Ley de Violencia hacia las Mujeres y primer proyecto específico), Bolivia (Ley N.º 1636, abril de 2025) y Paraguay (proyectos contra grooming y deepfakes) (8, 9, 10, 11, 12, 13, 14). Este conjunto de iniciativas revela una conciencia regional del problema, pero también una notable fragmentación en los umbrales de punición, las calificaciones jurídicas y los mecanismos de cooperación.

A ello se suma la respuesta administrativa, encarnada en España por el Expediente de la Agencia Española de Protección de Datos (AEPD) EXP202503445, que sancionó con 2.000 euros la difusión de imágenes falsas de desnudos de menores como infracción muy grave del artículo 6.1 del RGPD, y que supuso la primera sanción en Europa por creación de falso desnudo mediante inteligencia artificial (20, 21). Esta doble vía —penal y administrativa— plantea complejos problemas de concurrencia y de determinación de la autoridad competente, especialmente cuando los responsables son también menores de edad.

La doctrina jurídica, por su parte, ha comenzado a analizar el fenómeno con profundidad. Autores como Benítez (2025) se han preguntado si es posible sancionar penalmente en España la difusión de estas imágenes a propósito de la Sentencia de Badajoz (26). Ramos-Zaga (2024) ha estudiado las implicancias tecnológicas y jurídicas de los deepfakes (27). Addati (2025) ha abordado la respuesta estadounidense y el vacío normativo en Argentina (28). Bonnett (2025) y García Martínez (2024) han contribuido al análisis de la pornografía deepfake y su protección civil en el ordenamiento español (29, 30). Palazzi (2025) ha reflexionado desde Argentina sobre el derecho y la irrupción de los deepfakes (31). El estado de la cuestión muestra, no obstante, un desarrollo incipiente, con escasa literatura comparada que integre los pronunciamientos judiciales y las reformas legislativas de ambos lados del Atlántico.

La justificación de este trabajo reside, precisamente, en la necesidad de ofrecer un estudio sistemático, crítico y actualizado de la respuesta jurídica —normativa, jurisprudencial y doctrinal— al fenómeno de los deepfakes sexuales de menores en el ámbito hispanohablante. Se trata de un campo en el que la rapidez de la innovación tecnológica desborda los tiempos del legislador y en el que la protección de los menores exige una articulación coherente entre los principios de la Convención sobre los Derechos del Niño, los estándares de derechos humanos, las exigencias de la economía digital y las realidades procesales de los distintos ordenamientos.

2. Objeto de investigación y metodología empleada

El objeto de la presente investigación es triple. En primer lugar, se propone describir y analizar el marco normativo vigente y en proyecto en España y en los principales países latinoamericanos que han legislado sobre la materia, con especial atención a las reformas penales, las leyes de protección de datos y las normas sobre inteligencia artificial. En segundo lugar, se examinan las resoluciones judiciales y administrativas dictadas hasta la fecha, identificando los criterios interpretativos aplicados, las divergencias y los problemas probatorios que han surgido. En tercer lugar, se contrastan ambas dimensiones con los estándares internacionales de derechos humanos de la infancia, con la doctrina especializada y con la evidencia empírica disponible, a fin de evaluar la suficiencia y coherencia de la respuesta institucional y de formular propuestas de mejora.

La metodología empleada es la propia de la investigación jurídica dogmática y comparada. Se ha procedido al análisis de fuentes normativas primarias (leyes, proyectos de ley, reglamentos, tratados internacionales), fuentes jurisprudenciales (sentencias y resoluciones judiciales), fuentes administrativas (expedientes sancionadores) y fuentes doctrinales (artículos académicos, informes institucionales y publicaciones especializadas). El estudio comparado se ha limitado al ámbito hispanohablante por razones de homogeneidad lingüística y de tradición jurídica, si bien se incorporan las referencias al derecho de la Unión Europea y a los instrumentos internacionales de derechos humanos por su carácter vinculante o hermenéutico para los Estados analizados. Se ha priorizado la consulta de fuentes originales —textos legales íntegros, textos de sentencias y expedientes accesibles, documentos oficiales—, recurriendo a la prensa especializada únicamente como complemento para la actualización de casos recientes o para la contextualización de datos empíricos, siempre que estos hayan sido contrastados con informes institucionales. En todo caso, se ha observado el principio de prudencia documental, evitando incorporar afirmaciones que no encuentren respaldo en las fuentes citadas.

3. Estructura del trabajo

El informe se articula en once capítulos, precedidos de esta introducción y seguidos de unas conclusiones finales y un apartado bibliográfico.

El Capítulo I se adentra en la naturaleza tecnológica del deepfake, definiendo su concepto, sus técnicas de generación y las tipologías relevantes para el ámbito jurídico, con especial atención a la pornografía sintética y a su impacto diferencial en la infancia. El Capítulo II fija el parámetro axiológico y normativo de referencia: la Convención sobre los Derechos del Niño, sus Observaciones Generales y el principio del interés superior del menor.

Los Capítulos III, IV y V abordan el marco normativo positivo y proyectado. El Capítulo III se centra en el ordenamiento español, desglosando el Proyecto de Ley de menores en entornos digitales, la reforma de la Ley 1/1982, la transposición del Reglamento Europeo de IA, el nuevo artículo 173 bis del Código Penal y la incidencia de la LOPDGDD y el RGPD. El Capítulo IV ofrece un recorrido por las reformas legislativas en México, Argentina, Chile, Perú, Uruguay, Bolivia y Paraguay, con un análisis comparado de convergencias y divergencias. El Capítulo V sitúa la respuesta de la Unión Europea como catalizador de las políticas nacionales, con especial referencia al Acuerdo de 7 de mayo de 2026 y a las obligaciones de transparencia y watermarking.

Los Capítulos VI y VII se dedican a la respuesta jurisdiccional y administrativa. El Capítulo VI examina en detalle las resoluciones judiciales —especialmente la Sentencia del Juzgado de Menores de Badajoz, el contraste con la Audiencia de Valladolid, los casos de Córdoba y Logroño y la primera sentencia uruguaya— y extrae las lecciones sobre disparidad de criterios y desafíos probatorios. El Capítulo VII analiza el Expediente de la AEPD y la primera sanción europea, así como la interacción entre responsabilidad penal y administrativa.

El Capítulo VIII recoge la evidencia empírica y los informes institucionales: el estudio de UNICEF, ECPAT e INTERPOL, los informes del Observatorio de la Infancia, del CGPJ y del Consejo Fiscal, y los pronunciamientos de la Defensoría de la Niñez chilena. El Capítulo IX sistematiza la doctrina jurídica existente, identificando los principales debates sobre tipicidad, bien jurídico protegido, responsabilidad de menores, prueba digital y reparación del daño. El Capítulo X aborda los desafíos prácticos y las lagunas regulatorias: anonimización, viralización, ineficacia de las órdenes de retirada, ausencia de cooperación internacional y brecha de capacitación. Finalmente, el Capítulo XI esboza perspectivas de futuro y propuestas de lege ferenda, incluyendo la armonización de tipos penales, la responsabilidad de plataformas y las estrategias de educación digital.

El trabajo se cierra con unas conclusiones que sintetizan los hallazgos, valoran críticamente la respuesta actual y formulan recomendaciones estratégicas para los poderes públicos, los operadores jurídicos y la comunidad académica.

Capítulo I. La naturaleza tecnológica y jurídica del deepfake como fenómeno disruptivo

1. Concepto, técnicas de generación y evolución de la inteligencia artificial generativa

El término deepfake —contracción de los vocablos ingleses deep learning (aprendizaje profundo) y fake (falso)— designa, en su acepción más amplia, aquellos archivos de imagen, vídeo o audio generados o manipulados mediante técnicas de inteligencia artificial que imitan de forma hiperrealista la apariencia, la voz o los gestos de una persona real, hasta el punto de resultar indistinguibles para el ojo humano no entrenado (27, 29). La literatura técnica y jurídica ha venido utilizando esta denominación desde la aparición de los primeros algoritmos de síntesis facial basados en redes neuronales, si bien el fenómeno ha adquirido una dimensión cualitativamente distinta con la irrupción de la inteligencia artificial generativa, que ha democratizado el acceso a estas herramientas y ha multiplicado exponencialmente su capacidad de producción (27).

Desde una perspectiva tecnológica, los deepfakes se asientan sobre dos familias principales de arquitecturas de aprendizaje automático. De un lado, las redes generativas antagónicas —conocidas por sus siglas en inglés como GAN (Generative Adversarial Networks)—, que operan mediante la confrontación de dos redes neuronales: una generadora, que produce imágenes sintéticas, y otra discriminadora, que evalúa su autenticidad. Este proceso iterativo de retroalimentación permite alcanzar niveles de realismo progresivamente mayores (27). De otro lado, los autoencoders variacionales y las redes de difusión, que han ganado protagonismo en los últimos años por su eficiencia en la generación de contenido inédito a partir de instrucciones textuales o de imágenes de referencia (27). La evolución ha sido vertiginosa: lo que hace una década requería ingentes recursos computacionales y equipos especializados puede hoy ejecutarse mediante aplicaciones de acceso gratuito disponibles en dispositivos móviles, lo que ha facilitado su propagación entre la población adolescente.

La inteligencia artificial generativa, en tanto que categoría más amplia, engloba sistemas que, tras ser entrenados con grandes conjuntos de datos, son capaces de crear contenido nuevo que imita los patrones presentes en la información original (27). Esta capacidad de síntesis no se limita a la mera copia o edición, sino que permite la generación ex novo de representaciones que nunca han existido en la realidad, lo que constituye el rasgo más perturbador desde la perspectiva jurídica. En el caso de los deepfakes sexuales de menores, la tecnología no requiere que exista una fotografía real de desnudo del menor; basta con disponer de una imagen ordinaria de su rostro —extraída, por ejemplo, de una red social— para que el algoritmo genere, mediante inferencia estadística, un cuerpo sintético sobre el que superpone el rostro del menor, creando una representación de desnudez o de acto sexual que nunca ocurrió (15, 17, 18). Esta característica, que algunos autores han calificado como "pornografía sintética" o "pornografía generada por IA", plantea un desafío ontológico a las categorías penales tradicionales, que han sido concebidas para sancionar la captación real de imágenes de abuso sexual (26, 29).

2. Tipologías de deepfakes: suplantación de identidad, manipulación discursiva y pornografía sintética

La doctrina ha propuesto diversas clasificaciones de los deepfakes atendiendo a su finalidad, a la técnica empleada o al bien jurídico afectado (27, 30). Desde una perspectiva funcional, pueden distinguirse al menos tres grandes categorías, con relevancia jurídica diferenciada.

En primer lugar, los deepfakes de suplantación de identidad, que consisten en la superposición del rostro o la voz de una persona sobre el cuerpo o la grabación de otra, con el objeto de hacer aparecer a aquella realizando acciones o pronunciando discursos que no ha llevado a cabo. Esta modalidad ha sido utilizada tanto para fines lícitos —como la localización de actores en películas o la creación de avatares en entornos virtuales— como para fines ilícitos, especialmente la suplantación en sistemas de verificación biométrica, el fraude corporativo o la difamación. Su relevancia en el ámbito de la infancia se ha manifestado principalmente en casos de acoso escolar mediante la creación de vídeos que atribuyen a un menor conductas inapropiadas o declaraciones vejatorias.

En segundo lugar, los deepfakes de manipulación discursiva, que alteran el contenido de un discurso o declaración pública —modificando palabras, gestos o entonación— para atribuir a una persona afirmaciones que no realizó. Esta modalidad ha concitado una atención considerable en el debate sobre la desinformación y la integridad de los procesos democráticos, pero su impacto sobre los menores ha sido menor, salvo en aquellos casos en que se utiliza para fabricar pruebas falsas en procedimientos de custodia o en conflictos familiares.

En tercer lugar, y este es el núcleo de la presente investigación, los deepfakes de pornografía sintética, también denominados deepfake sexual o deepfake pornográfico. Esta tipología consiste en la generación o manipulación de imágenes o vídeos que representan a una persona —en este caso, un menor de edad— en situaciones de desnudez, de contenido sexual explícito o de actos sexuales, sin que dichas situaciones hayan tenido lugar en la realidad y sin el consentimiento de la persona representada (1, 4). Es en esta categoría donde se concentran los casos judiciales documentados en el ámbito hispanohablante: el caso de Almendralejo, donde quince menores manipularon imágenes de sus compañeras para que apareciesen desnudas (15); el procesamiento en Córdoba de un joven de 19 años por generar imágenes pornográficas falsas de sus compañeras (17); y la investigación en Logroño de un menor de 14 años por utilizar inteligencia artificial para "desnudar" digitalmente a nueve compañeras y difundir las imágenes en una web pornográfica (18). Todos ellos responden a un patrón común: el uso de aplicaciones de IA generativa, a menudo de libre acceso, para producir representaciones sexualizadas de menores a partir de fotografías extraídas de sus perfiles en redes sociales.

3. Especificidades del deepfake sexual y su impacto diferencial en la infancia y adolescencia

El deepfake sexual presenta una serie de especificidades que lo distinguen de otras formas de violencia sexual contra la infancia y que explican, en buena medida, la dificultad del derecho para dar una respuesta adecuada.

La primera especificidad es su carácter no consensuado y no experiencial. A diferencia de la pornografía infantil tradicional, que requiere la captación real de imágenes de abuso sexual —lo que implica, necesariamente, la victimización directa del menor—, el deepfake sexual puede generarse sin que el menor haya sufrido agresión física alguna ni haya participado en la producción del material (15, 26). Esta ausencia de contacto físico ha llevado a algunos sectores doctrinales a cuestionar si nos hallamos ante un delito sexual en sentido estricto o ante un delito contra el honor y la propia imagen (26, 29). Sin embargo, como han puesto de relieve los informes de UNICEF, ECPAT e INTERPOL, el daño psicológico para el menor es equiparable —y en algunos casos superior— al de la pornografía tradicional, pues la víctima experimenta la humillación, la vergüenza y la sensación de violación de su intimidad con la misma intensidad, agravada por el conocimiento de que su imagen circula en la red sin que pueda controlar su difusión (22). La representación sintética de su desnudez o de su participación en actos sexuales afecta a su dignidad, a su honor y a su intimidad, y puede tener consecuencias devastadoras en su desarrollo psicosocial, en su rendimiento académico y en sus relaciones con el entorno.

La segunda especificidad es su capacidad de viralización ultrarrápida y su permanencia en el entorno digital. Una vez generado y difundido —a través de aplicaciones de mensajería, redes sociales o plataformas pornográficas—, el deepfake sexual de un menor puede multiplicarse exponencialmente en cuestión de horas, y su retirada efectiva resulta extremadamente compleja, cuando no imposible, debido a la multiplicidad de servidores, la ausencia de jurisdicción única y la facilidad para el almacenamiento y el reenvío (10). Esta característica convierte el daño en irreversible desde la perspectiva de la reparación, y sitúa la prevención y la reacción inmediata como ejes centrales de cualquier política pública eficaz.

La tercera especificidad es su asimetría de género. La práctica totalidad de los casos documentados —tanto en España como en América Latina— tienen como víctimas a niñas y adolescentes mujeres, y como autores a varones, generalmente compañeros de clase o conocidos del entorno escolar (15, 17, 18). Esta dimensión de violencia de género ha sido subrayada por los informes institucionales y ha llevado a algunos ordenamientos, como el uruguayo, a enmarcar la regulación de los deepfakes sexuales en el ámbito de la Ley de Violencia hacia las Mujeres Basada en Género (12). La instrumentalización de la imagen de la mujer como objeto de dominio y humillación pública encuentra en los deepfakes una herramienta de una eficacia inusitada, que replica y amplifica los patrones de la violencia sexual y el acoso en el entorno escolar.

La cuarta especificidad, de naturaleza procesal, es la dificultad probatoria. La determinación de la autoría de un deepfake requiere, en la mayoría de los casos, peritajes tecnológicos complejos que permitan identificar los algoritmos utilizados, rastrear los metadatos de los archivos y establecer la cadena de custodia digital (15, 17, 18). A ello se añade la posibilidad de que los autores utilicen herramientas de anonimización o de cifrado que dificulten su identificación, así como la circunstancia de que, en muchos casos, los responsables son también menores de edad, lo que activa el régimen especial de la responsabilidad penal del menor y limita las posibilidades de investigación y sanción (15).

4. La doble dimensión lesiva: derechos de la personalidad (honor, intimidad, propia imagen) e indemnidad sexual

El deepfake sexual de menores afecta, al menos, a dos órdenes de bienes jurídicos que, aunque conectados, responden a lógicas normativas distintas y exigen respuestas sancionadoras también diferenciadas.

De un lado, los derechos de la personalidad —honor, intimidad personal y familiar, y propia imagen—, reconocidos en el ordenamiento español por la Ley Orgánica 1/1982, de 5 de mayo, de protección civil del derecho al honor, a la intimidad personal y familiar y a la propia imagen, y cuya protección se ha visto reforzada por el Anteproyecto de ley aprobado por el Consejo de Ministros en enero de 2026, que considera ilegítimo el uso o difusión de imágenes o voces generadas o manipuladas mediante inteligencia artificial sin el consentimiento de la persona afectada (2, 4). La creación y difusión de un deepfake sexual de un menor constituye una intromisión ilegítima en su derecho a la propia imagen —pues se utiliza su rostro o su cuerpo sin autorización— y en su derecho a la intimidad —pues se le representa en situaciones de desnudez o sexualidad que pertenecen a la esfera más reservada de su vida—, y puede lesionar asimismo su honor, al exponerlo al descrédito, a la burla o a la estigmatización social (2). El Anteproyecto eleva a dieciséis años la edad mínima para prestar consentimiento al uso de la propia imagen, de modo que los menores de esa edad no pueden autorizar válidamente la utilización de su imagen para la generación de deepfakes, y aun con consentimiento, si se lesiona su honor, la intromisión se considera ilegítima (2). Esta protección civil se articula a través de las acciones de cesación, rectificación y indemnización de daños y perjuicios, que pueden ejercitarse tanto por el menor como por sus representantes legales (2).

De otro lado, la indemnidad sexual —entendida como el derecho del menor a no ser objeto de ningún tipo de actividad sexual que afecte a su desarrollo integral—, que constituye el bien jurídico protegido por los delitos de pornografía infantil y de agresiones y abusos sexuales a menores. La cuestión central que ha dividido a la doctrina y a la jurisprudencia es si la generación y difusión de un deepfake sexual de un menor puede subsumirse en el tipo de pornografía infantil, que tradicionalmente ha requerido la utilización real de menores en la producción del material (26, 29). La Sentencia del Juzgado de Menores de Badajoz 86/2024 optó por una interpretación extensiva, declarando a los quince menores responsables de veinte delitos de pornografía infantil y veinte delitos contra la integridad moral, al considerar que la manipulación digital de las imágenes con inteligencia artificial para simular desnudos equivalía, a efectos de la protección del menor, a la producción de material pornográfico (15). Por el contrario, la Audiencia Provincial de Valladolid, en un supuesto similar, absolvió a los procesados del delito de pornografía infantil, evidenciando la existencia de una disparidad de criterios judiciales que reclama una intervención unificadora del legislador o del Tribunal Supremo (16).

Esta tensión entre la protección civil y la protección penal, y entre las distintas interpretaciones judiciales, ha sido parcialmente resuelta por la reforma del Código Penal que incorpora el artículo 173 bis, con penas de hasta dos años de prisión para la difusión no consentida de imágenes sexuales generadas por inteligencia artificial (4). La nueva tipificación, aunque aún pendiente de desarrollo reglamentario y de interpretación judicial, ofrece un tipo específico que no requiere la subsunción en la pornografía infantil, sino que sanciona autónomamente la creación y difusión de deepfakes sexuales sin consentimiento, con una agravación cuando la víctima sea menor de edad (4). Esta solución legislativa, que se inscribe en el conjunto de reformas impulsadas por el Proyecto de Ley Orgánica para la protección de las personas menores de edad en los entornos digitales, representa un avance significativo, aunque no exento de interrogantes en cuanto a su articulación con los tipos preexistentes y a su eficacia práctica frente a la rapidez de la innovación tecnológica (1).

En el ámbito latinoamericano, la doble dimensión lesiva se ha abordado con soluciones diversas. México ha optado por reformas al Código Penal Federal que castigan la violación a la intimidad sexual con deepfakes, con penas de hasta doce años de prisión cuando se trata de imágenes de niñas, niños y adolescentes (8). Argentina ha impulsado proyectos de ley para modificar el artículo 128 del Código Penal y para incorporar un artículo 128 bis que sancione la generación o manipulación de imágenes de menores con contenido sexual (9). Chile ha propuesto un artículo 374 bis del Código Penal en el marco de la Ley 21.430 sobre Garantías y Protección de los Derechos de la Niñez (10). Uruguay ha modificado la Ley de Violencia hacia las Mujeres Basada en Género para incluir los deepfakes (12). Bolivia ha promulgado la Ley N.º 1636, que prohíbe expresamente el uso de deepfakes con fines sexuales contra menores (13). Todas estas iniciativas comparten el reconocimiento de que el deepfake sexual de menores no es una mera ofensa al honor, sino una agresión sexual en sentido amplio, que exige una respuesta penal proporcionada a la gravedad del daño causado, sin perjuicio de que, en el plano civil, queden expeditas las acciones de reparación del daño a la imagen y a la intimidad (8, 9, 10, 12, 13).

En definitiva, el deepfake sexual de menores se presenta como un fenómeno de naturaleza poliédrica, que exige al jurista un manejo interdisciplinar de la tecnología, del derecho penal, del derecho civil y de los derechos humanos, y que reclama una respuesta normativa, jurisdiccional y administrativa coordinada, en la que la protección del interés superior del menor actúe como principio rector y como límite infranqueable a cualquier interpretación restrictiva de los tipos penales o de las garantías procesales.

Capítulo II. El marco internacional de los derechos humanos de la infancia como parámetro de referencia

1. Convención sobre los Derechos del Niño (1989) y su proyección en entornos digitales

La Convención sobre los Derechos del Niño, aprobada por la Asamblea General de las Naciones Unidas el 20 de noviembre de 1989, constituye el instrumento internacional de derechos humanos más ampliamente ratificado de la historia y el parámetro normativo fundamental para cualquier política pública o interpretación jurídica que afecte a personas menores de dieciocho años. Aunque redactada en un contexto tecnológico radicalmente distinto al actual, la Convención ha demostrado una notable capacidad de adaptación hermenéutica, gracias a la labor interpretativa del Comité de los Derechos del Niño y a la evolución de la doctrina internacional de los derechos humanos (22). El estudio de UNICEF, ECPAT e INTERPOL de 2026, al abordar los deepfakes sexuales como una nueva forma de violencia sexual contra la infancia, parte precisamente del reconocimiento de que los estándares de la Convención son plenamente aplicables a las agresiones cometidas mediante inteligencia artificial generativa (22).

La proyección de la Convención en los entornos digitales descansa sobre varios de sus principios estructurales. El artículo 16 garantiza el derecho del niño a la protección contra injerencias arbitrarias o ilegales en su vida privada, su familia, su domicilio o su correspondencia, y contra ataques ilegales a su honor y reputación. Este precepto, que ya en su redacción original apuntaba a la dimensión reputacional y privada de la persona, adquiere una relevancia capital en el contexto de los deepfakes sexuales, pues la generación y difusión no consentida de representaciones sintéticas de desnudez constituye, sin duda, una injerencia en la vida privada y un ataque al honor y a la reputación del menor, con independencia de que la imagen haya sido manipulada tecnológicamente. El artículo 19 obliga a los Estados a adoptar medidas legislativas, administrativas, sociales y educativas para proteger al niño contra toda forma de violencia, perjuicio o abuso físico o mental. La violencia sexual, en todas sus manifestaciones, se incardina en el ámbito de aplicación de este artículo, y los deepfakes sexuales, como ha subrayado UNICEF, constituyen una forma de abuso que, aunque mediada por la tecnología, produce un daño real y directo a la víctima (22).

El artículo 34 de la Convención es, sin embargo, el precepto más directamente relevante para la materia que nos ocupa. Este artículo compromete a los Estados parte a proteger al niño contra todas las formas de explotación y abuso sexuales, y en particular a adoptar medidas para impedir la incitación o la coacción para que un niño se dedique a cualquier actividad sexual ilegal, la explotación del niño en la prostitución u otras prácticas sexuales ilegales, y la explotación del niño en espectáculos o materiales pornográficos. La noción de "materiales pornográficos" ha sido interpretada por el Comité de los Derechos del Niño y por la doctrina internacional en sentido amplio, comprensivo de cualquier representación, independientemente del soporte o la técnica empleada, que tenga por objeto la excitación sexual y que utilice la imagen de un menor. Desde esta perspectiva, los deepfakes sexuales de menores —esto es, las representaciones sintéticas de desnudez o de actos sexuales generadas mediante inteligencia artificial— constituyen materiales pornográficos en el sentido del artículo 34, y su creación, posesión, distribución o difusión deben ser objeto de sanción penal por parte de los Estados parte (22). Así lo ha entendido UNICEF al afirmar que las imágenes sexualizadas de niños generadas o manipuladas mediante herramientas de IA son material de abuso sexual infantil y deben ser tratadas con la misma gravedad que el material pornográfico tradicional (22).

El Proyecto de Ley Orgánica español para la protección de las personas menores de edad en los entornos digitales, aprobado en marzo de 2025, incorpora expresamente esta interpretación al establecer que las medidas de prevención y sanción frente a la pornografía infantil se extienden a las imágenes generadas o manipuladas mediante inteligencia artificial (1). De manera similar, la Defensoría de la Niñez de Chile ha emitido pronunciamientos en los que subraya que el interés superior del niño, consagrado en el artículo 3 de la Convención, exige una interpretación amplia y pro víctima de los tipos penales relativos a la pornografía infantil, de modo que las representaciones sintéticas queden comprendidas en su ámbito de protección (25). Esta posición ha sido acogida por el proyecto de artículo 374 bis del Código Penal chileno, que sanciona expresamente la generación de imágenes de menores con contenido sexual mediante inteligencia artificial (10).

2. Observaciones Generales del Comité de los Derechos del Niño sobre derechos digitales y protección frente a la violencia sexual

El Comité de los Derechos del Niño, órgano de dieciocho expertos independientes encargado de supervisar la aplicación de la Convención por los Estados parte, ha emitido a lo largo de los años diversas Observaciones Generales que desarrollan e interpretan el contenido de los derechos reconocidos en la Convención. La Observación General núm. 25 (2021), titulada "relativa a los derechos de los niños en relación con el entorno digital", constituye el documento de referencia obligado para cualquier análisis jurídico que aborde la intersección entre infancia, tecnología digital y protección de derechos (22). Aunque no se trata de un instrumento vinculante en sentido estricto, su autoridad interpretativa es indiscutible y sirve de guía para los Estados parte en la adopción de legislación y políticas públicas.

La Observación General núm. 25 parte de una premisa fundamental: los derechos reconocidos en la Convención se aplican plenamente en el entorno digital, y los Estados parte tienen la obligación de adoptar todas las medidas necesarias para garantizar su efectividad también en este ámbito (22). El Comité subraya que el entorno digital no es un espacio separado o ajeno al derecho, sino una dimensión más de la vida de los niños en la que sus derechos deben ser respetados, protegidos y realizados. Esta afirmación, que puede parecer obvia, tiene implicaciones profundas para la regulación de los deepfakes: el hecho de que la agresión se produzca mediante herramientas digitales y no mediante contacto físico no la sustrae del ámbito de protección de la Convención, ni exime a los Estados de su obligación de sancionarla y prevenirla.

En materia de protección frente a la violencia y la explotación sexual, la Observación General núm. 25 es especialmente relevante. El Comité insta a los Estados a adoptar marcos jurídicos que aborden específicamente las nuevas formas de violencia sexual facilitada por la tecnología, incluyendo la producción y difusión de imágenes de explotación sexual de niños generadas mediante inteligencia artificial (22). Esta recomendación, formulada antes de la expansión masiva de los deepfakes, ha resultado profética y ha sido recogida por los informes institucionales que han analizado el fenómeno. El estudio de UNICEF, ECPAT e INTERPOL, al cuantificar la afectación de 1,2 millones de menores en once países, se hace eco de esta recomendación y reclama a los Estados una actualización de sus marcos penales para dar cumplimiento a las obligaciones derivadas de la Observación General núm. 25 (22).

El Comité también ha insistido en la necesidad de que los Estados adopten medidas de prevención y educación digital, así como mecanismos eficaces de denuncia y retirada de contenidos ilícitos. Estas exigencias han sido incorporadas en el Proyecto de Ley Orgánica español, que prevé campañas de alfabetización digital en los centros educativos y la creación de un canal de denuncia específico para contenidos de explotación sexual de menores generados o manipulados mediante IA (1). Asimismo, la Ley N.º 1636 de Bolivia, promulgada en abril de 2025, incluye entre sus objetivos la formación de docentes y familias en la identificación de riesgos digitales, en consonancia con las recomendaciones del Comité (13). La Defensoría de la Niñez chilena ha elaborado guías prácticas para la detección y denuncia de deepfakes sexuales, en línea con la Observación General, y ha instado al Congreso a acelerar la tramitación del proyecto de artículo 374 bis (25).

3. Estándares del Protocolo facultativo relativo a la venta de niños, la prostitución infantil y la pornografía infantil

El Protocolo facultativo de la Convención sobre los Derechos del Niño relativo a la venta de niños, la prostitución infantil y la utilización de niños en la pornografía, adoptado por la Asamblea General de las Naciones Unidas en 2000 y ratificado por la práctica totalidad de los Estados iberoamericanos, constituye el desarrollo más específico del artículo 34 de la Convención y establece obligaciones concretas para los Estados parte en la criminalización de estas conductas (22). El Protocolo define la pornografía infantil como "toda representación, por cualquier medio, de un niño dedicado a actividades sexuales explícitas, reales o simuladas, o toda representación de las partes genitales de un niño con fines primordialmente sexuales" (artículo 2, letra c). Esta definición, que incluye explícitamente las representaciones simuladas, resulta de aplicación directa a los deepfakes sexuales, en la medida en que estos constituyen representaciones simuladas de menores dedicados a actividades sexuales explícitas.

La inclusión de las representaciones simuladas en el Protocolo facultativo fue una decisión deliberada de los redactores, conscientes de que la tecnología permitiría en el futuro generar imágenes de abuso sin necesidad de que el menor hubiera sido utilizado directamente (22). Esta previsión, que en el año 2000 podía parecer remota, ha adquirido plena actualidad con la irrupción de la inteligencia artificial generativa, y constituye la base jurídica internacional para sostener que los deepfakes sexuales de menores deben ser tratados como pornografía infantil a todos los efectos. Así lo ha reconocido el informe de UNICEF, ECPAT e INTERPOL, que califica los deepfakes sexuales como "material de abuso sexual infantil" (CSAM) y reclama su inclusión expresa en las legislaciones nacionales (22). El informe advierte además de que, en aquellos países que no han actualizado sus definiciones, los deepfakes pueden quedar fuera del tipo penal, generando impunidad y desprotección para los menores afectados (22).

El Protocolo facultativo también obliga a los Estados a tipificar como delito la producción, distribución, difusión, importación, exportación, oferta, venta o posesión de pornografía infantil, con independencia de que la conducta se haya cometido dentro o fuera de sus fronteras, estableciendo así un principio de jurisdicción universal para estos delitos (artículos 3 y 4). Este principio, que tiene su reflejo en el artículo 23 de la Ley Orgánica 3/2018 de Protección de Datos y Garantía de los Derechos Digitales, permite que las autoridades españolas persigan la difusión de deepfakes sexuales de menores cometida desde el extranjero, siempre que concurran los requisitos de conexión previstos en la ley (5). No obstante, como se analizará en el Capítulo X, la cooperación judicial internacional en la práctica presenta numerosos obstáculos, especialmente cuando los servidores y los autores se encuentran en jurisdicciones con marcos normativos dispares (10, 14).

4. El interés superior del menor como principio rector en la regulación de IA

El interés superior del menor, consagrado en el artículo 3.1 de la Convención sobre los Derechos del Niño como un principio que debe guiar todas las decisiones que afecten a los niños, constituye el eje vertebrador de cualquier respuesta normativa, judicial o administrativa a los deepfakes sexuales. Este principio, que la doctrina ha calificado como una norma de carácter sustantivo, un principio interpretativo y una regla de procedimiento, exige que, en toda medida que afecte a menores, se evalúen los posibles efectos y se opte por la solución que mejor garantice su desarrollo integral y su protección (1, 25). En el contexto de los deepfakes, el interés superior del menor se proyecta en múltiples planos.

En el plano normativo, el interés superior exige que el legislador anticipe los riesgos derivados de las nuevas tecnologías y adopte marcos regulatorios que ofrezcan una protección efectiva (1). El Proyecto de Ley Orgánica español para la protección de las personas menores de edad en los entornos digitales se inspira expresamente en este principio al establecer medidas de prevención, supervisión y respuesta sancionadora (1). De manera similar, la Ley N.º 1636 de Bolivia se fundamenta en el interés superior para prohibir el uso de deepfakes con fines sexuales contra menores (13). La Ley 21.430 chilena, sobre Garantías y Protección de los Derechos de la Niñez y Adolescencia, incorpora el interés superior como criterio rector de todas las políticas públicas, incluidas las relativas a la protección en entornos digitales (10).

En el plano judicial, el interés superior del menor ha sido invocado por la Sentencia del Juzgado de Menores de Badajoz 86/2024 para justificar la interpretación extensiva del delito de pornografía infantil, al considerar que la finalidad última de la norma es proteger a los menores frente a cualquier forma de explotación sexual, ya sea mediante captación real o mediante manipulación digital (15). El tribunal razonó que, de no incluir los deepfakes en el tipo penal, se dejaría a los menores en una situación de desprotección frente a un daño equiparable, vulnerando así el principio de interés superior (15). Por el contrario, la Audiencia Provincial de Valladolid, al absolver a los procesados del delito de pornografía infantil, aplicó una interpretación más restrictiva de la tipicidad, priorizando el principio de legalidad penal sobre la protección efectiva del menor (16). Esta tensión entre dos principios constitucionales —legalidad e interés superior— revela la complejidad del fenómeno y la necesidad de que el legislador proporcione una solución que armonice ambos (26, 29).

En el plano administrativo, la Agencia Española de Protección de Datos, en el Expediente EXP202503445, aplicó el interés superior al sancionar como infracción muy grave del RGPD la difusión de imágenes falsas de desnudos de menores, al considerar que el tratamiento de datos biométricos sin consentimiento lesionaba gravemente los derechos de los menores (20). La AEPD subrayó que la protección de los menores en el entorno digital exige un estándar reforzado de diligencia y que la mera ausencia de consentimiento, en el caso de menores de edad, no puede suplirse por ningún otro título legitimador (20). Esta posición, que ha sido confirmada por la primera sanción europea por creación de falso desnudo mediante IA (21), establece un precedente relevante en la articulación entre protección de datos y protección de la infancia.

Finalmente, el interés superior del menor exige también medidas de prevención y educación que vayan más allá de la sanción. Los informes del Observatorio de la Infancia en España, así como los pronunciamientos de la Defensoría de la Niñez en Chile, han insistido en que la formación de menores, familias y docentes en el uso seguro de la tecnología, así como la promoción de una cultura digital basada en el respeto y la empatía, constituyen elementos indispensables de una política integral de protección (23, 24, 25). Estas medidas, que se incardinan en el mandato del artículo 19 de la Convención, deben complementar la respuesta punitiva y ofrecer a los menores herramientas para identificar, denunciar y resistir los abusos cometidos mediante inteligencia artificial generativa (22).

En definitiva, el marco internacional de los derechos humanos de la infancia, articulado en torno a la Convención sobre los Derechos del Niño, sus Observaciones Generales y el Protocolo facultativo sobre pornografía infantil, proporciona un parámetro normativo sólido para abordar los deepfakes sexuales. Este parámetro exige a los Estados una respuesta legislativa, judicial y administrativa que, guiada por el interés superior del menor, garantice una protección efectiva frente a una forma de violencia sexual que, aunque tecnológicamente novedosa, produce un daño real y profundo a la dignidad y al desarrollo integral de los niños y adolescentes (1, 22, 25). Los ordenamientos hispanohablantes, como se analizará en los capítulos siguientes, han comenzado a incorporar estos estándares con distintos grados de profundidad y coherencia, enfrentándose a desafíos interpretativos y prácticos que exigen una continua actualización y armonización.

Capítulo III. El ordenamiento jurídico español: vanguardia normativa y tensiones interpretativas

1. El Proyecto de Ley Orgánica para la protección de las personas menores de edad en los entornos digitales (2025)

El Proyecto de Ley Orgánica para la protección de las personas menores de edad en los entornos digitales, aprobado por el Consejo de Ministros el 25 de marzo de 2025, constituye la pieza central de la estrategia legislativa española para hacer frente a los riesgos que la digitalización plantea para la infancia y la adolescencia (1). Aunque su ámbito de aplicación es más amplio —abarca desde la prevención del ciberacoso hasta la regulación de los sistemas de verificación de edad—, el Proyecto dedica una atención preferente a la protección frente a los contenidos sexuales generados o manipulados mediante inteligencia artificial, en línea con las recomendaciones del Comité de los Derechos del Niño y del estudio de UNICEF, ECPAT e INTERPOL (1, 22).

En cuanto a su ámbito objetivo, el Proyecto establece que las medidas de prevención, supervisión y respuesta sancionadora se extienden expresamente a las imágenes, vídeos o representaciones de menores que hayan sido generados o manipulados mediante sistemas de inteligencia artificial para simular situaciones de desnudez, contenido sexual explícito o actos sexuales (1). Esta previsión, que constituye una novedad respecto del marco normativo anterior, responde a la voluntad del legislador de cerrar la laguna que la jurisprudencia había evidenciado en el contraste entre la Sentencia de Badajoz y la de Valladolid (15, 16). El Proyecto no se limita a sancionar la difusión, sino que incluye también la mera posesión y la creación de este tipo de contenidos, equiparándolos a efectos legales con la pornografía infantil tradicional (1).

En el plano subjetivo, el Proyecto refuerza la protección de los menores de dieciséis años, estableciendo que no podrán prestar consentimiento válido para la utilización de su imagen en la generación de deepfakes, y que cualquier uso no autorizado se considerará una intromisión ilegítima en sus derechos de la personalidad (1). Esta disposición, que se complementa con la reforma de la Ley 1/1982, eleva el estándar de protección por encima del que rige para los adultos y otorga a los representantes legales del menor la facultad de ejercitar las acciones de cesación y reparación sin necesidad de acreditar un daño adicional (2). El Proyecto prevé asimismo la creación de un canal de denuncia específico, dependiente de la Agencia Española de Protección de Datos, para la recepción de comunicaciones relativas a deepfakes sexuales de menores, con la obligación de las plataformas digitales de retirar el contenido en un plazo máximo de veinticuatro horas desde la notificación (1).

Desde la perspectiva de la supervisión, el Proyecto atribuye al Observatorio de la Infancia —órgano consultivo adscrito al Ministerio de Derechos Sociales y Agenda 2030— la función de elaborar informes periódicos sobre la incidencia de los deepfakes sexuales entre la población menor de edad, así como de evaluar la eficacia de las medidas adoptadas (23). Los informes del Observatorio, que han sido recabados durante la tramitación parlamentaria de la norma, han puesto de manifiesto la necesidad de abordar el fenómeno desde una perspectiva multidimensional, que combine la respuesta punitiva con la prevención, la educación y la reparación del daño (23). El Consejo General del Poder Judicial y el Consejo Fiscal han emitido sendos informes en los que, si bien respaldan el contenido del Proyecto, advierten de la necesidad de dotar a los jueces y fiscales de formación especializada en inteligencia artificial y prueba digital, así como de recursos técnicos suficientes para la realización de peritajes (24).

El Proyecto, que en el momento de redactar estas líneas se encuentra en tramitación parlamentaria, ha suscitado el debate sobre su eventual colisión con el principio de legalidad penal, al establecer sanciones administrativas para conductas que podrían ser constitutivas de delito (26). La doctrina, representada por autores como Benítez (2025), ha señalado que la duplicidad de vías —penal y administrativa— puede generar problemas de non bis in idem si no se articulan correctamente los criterios de prevalencia y de acumulación (26). No obstante, el Proyecto ha sido defendido por el Gobierno como una medida necesaria para cubrir los supuestos en los que la conducta no alcanza el umbral de gravedad penal o en los que la autoría no puede ser determinada con la certeza exigida en el proceso penal (1, 4).

2. La reforma del derecho al honor: la Ley 1/1982 y el Anteproyecto de 2026

La Ley Orgánica 1/1982, de 5 de mayo, de protección civil del derecho al honor, a la intimidad personal y familiar y a la propia imagen, constituye el pilar de la protección civil de los derechos de la personalidad en el ordenamiento español (2). Su vigencia, que se ha mantenido incólume durante más de cuatro décadas, ha sido puesta a prueba por la irrupción de los deepfakes, que han revelado la insuficiencia de su redacción original para hacer frente a las nuevas formas de agresión a la imagen y a la intimidad. El Anteproyecto de ley aprobado por el Consejo de Ministros en enero de 2026, que modifica la Ley 1/1982, constituye la respuesta del legislador a esta necesidad de actualización (2).

La modificación más relevante del Anteproyecto consiste en la incorporación de un nuevo párrafo al artículo 7 de la Ley 1/1982, que declara expresamente ilegítima toda intromisión en el derecho a la propia imagen que consista en la generación, manipulación o difusión de imágenes o voces de una persona mediante inteligencia artificial, sin el consentimiento de esta o, en el caso de menores de edad, de sus representantes legales (2). Esta previsión, que tiene carácter de norma general, se aplica con independencia de que la imagen generada o manipulada sea verosímil o no, y de que la persona afectada haya consentido previamente la captación de su imagen para otros fines (2). El Anteproyecto establece asimismo que, cuando la intromisión afecte a un menor de edad, la indemnización por daños y perjuicios se calculará con criterios de reparación integral, teniendo en cuenta el daño moral, el perjuicio a su desarrollo personal y social, y los gastos de tratamiento psicológico o psiquiátrico que sean necesarios (2).

El Anteproyecto eleva a dieciséis años la edad mínima para prestar consentimiento al uso de la propia imagen, de modo que los menores de esa edad no pueden autorizar válidamente la utilización de su imagen para la generación de deepfakes (2). Esta disposición, que se alinea con el Proyecto de Ley de menores en entornos digitales, supone un endurecimiento del régimen anterior, que establecía catorce años como edad de consentimiento. La doctrina, como García Martínez (2024), ha valorado positivamente esta elevación, al considerar que los menores de dieciséis años carecen de la madurez necesaria para comprender las consecuencias de la cesión de su imagen a sistemas de inteligencia artificial generativa (30). No obstante, Bonnett (2025) ha señalado que la mera elevación de la edad de consentimiento no resuelve el problema de fondo, que es la falta de control efectivo sobre la difusión de las imágenes una vez que han sido generadas (29).

El Anteproyecto introduce también una modificación en el artículo 9 de la Ley 1/1982, relativo a la legitimación activa para el ejercicio de las acciones de cesación y reparación. En el caso de menores de edad, se reconoce legitimación no solo a sus representantes legales, sino también al Ministerio Fiscal, que podrá ejercitar las acciones de oficio o a instancia de cualquier persona interesada, sin necesidad de que medie denuncia previa (2). Esta previsión, que ha sido respaldada por el Consejo Fiscal, refuerza el papel del Ministerio Público como garante de los derechos de los menores y facilita la actuación en aquellos casos en los que los representantes legales, por cualquier causa, no ejerzan las acciones correspondientes (24).

3. La transposición del Reglamento Europeo de IA: el Proyecto de Ley Orgánica para un uso ético, inclusivo y beneficioso de la inteligencia artificial

El Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo, de 13 de junio de 2024, por el que se establecen normas armonizadas en materia de inteligencia artificial (Ley de Inteligencia Artificial), constituye el primer marco regulatorio integral del mundo para los sistemas de IA (7). Su transposición al ordenamiento interno español se ha articulado a través del Proyecto de Ley Orgánica para un uso ético, inclusivo y beneficioso de la inteligencia artificial, aprobado por el Consejo de Ministros el 26 de mayo de 2026 (3). Este Proyecto, que complementa el Reglamento en aquellos aspectos que requieren desarrollo nacional, tiene una incidencia directa en la regulación de los deepfakes sexuales de menores.

El Proyecto, en su título preliminar, recoge los principios éticos que deben guiar el desarrollo y la utilización de la inteligencia artificial en España, entre los que destacan el respeto a los derechos humanos, la protección de los menores, la no discriminación y la transparencia (3). Estos principios, que se inspiran en la Recomendación sobre la Ética de la Inteligencia Artificial de la UNESCO, sirven de criterio interpretativo para la aplicación de las normas sectoriales y para la evaluación de la conformidad de los sistemas de IA (3). En el ámbito de los deepfakes, el Proyecto establece que los sistemas de IA generativa que permitan la creación de imágenes o vídeos de personas deben incorporar mecanismos de watermarking o marcado digital que permitan identificar su origen sintético, así como sistemas de verificación de edad que impidan su utilización por menores para la generación de contenido sexual (3, 7).

El Proyecto atribuye a la Agencia Española de Protección de Datos y a la Comisión Nacional de los Mercados y la Competencia las funciones de supervisión y sanción en materia de inteligencia artificial, en coordinación con el Comité Europeo de Inteligencia Artificial (3). Esta duplicidad de autoridades competentes, que ha sido objeto de críticas por parte de algunos sectores doctrinales, se justifica por la naturaleza transversal de la IA, que afecta tanto a la protección de datos como a la competencia y a los derechos de los consumidores (27, 31). En el caso concreto de los deepfakes sexuales de menores, la competencia sancionadora corresponderá a la AEPD, en aplicación de la normativa de protección de datos, sin perjuicio de la responsabilidad penal que pueda exigirse a los autores (3, 20, 21).

El Proyecto incorpora asimismo la prohibición, establecida en el Reglamento Europeo de IA y reforzada por el Acuerdo de 7 de mayo de 2026, de los sistemas de IA que generen deepfakes sexuales y pornografía infantil (3, 7). Esta prohibición, que tiene carácter absoluto y no admite excepciones, se aplica a todos los sistemas comercializados o utilizados en el territorio español, con independencia de su lugar de desarrollo o de origen (3). El incumplimiento de esta prohibición dará lugar a sanciones administrativas de hasta 30 millones de euros o, en el caso de empresas, del 6 por ciento de su volumen de negocio anual, en línea con las cuantías previstas en el Reglamento (3, 7).

4. La reforma del Código Penal: el nuevo artículo 173 bis y la tipificación de la difusión no consentida de deepfakes sexuales

La reforma del Código Penal, impulsada por el Gobierno en el marco del Proyecto de Ley Orgánica para la protección de las personas menores de edad en los entornos digitales, ha introducido un nuevo artículo 173 bis que tipifica como delito la difusión no consentida de imágenes sexuales generadas por inteligencia artificial (4). Esta reforma, que constituye una de las novedades más relevantes del paquete legislativo, responde a la necesidad de ofrecer una respuesta penal específica y proporcionada a los deepfakes sexuales, superando las dificultades interpretativas que habían surgido en la jurisprudencia (15, 16).

El artículo 173 bis establece que será castigado con la pena de prisión de seis meses a dos años o multa de doce a veinticuatro meses quien, sin el consentimiento de la persona afectada, difunda, divulgue o ceda a terceros imágenes o grabaciones de contenido sexual explícito que hayan sido generadas o manipuladas mediante sistemas de inteligencia artificial (4). La pena se agravará en sus dos tercios superiores cuando la víctima sea menor de edad, cuando la conducta se cometa con ánimo de lucro, cuando se utilicen técnicas de anonimización que dificulten la identificación del autor, o cuando la difusión se realice a través de plataformas digitales de acceso masivo (4). Esta agravación, que puede elevar la pena hasta los cuatro años de prisión en los casos más graves, refleja la especial gravedad que el legislador atribuye a los deepfakes sexuales de menores y a su difusión en entornos de amplia audiencia (4).

La reforma introduce también una modificación del artículo 189 del Código Penal, relativo a los delitos de pornografía infantil, para incluir expresamente las representaciones simuladas generadas mediante inteligencia artificial (4). Esta modificación, que ha sido defendida por la doctrina como una solución de continuidad con el Protocolo facultativo de la Convención sobre los Derechos del Niño, equipara a efectos penales la pornografía infantil tradicional con la pornografía sintética, de modo que la producción, posesión, distribución o difusión de deepfakes sexuales de menores podrá ser castigada con las mismas penas previstas para la pornografía infantil (4, 29). La inclusión de las representaciones simuladas en el artículo 189, que había sido reclamada por el Consejo Fiscal y por el Observatorio de la Infancia, cierra la laguna que había permitido la absolución en el caso de Valladolid y proporciona a los jueces un tipo claro y determinado (16, 23, 24).

La reforma del Código Penal se completa con la modificación del artículo 192, que tipifica como delito la promoción, producción, posesión o distribución de material pornográfico que utilice a personas con discapacidad o a menores, para incluir también las imágenes generadas por inteligencia artificial (4). Esta modificación, de carácter transversal, refuerza la protección de los colectivos especialmente vulnerables frente a la utilización de su imagen en deepfakes sexuales, y se alinea con la jurisprudencia del Tribunal Supremo en materia de pornografía infantil (4, 29).

5. La LOPDGDD (Ley Orgánica 3/2018) y la protección de los derechos digitales de los menores frente a tratamientos ilícitos de datos biométricos

La Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), constituye el desarrollo español del Reglamento General de Protección de Datos (RGPD) y establece un marco específico de protección para los datos personales de los menores de edad (5). En el contexto de los deepfakes sexuales, la LOPDGDD resulta de aplicación en la medida en que la generación y manipulación de imágenes mediante inteligencia artificial requiere el tratamiento de datos biométricos —en concreto, imágenes faciales— de los menores, sin que medie su consentimiento o, en su caso, el de sus representantes legales (5).

El artículo 84 de la LOPDGDD, titulado "Protección reforzada de los derechos digitales de los menores", establece que el tratamiento de datos personales de menores de edad basado en el consentimiento solo será lícito cuando el menor tenga al menos catorce años y haya prestado su consentimiento de manera libre, específica, informada e inequívoca (5). Para los menores de catorce años, el consentimiento deberá ser prestado por sus representantes legales, y el tratamiento solo podrá realizarse cuando sea necesario para la prestación de un servicio de la sociedad de la información solicitado expresamente por el menor (5). Esta disposición, que ya había sido objeto de debate doctrinal por su posible desajuste con el RGPD, adquiere una relevancia particular en el caso de los deepfakes, pues la mayoría de las aplicaciones de inteligencia artificial generativa que permiten la creación de imágenes sintéticas no cumplen con los requisitos de licitud establecidos en la LOPDGDD (5).

La Agencia Española de Protección de Datos, en el Expediente EXP202503445, aplicó el artículo 84 de la LOPDGDD para sancionar como infracción muy grave del artículo 6.1 del RGPD la difusión de imágenes falsas de desnudos de menores (20). La AEPD consideró que el tratamiento de datos biométricos de los menores —las imágenes faciales utilizadas para la generación de los deepfakes— no contaba con base de legitimación alguna, ni el consentimiento de los menores ni de sus representantes legales, y que la conducta lesionaba gravemente el derecho a la protección de datos de los afectados (20). La sanción, de 2.000 euros, fue calificada como la primera en Europa por creación de falso desnudo mediante inteligencia artificial y ha sentado un precedente relevante en la articulación entre la protección de datos y la protección de la infancia (20, 21).

La LOPDGDD establece también, en su disposición adicional vigésima, la obligación de las plataformas digitales de adoptar medidas técnicas y organizativas para impedir la difusión de contenidos que vulneren los derechos de los menores, incluyendo la implementación de sistemas de filtrado y de verificación de edad (5). Esta obligación, que ha sido desarrollada por el Proyecto de Ley de menores en entornos digitales, impone a las plataformas una carga de diligencia reforzada que, en caso de incumplimiento, puede dar lugar a sanciones administrativas de hasta 20 millones de euros o el 4 por ciento del volumen de negocio anual (1, 5).

6. La incidencia del RGPD (UE) 2016/679 en la legitimación del tratamiento de imágenes de menores

El Reglamento General de Protección de Datos (RGPD), aplicable directamente en todos los Estados miembros de la Unión Europea desde el 25 de mayo de 2018, establece el marco normativo general para el tratamiento de datos personales, incluyendo los datos biométricos y las imágenes de personas físicas (6). Su incidencia en la regulación de los deepfakes sexuales de menores es múltiple, y abarca tanto la legitimación del tratamiento como los derechos de los afectados y las obligaciones de los responsables y encargados del tratamiento.

El artículo 4 del RGPD define los datos biométricos como "datos personales obtenidos a partir de un tratamiento técnico específico, relativos a las características físicas, fisiológicas o conductuales de una persona física que permitan o confirmen la identificación única de dicha persona, como imágenes faciales o datos dactiloscópicos" (6). Las imágenes faciales utilizadas para la generación de deepfakes constituyen, por tanto, datos biométricos en el sentido del RGPD, y su tratamiento —esto es, su captación, almacenamiento, procesamiento y difusión— está sujeto a las reglas del Reglamento (6). El artículo 6.1 del RGPD establece que el tratamiento de datos personales solo será lícito si se basa en una de las causas de licitud enumeradas en el precepto, entre las que se encuentran el consentimiento del interesado, la ejecución de un contrato, el cumplimiento de una obligación legal o la satisfacción de un interés legítimo (6).

En el caso de los deepfakes sexuales de menores, ninguna de estas causas de licitud resulta aplicable. El consentimiento del menor, en primer lugar, no puede ser válidamente prestado cuando el menor es menor de edad y carece de la capacidad para comprender el alcance del tratamiento (6). Incluso en el caso de que el menor haya prestado su consentimiento para la captación de su imagen —por ejemplo, al publicar una fotografía en una red social—, dicho consentimiento no se extiende a la utilización de la imagen para la generación de un deepfake sexual, que constituye un tratamiento distinto y que no puede ampararse en la misma base de legitimación (6). El interés legítimo, por su parte, no puede invocarse para justificar un tratamiento que lesiona gravemente los derechos fundamentales del menor, en particular su derecho a la intimidad y a la propia imagen (6).

El artículo 9 del RGPD, relativo al tratamiento de categorías especiales de datos, establece una prohibición general de tratamiento de datos biométricos con la finalidad de identificar a una persona física, salvo que concurra alguna de las excepciones previstas en el precepto (6). La generación de deepfakes sexuales de menores no se encuentra entre dichas excepciones, por lo que el tratamiento de imágenes faciales con esta finalidad es, en principio, ilícito (6). La Agencia Española de Protección de Datos, en el Expediente EXP202503445, aplicó el artículo 9 del RGPD para fundamentar la sanción por infracción muy grave, al considerar que el tratamiento de datos biométricos de menores sin base de legitimación alguna constituía una violación de las normas europeas de protección de datos (20).

El RGPD establece también, en sus artículos 12 a 22, un catálogo de derechos de los interesados, entre los que se encuentran el derecho de acceso, rectificación, supresión, limitación del tratamiento, portabilidad y oposición (6). En el caso de los deepfakes sexuales de menores, el ejercicio de estos derechos presenta dificultades prácticas considerables, pues los menores afectados pueden no conocer la existencia del tratamiento, no disponer de los medios para identificar al responsable del tratamiento o no contar con la asistencia necesaria para ejercitar sus derechos (6). El Proyecto de Ley de menores en entornos digitales ha tratado de paliar estas dificultades atribuyendo al Ministerio Fiscal la facultad de ejercitar los derechos de los menores en materia de protección de datos, así como estableciendo un canal de denuncia específico que facilite la comunicación con la AEPD (1).

En definitiva, el ordenamiento jurídico español ha desplegado en los últimos años un conjunto de reformas legislativas que, articuladas en torno al Proyecto de Ley de menores en entornos digitales, la reforma de la Ley 1/1982, la transposición del Reglamento Europeo de IA, la modificación del Código Penal y la aplicación de la LOPDGDD y el RGPD, configuran un marco normativo avanzado y coherente para hacer frente a los deepfakes sexuales de menores (1, 2, 3, 4, 5, 6). Este marco, que combina la protección civil, penal y administrativa, se inspira en los estándares internacionales de derechos humanos de la infancia y responde a las recomendaciones de los organismos internacionales y de la doctrina especializada (22, 26, 29, 31). No obstante, como se analizará en los capítulos siguientes, la eficacia práctica de estas reformas depende de su correcta aplicación por parte de los operadores jurídicos, de la dotación de recursos técnicos y humanos suficientes, y de la cooperación internacional para hacer frente a la naturaleza transnacional de los deepfakes (10, 14, 24).

Capítulo IV. La respuesta regulatoria en América Latina: armonización, fragmentación y lagunas

1. México: reformas al Código Penal Federal y la iniciativa de la Ciudad de México (2026)

México ha abordado la regulación de los deepfakes sexuales de menores a través de una doble vía legislativa. De un lado, la reforma al Código Penal Federal, impulsada por el Congreso de la Unión, ha tipificado como delito la violación a la intimidad sexual mediante la generación, manipulación o difusión de imágenes o vídeos generados por inteligencia artificial que representen a una persona en situaciones de desnudez o de contenido sexual explícito sin su consentimiento (8). La reforma establece penas de hasta doce años de prisión cuando las víctimas sean niñas, niños o adolescentes, y prevé una agravación adicional cuando la conducta se cometa con ánimo de lucro o cuando las imágenes se difundan a través de plataformas digitales de acceso masivo (8). Esta tipificación, que se inscribe en el capítulo de los delitos contra la intimidad sexual, representa una opción legislativa distinta a la española, que ha optado por un tipo autónomo en el artículo 173 bis del Código Penal (4, 8).

De otro lado, la Ciudad de México ha aprobado en marzo de 2026 una iniciativa de reforma al Código Penal local que, con carácter más específico, sanciona la generación y difusión de deepfakes sexuales de menores con penas de hasta diez años de prisión, y establece además medidas de reparación integral del daño, incluyendo la obligación del autor de sufragar los gastos de tratamiento psicológico de la víctima y de retirar el contenido de todas las plataformas en las que haya sido difundido (8). Esta iniciativa, que ha sido calificada por la doctrina como una de las más avanzadas de la región, incorpora también la obligación de las plataformas digitales de implementar sistemas de filtrado y de verificación de edad, bajo apercibimiento de sanciones administrativas de hasta 50.000 unidades de medida y actualización (8). El estudio de UNICEF, ECPAT e INTERPOL ha señalado que México es uno de los países con mayor incidencia de deepfakes sexuales entre los menores, con una estimación de más de 150.000 afectados en el último año, lo que ha motivado la urgencia de estas reformas (22).

La reforma federal mexicana ha sido objeto de debate doctrinal en relación con su delimitación respecto de otros delitos sexuales. Bonnett (2025) ha señalado que la inclusión de los deepfakes en el capítulo de los delitos contra la intimidad sexual, en lugar de en el de pornografía infantil, puede generar problemas de subsunción cuando las imágenes generadas representen a menores en situaciones de abuso sexual explícito, pues la pena prevista para la pornografía infantil en México es superior a la establecida para la violación de la intimidad sexual (29). Esta divergencia de criterios, que ha sido advertida también por el Consejo Nacional de Protección de los Derechos de las Niñas, Niños y Adolescentes, podría dar lugar a una aplicación desigual de las penas en función de la calificación jurídica que los jueces atribuyan a los hechos (8). El legislador federal ha anunciado la intención de armonizar ambos tipos penales en una futura reforma, aunque a la fecha de redacción de este trabajo dicha armonización no se ha producido (8).

2. Argentina: proyectos de ley S-0070/2025 y la modificación del artículo 128 del Código Penal

Argentina se encuentra en un proceso de reforma legislativa para hacer frente a los deepfakes sexuales de menores, impulsado por dos proyectos de ley principales. El primero, el proyecto S-0070/2025 presentado en el Senado, propone modificar el artículo 128 del Código Penal, que tipifica la pornografía infantil, para incluir expresamente las representaciones de menores generadas o manipuladas mediante inteligencia artificial (9). La modificación propuesta establece que será reprimido con prisión de tres a seis años quien produzca, financiare, ofreciere, comercie, publicare, facilitare, divulgare o distribuyere, por cualquier medio, representaciones de menores de dieciocho años dedicados a actividades sexuales explícitas o en las que se exhiban sus partes genitales, incluyendo aquellas representaciones que hayan sido generadas o manipuladas por medios digitales o mediante el uso de inteligencia artificial (9). Esta reforma, que sigue el modelo del Protocolo facultativo de la Convención sobre los Derechos del Niño, equipara la pornografía sintética a la pornografía tradicional y establece penas proporcionadas a la gravedad del delito (9, 22).

El segundo proyecto de ley, presentado en la Cámara de Diputados, propone incorporar un nuevo artículo 128 bis al Código Penal, que sanciona específicamente la generación o manipulación de imágenes de menores con contenido sexual mediante inteligencia artificial, con independencia de que dichas imágenes sean difundidas o no (9). Este proyecto, que ha sido defendido por la doctrina como una medida de prevención y de protección temprana, establece penas de uno a cuatro años de prisión para quien, sin consentimiento, genere o manipule imágenes de un menor utilizando inteligencia artificial para simular su desnudez o su participación en actos sexuales (9). La incorporación de este tipo autónomo, que no exige la difusión como elemento del tipo, ha sido respaldada por el Consejo de los Derechos de Niñas, Niños y Adolescentes, que ha señalado que la mera generación del deepfake ya produce un daño al menor, al crear una representación que puede ser utilizada en el futuro para su extorsión o difamación (9).

La doctrina argentina, representada por Addati (2025), ha analizado el vacío normativo existente antes de estas reformas y ha señalado que la respuesta judicial a los deepfakes sexuales se había visto dificultada por la ausencia de un tipo penal específico (28). Addati ha comparado la situación argentina con la respuesta estadounidense, que ha recurrido a la legislación sobre deepfakes no consentidos y a las leyes de protección de la imagen, y ha concluido que la tipificación autónoma es la solución más adecuada para garantizar la seguridad jurídica y la protección de los menores (28). Palazzi (2025), por su parte, ha abordado la irrupción de los deepfakes desde la perspectiva de la responsabilidad civil y ha señalado que, incluso con la reforma penal, las víctimas deberán recurrir a la vía civil para obtener la reparación del daño a su imagen y a su intimidad, en la medida en que la responsabilidad penal no agota la obligación de indemnizar (31).

3. Chile: Ley 21.430 y el proyecto de artículo 374 bis del Código Penal

Chile ha articulado su respuesta a los deepfakes sexuales de menores a través de una combinación de medidas legislativas y administrativas. La Ley 21.430, sobre Garantías y Protección de los Derechos de la Niñez y Adolescencia, promulgada en 2022, establece el marco general de protección de los menores en el ámbito digital y encomienda al Estado la adopción de medidas para prevenir y sancionar la explotación sexual de niños, niñas y adolescentes en el entorno digital (10). Esta ley, que ha sido objeto de desarrollo reglamentario en los años siguientes, ha servido de base para la elaboración del proyecto de ley de Protección Digital de la Infancia frente a Contenido Sexual Sintético con IA, que se encuentra en tramitación parlamentaria (10).

El proyecto de ley de Protección Digital de la Infancia propone incorporar un nuevo artículo 374 bis al Código Penal chileno, que sancione la generación, posesión, distribución o difusión de imágenes de menores que hayan sido generadas o manipuladas mediante inteligencia artificial para simular su desnudez o su participación en actos sexuales (10). El artículo 374 bis establece penas de prisión de cinco años y un día a diez años para las conductas de producción o difusión, y de tres a cinco años para la mera posesión, y prevé una agravación cuando el autor sea un ascendiente, tutor o persona encargada de la educación o cuidado del menor (10). Esta agravación, que no se encuentra en todas las legislaciones de la región, responde a la especial vulnerabilidad del menor frente a quienes ejercen sobre él una posición de autoridad o confianza (10).

La Defensoría de la Niñez de Chile ha emitido pronunciamientos en los que respalda el proyecto de artículo 374 bis y ha instado al Congreso a acelerar su tramitación, señalando que la demora legislativa deja a los menores en una situación de desprotección frente a un fenómeno que ya se está produciendo en el país (25). La Defensoría ha recomendado además que la ley incluya medidas de educación digital en los centros escolares, así como la creación de un registro de condenados por delitos sexuales contra menores que incluya también aquellos cometidos mediante inteligencia artificial (25). El informe de UNICEF, ECPAT e INTERPOL ha señalado que Chile es uno de los países de la región en los que la incidencia de deepfakes sexuales ha crecido más rápidamente en el último año, especialmente entre la población adolescente, lo que justifica la urgencia de la reforma (22).

4. Perú: Ley N.º 32314 y el tratamiento penal de los delitos con IA

Perú ha optado por una solución legislativa de carácter transversal, que aborda los delitos cometidos mediante inteligencia artificial en su conjunto, sin limitarse a los deepfakes sexuales de menores. La Ley N.º 32314, promulgada en abril de 2025, modifica el Código Penal peruano para incorporar sanciones específicas para los delitos cometidos mediante el uso de inteligencia artificial, y establece penas privativas de libertad de dos a seis años para quienes utilicen sistemas de IA para la generación, manipulación o difusión de imágenes o vídeos que lesionen la intimidad o el honor de las personas (11). La ley prevé una agravación de la pena en un tercio cuando la víctima sea menor de edad, y en la mitad cuando la conducta se cometa con ánimo de lucro o cuando las imágenes se difundan a través de plataformas digitales de acceso masivo (11).

La Ley N.º 32314 ha sido objeto de análisis por parte de la doctrina peruana, que ha señalado que su carácter transversal puede ser una ventaja en términos de cobertura normativa, pero también un inconveniente en términos de especificidad y de proporcionalidad de las penas (27). Ramos-Zaga (2024), en su análisis de las implicancias tecnológicas y jurídicas de los deepfakes, ha advertido que los tipos penales transversales pueden resultar demasiado amplios y generar problemas de inseguridad jurídica, especialmente cuando la conducta no alcanza la gravedad requerida para la imposición de una pena privativa de libertad (27). El autor ha recomendado que el legislador peruano complemente la Ley N.º 32314 con una tipificación específica de los deepfakes sexuales de menores, que tenga en cuenta las particularidades de este fenómeno y establezca penas proporcionales a la gravedad del daño causado (27).

El Poder Judicial peruano, por su parte, ha comenzado a recibir las primeras denuncias por deepfakes sexuales de menores, aunque a la fecha de redacción de este trabajo no se ha dictado ninguna sentencia firme que permita extraer criterios interpretativos consolidados (11). Los informes del Ministerio Público han señalado que la investigación de estos delitos presenta dificultades probatorias significativas, especialmente cuando los autores utilizan herramientas de anonimización o cuando las imágenes han sido difundidas desde servidores ubicados en el extranjero (11). Estas dificultades, que se comparten con otros países de la región, han llevado al Ministerio Público a solicitar la creación de una unidad especializada en delitos tecnológicos, con personal capacitado en peritaje informático y en inteligencia artificial (11).

5. Uruguay: modificación de la Ley de Violencia hacia las Mujeres y el primer proyecto específico contra deepfakes

Uruguay ha abordado la regulación de los deepfakes sexuales de menores desde una perspectiva de violencia de género, enmarcando la modificación de su legislación en el ámbito de la Ley de Violencia hacia las Mujeres Basada en Género, promulgada en 2017 (12). La modificación, impulsada en 2025, amplía el artículo 92 de la Ley para incluir como manifestación de violencia de género la generación, manipulación o difusión de imágenes o vídeos de personas, especialmente mujeres y niñas, que hayan sido alterados mediante inteligencia artificial para simular su desnudez o su participación en actos sexuales sin su consentimiento (12). Esta ampliación, que ha sido defendida por el movimiento feminista uruguayo como un reconocimiento de la dimensión de género de los deepfakes, permite a las víctimas acceder a las medidas de protección previstas en la Ley, incluyendo órdenes de alejamiento, medidas cautelares y asistencia legal gratuita (12).

Además de esta modificación, el Parlamento uruguayo ha iniciado la tramitación de un proyecto de ley específico contra los deepfakes sexuales, que se encuentra en fase de discusión en la Comisión de Constitución y Legislación de la Cámara de Diputados (12). El proyecto, que ha sido redactado con la asesoría de la Unidad de Violencia de Género de la Fiscalía General, establece un tipo penal autónomo para la generación, posesión y difusión de deepfakes sexuales de menores, con penas de tres a ocho años de prisión, y prevé además medidas de reparación integral del daño que incluyen la indemnización económica, el tratamiento psicológico de la víctima y la retirada del contenido de todas las plataformas digitales (12). El proyecto incorpora también la obligación de las plataformas de implementar sistemas de detección y retirada de deepfakes sexuales, bajo apercibimiento de sanciones administrativas de hasta 1.000.000 de unidades indexadas (12).

Uruguay ha sido uno de los primeros países de la región en dictar una sentencia condenatoria por material de abuso sexual de menores generado con inteligencia artificial, lo que ha situado el debate legislativo en el centro de la agenda política (12, 19). La sentencia, que será analizada en el Capítulo VI, ha sido invocada por los impulsores del proyecto de ley como evidencia de la necesidad de una regulación específica, pues en el momento de los hechos el tipo penal de pornografía infantil no incluía las representaciones simuladas, y la condena se obtuvo por la vía de los delitos contra el honor y la intimidad (12, 19). El proyecto de ley, que cuenta con el respaldo de todos los partidos políticos con representación parlamentaria, prevé su aprobación antes del final del año legislativo en curso (12).

6. Bolivia: Ley N.º 1636 y la prohibición expresa de deepfakes sexuales

Bolivia ha sido uno de los países de la región que ha actuado con mayor celeridad en la regulación de los deepfakes sexuales de menores, con la promulgación de la Ley N.º 1636 para la Protección de la Integridad Sexual de Niñas, Niños y Adolescentes en Entornos Digitales, aprobada en abril de 2025 (13). Esta ley, que ha sido calificada por la doctrina como una de las más avanzadas de América Latina por su enfoque integral, prohíbe expresamente la generación, posesión, distribución o difusión de imágenes o vídeos de menores que hayan sido generados o manipulados mediante inteligencia artificial para simular su desnudez o su participación en actos sexuales, y establece penas de cuatro a diez años de prisión para estas conductas (13).

La Ley N.º 1636 se caracteriza por su enfoque preventivo y educativo, que complementa las medidas sancionadoras con la obligación del Estado de implementar programas de educación digital en los centros escolares, dirigidos a menores, familias y docentes, para la identificación y prevención de los riesgos de los deepfakes sexuales (13). La ley prevé también la creación de un registro nacional de condenados por delitos sexuales contra menores, que incluirá aquellos cometidos mediante inteligencia artificial, así como la obligación de las plataformas digitales de retirar el contenido ilícito en un plazo máximo de cuarenta y ocho horas desde la notificación (13). Esta obligación, que ha sido objeto de críticas por parte de las asociaciones de plataformas digitales por considerar que el plazo es excesivamente breve, ha sido defendida por el Gobierno boliviano como necesaria para garantizar una protección efectiva de los menores, dada la velocidad de difusión de los deepfakes (13).

El impacto de la Ley N.º 1636 en la práctica judicial boliviana aún no ha podido ser evaluado, dado el breve tiempo transcurrido desde su entrada en vigor (13). No obstante, la Defensoría del Pueblo de Bolivia ha señalado que la ley representa un avance significativo en la protección de los derechos de la infancia, aunque ha advertido que su eficacia dependerá de la dotación de recursos técnicos y humanos para las fiscalías y los juzgados, así como de la capacitación de los operadores jurídicos en el manejo de la prueba digital (13). La doctrina boliviana, por su parte, ha destacado la coherencia de la Ley N.º 1636 con los estándares del Protocolo facultativo de la Convención sobre los Derechos del Niño, al incluir expresamente las representaciones simuladas en la definición de pornografía infantil (13, 22).

7. Paraguay: proyectos de ley contra el grooming y los deepfakes

Paraguay se encuentra en una fase inicial de desarrollo legislativo en materia de deepfakes sexuales de menores, con dos proyectos de ley principales en tramitación en el Congreso Nacional (14). El primero de ellos, presentado en noviembre de 2024, tiene por objeto la protección de niños, niñas y adolescentes contra el grooming —la captación de menores con fines sexuales a través de internet— y ha sido ampliado para incluir también la generación y difusión de deepfakes sexuales, al considerar que el grooming puede facilitar o complementar la producción de este tipo de contenido (14). El proyecto establece penas de dos a cinco años de prisión para quienes, mediante el uso de inteligencia artificial, generen o difundan imágenes de menores con contenido sexual, y prevé una agravación cuando la conducta se cometa utilizando técnicas de anonimización o cuando las imágenes se difundan a través de plataformas digitales de acceso masivo (14).

El segundo proyecto de ley, presentado en marzo de 2025, se centra específicamente en la regulación de los deepfakes y establece un tipo penal autónomo para la generación, posesión y difusión de imágenes o vídeos generados por inteligencia artificial que lesionen la intimidad o el honor de las personas, con una agravación cuando las víctimas sean menores de edad (14). Este proyecto, que ha sido redactado con la asesoría del Ministerio Público, prevé penas de tres a ocho años de prisión para los casos de menores, y establece además la obligación de las plataformas digitales de implementar sistemas de verificación de edad y de filtrado de contenido (14). El proyecto incorpora también medidas de reparación integral del daño, incluyendo la indemnización económica y el tratamiento psicológico de la víctima (14).

La doctrina paraguaya, que apenas ha comenzado a analizar el fenómeno de los deepfakes, ha señalado que la fragmentación legislativa —con dos proyectos de ley que abordan la materia desde perspectivas distintas— puede generar problemas de coordinación y de inseguridad jurídica (14). Autores como Benítez (2025), cuyo análisis se ha centrado en la experiencia española, han advertido que los países latinoamericanos deben evitar la proliferación de normas dispersas y optar por soluciones legislativas integrales que aborden el fenómeno en su totalidad (26). El Ministerio Público paraguayo ha recomendado la unificación de ambos proyectos en una sola iniciativa legislativa, que incorpore los elementos más avanzados de cada uno y establezca un marco coherente de prevención, sanción y reparación (14).

8. Análisis comparado: convergencias, divergencias y criterios de punición

El recorrido por las reformas legislativas en los siete países latinoamericanos analizados —México, Argentina, Chile, Perú, Uruguay, Bolivia y Paraguay— permite identificar un conjunto de convergencias y divergencias que ilustran los distintos enfoques adoptados para hacer frente a los deepfakes sexuales de menores, y que revelan tanto la conciencia regional del problema como la fragmentación de las respuestas normativas (8, 9, 10, 11, 12, 13, 14).

Las convergencias más relevantes son tres. En primer lugar, todos los países han optado por la vía penal como instrumento principal de respuesta, estableciendo penas privativas de libertad para la generación, posesión o difusión de deepfakes sexuales de menores (8, 9, 10, 11, 12, 13, 14). Este denominador común refleja el reconocimiento de que los deepfakes sexuales constituyen una agresión de suficiente gravedad para merecer una respuesta punitiva, y que la protección de los menores exige una intervención del derecho penal (22, 26). En segundo lugar, todos los países han incluido agravaciones cuando la víctima es menor de edad, elevando las penas por encima de las previstas para los deepfakes de adultos (8, 9, 10, 11, 12, 13, 14). Esta convergencia es coherente con el principio del interés superior del menor y con los estándares internacionales de protección de la infancia (1, 22, 25). En tercer lugar, todos los países han incorporado, en mayor o menor medida, medidas de reparación del daño a la víctima, incluyendo la indemnización económica y el tratamiento psicológico, lo que revela una evolución desde un enfoque puramente sancionador hacia un enfoque más integral de protección de los derechos de las víctimas (8, 9, 10, 11, 12, 13, 14).

Las divergencias son, sin embargo, igualmente significativas. La primera gran divergencia se refiere a la ubicación sistemática del tipo penal. Mientras que México ha optado por incluir los deepfakes sexuales en el capítulo de los delitos contra la intimidad sexual (8), Chile y Bolivia los han integrado en la pornografía infantil (10, 13), y Argentina y Uruguay han propuesto tipos autónomos (9, 12). Esta dispersión sistemática, que ha sido criticada por la doctrina (26, 29), puede dar lugar a diferencias en la interpretación judicial y en la determinación de las penas, y dificulta la armonización regional de la respuesta penal. La segunda gran divergencia se refiere a los umbrales de punición. Las penas previstas oscilan entre los dos años de prisión en el proyecto paraguayo más moderado (14) y los doce años en la reforma federal mexicana (8), lo que revela concepciones distintas sobre la gravedad del delito y sobre la proporcionalidad de la sanción. Esta disparidad, que puede tener consecuencias prácticas en la cooperación judicial internacional, ha sido señalada por el estudio de UNICEF, ECPAT e INTERPOL como una de las principales dificultades para una respuesta global al fenómeno (22).

La tercera gran divergencia se refiere a la inclusión o no de medidas de prevención y educación digital. Mientras que Bolivia y Uruguay han incorporado en sus leyes programas de educación digital en los centros escolares (12, 13), otros países, como Perú y Paraguay, se han limitado a la regulación penal (11, 14). Esta diferencia de enfoque, que ha sido analizada por la doctrina como reflejo de distintos grados de sofisticación legislativa (27, 31), puede tener consecuencias importantes en la eficacia preventiva de las normas, pues la sanción penal, por sí sola, no es suficiente para hacer frente a un fenómeno que tiene su raíz en la falta de conciencia digital y en la normalización de la violencia sexual en el entorno escolar (22, 25).

En definitiva, el panorama regulatorio latinoamericano es el de un continente en movimiento, en el que todos los países analizados han iniciado, al menos, el proceso de reforma de sus marcos normativos para hacer frente a los deepfakes sexuales de menores, pero en el que la fragmentación, la disparidad de criterios y la ausencia de un estándar regional común dificultan la armonización de las respuestas (8, 9, 10, 11, 12, 13, 14). Esta fragmentación, que ha sido identificada por la doctrina como un riesgo sistémico (26, 27, 29), reclama la adopción de instrumentos de cooperación internacional y de armonización legislativa, así como la continuidad de la labor de los organismos internacionales, como UNICEF y el Comité de los Derechos del Niño, en la promoción de estándares mínimos comunes (22). El Capítulo V analizará el papel de la Unión Europea como catalizador de estos procesos de armonización, y el Capítulo X abordará los desafíos prácticos que la fragmentación normativa plantea para la cooperación judicial y para la protección efectiva de los menores.

Capítulo V. La Unión Europea como catalizador: el Reglamento de IA y el Acuerdo de 2026

1. La clasificación de riesgos en la Ley Europea de Inteligencia Artificial

El Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo, de 13 de junio de 2024, por el que se establecen normas armonizadas en materia de inteligencia artificial (Ley de Inteligencia Artificial), constituye el primer marco regulatorio integral del mundo para los sistemas de IA y ha servido de catalizador para las reformas legislativas en los Estados miembros, incluyendo España (7). La Ley adopta un enfoque basado en el riesgo, clasificando los sistemas de IA en cuatro categorías: riesgo inaceptable, alto riesgo, riesgo limitado y riesgo mínimo o nulo (7). Esta clasificación, que se aplica a todos los sistemas comercializados o utilizados en el territorio de la Unión, tiene una incidencia directa en la regulación de los deepfakes sexuales de menores, al establecer prohibiciones y obligaciones específicas para los sistemas de IA generativa (7).

Los sistemas de IA que presentan un riesgo inaceptable son aquellos cuya utilización contradice los valores europeos y los derechos fundamentales, y su comercialización o uso está prohibido en todo el territorio de la Unión (7). Entre estos sistemas se encuentran, desde la redacción original del Reglamento, los que manipulan el comportamiento humano de manera subliminal o engañosa, los que explotan las vulnerabilidades de personas por razón de su edad o discapacidad, y los sistemas de puntuación social utilizados por las autoridades públicas (7). Sin embargo, la redacción original no incluía una prohibición expresa de los sistemas de IA generadores de deepfakes sexuales y pornografía infantil, laguna que ha sido subsanada por el Acuerdo de 7 de mayo de 2026, que amplía la lista de sistemas prohibidos (7). La doctrina, representada por Palazzi (2025), ha señalado que la inclusión de esta prohibición en el Reglamento constituye un avance fundamental, pues establece un estándar mínimo que los Estados miembros deben incorporar en sus ordenamientos internos, y que sirve de referencia para los países iberoamericanos en sus procesos de reforma legislativa (31).

Los sistemas de IA de alto riesgo, por su parte, están sujetos a un régimen de evaluación de la conformidad, que incluye la obligación de implementar sistemas de gestión de riesgos, de transparencia y de supervisión humana (7). Esta categoría incluye, entre otros, los sistemas utilizados en el ámbito de la educación, el empleo, la salud y la administración de justicia, así como aquellos que afectan a derechos fundamentales (7). En el contexto de los deepfakes, la clasificación de los sistemas de IA generativa como de alto riesgo o de riesgo inaceptable depende de su finalidad y de su capacidad para generar contenido que pueda lesionar derechos fundamentales, especialmente los de los menores (7). El Proyecto de Ley Orgánica español para un uso ético, inclusivo y beneficioso de la inteligencia artificial ha optado por una interpretación amplia de la categoría de alto riesgo, incluyendo todos los sistemas de IA generativa que permitan la creación de imágenes o vídeos de personas, con independencia de su finalidad, y sometiéndolos a las obligaciones de transparencia y watermarking previstas en el Reglamento (3, 7).

2. La prohibición de sistemas de IA generadores de pornografía infantil y deepfakes sexuales: el Acuerdo de 7 de mayo de 2026

El Acuerdo de la Unión Europea de 7 de mayo de 2026, adoptado a propuesta del Gobierno de España, constituye la enmienda más relevante a la Ley de Inteligencia Artificial en materia de protección de la infancia (7). El Acuerdo, que ha sido respaldado por todos los Estados miembros y por el Parlamento Europeo, prohíbe en todo el territorio comunitario los sistemas de IA que generen deepfakes sexuales y pornografía infantil, y establece que cualquier sistema de IA que tenga por objeto o efecto la producción de representaciones sintéticas de desnudez o de actos sexuales de menores será considerado como de riesgo inaceptable y, por tanto, no podrá ser comercializado, puesto en servicio o utilizado en la Unión (7). Esta prohibición, que tiene carácter absoluto y no admite excepciones, se aplica tanto a los sistemas desarrollados en la Unión como a los importados de terceros países, y su incumplimiento dará lugar a sanciones administrativas de hasta 35 millones de euros o, en el caso de empresas, del 7 por ciento de su volumen de negocio anual, según la cuantía que resulte mayor (7).

El Acuerdo de 2026 ha sido defendido por la Comisión Europea como una respuesta necesaria a la rápida expansión de los deepfakes sexuales y a la constatación, por parte del estudio de UNICEF, ECPAT e INTERPOL, de que más de 1,2 millones de menores en once países habían sido afectados por este fenómeno (7, 22). El Gobierno de España, que ha ejercido la presidencia del Consejo de la Unión durante el primer semestre de 2026, ha desempeñado un papel crucial en la promoción de este Acuerdo, utilizando la experiencia acumulada con la Sentencia del Juzgado de Menores de Badajoz y con las reformas legislativas en tramitación para convencer a los demás Estados miembros de la urgencia de la medida (1, 7, 15). La propuesta española, que ha sido calificada por la doctrina como un ejemplo de activismo legislativo, ha sido respaldada por el Parlamento Europeo y por las organizaciones de defensa de los derechos de la infancia, que han celebrado la prohibición como un paso decisivo en la protección de los menores frente a la inteligencia artificial generativa (7, 26, 29).

El Acuerdo de 2026 tiene también implicaciones para los países iberoamericanos, en la medida en que los sistemas de IA generadores de deepfakes sexuales de menores que sean desarrollados en la Unión no podrán ser exportados a terceros países, y las empresas europeas que operen en América Latina estarán sujetas a la prohibición en lo que respecta a su actividad en territorio comunitario (7). Sin embargo, el Acuerdo no tiene efectos directos sobre los sistemas desarrollados fuera de la Unión, lo que plantea el riesgo de que la prohibición comunitaria actúe como un factor de desplazamiento de la producción de deepfakes hacia jurisdicciones con marcos normativos más laxos (7, 14). Esta preocupación ha sido expresada por el Consejo General del Poder Judicial, que ha señalado que la eficacia de la prohibición depende de la cooperación internacional y de la adopción de estándares similares en otros bloques regionales (24).

3. Obligaciones de transparencia, watermarking y rendición de cuentas de los desarrolladores

Además de la prohibición de los sistemas de IA generadores de deepfakes sexuales, la Ley de Inteligencia Artificial y el Acuerdo de 2026 establecen un conjunto de obligaciones de transparencia y rendición de cuentas para los sistemas de IA generativa que, aunque lícitos, pueden ser utilizados para producir contenido sintético que afecte a los derechos de las personas (3, 7). Estas obligaciones, que han sido incorporadas en el Proyecto de Ley Orgánica español, incluyen la implementación de mecanismos de watermarking o marcado digital que permitan identificar el origen sintético de las imágenes, vídeos o audios generados por IA, de modo que los usuarios y las plataformas puedan distinguir entre contenido real y contenido generado artificialmente (3).

El watermarking, que consiste en la inserción de una marca invisible o visible en el contenido generado, constituye una de las medidas técnicas más relevantes para prevenir la difusión de deepfakes y para facilitar la identificación de los autores en caso de utilización ilícita (3, 7). La Ley de Inteligencia Artificial establece que todos los sistemas de IA generativa deben incorporar mecanismos de watermarking que cumplan con estándares técnicos armonizados, y que las plataformas digitales están obligadas a verificar la presencia de estas marcas en el contenido que alojan, y a retirar aquellos que no cuenten con ellas o que presenten indicios de manipulación (7). El Proyecto de Ley Orgánica español ha desarrollado esta obligación, estableciendo que la AEPD será la autoridad competente para verificar el cumplimiento de los estándares de watermarking y para sancionar a los desarrolladores que no los implementen (3).

Otra obligación relevante es la relativa a la transparencia y a la información a los usuarios. La Ley de Inteligencia Artificial exige que los sistemas de IA generativa informen a los usuarios de que están interactuando con contenido sintético, y que obtengan su consentimiento para la utilización de sus datos en el entrenamiento de los modelos (7). Esta obligación, que se aplica con carácter general a todos los sistemas de IA generativa, adquiere una relevancia particular en el ámbito de los deepfakes sexuales, pues los sistemas que generan este tipo de contenido suelen entrenarse con conjuntos de datos que incluyen imágenes de personas sin su consentimiento (7). El Proyecto de Ley Orgánica español ha reforzado esta obligación estableciendo que los desarrolladores de IA generativa deben obtener el consentimiento expreso de las personas cuyas imágenes se utilicen en los conjuntos de entrenamiento, y que el consentimiento debe ser específico para cada finalidad, sin que un consentimiento genérico pueda amparar la utilización de imágenes para la generación de contenido sexual (3).

Finalmente, la Ley de Inteligencia Artificial establece un régimen de rendición de cuentas para los desarrolladores y proveedores de sistemas de IA generativa, que incluye la obligación de llevar un registro de los contenidos generados, de las fuentes de entrenamiento y de las medidas de seguridad implementadas (7). Este registro, que debe estar a disposición de las autoridades competentes, permite el seguimiento de los sistemas de IA y la identificación de aquellos que puedan estar siendo utilizados para fines ilícitos (7). El Proyecto de Ley Orgánica español ha desarrollado esta obligación, atribuyendo a la Agencia Española de Protección de Datos y a la Comisión Nacional de los Mercados y la Competencia las funciones de inspección y supervisión de los desarrolladores de IA generativa (3).

4. Implicaciones para los Estados miembros y su trasposición al ordenamiento interno

La Ley de Inteligencia Artificial y el Acuerdo de 2026 son directamente aplicables en todos los Estados miembros de la Unión Europea, sin necesidad de transposición, en virtud de su naturaleza reglamentaria (7). Sin embargo, su aplicación práctica requiere el desarrollo de normas técnicas y de procedimiento, así como la designación de autoridades competentes y la adopción de sanciones efectivas, proporcionadas y disuasorias (7). El Proyecto de Ley Orgánica español para un uso ético, inclusivo y beneficioso de la inteligencia artificial ha cumplido con esta exigencia, estableciendo el marco institucional y sancionador para la aplicación del Reglamento en España (3). Este Proyecto, que ha sido aprobado por el Consejo de Ministros en mayo de 2026, está pendiente de tramitación parlamentaria, pero se espera su entrada en vigor antes de que finalice el año 2026 (3).

La trasposición del Reglamento y del Acuerdo plantea a los Estados miembros varios desafíos. El primero de ellos es la coordinación entre la autoridad competente en materia de IA —la AEPD y la CNMC en el caso español— y las autoridades judiciales y fiscales, que son las encargadas de perseguir los delitos cometidos mediante IA (3, 7). La doctrina, representada por Benítez (2025), ha señalado que la duplicidad de autoridades puede generar problemas de coordinación y de duplicidad de sanciones, y ha recomendado la creación de una fiscalía especializada en delitos tecnológicos que centralice la investigación de los deepfakes sexuales (26). El segundo desafío es la capacitación de los operadores jurídicos y de las fuerzas de seguridad en el manejo de la prueba digital y en la identificación de los deepfakes (24, 25). El Consejo General del Poder Judicial y el Consejo Fiscal han subrayado la necesidad de programas de formación continua en inteligencia artificial y en ciberseguridad, así como la dotación de recursos técnicos para la realización de peritajes (24).

El tercer desafío es la cooperación internacional, especialmente con países iberoamericanos que no están sujetos al Reglamento (7, 14). La prohibición de los sistemas de IA generadores de deepfakes sexuales en la Unión Europea no impide que estos sistemas sean desarrollados y utilizados en terceros países, ni que el contenido generado sea difundido a través de servidores ubicados en jurisdicciones con marcos normativos más laxos (7). Para hacer frente a este desafío, la Comisión Europea ha propuesto la celebración de acuerdos bilaterales de cooperación en materia de IA con los países iberoamericanos, y ha ofrecido asistencia técnica para la armonización de sus marcos normativos (7). El estudio de UNICEF, ECPAT e INTERPOL ha respaldado esta iniciativa, señalando que la cooperación internacional es indispensable para una protección efectiva de los menores frente a los deepfakes sexuales, que por su naturaleza transnacional no pueden ser combatidos eficazmente mediante medidas nacionales aisladas (22).

En definitiva, la Unión Europea, a través de la Ley de Inteligencia Artificial y del Acuerdo de 7 de mayo de 2026, ha asumido un papel de liderazgo en la regulación de los deepfakes sexuales de menores, estableciendo estándares mínimos que sirven de referencia para los Estados miembros y para los países iberoamericanos (3, 7, 22). La prohibición de los sistemas generadores de pornografía infantil, las obligaciones de transparencia y watermarking, y el régimen de rendición de cuentas de los desarrolladores configuran un marco regulatorio avanzado que, sin embargo, depende de su efectiva aplicación y de la cooperación internacional para alcanzar plena eficacia (7, 24, 25). El Capítulo VI analizará la respuesta jurisprudencial en el ámbito hispanohablante, que ha precedido en algunos casos a la intervención legislativa y que ha revelado las tensiones interpretativas que el Acuerdo de 2026 y las reformas nacionales tratan de resolver.

Capítulo VI. Jurisprudencia y resoluciones judiciales emergentes en el ámbito hispanohablante

1. España: la Sentencia del Juzgado de Menores de Badajoz 86/2024 (caso de Almendralejo)

La Sentencia del Juzgado de Menores de Badajoz 86/2024, de 20 de junio, constituye el pronunciamiento judicial más relevante y pionero en el ámbito hispanohablante en materia de deepfakes sexuales de menores, y ha servido de punto de referencia para la doctrina y para el legislador en la elaboración de las reformas normativas (15). Los hechos probados, según se desprenden de la resolución, tuvieron lugar en la localidad extremeña de Almendralejo, donde un grupo de quince menores, con edades comprendidas entre los trece y los diecisiete años, utilizaron aplicaciones de inteligencia artificial generativa para manipular imágenes de sus compañeras de instituto, obtenidas en su mayoría de redes sociales, generando representaciones falsas en las que las víctimas aparecían desnudas (15). Las imágenes manipuladas fueron difundidas a través de grupos de WhatsApp y otras aplicaciones de mensajería, alcanzando una difusión significativa en el entorno escolar y causando a las víctimas un grave daño moral y psicológico (15).

La calificación jurídica de los hechos por parte del Juzgado de Menores fue especialmente relevante por su interpretación extensiva del delito de pornografía infantil. El tribunal declaró a los quince menores responsables de veinte delitos de pornografía infantil —en referencia a las veinte víctimas cuyas imágenes habían sido manipuladas— y de veinte delitos contra la integridad moral, imponiendo a cada uno la medida de libertad vigilada durante un año (15). La fundamentación jurídica de la sentencia se apoyó en la consideración de que la manipulación digital de las imágenes mediante inteligencia artificial para simular la desnudez de las víctimas equivalía, a efectos de la protección del menor, a la producción de material pornográfico, pues el daño causado a la indemnidad sexual y a la dignidad de las víctimas era equiparable al de la pornografía infantil tradicional (15). El tribunal razonó que el bien jurídico protegido por el delito de pornografía infantil no es la captación real de la imagen, sino la protección del menor frente a cualquier forma de explotación sexual, ya sea mediante captación real o mediante manipulación digital, y que una interpretación restrictiva del tipo penal dejaría a los menores en una situación de desprotección frente a un daño igualmente grave (15).

La sentencia también abordó el delito contra la integridad moral, considerando que la difusión de las imágenes manipuladas en el entorno escolar había causado a las víctimas un menosprecio y una humillación que lesionaban su dignidad y su derecho al honor, configurando así una intromisión ilegítima en sus derechos de la personalidad (15). El tribunal subrayó que la conducta de los menores autores no solo había afectado a la intimidad y a la propia imagen de las víctimas, sino que también había generado un clima de hostilidad y de acoso en el instituto, que requería una respuesta educativa y sancionadora (15). La medida de libertad vigilada, que fue la impuesta por el tribunal, se fundamentó en la necesidad de proporcionar a los menores autores una supervisión y un acompañamiento educativo que les permitiera comprender la gravedad de su conducta y reparar el daño causado (15).

La doctrina ha analizado extensamente la Sentencia de Badajoz. Benítez (2025) ha planteado la cuestión de si es posible sancionar penalmente en España la difusión de deepfakes sexuales a propósito de esta resolución, y ha señalado que la sentencia ha sido objeto de críticas por parte de algunos sectores que consideran que la interpretación extensiva del delito de pornografía infantil vulnera el principio de legalidad penal (26). No obstante, Benítez defiende la posición del tribunal, argumentando que el principio de legalidad debe interpretarse de manera sistemática y finalista, y que la finalidad del artículo 189 del Código Penal es precisamente la protección de la indemnidad sexual de los menores, lo que justifica una interpretación amplia que incluya las representaciones simuladas (26). García Martínez (2024), por su parte, ha analizado la protección civil del derecho al honor en el caso de los deepfakes y ha señalado que la sentencia, al declarar también la comisión de delitos contra la integridad moral, ha abierto la vía para una protección acumulada de los derechos de las víctimas, que pueden ejercitar tanto acciones penales como civiles (30). Bonnett (2025) ha destacado que la sentencia de Badajoz ha tenido un efecto catalizador en el proceso legislativo, al evidenciar la necesidad de una tipificación específica de los deepfakes sexuales que supere las dificultades interpretativas (29).

2. La Sentencia de la Audiencia Provincial de Valladolid: absolución y disparidad de criterios judiciales

La Sentencia de la Audiencia Provincial de Valladolid, dictada en un supuesto similar al de Almendralejo, ha evidenciado la existencia de una disparidad de criterios judiciales que ha sido señalada por la doctrina como uno de los principales problemas de la respuesta jurisdiccional a los deepfakes sexuales de menores (16). En el caso de Valladolid, diez procesados fueron acusados de haber utilizado inteligencia artificial para generar imágenes falsas de desnudos de sus compañeras, y el tribunal absolvió a todos ellos del delito de pornografía infantil, al considerar que el tipo penal exigía la utilización real de menores en la producción del material, y que las imágenes manipuladas, al no haber sido captadas directamente, no podían subsumirse en el artículo 189 del Código Penal (16). El tribunal fundamentó su decisión en una interpretación estricta del principio de legalidad penal, señalando que la tipicidad de la conducta debe estar expresamente prevista por la ley, y que la extensión analógica del tipo penal, por muy loable que sea su finalidad de protección, no es admisible en el derecho penal (16).

La absolución de los procesados fue recurrida por el Ministerio Fiscal, pero la Audiencia Provincial confirmó su decisión, subrayando que la laguna normativa existente en aquel momento debía ser cubierta por el legislador, no por los jueces mediante una interpretación extensiva que vulnera el principio de legalidad (16). La sentencia de Valladolid ha sido objeto de críticas por parte de la doctrina y de las organizaciones de defensa de los derechos de la infancia, que han señalado que la interpretación restrictiva del tribunal deja a los menores en una situación de desprotección frente a un daño equiparable al de la pornografía infantil tradicional (16, 25). El Consejo General del Poder Judicial, en su informe sobre el Proyecto de Ley de menores en entornos digitales, ha reconocido que la disparidad de criterios judiciales —evidenciada por el contraste entre Badajoz y Valladolid— es un problema grave que exige una intervención unificadora del legislador o, en su defecto, del Tribunal Supremo (24).

La doctrina ha analizado el contraste entre ambas sentencias como un ejemplo paradigmático de las tensiones interpretativas que los deepfakes plantean en el ámbito penal. Benítez (2025) ha señalado que la cuestión de fondo no es si la conducta merece o no sanción penal, sino si la sanción penal puede imponerse sin una tipificación expresa, y ha concluido que, en un Estado de derecho, la solución debe ser legislativa, no judicial (26). Bonnett (2025) ha añadido que la disparidad de criterios afecta a la seguridad jurídica y a la igualdad de los ciudadanos ante la ley, pues menores que han cometido la misma conducta pueden recibir respuestas judiciales diametralmente opuestas en función de la Audiencia Provincial que conozca del caso (29). García Martínez (2024) ha señalado que esta disparidad ha sido el principal argumento esgrimido por el legislador para la reforma del Código Penal y para la incorporación del artículo 173 bis, que proporciona un tipo específico y elimina la necesidad de una interpretación extensiva del delito de pornografía infantil (30).

3. El procesamiento en Córdoba (2025) y la investigación en Logroño (2026)

El caso de Córdoba, conocido a partir del procesamiento acordado por el Juzgado de Instrucción en junio de 2025, ha supuesto un nuevo hito en la respuesta judicial a los deepfakes sexuales de menores en España (17). En este caso, un joven de 19 años fue procesado por utilizar inteligencia artificial para generar imágenes pornográficas falsas de sus compañeras, a las que había accedido a través de sus perfiles en redes sociales, y por difundir las imágenes generadas a través de aplicaciones de mensajería (17). El procesamiento, que se produjo tras una investigación de la Policía Nacional en la que se incautaron los dispositivos electrónicos del acusado y se realizaron peritajes informáticos para identificar los algoritmos utilizados, ha sido calificado por la doctrina como un ejemplo de las dificultades probatorias que presentan estos casos, pues la determinación de la autoría requirió un análisis exhaustivo de los metadatos y de los registros de actividad en las aplicaciones utilizadas (17). El procesamiento se fundamentó en la comisión de un delito de pornografía infantil, en aplicación de la interpretación extensiva que ya había sido utilizada en la Sentencia de Badajoz, y de un delito contra el honor y la intimidad de las víctimas, que había quedado acreditado por la difusión de las imágenes en el entorno escolar (17).

El caso de Logroño, investigado por la Guardia Civil en julio de 2026, ha presentado una particularidad adicional: el autor de los deepfakes era un menor de 14 años, que había utilizado inteligencia artificial para "desnudar" digitalmente a nueve compañeras de instituto y había difundido las imágenes generadas a través de una web pornográfica (18). La investigación, que se encuentra en fase de instrucción, ha planteado cuestiones adicionales relacionadas con la responsabilidad penal del menor, que en España se rige por la Ley Orgánica 5/2000, de 12 de enero, reguladora de la responsabilidad penal de los menores (18). La Fiscalía de Menores ha solicitado la práctica de pruebas periciales para determinar la capacidad del menor para comprender la ilicitud de su conducta y para evaluar su grado de responsabilidad, así como para identificar a las víctimas y cuantificar el daño causado (18). La investigación ha puesto de relieve la necesidad de reforzar la formación de las fuerzas de seguridad en el manejo de la prueba digital y en la identificación de los deepfakes, así como la urgencia de actualizar los protocolos de actuación de la Fiscalía de Menores en estos casos (18). El Consejo Fiscal, en su informe sobre el Proyecto de Ley de menores en entornos digitales, ha señalado que los casos de menores autores de deepfakes requieren una respuesta educativa y terapéutica, además de sancionadora, y que la medida de internamiento debe ser excepcional y proporcionada a la gravedad de la conducta y al interés superior del menor infractor (24).

4. Uruguay: la primera sentencia condenatoria por material de abuso sexual generado con IA

Uruguay ha sido uno de los primeros países del ámbito hispanohablante, después de España, en dictar una sentencia condenatoria por la generación y difusión de deepfakes sexuales de menores, consolidando así la respuesta judicial al fenómeno en la región (19). La sentencia, dictada por un Juzgado de Montevideo en el marco del avance de la ley contra deepfakes en el país, condenó a un varón adulto por la generación de imágenes de contenido sexual de menores utilizando inteligencia artificial, y por su difusión a través de plataformas digitales (12, 19). El tribunal fundamentó la condena en la comisión de delitos contra el honor y la intimidad de las víctimas, al considerar que, en el momento de los hechos, el Código Penal uruguayo no incluía expresamente las representaciones simuladas en el tipo de pornografía infantil (12, 19). La sentencia, que impuso una pena de prisión de tres años y el pago de una indemnización a las víctimas, ha sido invocada por los impulsores del proyecto de ley específico contra los deepfakes en Uruguay como evidencia de la necesidad de una regulación expresa, y ha servido de precedente para la tramitación de la ley en el Parlamento (12, 19).

La sentencia uruguaya ha sido analizada por la doctrina como un ejemplo de la capacidad de los jueces para dar una respuesta, aunque limitada por las lagunas normativas, a un fenómeno tecnológico que desborda las categorías penales tradicionales (12, 19). Palazzi (2025), en su reflexión desde Argentina sobre el derecho y la irrupción de los deepfakes, ha señalado que la sentencia uruguaya evidencia la necesidad de una armonización regional de los tipos penales, para evitar que los autores de deepfakes se beneficien de lagunas normativas en sus países de origen (31). La sentencia también ha sido destacada por el estudio de UNICEF, ECPAT e INTERPOL, que la ha calificado como un ejemplo de buenas prácticas en la aplicación de los estándares internacionales de protección de la infancia, y ha instado a otros países de la región a seguir el ejemplo uruguayo en la adopción de reformas legislativas y judiciales (22).

5. Análisis crítico: la falta de doctrina unificada y los desafíos probatorios

El análisis de la jurisprudencia emergente en el ámbito hispanohablante permite extraer varias conclusiones críticas sobre la respuesta judicial a los deepfakes sexuales de menores, que se proyectan sobre los desafíos prácticos que se abordarán en el Capítulo X (15, 16, 17, 18, 19). La primera conclusión es la constatación de una falta de doctrina unificada, evidenciada por el contraste entre la interpretación extensiva de la Sentencia de Badajoz y la interpretación restrictiva de la Audiencia de Valladolid (15, 16). Esta disparidad de criterios, que ha sido señalada por la doctrina y por los informes institucionales, genera inseguridad jurídica y afecta a la igualdad de los ciudadanos ante la ley, pues la respuesta penal a una misma conducta puede variar en función de la Audiencia Provincial que conozca del caso (23, 24, 26). La reforma del Código Penal, con la incorporación del artículo 173 bis, ha tratado de resolver esta disparidad proporcionando un tipo autónomo y claro, pero su eficacia dependerá de la interpretación que los jueces realicen del nuevo precepto y de la eventual jurisprudencia del Tribunal Supremo que lo desarrolle (4).

La segunda conclusión es la constatación de las dificultades probatorias que presentan estos casos, que han sido puestas de manifiesto en todos los procedimientos analizados (15, 16, 17, 18). La determinación de la autoría de un deepfake requiere, en la mayoría de los casos, peritajes tecnológicos complejos que permitan identificar los algoritmos utilizados, rastrear los metadatos de los archivos y establecer la cadena de custodia digital (15, 17, 18). A ello se añade la posibilidad de que los autores utilicen herramientas de anonimización o de cifrado que dificulten su identificación, así como la circunstancia de que, en muchos casos, los responsables son también menores de edad, lo que activa el régimen especial de la Ley de Responsabilidad Penal del Menor y limita las posibilidades de investigación y sanción (15, 18). Los informes del Consejo General del Poder Judicial y del Consejo Fiscal han señalado que la capacitación de los jueces y fiscales en materia de prueba digital es insuficiente, y que la dotación de recursos técnicos para la realización de peritajes es inadecuada (24). Esta insuficiencia de medios, que es común a la mayoría de los países iberoamericanos, constituye un obstáculo significativo para la persecución efectiva de los deepfakes sexuales (10, 11, 14).

La tercera conclusión es la necesidad de una cooperación internacional más estrecha en la investigación y persecución de los deepfakes sexuales de menores, que por su naturaleza transnacional —las imágenes pueden ser generadas en un país, difundidas desde servidores en otro y almacenadas en un tercero— requieren una respuesta coordinada (22). Los casos analizados revelan que la mayoría de las difusiones se producen a través de plataformas digitales con sede en el extranjero, lo que plantea problemas de jurisdicción y de obtención de pruebas (17, 18). La Ley N.º 32314 de Perú, que aborda los delitos cometidos mediante inteligencia artificial con un enfoque transversal, ha tratado de dar una respuesta a este desafío estableciendo la competencia de los tribunales peruanos para conocer de los delitos cometidos desde el extranjero cuando las víctimas sean peruanas o cuando las plataformas utilizadas tengan su sede en el país (11). Sin embargo, la eficacia de estas disposiciones depende de la cooperación de los países en los que las plataformas tienen su sede, y de la existencia de tratados de asistencia judicial recíproca que permitan la obtención de pruebas y la extradición de los autores (11, 14, 22).

En definitiva, el análisis de la jurisprudencia emergente en el ámbito hispanohablante revela un escenario de transición, en el que los jueces han comenzado a dar respuesta al fenómeno de los deepfakes sexuales de menores, pero en el que la falta de doctrina unificada, las dificultades probatorias y la insuficiencia de cooperación internacional constituyen obstáculos significativos para una protección efectiva (15, 16, 17, 18, 19). Las reformas legislativas analizadas en los Capítulos III y IV, así como el liderazgo de la Unión Europea en el establecimiento de estándares mínimos (Capítulo V), tratan de proporcionar a los jueces los instrumentos necesarios para superar estos obstáculos, pero su éxito dependerá de su correcta aplicación y de la continuidad de los esfuerzos de formación y cooperación (1, 4, 7, 8, 9, 10, 11, 12, 13, 14). El Capítulo VII analizará la respuesta administrativa y la protección de datos, que constituye una vía complementaria a la jurisdiccional para hacer frente a los deepfakes sexuales de menores.

Capítulo VII. La respuesta administrativa y la protección de datos

1. El Expediente de la AEPD EXP202503445: sanción por infracción muy grave del RGPD

La Agencia Española de Protección de Datos (AEPD), en el marco de sus competencias de supervisión y sanción en materia de protección de datos, ha dictado una resolución de especial relevancia en el Expediente EXP202503445, que constituye el primer pronunciamiento administrativo de calado en el ámbito hispanohablante sobre deepfakes sexuales de menores (20). El expediente se inició a raíz de una denuncia presentada por los representantes legales de varias menores cuyas imágenes habían sido utilizadas para la generación de deepfakes de desnudos, y que habían sido difundidas a través de aplicaciones de mensajería y redes sociales (20). La investigación de la AEPD, que se coordinó con la Policía Nacional y con la Fiscalía de Menores, permitió identificar al autor de la difusión —un menor de edad— y acreditar que el tratamiento de las imágenes de las víctimas para la generación de los deepfakes se había realizado sin base de legitimación alguna, en vulneración del artículo 6.1 del RGPD, que exige que todo tratamiento de datos personales se funde en una causa de licitud (6, 20).

La resolución de la AEPD calificó la conducta como una infracción muy grave del RGPD, al considerar que el tratamiento de datos biométricos —las imágenes faciales de las menores— sin consentimiento y con la finalidad de generar contenido sexual explícito constituía una lesión de especial gravedad a los derechos fundamentales de los menores, en particular a su derecho a la intimidad y a la protección de datos (20). La AEPD aplicó el artículo 9 del RGPD, que prohíbe el tratamiento de datos biométricos con la finalidad de identificar a una persona física, salvo que concurra alguna de las excepciones previstas en el precepto, y concluyó que ninguna de dichas excepciones resultaba aplicable en el caso examinado (6, 20). La sanción impuesta fue de 2.000 euros, una cuantía que, aunque moderada, ha sido justificada por la AEPD en atención a la condición de menor de edad del infractor, a su situación económica y a la ausencia de ánimo de lucro en su conducta (20). No obstante, la resolución advierte de que, en supuestos similares con autores adultos o con ánimo de lucro, las sanciones podrían alcanzar las cuantías máximas previstas en el RGPD, que ascienden a 20 millones de euros o al 4 por ciento del volumen de negocio anual (6, 20).

El Expediente EXP202503445 ha sido objeto de análisis por parte de la doctrina. Benítez (2025) ha señalado que la vía administrativa, a través de la AEPD, puede constituir un complemento eficaz a la vía penal, especialmente en aquellos casos en los que la conducta no alcanza el umbral de gravedad penal o en los que la autoría no puede ser determinada con la certeza exigida en el proceso penal (26). La autora ha destacado que la sanción de la AEPD, al basarse en la infracción de la normativa de protección de datos, no requiere la acreditación del dolo ni la identificación individualizada de los autores, sino que se centra en el tratamiento ilícito de los datos, lo que facilita su aplicación en casos de difusión masiva o de autoría difícilmente determinable (26). Bonnett (2025), por su parte, ha señalado que la vía administrativa presenta la ventaja de una mayor celeridad en la tramitación y en la imposición de sanciones, en comparación con los procesos penales, que suelen ser más largos y complejos (29). No obstante, la autora advierte de que la cuantía de las sanciones administrativas, en particular en el caso de menores infractores, puede resultar insuficiente para disuadir la conducta y para reparar el daño causado a las víctimas (29).

2. La primera sanción europea por creación de falso desnudo mediante IA (AEPD, 2025)

El Expediente EXP202503445 ha sido calificado por la AEPD y por la doctrina como la primera sanción en Europa por la creación de un falso desnudo mediante inteligencia artificial, un hito que ha situado a la Agencia Española de Protección de Datos en la vanguardia de la protección de datos frente a los deepfakes (20, 21). La resolución, que ha sido comunicada al Comité Europeo de Protección de Datos y a las autoridades de protección de datos de los demás Estados miembros, ha servido de precedente para la tramitación de expedientes similares en otros países de la Unión Europea, y ha sido citada por la Comisión Europea en la elaboración de las directrices sobre la aplicación del RGPD a los deepfakes (21). La AEPD ha destacado que la sanción, aunque de cuantía moderada, tiene un valor simbólico y disuasorio importante, al señalar a los operadores jurídicos y a la ciudadanía que la creación y difusión de deepfakes sexuales tiene consecuencias legales, incluso cuando no se configuren los elementos del tipo penal (20, 21).

La primera sanción europea ha sido analizada por la doctrina como un ejemplo de la interacción entre la protección de datos y la protección de los derechos de la personalidad, y como una prueba de la capacidad de las autoridades administrativas para dar una respuesta rápida y eficaz a un fenómeno tecnológico que desborda los tiempos del legislador penal (21, 26, 29). García Martínez (2024) ha señalado que la vía administrativa, al basarse en la normativa de protección de datos, permite abordar los deepfakes sexuales sin necesidad de esperar a la reforma del Código Penal, y ofrece a las víctimas un cauce de protección y reparación más ágil que el proceso penal (30). No obstante, la autora advierte de que la protección de datos no cubre todos los aspectos de los deepfakes, en particular la dimensión de indemnidad sexual y la afectación al honor y a la intimidad en su sentido más amplio, por lo que debe ser complementada por la vía penal y civil (30). Ramos-Zaga (2024), por su parte, ha señalado que la primera sanción europea ha puesto de relieve la necesidad de una coordinación entre la AEPD y la Fiscalía de Menores, para evitar la duplicidad de sanciones y para garantizar una respuesta coherente y proporcionada a la conducta del infractor (27).

3. La competencia sancionadora de las agencias de protección de datos frente a deepfakes

La competencia sancionadora de las agencias de protección de datos, como la AEPD en España, se fundamenta en la normativa de protección de datos —el RGPD y las leyes nacionales de desarrollo, como la LOPDGDD— y se extiende a todos aquellos tratamientos de datos personales que se realicen sin base de legitimación, incluso cuando los datos hayan sido obtenidos de fuentes accesibles al público, como las redes sociales (5, 6, 20). En el caso de los deepfakes sexuales de menores, la competencia de la AEPD se ha ejercido sobre la base de que la generación de deepfakes implica el tratamiento de imágenes faciales de los menores, que constituyen datos biométricos y, por tanto, categorías especiales de datos sometidas a un régimen de protección reforzada (6, 20). La AEPD ha considerado que la obtención de las imágenes de las redes sociales no legitima su tratamiento para la generación de deepfakes, pues el consentimiento prestado por el menor para la publicación de su imagen en la red social no se extiende a esa finalidad distinta e incompatible (5, 20).

El Proyecto de Ley Orgánica para la protección de las personas menores de edad en los entornos digitales ha reforzado la competencia de la AEPD en materia de deepfakes sexuales de menores, atribuyéndole la función de supervisar el cumplimiento de las obligaciones de retirada de contenido por parte de las plataformas digitales, así como la de imponer sanciones administrativas a los desarrolladores de sistemas de IA que no implementen los mecanismos de watermarking y verificación de edad previstos en la normativa (1, 5). El Proyecto de Ley Orgánica para un uso ético, inclusivo y beneficioso de la inteligencia artificial, por su parte, ha ampliado las competencias de la AEPD en materia de inteligencia artificial, atribuyéndole la condición de autoridad de supervisión para los sistemas de IA generativa y la facultad de imponer sanciones de hasta 30 millones de euros por el incumplimiento de las obligaciones de transparencia y rendición de cuentas (3, 7). Esta ampliación de competencias, que ha sido respaldada por el Consejo General del Poder Judicial y por el Consejo Fiscal, ha sido criticada por algunos sectores doctrinales por el riesgo de duplicidad de sanciones y por la posible afectación al principio non bis in idem (24, 26).

La doctrina ha analizado los límites de la competencia sancionadora de las agencias de protección de datos en materia de deepfakes. Benítez (2025) ha señalado que la vía administrativa es útil para sancionar los tratamientos ilícitos de datos, pero no permite abordar la dimensión penal de los deepfakes —la afectación a la indemnidad sexual del menor— ni la reparación del daño moral causado a las víctimas, que debe ser abordada por la vía civil (26). Addati (2025), en su análisis de la respuesta estadounidense, ha comparado el modelo administrativo europeo con el modelo de responsabilidad civil en Estados Unidos, y ha concluido que el modelo europeo ofrece una protección más amplia a las víctimas, al combinar la vía administrativa, penal y civil (28). No obstante, el autor advierte de que la eficacia del modelo administrativo depende de la dotación de recursos a las agencias de protección de datos y de su capacidad para tramitar expedientes de forma rápida y eficaz (28).

4. La interacción entre responsabilidad penal y responsabilidad administrativa

La coexistencia de la responsabilidad penal y la responsabilidad administrativa en el ámbito de los deepfakes sexuales de menores plantea complejos problemas de interacción y de determinación de la autoridad competente, que han sido abordados por la doctrina y por los informes institucionales (1, 4, 5, 6, 20, 24). En primer lugar, la duplicidad de vías —penal y administrativa— puede generar problemas de non bis in idem, es decir, la imposición de dos sanciones por los mismos hechos a la misma persona, lo que está prohibido por el principio constitucional de proporcionalidad y por la jurisprudencia del Tribunal Constitucional y del Tribunal Europeo de Derechos Humanos (24, 26). Para evitar esta duplicidad, el Proyecto de Ley de menores en entornos digitales ha establecido un criterio de prevalencia de la vía penal sobre la administrativa, de modo que, cuando los hechos sean constitutivos de delito, la sanción administrativa no podrá imponerse o, si ya se ha impuesto, deberá ser suspendida hasta que recaiga resolución penal firme (1). Este criterio, que ha sido respaldado por el Consejo Fiscal, garantiza que el infractor no sea sancionado dos veces por los mismos hechos y que la sanción penal, por su mayor gravedad y por su carácter de ultima ratio, prevalezca sobre la administrativa (24).

En segundo lugar, la interacción entre responsabilidad penal y administrativa plantea la cuestión de la determinación de la autoridad competente para investigar y sancionar los deepfakes sexuales de menores, en particular cuando los autores son menores de edad (1, 15, 24). En España, la competencia penal corresponde a los Juzgados de Menores, mientras que la competencia administrativa corresponde a la AEPD, y la coordinación entre ambas autoridades se ha articulado a través de protocolos de actuación conjunta que permiten el intercambio de información y la evitación de duplicidades (1, 20). El Proyecto de Ley de menores en entornos digitales ha reforzado esta coordinación, estableciendo que la AEPD deberá comunicar a la Fiscalía de Menores la apertura de cualquier expediente administrativo por deepfakes sexuales de menores, y que la Fiscalía podrá solicitar la suspensión del expediente si considera que los hechos son constitutivos de delito (1, 24). Esta previsión, que ha sido valorada positivamente por la doctrina, garantiza que la vía penal tenga prioridad y que la sanción administrativa no interfiera en el proceso penal (26, 29).

En tercer lugar, la interacción entre responsabilidad penal y administrativa plantea la cuestión de la reparación del daño a las víctimas (1, 20, 29). Mientras que la sanción penal tiene una finalidad predominantemente retributiva y preventiva, la sanción administrativa puede incluir, además de la multa, medidas de reparación del daño, como la obligación de retirar el contenido y de indemnizar a las víctimas (5, 20). El Proyecto de Ley de menores en entornos digitales ha establecido que, en los casos de deepfakes sexuales de menores, la sanción administrativa impuesta por la AEPD deberá incluir la obligación del infractor de sufragar los gastos de tratamiento psicológico de las víctimas y de adoptar medidas para la retirada efectiva del contenido de todas las plataformas en las que haya sido difundido (1). Esta previsión, que complementa la responsabilidad civil derivada del delito, ofrece a las víctimas un cauce adicional de reparación y contribuye a la restauración de su dignidad y de su bienestar psicológico (1, 20).

En definitiva, la respuesta administrativa y la protección de datos, a través de la actuación de la AEPD y del Expediente EXP202503445, constituyen una vía complementaria y eficaz para hacer frente a los deepfakes sexuales de menores, que se articula con la vía penal a través de mecanismos de coordinación y de prevalencia (1, 5, 6, 20, 21). La primera sanción europea por creación de falso desnudo mediante IA ha situado a España en la vanguardia de la protección de datos frente a los deepfakes, y ha establecido un precedente que ha sido seguido por otros países de la región (21). No obstante, como se analizará en el Capítulo X, la eficacia de la respuesta administrativa depende de la dotación de recursos a la AEPD, de la capacitación de sus inspectores y de la cooperación con las plataformas digitales para la retirada efectiva del contenido ilícito (1, 20). El Capítulo VIII analizará la evidencia empírica y los informes institucionales que han documentado la magnitud del fenómeno y las necesidades de respuesta.

Capítulo VIII. Informes institucionales y evidencia empírica

1. El estudio de UNICEF, ECPAT e INTERPOL (2026): 1,2 millones de menores afectados en 11 países

El estudio internacional liderado por UNICEF, ECPAT e INTERPOL, publicado en febrero de 2026 y titulado "IA y deepfakes: nuevos riesgos de violencia sexual contra la niñez", constituye la investigación empírica más exhaustiva realizada hasta la fecha sobre la incidencia de los deepfakes sexuales en la población menor de edad, y ha servido de base documental para las reformas legislativas en diversos países del ámbito hispanohablante (22). El estudio, que se ha desarrollado a lo largo de dieciocho meses y ha contado con la participación de once países —entre ellos México, España, Chile y Argentina—, ha empleado una metodología mixta que combina encuestas a menores y familias, análisis de denuncias presentadas ante las autoridades y plataformas digitales, y entrevistas a expertos en protección de la infancia y en ciberseguridad (22). Los resultados del estudio han sido calificados por sus autores como "alarmantes" y han situado el fenómeno de los deepfakes sexuales en el centro de la agenda política internacional (22).

La cifra más relevante del estudio es la estimación de que al menos 1,2 millones de niños y niñas en los once países analizados han reportado haber sido afectados por manipulaciones de sus imágenes mediante deepfakes con contenido sexual explícito en el último año (22). Esta cifra, que los autores advierten que probablemente infrarepresenta la realidad debido al silencio que suele acompañar a las agresiones sexuales contra menores y a la dificultad técnica para detectar este tipo de contenidos, supone un incremento del 400 por ciento respecto a las estimaciones realizadas dos años antes, lo que evidencia la rápida expansión del fenómeno (22). El estudio desglosa los datos por países, señalando que México es el país con mayor incidencia absoluta —con más de 150.000 afectados—, seguido de España y Chile, mientras que los países con menor incidencia relativa son aquellos que han implementado programas de educación digital más tempranos, como Uruguay y Bolivia (22). Esta correlación, que ha sido destacada por la doctrina, sugiere que las medidas preventivas y educativas pueden tener un impacto significativo en la reducción de la incidencia del fenómeno (27, 31).

El estudio de UNICEF, ECPAT e INTERPOL ha analizado también las consecuencias psicológicas y sociales de los deepfakes sexuales en los menores afectados, señalando que la mayoría de las víctimas experimentan síntomas de ansiedad, depresión, trastornos del sueño y dificultades de concentración, y que un porcentaje significativo —estimado en un 35 por ciento— ha sufrido una caída en su rendimiento académico y ha abandonado actividades sociales que antes realizaban con normalidad (22). El estudio ha puesto de manifiesto que el daño psicológico causado por un deepfake sexual es equiparable al de la pornografía infantil tradicional, y en algunos casos superior, debido a la sensación de vulnerabilidad y de pérdida de control que experimenta la víctima al saber que su imagen circula en la red sin que pueda controlar su difusión (22). Esta constatación, que ha sido recogida por la doctrina (26, 29), ha sido uno de los argumentos principales esgrimidos por los impulsores de las reformas legislativas para equiparar los deepfakes sexuales a la pornografía infantil a efectos penales (1, 4, 8, 9, 10, 12, 13).

El estudio ha formulado un conjunto de recomendaciones dirigidas a los Estados, a las plataformas digitales y a la comunidad internacional. Entre las recomendaciones a los Estados, el estudio insta a la adopción de marcos penales que incluyan expresamente las representaciones simuladas en la definición de pornografía infantil, a la creación de canales de denuncia accesibles y confidenciales para los menores, y a la implementación de programas de educación digital en los centros escolares (22). Entre las recomendaciones a las plataformas digitales, el estudio exige la implementación de sistemas de detección y retirada de deepfakes sexuales, la verificación de edad de los usuarios, y la cooperación con las autoridades para la identificación de los autores (22). Entre las recomendaciones a la comunidad internacional, el estudio reclama la celebración de tratados de cooperación judicial y de asistencia técnica, así como la armonización de los marcos normativos para evitar la fragmentación y la impunidad (22). Estas recomendaciones han sido incorporadas en diversos grados en las reformas legislativas analizadas en los Capítulos III y IV (1, 3, 4, 8, 9, 10, 11, 12, 13, 14).

2. Los informes del Observatorio de la Infancia (España) en la tramitación del Proyecto de Ley

El Observatorio de la Infancia, órgano consultivo adscrito al Ministerio de Derechos Sociales y Agenda 2030, ha elaborado una serie de informes durante la tramitación parlamentaria del Proyecto de Ley Orgánica para la protección de las personas menores de edad en los entornos digitales, que han proporcionado una base empírica y analítica para la redacción de la norma (23). Los informes, que han sido elaborados con la participación de expertos en protección de la infancia, psicología, educación y tecnología digital, han abordado la incidencia de los deepfakes sexuales entre la población menor de edad en España, así como la eficacia de las medidas existentes para su prevención y sanción (23). Según los informes del Observatorio, el número de casos de deepfakes sexuales de menores detectados en España se ha multiplicado por cinco entre 2023 y 2025, y la mayoría de los casos se concentran en el ámbito escolar, con autores y víctimas que son compañeros de clase o conocidos del entorno educativo (23).

Los informes del Observatorio han señalado que la respuesta institucional a los deepfakes sexuales de menores ha sido hasta ahora fragmentada y descoordinada, con una escasa colaboración entre las autoridades educativas, las fuerzas de seguridad, la Fiscalía de Menores y la Agencia Española de Protección de Datos (23). Esta falta de coordinación, que ha sido destacada también por la doctrina (26, 29), ha dificultado la investigación de los casos, la identificación de los autores y la reparación del daño a las víctimas (23). El Observatorio ha recomendado la creación de un protocolo de actuación conjunta que establezca los procedimientos de comunicación y colaboración entre las distintas autoridades, así como la asignación de recursos específicos para la formación de los operadores jurídicos y de las fuerzas de seguridad en el manejo de la prueba digital (23). Estas recomendaciones han sido incorporadas en el Proyecto de Ley de menores en entornos digitales, que prevé la creación de una unidad de coordinación interinstitucional para la protección de los menores en el entorno digital (1).

Los informes del Observatorio han abordado también la dimensión preventiva del fenómeno, señalando que la educación digital y la alfabetización en inteligencia artificial son herramientas fundamentales para reducir la incidencia de los deepfakes sexuales entre los menores (23). El Observatorio ha recomendado la inclusión de contenidos sobre inteligencia artificial y sobre riesgos digitales en el currículo escolar, así como la formación de los docentes en la identificación de casos de acoso y violencia sexual en el entorno digital (23). Estas recomendaciones han sido recogidas en el Proyecto de Ley, que establece la obligación de las administraciones educativas de implementar programas de educación digital en todos los centros escolares, y de proporcionar a los docentes la formación necesaria para abordar estos riesgos (1). La Defensoría de la Niñez de Chile ha elaborado recomendaciones similares, subrayando la importancia de la prevención como complemento indispensable de la respuesta punitiva (25).

3. Pronunciamientos del Consejo General del Poder Judicial y del Consejo Fiscal

El Consejo General del Poder Judicial (CGPJ) y el Consejo Fiscal, en el ejercicio de sus funciones consultivas, han emitido sendos informes sobre el Proyecto de Ley Orgánica para la protección de las personas menores de edad en los entornos digitales, en los que han analizado las implicaciones de la norma para la administración de justicia y para el ejercicio de la acción penal (24). Los informes, que han sido remitidos al Congreso de los Diputados durante la tramitación parlamentaria del Proyecto, han respaldado el contenido de la norma, pero han formulado una serie de recomendaciones y advertencias que han sido tenidas en cuenta por el legislador (24).

El informe del CGPJ ha destacado la necesidad de dotar a los juzgados y tribunales de recursos técnicos y humanos suficientes para hacer frente al incremento de litigiosidad derivado de la aplicación de la nueva norma (24). El Consejo ha señalado que la investigación de los deepfakes sexuales requiere peritajes tecnológicos complejos, que en la actualidad no están al alcance de todos los juzgados, y ha recomendado la creación de unidades especializadas en delitos tecnológicos en el seno del Poder Judicial, así como la formación continua de jueces y magistrados en inteligencia artificial y en prueba digital (24). El informe ha advertido también del riesgo de que la duplicidad de vías —penal y administrativa— genere problemas de non bis in idem, y ha recomendado que el Proyecto de Ley establezca con claridad los criterios de prevalencia y de coordinación entre ambas jurisdicciones (24). Estas recomendaciones han sido incorporadas en el texto del Proyecto de Ley, que atribuye a la Fiscalía de Menores la facultad de solicitar la suspensión del expediente administrativo cuando los hechos sean constitutivos de delito (1).

El informe del Consejo Fiscal, por su parte, ha subrayado la necesidad de reforzar la capacitación de los fiscales en materia de delitos tecnológicos y en la investigación de los deepfakes sexuales (24). El Consejo ha señalado que la Fiscalía de Menores, que en la actualidad carece de unidades especializadas en delitos tecnológicos, necesita disponer de personal cualificado y de recursos técnicos para la realización de peritajes y para la obtención de pruebas en el entorno digital (24). El informe ha recomendado la creación de una fiscalía especializada en delitos contra la infancia en el entorno digital, así como la firma de protocolos de colaboración con la Agencia Española de Protección de Datos y con las plataformas digitales para la obtención de pruebas y la retirada de contenido ilícito (24). Estas recomendaciones han sido recogidas por el Ministerio Fiscal, que ha iniciado los trámites para la creación de dicha unidad especializada, y por el Proyecto de Ley, que establece la obligación de las plataformas digitales de colaborar con las autoridades judiciales y fiscales en la investigación de los deepfakes sexuales (1, 24).

4. La Defensoría de la Niñez de Chile y sus recomendaciones

La Defensoría de la Niñez de Chile, institución autónoma encargada de la promoción y protección de los derechos de los niños, niñas y adolescentes, ha emitido una serie de pronunciamientos y recomendaciones sobre los deepfakes sexuales, que han influido en la tramitación del proyecto de artículo 374 bis del Código Penal y en las políticas públicas del país (25). La Defensoría ha señalado que los deepfakes sexuales constituyen una nueva forma de violencia sexual contra la infancia que exige una respuesta urgente y coordinada, y ha instado al Congreso a acelerar la tramitación del proyecto de ley (25). La institución ha elaborado guías prácticas para la detección y denuncia de deepfakes sexuales dirigidas a menores, familias y docentes, y ha implementado un canal de denuncia específico para este tipo de casos (25).

La Defensoría de la Niñez ha subrayado la importancia de que la respuesta a los deepfakes sexuales se articule en torno al interés superior del menor, y ha criticado las interpretaciones restrictivas de la tipicidad penal que, como la de la Audiencia Provincial de Valladolid, dejan a los menores en una situación de desprotección (25). La institución ha recomendado que el artículo 374 bis del Código Penal incluya una definición amplia de pornografía infantil que abarque expresamente las representaciones simuladas, y que establezca penas proporcionadas a la gravedad del delito y a la vulnerabilidad de las víctimas (25). La Defensoría ha recomendado también la inclusión de medidas de reparación integral del daño, incluyendo el tratamiento psicológico de las víctimas y la retirada del contenido de las plataformas digitales, así como la implementación de programas de educación digital en los centros escolares (25). Estas recomendaciones han sido incorporadas en el proyecto de ley, que se encuentra en tramitación en el Congreso chileno (10, 25).

La Defensoría de la Niñez ha destacado asimismo la importancia de la cooperación internacional y de la armonización de los marcos normativos en el ámbito iberoamericano, señalando que la fragmentación legislativa dificulta la persecución de los deepfakes sexuales, que por su naturaleza transnacional requieren una respuesta coordinada (25). La institución ha respaldado la iniciativa de UNICEF, ECPAT e INTERPOL para la promoción de estándares mínimos comunes, y ha instado a los países de la región a adoptar acuerdos de cooperación judicial y de asistencia técnica (22, 25). La Defensoría ha ofrecido su colaboración a los países de la región para la elaboración de guías y protocolos de actuación, y ha participado en las reuniones de la Red Iberoamericana de Defensorías de la Niñez para abordar el fenómeno de los deepfakes sexuales (25).

5. Valoración de la evidencia disponible y sus limitaciones metodológicas

La evidencia empírica disponible sobre los deepfakes sexuales de menores, aunque creciente, presenta limitaciones metodológicas significativas que deben ser tenidas en cuenta en la interpretación de los datos y en la formulación de políticas públicas (22, 23, 24, 25). La primera limitación es la subestimación de la incidencia del fenómeno, debido al silencio que suele acompañar a las agresiones sexuales contra menores, al miedo de las víctimas a ser estigmatizadas o a no ser creídas, y a la dificultad técnica para detectar este tipo de contenidos generados sintéticamente (22). El estudio de UNICEF, ECPAT e INTERPOL ha reconocido esta limitación, señalando que las cifras estimadas de 1,2 millones de afectados probablemente infrarepresentan la realidad, y que la incidencia real podría ser hasta tres o cuatro veces mayor (22). Esta subestimación, que ha sido confirmada por los informes del Observatorio de la Infancia, dificulta la cuantificación exacta del problema y la asignación de recursos proporcionales a su magnitud (23).

La segunda limitación es la heterogeneidad de las metodologías empleadas por los distintos estudios y por las fuentes institucionales, lo que dificulta la comparación de los datos y la identificación de tendencias comunes (22, 23, 24). Mientras que el estudio de UNICEF ha empleado encuestas a menores y familias, los informes del Observatorio de la Infancia se han basado en análisis de denuncias y en entrevistas a expertos, y los pronunciamientos del CGPJ y del Consejo Fiscal han recurrido a datos estadísticos de los juzgados y fiscalías (22, 23, 24). Esta heterogeneidad metodológica, que ha sido señalada por la doctrina como un obstáculo para la investigación comparada, hace difícil establecer una imagen global y coherente de la incidencia y de las características del fenómeno en el ámbito hispanohablante (27, 29). La Defensoría de la Niñez de Chile ha recomendado la adopción de estándares metodológicos comunes para la recogida y análisis de datos sobre deepfakes sexuales de menores, así como la creación de un registro regional que permita el seguimiento de la evolución del fenómeno (25).

La tercera limitación es la escasez de estudios longitudinales que permitan evaluar la evolución del fenómeno a lo largo del tiempo y el impacto de las medidas adoptadas (22, 23, 24). La mayoría de los estudios disponibles son de carácter transversal, lo que impide establecer relaciones causales entre las medidas adoptadas y la reducción de la incidencia del fenómeno (22). Esta limitación, que ha sido señalada por el estudio de UNICEF, ECPAT e INTERPOL, ha llevado a los autores a recomendar la realización de estudios longitudinales que permitan evaluar la eficacia de las reformas legislativas, de los programas de educación digital y de las medidas de cooperación internacional (22). La Defensoría de la Niñez de Chile ha respaldado esta recomendación, y ha instado a los países de la región a implementar sistemas de seguimiento y evaluación de sus políticas públicas en materia de deepfakes sexuales (25).

En definitiva, la evidencia empírica disponible, aunque limitada metodológicamente, ofrece un panorama suficientemente sólido para concluir que los deepfakes sexuales de menores constituyen un fenómeno de alcance significativo y creciente, que exige una respuesta urgente y coordinada por parte de los poderes públicos, de las plataformas digitales y de la comunidad internacional (22, 23, 24, 25). Los informes institucionales y los pronunciamientos de los organismos consultivos han proporcionado una base documental y analítica para la elaboración de las reformas legislativas analizadas en los Capítulos III y IV, y han contribuido a situar el fenómeno en el centro de la agenda política y jurídica del ámbito hispanohablante (1, 8, 9, 10, 11, 12, 13, 14). El Capítulo IX sistematizará la doctrina jurídica existente, que ha analizado los principales debates y ha ofrecido propuestas interpretativas y de lege ferenda para la protección de los menores frente a los deepfakes sexuales.

Capítulo IX. Doctrina jurídica: estado de la cuestión y principales debates

1. La tipicidad penal de los deepfakes sexuales de menores: ¿pornografía infantil o delito contra el honor?

El debate dogmático central que ha ocupado a la doctrina jurídica en el ámbito hispanohablante es el relativo a la tipicidad penal de los deepfakes sexuales de menores, esto es, si la generación y difusión de representaciones sintéticas de desnudez de menores debe ser subsumida en el delito de pornografía infantil, en un delito contra el honor y la intimidad, o en un tipo penal autónomo (26, 29, 30). Este debate, que ha sido alimentado por la disparidad de criterios judiciales evidenciada por el contraste entre la Sentencia de Badajoz y la de Valladolid, tiene profundas implicaciones prácticas, pues la calificación jurídica determina el bien jurídico protegido, el marco penal aplicable y las posibilidades de reparación del daño a las víctimas (15, 16).

Quienes defienden la subsunción en el delito de pornografía infantil, posición adoptada por la Sentencia de Badajoz y por parte de la doctrina, argumentan que el bien jurídico protegido por el artículo 189 del Código Penal es la indemnidad sexual del menor, entendida como el derecho a no ser objeto de ningún tipo de actividad sexual que afecte a su desarrollo integral (15, 26). Desde esta perspectiva, lo relevante no es el medio empleado para la obtención de la imagen —captación real o manipulación digital—, sino el resultado: la creación de una representación del menor en situación de desnudez o de contenido sexual que lesiona su dignidad y su derecho a la intimidad (26). Benítez (2025) ha defendido esta interpretación extensiva, argumentando que el principio de legalidad penal no exige una identidad absoluta entre el supuesto de hecho y la realidad, sino una correspondencia suficiente que permita subsumir la conducta en el tipo, siempre que la interpretación sea razonable y respete el sentido de la norma (26). La autora ha señalado que la finalidad del artículo 189 es precisamente la protección de la indemnidad sexual de los menores frente a cualquier forma de explotación, y que los deepfakes sexuales constituyen una forma de explotación que produce un daño equiparable al de la pornografía tradicional (26). Bonnett (2025), por su parte, ha añadido que el Protocolo facultativo de la Convención sobre los Derechos del Niño, al incluir las representaciones simuladas en la definición de pornografía infantil, proporciona un fundamento normativo internacional para esta interpretación extensiva (29).

Quienes se oponen a esta subsunción, posición reflejada en la Sentencia de Valladolid y defendida por un sector doctrinal, argumentan que el principio de legalidad penal exige una tipicidad cerrada y que la extensión analógica del tipo penal, por muy loable que sea su finalidad de protección, no es admisible en un Estado de derecho (16, 29). Desde esta perspectiva, la pornografía infantil requiere la utilización real de menores en la producción del material, y las imágenes manipuladas, al no haber sido captadas directamente, no pueden subsumirse en el artículo 189 del Código Penal (16). Bonnett (2025), aunque simpatiza con la finalidad de protección de los menores, ha señalado que la solución debe ser legislativa y no judicial, y que los jueces no pueden suplir la laguna normativa mediante una interpretación que desborda el sentido literal del tipo penal (29). García Martínez (2024) ha adoptado una posición intermedia, señalando que, en tanto no exista una tipificación expresa, los deepfakes sexuales de menores pueden ser perseguidos como delitos contra el honor y la intimidad, pero que esta vía es insuficiente para proteger plenamente a los menores, pues la pena prevista es inferior a la de la pornografía infantil y no cubre todos los supuestos de generación y posesión (30). Esta posición intermedia ha sido superada en gran medida por la reforma del Código Penal que incorpora el artículo 173 bis, que establece un tipo autónomo para la difusión no consentida de deepfakes sexuales y que, además, modifica el artículo 189 para incluir expresamente las representaciones simuladas (4). La doctrina ha valorado positivamente esta reforma, señalando que proporciona seguridad jurídica y elimina la necesidad de interpretaciones extensivas o restrictivas (26, 29, 30).

2. El debate sobre el bien jurídico protegido: libertad sexual vs. indemnidad moral

Íntimamente relacionado con la cuestión de la tipicidad se encuentra el debate sobre el bien jurídico protegido en los deepfakes sexuales de menores (26, 29). La doctrina se ha dividido entre quienes consideran que el bien jurídico afectado es la libertad sexual —entendida como el derecho a decidir sobre el propio cuerpo y sobre las relaciones sexuales— y quienes sostienen que es la indemnidad moral o el derecho a la integridad psicológica del menor (26, 29, 30). Esta distinción tiene implicaciones prácticas relevantes, pues la libertad sexual es un bien jurídico que se asocia tradicionalmente a la protección penal a través de los delitos de agresiones y abusos sexuales, mientras que la indemnidad moral se asocia a los delitos contra la intimidad y el honor, que tienen penas inferiores (26, 30).

Quienes defienden que el bien jurídico afectado es la libertad sexual argumentan que el deepfake sexual de menores constituye una forma de explotación sexual que vulnera la capacidad del menor para decidir sobre su propia sexualidad, incluso aunque no haya existido contacto físico (26). Benítez (2025) ha señalado que la libertad sexual no se limita a la esfera física, sino que incluye también la esfera digital y psicológica, y que la representación sintética de un menor en una situación sexual es una forma de apropiación y de cosificación que afecta a su autonomía sexual (26). Esta posición, que ha sido respaldada por los informes de UNICEF, ECPAT e INTERPOL, ha sido invocada para justificar la equiparación de los deepfakes sexuales a la pornografía infantil a efectos penales (22).

Quienes defienden que el bien jurídico afectado es la indemnidad moral argumentan que los deepfakes sexuales, al no implicar contacto físico ni la participación directa del menor en la producción del material, no lesionan su libertad sexual en sentido estricto, sino su derecho a la intimidad, a la propia imagen y a la integridad moral (29, 30). Bonnett (2025) ha señalado que la indemnidad moral es un bien jurídico distinto de la libertad sexual, que protege al menor frente a la humillación, al descrédito y a la estigmatización social, y que los deepfakes sexuales afectan precisamente a este bien, al exponer al menor a la burla y al menosprecio en su entorno escolar y social (29). García Martínez (2024) ha adoptado una posición que integra ambas perspectivas, señalando que los deepfakes sexuales afectan a la dignidad del menor en su conjunto, y que la distinción entre libertad sexual e indemnidad moral es, en gran medida, artificial, pues ambas dimensiones están interrelacionadas y se lesionan de manera simultánea (30). La reforma del Código Penal, al tipificar los deepfakes sexuales de menores en el artículo 173 bis y al modificar el artículo 189, ha optado por una protección que cubre ambas dimensiones, sin necesidad de una distinción dogmática estricta (4).

3. La responsabilidad de los menores infractores y la aplicación de la Ley de Responsabilidad Penal del Menor

La circunstancia de que, en la mayoría de los casos documentados, los autores de deepfakes sexuales sean también menores de edad, ha planteado a la doctrina y a los operadores jurídicos la cuestión de la responsabilidad penal de los menores infractores y de la aplicación de la Ley Orgánica 5/2000, reguladora de la responsabilidad penal de los menores (15, 18, 26, 29). Esta ley establece un régimen especial para los menores de edad que cometan delitos, basado en principios educativos y de reinserción social, y prevé un catálogo de medidas —como la libertad vigilada, el internamiento en régimen abierto o cerrado, y la realización de tareas socioeducativas— que deben ser proporcionadas a la gravedad de la conducta y a las circunstancias personales del menor (15). En el caso de los deepfakes sexuales, la aplicación de esta ley plantea el desafío de conciliar la protección de las víctimas con el interés superior del menor infractor, que también es un menor de edad y que debe ser protegido en su desarrollo (15, 26).

La Sentencia de Badajoz, al imponer a los quince menores autores la medida de libertad vigilada durante un año, optó por una respuesta educativa y de supervisión, en lugar de una medida de internamiento, considerando que la gravedad de la conducta no justificaba una privación de libertad y que la finalidad de la ley de menores es la reinserción y la educación (15). El tribunal subrayó que la libertad vigilada permitiría a los menores comprender la gravedad de su conducta, reparar el daño causado a las víctimas y adquirir las habilidades sociales necesarias para evitar la reincidencia (15). Esta decisión ha sido respaldada por la doctrina, que ha señalado que la respuesta penal a los menores infractores debe ser diferenciada de la de los adultos, y que la medida de internamiento debe ser excepcional y reservada para los casos de especial gravedad o de reincidencia (26, 29). Benítez (2025) ha señalado que la aplicación de la Ley de Responsabilidad Penal del Menor a los deepfakes sexuales exige una formación especializada de los jueces de menores en materia de inteligencia artificial y de prueba digital, así como una coordinación con los equipos técnicos que realizan los informes psicosociales (26). Bonnett (2025) ha añadido que la respuesta educativa y terapéutica debe complementarse con medidas de reparación a las víctimas y con programas de sensibilización sobre el respeto a la intimidad y a la imagen de los demás (29).

El caso de Logroño, en el que el autor es un menor de 14 años y las imágenes manipuladas fueron difundidas a través de una web pornográfica, plantea cuestiones adicionales sobre la responsabilidad de los menores infractores en casos de especial gravedad y sobre la posible aplicación de medidas de internamiento (18). La Fiscalía de Menores ha solicitado la práctica de pruebas periciales para determinar la capacidad del menor para comprender la ilicitud de su conducta, y el juez de menores deberá decidir la medida más adecuada, teniendo en cuenta el interés superior del menor infractor y la necesidad de proteger a las víctimas y de prevenir la reincidencia (18). La doctrina ha señalado que, en estos casos, la respuesta debe ser individualizada y basada en un informe psicosocial completo, que evalúe la madurez del menor, su entorno familiar y social, y su capacidad para reparar el daño causado (26, 29). Ramos-Zaga (2024) ha recomendado la implementación de programas de educación digital y de inteligencia artificial en los centros escolares, como medida preventiva para reducir la incidencia de los deepfakes sexuales entre los menores, y ha señalado que la sanción penal, por sí sola, no es suficiente para abordar la raíz del problema (27).

4. La prueba digital: cadena de custodia, autenticidad y peritaje tecnológico

La prueba digital constituye uno de los principales desafíos prácticos en la investigación y enjuiciamiento de los deepfakes sexuales de menores, como ha sido puesto de manifiesto en todos los casos analizados (15, 17, 18, 26, 27). La determinación de la autoría de un deepfake requiere, en la mayoría de los casos, peritajes tecnológicos complejos que permitan identificar los algoritmos utilizados, rastrear los metadatos de los archivos, establecer la cadena de custodia digital y acreditar la autenticidad de las pruebas (15, 17). La doctrina ha señalado que la prueba digital en los deepfakes presenta particularidades que la distinguen de otras pruebas electrónicas, como la necesidad de diferenciar entre el contenido generado sintéticamente y el contenido real, y de identificar a los autores mediante el análisis de las huellas digitales dejadas por los algoritmos utilizados (27, 30).

La cadena de custodia digital es un elemento esencial para garantizar la integridad y la autenticidad de la prueba, y requiere la documentación detallada de todas las operaciones realizadas sobre los archivos intervenidos, desde su incautación hasta su presentación en el juicio (15, 17). En el caso de los deepfakes, la cadena de custodia debe incluir también la identificación de los algoritmos utilizados para la generación de las imágenes, el análisis de los metadatos y la comparación con las imágenes originales para determinar el grado de manipulación (15, 17). La Sentencia de Badajoz, aunque no entró en detalles técnicos, se apoyó en informes periciales que acreditaron la manipulación de las imágenes y la identificación de los autores (15). El procesamiento de Córdoba, por su parte, requirió un análisis exhaustivo de los metadatos y de los registros de actividad en las aplicaciones utilizadas, así como la incautación de los dispositivos electrónicos del acusado (17). La doctrina ha señalado que los jueces y fiscales necesitan formación especializada en prueba digital y en peritaje tecnológico, así como el apoyo de peritos externos cuando el caso lo requiera (24, 26).

La autenticidad de las pruebas es otro desafío relevante, pues los deepfakes pueden ser impugnados por la defensa alegando que las imágenes no son reales o que han sido manipuladas por terceros (15, 27). Para acreditar la autenticidad de un deepfake, el perito debe realizar un análisis forense que identifique las técnicas utilizadas, las posibles alteraciones de los metadatos y la presencia de marcas de watermarking o de otros mecanismos de identificación (27). La Ley de Inteligencia Artificial europea y el Proyecto de Ley Orgánica español, al establecer la obligación de watermarking para los sistemas de IA generativa, facilitarán la identificación de los deepfakes y su acreditación en el proceso penal, aunque la efectividad de esta medida dependerá de su implementación técnica y de la capacidad de los peritos para detectar las marcas de watermarking (3, 7). Ramos-Zaga (2024) ha señalado que la formación de los peritos en inteligencia artificial generativa es un requisito indispensable para garantizar la fiabilidad de las pruebas periciales en los casos de deepfakes, y ha recomendado la creación de laboratorios especializados en peritaje digital en el seno del Poder Judicial y de las fiscalías (27).

5. La responsabilidad civil y la reparación del daño a la imagen del menor

La responsabilidad civil derivada de los deepfakes sexuales de menores constituye una vía complementaria a la responsabilidad penal para la protección de los derechos de las víctimas y la reparación del daño causado (2, 30, 31). El daño causado por un deepfake sexual de un menor es, en primer lugar, un daño moral —la humillación, la vergüenza, el dolor psicológico y la afectación a su dignidad y a su honor— que debe ser reparado mediante una indemnización económica (2, 30). El Anteproyecto de reforma de la Ley 1/1982 ha establecido que, cuando la intromisión afecte a un menor de edad, la indemnización por daños y perjuicios se calculará con criterios de reparación integral, teniendo en cuenta el daño moral, el perjuicio a su desarrollo personal y social, y los gastos de tratamiento psicológico o psiquiátrico que sean necesarios (2). La doctrina ha señalado que la cuantificación del daño moral en los casos de deepfakes sexuales es especialmente compleja, pues no existe un criterio objetivo que permita determinar el importe de la indemnización, y los jueces deben recurrir a criterios de equidad y a la jurisprudencia sobre daños morales en casos similares (30, 31).

Además del daño moral, los deepfakes sexuales causan un daño a la imagen y a la reputación del menor, que puede tener consecuencias en su vida social y académica, y que puede requerir medidas de restauración de su imagen, como la publicación de una rectificación o la retirada del contenido de las plataformas digitales (2, 30). El Anteproyecto de reforma de la Ley 1/1982 establece que las acciones de cesación y rectificación pueden ejercitarse tanto por el menor como por sus representantes legales, y que el Ministerio Fiscal puede ejercitarlas de oficio, sin necesidad de que medie denuncia previa (2). García Martínez (2024) ha señalado que la acción de cesación es especialmente relevante en los casos de deepfakes sexuales, pues permite la retirada del contenido de las plataformas digitales y la eliminación de las imágenes de la red, contribuyendo así a la restauración de la dignidad del menor y a la prevención de su difusión (30).

La responsabilidad civil se extiende también a las plataformas digitales que alojan o difunden los deepfakes sexuales de menores, en aplicación de la normativa de protección de datos y de los deberes de diligencia reforzada previstos en el Proyecto de Ley de menores en entornos digitales (1, 5). Estas plataformas pueden ser consideradas responsables solidarias del daño causado si no adoptan las medidas de prevención y retirada de contenido exigidas por la ley, y pueden ser condenadas a indemnizar a las víctimas y a sufragar los gastos de tratamiento psicológico (1, 5). Palazzi (2025), en su análisis desde Argentina, ha señalado que la responsabilidad de las plataformas es un tema de creciente relevancia en la doctrina, y que la jurisprudencia internacional ha comenzado a reconocer la responsabilidad de las plataformas por el contenido generado por sus usuarios en ciertos supuestos (31). El autor ha recomendado que los ordenamientos iberoamericanos adopten estándares comunes de responsabilidad de las plataformas para evitar la fragmentación y la impunidad (31).

6. Posiciones doctrinales enfrentadas sobre la necesidad de un tipo penal autónomo

El debate sobre la necesidad de un tipo penal autónomo para los deepfakes sexuales de menores ha sido uno de los más intensos en la doctrina, y ha sido resuelto de manera desigual por los distintos ordenamientos, como se ha analizado en los Capítulos III y IV (4, 8, 9, 10, 11, 12, 13, 14, 26, 29, 30). Un sector doctrinal, representado por autores como Benítez (2025) y Bonnett (2025), ha defendido la necesidad de un tipo penal autónomo que sancione la generación, posesión y difusión de deepfakes sexuales de menores, independientemente de la subsumción en el delito de pornografía infantil (26, 29). Estos autores argumentan que la pornografía infantil, aunque aplicable a los deepfakes mediante una interpretación extensiva, no cubre todos los supuestos —especialmente la mera generación sin difusión— y que un tipo autónomo proporcionaría mayor seguridad jurídica y una protección más completa de los menores (26, 29). Benítez (2025) ha señalado que el tipo autónomo debe incluir tanto la generación como la posesión y la difusión, y debe establecer una agravación cuando la víctima sea menor de edad o cuando la conducta se cometa con ánimo de lucro (26). Bonnett (2025) ha añadido que el tipo autónomo debe ir acompañado de medidas de prevención y educación digital, para abordar la raíz del fenómeno y evitar la reincidencia (29).

Otro sector doctrinal, representado por García Martínez (2024), ha defendido una solución mixta, que combine la tipificación penal de la difusión no consentida —como ha hecho el artículo 173 bis— con la inclusión de las representaciones simuladas en el delito de pornografía infantil —como ha hecho la modificación del artículo 189— (30). La autora argumenta que esta solución mixta permite cubrir tanto los supuestos de difusión no consentida de imágenes de menores, que lesionan su honor y su intimidad, como los supuestos de generación y posesión de material pornográfico, que lesionan su indemnidad sexual, ofreciendo así una protección más completa (30). García Martínez (2024) ha señalado que esta solución, que es la adoptada por el ordenamiento español tras la reforma de 2026, es la más adecuada desde la perspectiva de la proporcionalidad y de la seguridad jurídica (30). La doctrina latinoamericana, como se ha visto en el Capítulo IV, ha adoptado soluciones diversas, que van desde la inclusión de los deepfakes en los delitos contra la intimidad sexual (México), hasta la incorporación de un tipo autónomo (Argentina, Uruguay, Paraguay) o la modificación de los delitos de pornografía infantil (Chile, Bolivia) (8, 9, 10, 12, 13, 14).

Ramos-Zaga (2024), en su análisis de las implicancias tecnológicas y jurídicas de los deepfakes, ha adoptado una posición crítica con las soluciones exclusivamente penales, señalando que el derecho penal, por sí solo, no puede hacer frente a un fenómeno que tiene su raíz en la falta de conciencia digital y en la normalización de la violencia sexual (27). El autor ha defendido un enfoque integral que combine la respuesta penal con la prevención, la educación y la responsabilidad de las plataformas, y ha señalado que la armonización de los tipos penales en el ámbito iberoamericano es un objetivo deseable para evitar la fragmentación y la impunidad (27). Palazzi (2025), por su parte, ha señalado que la solución legislativa adoptada por cada país debe tener en cuenta las particularidades de su ordenamiento jurídico y de su cultura jurídica, y que la importación acrítica de soluciones de otros países puede no ser eficaz (31). El autor ha defendido, no obstante, la necesidad de un debate regional sobre los estándares mínimos de protección, que permita una cooperación judicial efectiva y una respuesta común a un fenómeno transnacional (31).

En definitiva, la doctrina jurídica ha desarrollado un debate rico y matizado sobre los deepfakes sexuales de menores, que ha abordado cuestiones de tipicidad, bien jurídico protegido, responsabilidad de menores, prueba digital, responsabilidad civil y necesidad de un tipo penal autónomo (26, 27, 28, 29, 30, 31). Este debate ha alimentado las reformas legislativas y las decisiones judiciales, y ha contribuido a la evolución del derecho hacia una protección más completa y coherente de los menores frente a una forma de violencia sexual que, aunque tecnológicamente novedosa, produce un daño real y profundo a su dignidad y a su desarrollo integral (1, 4, 22, 23, 24, 25). El Capítulo X abordará los desafíos prácticos y las lagunas regulatorias que persisten, y que exigen una continuidad de los esfuerzos de los poderes públicos y de la comunidad académica.

Capítulo X. Desafíos prácticos, lagunas regulatorias y riesgos sistémicos

1. La dificultad de identificación de los autores mediante técnicas de anonimización

Uno de los desafíos prácticos más acuciantes en la persecución de los deepfakes sexuales de menores es la dificultad de identificación de los autores, que en muchos casos recurren a técnicas de anonimización y de cifrado para ocultar su identidad y eludir la acción de la justicia (10, 14, 17, 18, 22). La investigación del caso de Córdoba, que requirió un análisis exhaustivo de los metadatos y de los registros de actividad en las aplicaciones utilizadas, puso de manifiesto que la identificación del autor no siempre es sencilla, especialmente cuando este utiliza herramientas de anonimización o cuando los servidores de las plataformas se encuentran en el extranjero (17). El caso de Logroño, en el que el autor era un menor de 14 años y las imágenes fueron difundidas a través de una web pornográfica, ha evidenciado que las técnicas de anonimización, aunque no infalibles, pueden dificultar significativamente la investigación y retrasar la identificación del autor, con el consiguiente perjuicio para las víctimas y para la eficacia de la respuesta judicial (18).

La doctrina ha señalado que la anonimización en el entorno digital puede adoptar diversas formas, desde el uso de redes privadas virtuales (VPN) que ocultan la dirección IP del usuario, hasta el empleo de navegadores que no dejan rastro o de aplicaciones de mensajería cifrada que no almacenan metadatos (26, 27). En el caso de los deepfakes sexuales, los autores suelen utilizar combinaciones de estas técnicas, lo que dificulta el rastreo de su identidad y la obtención de pruebas que permitan su identificación y enjuiciamiento (17, 18). El estudio de UNICEF, ECPAT e INTERPOL ha señalado que la anonimización es uno de los principales obstáculos para la investigación de los deepfakes sexuales, y ha recomendado a los Estados la adopción de medidas que faciliten la identificación de los autores, como la obligación de las plataformas digitales de conservar los registros de actividad durante un período determinado y de colaborar con las autoridades en la identificación de los usuarios (22). La Ley N.º 1636 de Bolivia ha establecido esta obligación, exigiendo a las plataformas digitales que conserven los registros de actividad durante un mínimo de dos años y que los pongan a disposición de las autoridades judiciales y fiscales cuando sea requerido (13).

La reforma del Código Penal español, al incorporar una agravación en el artículo 173 bis para los casos en los que se utilicen técnicas de anonimización, ha reconocido expresamente la especial gravedad de esta modalidad de comisión y ha previsto una pena superior para disuadir su utilización (4). La doctrina ha valorado positivamente esta agravación, aunque ha señalado que su eficacia práctica depende de la capacidad de los investigadores para detectar la utilización de técnicas de anonimización y para acreditar su empleo en el proceso penal (26, 29). Bonnett (2025) ha señalado que la agravación por anonimización es un reconocimiento de que los autores de deepfakes sexuales que utilizan estas técnicas no solo lesionan los derechos de las víctimas, sino que también obstaculizan la acción de la justicia, lo que justifica una pena más severa (29). La doctrina ha recomendado también la formación especializada de las fuerzas de seguridad en técnicas de investigación digital y en el rastreo de autores anonimizados, así como la cooperación internacional para la obtención de pruebas en servidores ubicados en el extranjero (24, 27).

2. La viralización ultrarrápida y la ineficacia de las órdenes de retirada

La viralización ultrarrápida de los deepfakes sexuales de menores, facilitada por las aplicaciones de mensajería, las redes sociales y las plataformas de intercambio de contenido, constituye otro de los desafíos prácticos más relevantes, pues una vez que el contenido es difundido, su retirada efectiva resulta extremadamente compleja, cuando no imposible (10, 15, 17, 18, 22). El caso de Almendralejo, en el que las imágenes manipuladas fueron difundidas a través de grupos de WhatsApp, alcanzando una difusión significativa en el entorno escolar en cuestión de horas, ejemplifica la velocidad con la que se propagan estos contenidos y la dificultad de contener su difusión una vez que han sido compartidos (15). El procesamiento de Córdoba y la investigación de Logroño han puesto de manifiesto que, incluso cuando se identifica al autor y se solicita la retirada de las imágenes, estas continúan circulando en la red, pues los usuarios que ya las han descargado pueden volver a subirlas en otras plataformas o enviarlas a otros contactos (17, 18).

La ineficacia de las órdenes de retirada, que a menudo se enfrentan a la resistencia de las plataformas digitales o a la falta de cooperación de los servidores ubicados en el extranjero, ha sido señalada por la doctrina como una de las principales lagunas del sistema actual (10, 26, 27). La Ley N.º 32314 de Perú, que aborda los delitos cometidos mediante inteligencia artificial con un enfoque transversal, ha establecido que las autoridades judiciales pueden ordenar la retirada del contenido ilícito en un plazo máximo de cuarenta y ocho horas desde la notificación, y que las plataformas digitales están obligadas a cumplir esta orden bajo apercibimiento de sanción (11). La Ley N.º 1636 de Bolivia ha establecido un plazo similar, y ha previsto sanciones administrativas para las plataformas que no retiren el contenido en el plazo establecido (13). Sin embargo, la doctrina ha señalado que estos plazos, aunque necesarios, no son suficientes para evitar la difusión masiva del contenido, que en muchos casos se produce en cuestión de minutos u horas, antes de que las autoridades puedan reaccionar (26, 29). Bonnett (2025) ha recomendado la implementación de sistemas automáticos de detección y retirada de deepfakes sexuales, que permitan a las plataformas identificar y eliminar el contenido ilícito de manera proactiva, sin necesidad de esperar a una orden judicial (29).

El Proyecto de Ley Orgánica español para la protección de las personas menores de edad en los entornos digitales ha establecido un plazo de veinticuatro horas para que las plataformas digitales retiren el contenido ilícito desde la notificación, y ha previsto la posibilidad de que la AEPD ordene la retirada inmediata en casos de urgencia (1). Esta previsión, que ha sido respaldada por el Consejo General del Poder Judicial, ha sido criticada por las asociaciones de plataformas digitales por considerar que el plazo es excesivamente breve y que puede dar lugar a la retirada de contenido lícito (1, 24). No obstante, el legislador ha defendido la necesidad de un plazo breve para garantizar una protección efectiva de los menores, dada la velocidad de difusión de los deepfakes y el daño irreparable que causan a las víctimas (1). La doctrina ha señalado que la eficacia de estas medidas depende de la cooperación de las plataformas digitales y de la existencia de mecanismos de supervisión y sanción que disuadan el incumplimiento (26, 29).

3. La insuficiencia de los mecanismos de notice and takedown en plataformas digitales

Los mecanismos de notice and takedown —esto es, la notificación a la plataforma de la existencia de contenido ilícito y la obligación de retirarlo— han sido el principal instrumento utilizado hasta la fecha para hacer frente a la difusión de deepfakes sexuales de menores en plataformas digitales (1, 5, 10, 11, 13). Sin embargo, la doctrina y los informes institucionales han señalado que estos mecanismos son insuficientes para abordar la magnitud y la velocidad del fenómeno, y que su eficacia se ve limitada por diversas circunstancias (22, 23, 26, 27). En primer lugar, la notificación a la plataforma requiere que la víctima o sus representantes legales conozcan la existencia del contenido ilícito y presenten una denuncia, lo que no siempre ocurre, especialmente cuando las víctimas son menores de edad y pueden no tener la capacidad o el apoyo necesario para hacerlo (22, 23). En segundo lugar, las plataformas digitales no siempre responden con la celeridad necesaria a las notificaciones, y en algunos casos se demoran en la retirada del contenido o la rechazan por considerar que no es ilícito (5, 20). En tercer lugar, la retirada del contenido de una plataforma no impide que el mismo contenido se difunda a través de otras plataformas o que sea reenviado por usuarios que ya lo han descargado, lo que convierte la retirada en una medida de eficacia limitada (10, 18).

El estudio de UNICEF, ECPAT e INTERPOL ha señalado que los mecanismos de notice and takedown son insuficientes para hacer frente a los deepfakes sexuales de menores, y ha recomendado a las plataformas digitales la implementación de sistemas proactivos de detección y retirada de contenido, que utilicen inteligencia artificial para identificar automáticamente las imágenes y vídeos que contengan deepfakes sexuales de menores y para eliminarlos sin necesidad de notificación previa (22). Esta recomendación, que ha sido recogida en el Proyecto de Ley Orgánica español, obliga a las plataformas digitales a implementar sistemas de filtrado y verificación de edad, y a retirar de oficio el contenido ilícito cuando tengan conocimiento de su existencia (1). La doctrina ha señalado que la implementación de estos sistemas es técnicamente viable, pero que requiere una inversión significativa por parte de las plataformas, así como la adopción de estándares técnicos armonizados que permitan la interoperabilidad entre los distintos sistemas (27, 31).

Bonnett (2025) ha señalado que la responsabilidad de las plataformas digitales en la retirada de deepfakes sexuales de menores debe ser reforzada, y ha recomendado la imposición de sanciones administrativas significativas a las plataformas que no cumplan con sus obligaciones de diligencia (29). García Martínez (2024), por su parte, ha señalado que la vía civil, a través de las acciones de cesación y rectificación previstas en la Ley 1/1982, puede ser un complemento eficaz a los mecanismos de notice and takedown, permitiendo a las víctimas obtener una orden judicial de retirada del contenido que sea vinculante para todas las plataformas (30). El Anteproyecto de reforma de la Ley 1/1982 ha reforzado esta vía, atribuyendo al Ministerio Fiscal la facultad de ejercitar las acciones de cesación de oficio, sin necesidad de que medie denuncia previa (2). La doctrina ha valorado positivamente esta reforma, señalando que el Ministerio Fiscal puede actuar de manera más ágil y eficaz que los particulares, especialmente en casos en los que las víctimas son menores de edad y pueden no tener la capacidad de ejercitar sus derechos por sí mismas (26, 30).

4. La ausencia de estándares internacionales uniformes de cooperación judicial

La naturaleza transnacional de los deepfakes sexuales de menores —que pueden ser generados en un país, difundidos desde servidores ubicados en otro, y almacenados en un tercero— exige una cooperación judicial internacional efectiva que, en la práctica, se enfrenta a la ausencia de estándares uniformes y a la fragmentación de los marcos normativos (10, 14, 22, 24, 31). Los casos analizados han puesto de manifiesto que la mayoría de las difusiones se producen a través de plataformas digitales con sede en el extranjero, lo que plantea problemas de jurisdicción y de obtención de pruebas, especialmente cuando los servidores se encuentran en países con marcos normativos menos desarrollados o con escasa colaboración con las autoridades judiciales de otros países (17, 18). La investigación del caso de Logroño, en el que las imágenes fueron difundidas a través de una web pornográfica con servidores en el extranjero, ha evidenciado la dificultad de obtener pruebas de plataformas ubicadas en jurisdicciones que no colaboran con las autoridades españolas (18).

La doctrina ha señalado que la ausencia de estándares internacionales uniformes de cooperación judicial es una de las principales lagunas del sistema actual, que permite a los autores de deepfakes sexuales eludir la acción de la justicia refugiándose en jurisdicciones con marcos normativos más laxos (27, 31). Ramos-Zaga (2024) ha recomendado la celebración de tratados bilaterales y multilaterales de cooperación judicial y de asistencia técnica, que establezcan procedimientos ágiles y eficaces para la obtención de pruebas, la identificación de los autores y la extradición de los responsables (27). El estudio de UNICEF, ECPAT e INTERPOL ha respaldado esta recomendación, señalando que la cooperación internacional es indispensable para una protección efectiva de los menores frente a los deepfakes sexuales, y ha instado a los Estados a adoptar acuerdos de cooperación en el marco de la Organización de Estados Americanos y de la Cumbre Iberoamericana (22). La Defensoría de la Niñez de Chile ha ofrecido su colaboración para la elaboración de protocolos de actuación conjunta y para la promoción de la armonización de los marcos normativos en el ámbito iberoamericano (25).

El Proyecto de Ley Orgánica español para la protección de las personas menores de edad en los entornos digitales ha abordado la cuestión de la cooperación internacional estableciendo que las autoridades españolas pueden solicitar la colaboración de las autoridades de otros países para la investigación y persecución de los deepfakes sexuales de menores, y que las plataformas digitales con sede en el extranjero están obligadas a designar un representante en España para las comunicaciones con las autoridades (1). Esta previsión, que ha sido respaldada por el Consejo General del Poder Judicial y por el Consejo Fiscal, facilita la obtención de pruebas y la notificación de las decisiones judiciales a las plataformas digitales (24). No obstante, la doctrina ha señalado que la eficacia de estas medidas depende de la reciprocidad de los países en los que las plataformas tienen su sede, y de la existencia de acuerdos bilaterales o multilaterales que garanticen su cumplimiento (26, 31). Palazzi (2025) ha señalado que la armonización de los marcos normativos en el ámbito iberoamericano es un objetivo deseable para superar la fragmentación actual, y ha recomendado la adopción de un instrumento regional, en el marco de la Organización de Estados Americanos, que establezca estándares mínimos de protección y procedimientos de cooperación judicial (31).

5. La brecha digital generacional y la capacitación de operadores jurídicos y fuerzas de seguridad

La brecha digital generacional, entendida como la diferencia en el acceso, el uso y la comprensión de las tecnologías digitales entre las distintas generaciones, constituye un obstáculo significativo para la aplicación efectiva de las normas y para la protección de los menores frente a los deepfakes sexuales (15, 17, 24, 25, 27). En primer lugar, los menores son, en general, usuarios más tempranos y más intensivos de las tecnologías digitales que sus padres y educadores, y suelen tener un mayor conocimiento de las aplicaciones de inteligencia artificial generativa, lo que les permite utilizarlas con mayor facilidad, pero también les expone a un mayor riesgo de ser víctimas o autores de deepfakes (15, 18). En segundo lugar, los operadores jurídicos —jueces, fiscales y abogados— y las fuerzas de seguridad, que en su mayoría pertenecen a generaciones que no han crecido con estas tecnologías, pueden tener dificultades para comprender su funcionamiento, para identificar los deepfakes y para obtener y valorar la prueba digital (17, 24). En tercer lugar, los padres y educadores, que son los primeros responsables de la protección de los menores, pueden carecer de la formación necesaria para identificar los riesgos de los deepfakes y para orientar a los menores en un uso seguro y responsable de la tecnología (22, 25).

La doctrina ha señalado que la brecha digital generacional es un problema estructural que exige una respuesta integral, que combine la formación de los menores, de los padres y educadores, y de los operadores jurídicos y fuerzas de seguridad (27, 31). El estudio de UNICEF, ECPAT e INTERPOL ha recomendado la implementación de programas de educación digital en los centros escolares, que incluyan contenidos sobre inteligencia artificial, deepfakes, riesgos digitales y uso seguro de la tecnología, y que estén dirigidos tanto a los menores como a los padres y docentes (22). La Defensoría de la Niñez de Chile ha elaborado guías prácticas para la detección y denuncia de deepfakes sexuales, y ha instado a las autoridades educativas a incluir estos contenidos en el currículo escolar (25). El Proyecto de Ley Orgánica español para la protección de las personas menores de edad en los entornos digitales ha establecido la obligación de las administraciones educativas de implementar programas de educación digital en todos los centros escolares, y de proporcionar a los docentes la formación necesaria para abordar estos riesgos (1).

La capacitación de los operadores jurídicos y de las fuerzas de seguridad es otro aspecto fundamental para superar la brecha digital. El Consejo General del Poder Judicial y el Consejo Fiscal, en sus informes sobre el Proyecto de Ley, han señalado que la formación de jueces, fiscales y abogados en inteligencia artificial, deepfakes y prueba digital es insuficiente, y han recomendado la implementación de programas de formación continua y la creación de unidades especializadas en delitos tecnológicos (24). La doctrina ha respaldado estas recomendaciones, señalando que la capacitación de los operadores jurídicos es un requisito indispensable para garantizar la aplicación efectiva de las normas y para proteger a los menores frente a los deepfakes sexuales (26, 27). Ramos-Zaga (2024) ha recomendado la creación de laboratorios especializados en peritaje digital en el seno del Poder Judicial y de las fiscalías, así como la colaboración con universidades y centros de investigación para la actualización de los conocimientos técnicos (27). Bonnett (2025) ha señalado que la formación en inteligencia artificial debe ser multidisciplinar, combinando conocimientos jurídicos, tecnológicos y psicológicos, para que los operadores jurídicos puedan comprender la complejidad del fenómeno y dar una respuesta adecuada a las víctimas y a los autores (29).

En definitiva, los desafíos prácticos, las lagunas regulatorias y los riesgos sistémicos que se han analizado en este capítulo —la dificultad de identificación de los autores mediante técnicas de anonimización, la viralización ultrarrápida y la ineficacia de las órdenes de retirada, la insuficiencia de los mecanismos de notice and takedown, la ausencia de estándares internacionales uniformes de cooperación judicial, y la brecha digital generacional y la falta de capacitación de operadores jurídicos y fuerzas de seguridad— ponen de manifiesto que la respuesta a los deepfakes sexuales de menores no puede limitarse a la adopción de normas penales o administrativas, sino que exige un enfoque integral que combine la prevención, la educación, la cooperación internacional y la dotación de recursos técnicos y humanos (1, 4, 10, 22, 24, 25, 26, 27, 29, 31). El Capítulo XI esbozará las perspectivas de futuro y las propuestas de lege ferenda que, a la luz de los desafíos identificados, puedan contribuir a una protección más efectiva y coherente de los menores frente a los deepfakes sexuales.

Capítulo XI. Perspectivas de futuro y propuestas de lege ferenda

1. Hacia un tipo penal autónomo y armonizado en el espacio iberoamericano

El análisis comparado de las reformas legislativas en España y en los países latinoamericanos ha revelado una notable fragmentación en los tipos penales aplicables a los deepfakes sexuales de menores, que oscilan entre la inclusión en los delitos contra la intimidad sexual (México), la modificación de los delitos de pornografía infantil (Chile, Bolivia, Argentina), y la creación de tipos autónomos (España, Uruguay, Paraguay) (4, 8, 9, 10, 12, 13, 14). Esta fragmentación, que ha sido identificada por la doctrina como un obstáculo para la cooperación judicial y para la protección efectiva de los menores, exige un esfuerzo de armonización en el ámbito iberoamericano que, sin perjuicio de las especificidades de cada ordenamiento, establezca un estándar mínimo común de protección (22, 26, 27, 29, 31). La propuesta de un tipo penal autónomo, que ha sido defendida por un sector mayoritario de la doctrina como la solución más clara y segura jurídicamente, se perfila como el modelo más adecuado para esta armonización (26, 29, 30).

Un tipo penal autónomo para los deepfakes sexuales de menores debería incluir, al menos, tres elementos esenciales (4, 26, 29). En primer lugar, la tipificación de la generación, posesión y difusión de representaciones sintéticas de desnudez o de contenido sexual explícito de menores, con independencia de que las imágenes hayan sido captadas directamente o generadas mediante inteligencia artificial (4, 29). Esta previsión, que ya ha sido incorporada en el artículo 173 bis del Código Penal español y en el proyecto de ley uruguayo, elimina la necesidad de una interpretación extensiva del delito de pornografía infantil y proporciona un tipo claro y determinado (4, 12). En segundo lugar, la agravación de la pena cuando la víctima sea menor de edad, cuando la conducta se cometa con ánimo de lucro o mediante técnicas de anonimización, o cuando la difusión se realice a través de plataformas digitales de acceso masivo (4, 8, 12, 13). Esta agravación, que está presente en todas las reformas analizadas, refleja la especial gravedad de estas modalidades de comisión y la necesidad de una respuesta penal proporcionada (8, 9, 10, 11, 12, 13, 14). En tercer lugar, la previsión de medidas de reparación integral del daño, incluyendo la indemnización económica, el tratamiento psicológico de la víctima y la retirada del contenido de las plataformas digitales (1, 2, 12, 13). Esta previsión, que ya ha sido incorporada en el Anteproyecto de reforma de la Ley 1/1982 y en la Ley N.º 1636 de Bolivia, garantiza que la respuesta penal se complemente con una respuesta civil que restaure la dignidad y el bienestar de las víctimas (2, 13).

La armonización de los tipos penales en el espacio iberoamericano podría llevarse a cabo a través de un instrumento regional, como una recomendación de la Organización de Estados Americanos o de la Cumbre Iberoamericana, que establezca los elementos esenciales del tipo penal autónomo y que sirva de guía para los Estados en sus procesos de reforma legislativa (22, 25, 27). El estudio de UNICEF, ECPAT e INTERPOL ha respaldado esta iniciativa, señalando que la armonización de los marcos normativos es indispensable para evitar la fragmentación y la impunidad, y para facilitar la cooperación judicial en la persecución de los deepfakes sexuales, que por su naturaleza transnacional no pueden ser combatidos eficazmente mediante medidas nacionales aisladas (22). La Defensoría de la Niñez de Chile ha ofrecido su colaboración para la elaboración de estándares mínimos comunes, y ha instado a los países de la región a adoptar acuerdos de cooperación judicial y de asistencia técnica (25). La doctrina, representada por Palazzi (2025), ha señalado que la armonización es un objetivo deseable y realizable, siempre que se respeten las particularidades de cada ordenamiento y se cuente con la voluntad política de los Estados (31).

2. La necesidad de protocolos de actuación conjunta entre fiscalías y agencias de protección de datos

La interacción entre la responsabilidad penal y la responsabilidad administrativa en el ámbito de los deepfakes sexuales de menores, así como la necesidad de coordinar la actuación de las distintas autoridades competentes —juzgados de menores, fiscalías, agencias de protección de datos, fuerzas de seguridad y administraciones educativas—, exige la adopción de protocolos de actuación conjunta que establezcan procedimientos claros de comunicación, colaboración y coordinación (1, 20, 23, 24, 25). Los informes del Observatorio de la Infancia han señalado que la respuesta institucional a los deepfakes sexuales ha sido hasta ahora fragmentada y descoordinada, con una escasa colaboración entre las distintas autoridades, lo que ha dificultado la investigación de los casos, la identificación de los autores y la reparación del daño a las víctimas (23). El Proyecto de Ley de menores en entornos digitales ha previsto la creación de una unidad de coordinación interinstitucional para la protección de los menores en el entorno digital, pero su desarrollo reglamentario y su implementación efectiva requerirán un esfuerzo adicional (1).

Un protocolo de actuación conjunta debería establecer, al menos, los siguientes elementos (1, 23, 24). En primer lugar, los procedimientos de comunicación y derivación de casos entre las distintas autoridades, de modo que, cuando una autoridad tenga conocimiento de un deepfake sexual de un menor, lo comunique a las demás autoridades competentes y se determine la vía más adecuada para su investigación y sanción (1, 24). En segundo lugar, los criterios de prevalencia de la vía penal sobre la administrativa, para evitar la duplicidad de sanciones y garantizar el principio non bis in idem (1, 24). En tercer lugar, los mecanismos de intercambio de información y de pruebas entre las autoridades, respetando las garantías procesales y la protección de datos personales (1, 20). En cuarto lugar, los procedimientos para la obtención de pruebas en el entorno digital, incluyendo la colaboración con las plataformas digitales y la solicitud de asistencia judicial internacional (1, 24). En quinto lugar, los mecanismos de seguimiento y evaluación de la eficacia de la respuesta institucional, con indicadores que permitan medir la celeridad, la proporcionalidad y la reparación del daño (23, 25).

La doctrina ha respaldado la necesidad de protocolos de actuación conjunta, señalando que la coordinación interinstitucional es un requisito indispensable para una protección efectiva de los menores frente a los deepfakes sexuales (26, 29). Benítez (2025) ha señalado que la coordinación entre la Fiscalía de Menores y la Agencia Española de Protección de Datos es especialmente importante, pues la duplicidad de vías puede generar problemas de non bis in idem y de inseguridad jurídica (26). Bonnett (2025) ha añadido que la colaboración con las fuerzas de seguridad y con las administraciones educativas es también esencial, para garantizar una respuesta integral que combine la sanción, la prevención y la reparación (29). La Defensoría de la Niñez de Chile ha elaborado una propuesta de protocolo de actuación conjunta, que ha sido remitida a las autoridades competentes y que sirve de modelo para otros países de la región (25). El Consejo General del Poder Judicial y el Consejo Fiscal han recomendado la adopción de estos protocolos, señalando que la coordinación interinstitucional es una de las principales necesidades para la aplicación efectiva de las reformas legislativas (24).

3. El refuerzo de la cooperación internacional y la asistencia judicial recíproca

La naturaleza transnacional de los deepfakes sexuales de menores exige un refuerzo de la cooperación internacional y de la asistencia judicial recíproca, que permita a las autoridades de los distintos países obtener pruebas, identificar autores y perseguir los delitos más allá de sus fronteras (7, 10, 14, 22, 24, 25, 27, 31). El estudio de UNICEF, ECPAT e INTERPOL ha señalado que la cooperación internacional es indispensable para una protección efectiva de los menores, y ha instado a los Estados a adoptar acuerdos bilaterales y multilaterales que establezcan procedimientos ágiles y eficaces para la asistencia judicial recíproca (22). La Defensoría de la Niñez de Chile ha ofrecido su colaboración para la elaboración de protocolos de actuación conjunta en el ámbito iberoamericano, y ha instado a los países de la región a adoptar acuerdos de cooperación en el marco de la Organización de Estados Americanos y de la Cumbre Iberoamericana (25). La doctrina, representada por Ramos-Zaga (2024) y Palazzi (2025), ha respaldado esta iniciativa, señalando que la fragmentación normativa y la falta de cooperación son dos de las principales lagunas del sistema actual (27, 31).

La cooperación internacional en materia de deepfakes sexuales de menores debería articularse, al menos, en tres niveles (7, 22, 24, 25, 27). En primer lugar, la armonización de los marcos normativos, a través de la adopción de instrumentos regionales que establezcan estándares mínimos de protección y tipos penales compatibles, de modo que la conducta que es delito en un país lo sea también en los demás (22, 27). En segundo lugar, la asistencia judicial recíproca, que permita a las autoridades de un país solicitar a las de otro la obtención de pruebas, la identificación de autores, la retirada de contenido y la extradición de los responsables (7, 24). En tercer lugar, la cooperación técnica, que incluya la formación de operadores jurídicos y fuerzas de seguridad, el intercambio de buenas prácticas y la asistencia en la implementación de sistemas de detección y retirada de contenido (22, 25).

La Unión Europea, a través de la Ley de Inteligencia Artificial y del Acuerdo de 7 de mayo de 2026, ha establecido un marco de cooperación entre los Estados miembros para la persecución de los deepfakes sexuales, que incluye la obligación de las plataformas digitales de colaborar con las autoridades de todos los Estados miembros y la creación de un comité de coordinación para la supervisión de los sistemas de IA (7). Este modelo, que ha sido valorado positivamente por la doctrina, podría servir de referencia para el ámbito iberoamericano, mediante la creación de un comité regional de coordinación para la protección de los menores en el entorno digital, que agrupe a las autoridades de protección de datos, a las fiscalías y a los ministerios del Interior de los países de la región (7, 27, 31). El Proyecto de Ley Orgánica español ha establecido la obligación de las plataformas digitales con sede en el extranjero de designar un representante en España, lo que facilita la comunicación y la obtención de pruebas, y esta previsión podría ser incorporada en los ordenamientos iberoamericanos para reforzar la cooperación internacional (1).

4. La educación digital y la alfabetización en IA como medidas preventivas estructurales

La doctrina y los informes institucionales coinciden en señalar que la respuesta a los deepfakes sexuales de menores no puede limitarse a la sanción penal y administrativa, sino que debe incluir medidas preventivas estructurales, entre las que destaca la educación digital y la alfabetización en inteligencia artificial (1, 13, 22, 23, 25, 27, 31). La educación digital, entendida como la formación de los menores, de sus familias y de los docentes en el uso seguro, responsable y crítico de las tecnologías digitales, es una herramienta fundamental para reducir la incidencia de los deepfakes sexuales, al proporcionar a los menores las habilidades necesarias para identificar los riesgos, proteger su intimidad y su imagen, y denunciar los abusos (22). La alfabetización en inteligencia artificial, por su parte, permite a los menores comprender el funcionamiento de los sistemas de IA generativa, sus potencialidades y sus riesgos, y desarrollar una actitud crítica frente a los contenidos sintéticos (27).

El Proyecto de Ley Orgánica español para la protección de las personas menores de edad en los entornos digitales ha establecido la obligación de las administraciones educativas de implementar programas de educación digital en todos los centros escolares, y de proporcionar a los docentes la formación necesaria para abordar los riesgos de los deepfakes (1). La Ley N.º 1636 de Bolivia ha incorporado esta obligación, estableciendo que el Estado debe implementar programas de educación digital en los centros escolares, dirigidos a menores, familias y docentes, para la identificación y prevención de los riesgos de los deepfakes sexuales (13). El estudio de UNICEF, ECPAT e INTERPOL ha recomendado la implementación de estos programas, señalando que la prevención es una de las medidas más eficaces para reducir la incidencia del fenómeno, y que la educación digital debe comenzar en los primeros niveles de la educación primaria e incluir contenidos sobre inteligencia artificial, deepfakes, privacidad, consentimiento y respeto a la imagen de los demás (22). La Defensoría de la Niñez de Chile ha elaborado guías prácticas para la detección y denuncia de deepfakes sexuales, dirigidas a menores, familias y docentes, y ha instado a las autoridades educativas a incluir estos contenidos en el currículo escolar (25).

La doctrina ha señalado que la educación digital debe ir acompañada de la formación de los padres y educadores, que son los primeros responsables de la protección de los menores, y que a menudo carecen de las habilidades necesarias para identificar los riesgos digitales y para orientar a los menores en un uso seguro de la tecnología (27, 31). Ramos-Zaga (2024) ha recomendado la implementación de programas de formación para padres y docentes, que incluyan contenidos sobre inteligencia artificial, deepfakes, riesgos digitales, uso seguro de las redes sociales y protección de la intimidad y de la imagen (27). El autor ha señalado que la formación debe ser continua y actualizada, para hacer frente a la rápida evolución de las tecnologías (27). Bonnett (2025) ha añadido que la educación digital debe inculcar valores de respeto, empatía y responsabilidad, para prevenir la normalización de la violencia sexual y la cosificación de la imagen de los demás, que son la raíz de los deepfakes sexuales (29).

5. La responsabilidad objetiva de las plataformas por la difusión de deepfakes de menores

La responsabilidad de las plataformas digitales por la difusión de deepfakes sexuales de menores es uno de los temas que ha suscitado un debate más intenso en la doctrina, y que ha dado lugar a propuestas diversas, que van desde la responsabilidad subjetiva —basada en la negligencia o en el conocimiento efectivo del contenido ilícito— hasta la responsabilidad objetiva —basada en la mera difusión del contenido, con independencia de que la plataforma tuviera conocimiento del mismo (1, 5, 22, 27, 31). El Proyecto de Ley Orgánica español para la protección de las personas menores de edad en los entornos digitales ha optado por un régimen de responsabilidad subjetiva reforzada, que exige a las plataformas la implementación de sistemas de filtrado y verificación de edad, y que les impone la obligación de retirar el contenido ilícito en un plazo máximo de veinticuatro horas desde la notificación (1). Esta solución, que ha sido respaldada por la doctrina, ha sido criticada por las asociaciones de plataformas digitales por considerar que la obligación de retirada en un plazo tan breve puede dar lugar a la retirada de contenido lícito (1).

La doctrina, representada por autores como Palazzi (2025) y Bonnett (2025), ha defendido la necesidad de avanzar hacia un régimen de responsabilidad objetiva de las plataformas por la difusión de deepfakes sexuales de menores, argumentando que las plataformas son las únicas que pueden controlar eficazmente el contenido que alojan, y que su responsabilidad debe ser solidaria con la de los autores (29, 31). Palazzi (2025) ha señalado que la responsabilidad objetiva, que se aplica en otros ámbitos del derecho de daños, como la responsabilidad por productos defectuosos o por daños causados por animales, sería aplicable a las plataformas digitales, que obtienen un beneficio económico de la difusión del contenido y que tienen la capacidad técnica para prevenir su difusión (31). Bonnett (2025) ha añadido que la responsabilidad objetiva de las plataformas sería una medida disuasoria eficaz, que incentivaría a las plataformas a invertir en sistemas de detección y filtrado de contenido, y que facilitaría la reparación del daño a las víctimas, que podrían reclamar directamente a la plataforma sin necesidad de identificar al autor (29).

El estudio de UNICEF, ECPAT e INTERPOL ha recomendado un régimen de responsabilidad reforzada para las plataformas digitales, que incluya la obligación de implementar sistemas proactivos de detección y retirada de deepfakes sexuales, la designación de un representante en cada país para las comunicaciones con las autoridades, y el pago de una indemnización a las víctimas en caso de incumplimiento (22). La Ley N.º 1636 de Bolivia ha establecido la responsabilidad solidaria de las plataformas con los autores, de modo que las víctimas pueden reclamar la indemnización a la plataforma si el autor no es identificado o si no puede hacer frente al pago (13). Esta solución, que ha sido valorada positivamente por la doctrina, podría servir de modelo para otros países de la región, y podría ser incorporada en los protocolos de actuación conjunta y en los instrumentos de armonización regional (13, 22, 27, 31).

La responsabilidad de las plataformas digitales plantea, no obstante, desafíos importantes, como la necesidad de garantizar el debido proceso y el respeto a la libertad de expresión, evitando que la retirada de contenido se convierta en una censura previa o en una restricción desproporcionada de la información lícita (1, 5, 27). Para hacer frente a estos desafíos, la doctrina ha recomendado que la retirada del contenido se realice con garantías procesales, incluyendo la notificación al autor y la posibilidad de recurrir la decisión, y que la responsabilidad de las plataformas se limite a aquellos casos en los que la ilicitud del contenido sea manifiesta o haya sido notificada por una autoridad competente (27, 29, 31). El Proyecto de Ley Orgánica español ha incorporado estas garantías, estableciendo que la retirada del contenido debe ser motivada y notificada al autor, y que este puede recurrir la decisión ante la AEPD o ante los tribunales (1). En definitiva, la responsabilidad de las plataformas digitales es un tema complejo que exige un equilibrio entre la protección de los menores, la libertad de expresión y la viabilidad económica de las plataformas, y que deberá ser objeto de un debate continuo y de una evolución jurisprudencial y legislativa (1, 22, 27, 29, 31).

Conclusiones finales

1. Síntesis de los hallazgos normativos y jurisprudenciales

El análisis sistemático de la respuesta jurídica a los deepfakes sexuales de menores en el ámbito hispanohablante, a partir de las fuentes normativas, jurisprudenciales, administrativas, doctrinales e institucionales examinadas, permite extraer un conjunto de hallazgos convergentes que dibujan el estado actual de la cuestión y señalan las direcciones de evolución futura.

En el plano normativo, la investigación ha constatado una reacción legislativa sin precedentes en los últimos dos años, impulsada por la presión social y judicial derivada de casos como el de Almendralejo (15). España ha desplegado un ecosistema normativo integral que combina la protección civil —a través de la reforma de la Ley 1/1982 y del Anteproyecto de 2026—, la protección penal —mediante el nuevo artículo 173 bis del Código Penal y la modificación del artículo 189—, la protección administrativa —a través de la LOPDGDD y la actuación de la AEPD— y la regulación de la inteligencia artificial —mediante el Proyecto de Ley Orgánica para un uso ético de la IA y la transposición del Reglamento Europeo— (1, 2, 3, 4, 5). Esta arquitectura normativa, que se ha visto reforzada por el Acuerdo de la Unión Europea de 7 de mayo de 2026 que prohíbe los sistemas generadores de deepfakes sexuales y pornografía infantil (7), sitúa a España y a la Unión Europea en la vanguardia de la protección de la infancia frente a la inteligencia artificial generativa. Los países latinoamericanos, aunque con ritmos y enfoques diversos, han iniciado procesos de reforma que, en su mayoría, han optado por la vía penal como instrumento principal, con tipificaciones que van desde la inclusión en los delitos contra la intimidad sexual (México) hasta la modificación de los delitos de pornografía infantil (Chile, Bolivia) o la creación de tipos autónomos (Uruguay, Paraguay, Argentina) (8, 9, 10, 11, 12, 13, 14).

En el plano jurisprudencial, la investigación ha evidenciado una disparidad de criterios judiciales que ha sido uno de los principales motores de la intervención legislativa. La Sentencia del Juzgado de Menores de Badajoz 86/2024, al declarar a quince menores responsables de delitos de pornografía infantil e integridad moral por la manipulación digital de imágenes de sus compañeras, optó por una interpretación extensiva del tipo penal que ha sido respaldada por la doctrina mayoritaria, pero que ha sido criticada por su posible vulneración del principio de legalidad (15, 26). La Sentencia de la Audiencia Provincial de Valladolid, por el contrario, aplicó una interpretación restrictiva y absolvió a los procesados, evidenciando la laguna normativa que el legislador ha tratado de cerrar con la reforma del Código Penal (16). El procesamiento de Córdoba (17) y la investigación de Logroño (18) han puesto de manifiesto la continuidad del fenómeno y la necesidad de una respuesta judicial y educativa coordinada, especialmente cuando los autores son también menores de edad. La primera sentencia condenatoria en Uruguay ha demostrado que la respuesta judicial es posible, aunque limitada por las lagunas normativas, y ha servido de precedente para la tramitación de reformas legislativas en el país (12, 19).

En el plano administrativo, el Expediente de la AEPD EXP202503445 y la primera sanción europea por creación de falso desnudo mediante IA han establecido un precedente relevante en la articulación entre la protección de datos y la protección de la infancia, demostrando que la vía administrativa puede ser un complemento eficaz a la vía penal, especialmente en casos de difusión masiva o de autoría difícilmente determinable (20, 21). Los informes institucionales del Observatorio de la Infancia, del Consejo General del Poder Judicial, del Consejo Fiscal y de la Defensoría de la Niñez de Chile han proporcionado una base empírica y analítica para las reformas legislativas, y han señalado las necesidades de formación, coordinación y cooperación internacional (23, 24, 25). El estudio de UNICEF, ECPAT e INTERPOL ha cuantificado el fenómeno en 1,2 millones de menores afectados en once países, y ha formulado recomendaciones que han sido incorporadas en diversos grados en las reformas analizadas (22).

2. Valoración crítica de la respuesta jurídica actual

A pesar de los avances normativos y jurisprudenciales, la respuesta jurídica actual a los deepfakes sexuales de menores presenta deficiencias estructurales y desafíos prácticos que deben ser señalados críticamente.

La primera deficiencia es la fragmentación normativa, tanto en el ámbito iberoamericano como, en menor medida, en el español. La coexistencia de tipos penales diversos —delitos contra la intimidad sexual, pornografía infantil, tipos autónomos— genera inseguridad jurídica, dificulta la cooperación judicial y permite a los autores eludir la acción de la justicia refugiándose en jurisdicciones con marcos normativos más laxos (8, 9, 10, 11, 12, 13, 14). La armonización de los tipos penales en el espacio iberoamericano, aunque deseable y defendida por la doctrina (26, 27, 29, 31), se enfrenta a la falta de voluntad política y a la diversidad de tradiciones jurídicas. La segunda deficiencia es la insuficiencia de los mecanismos de retirada de contenido, que, incluso en los plazos breves previstos en las reformas españolas y latinoamericanas (24 horas en España, 48 horas en Bolivia y Perú), no logran evitar la viralización ultrarrápida de los deepfakes, que en muchos casos se produce en cuestión de minutos u horas (1, 11, 13, 18). La ineficacia de las órdenes de retirada, unida a la dificultad de identificación de los autores mediante técnicas de anonimización, convierte la sanción penal en una medida que llega tarde y que no repara el daño causado a las víctimas (17, 18, 26, 27).

La tercera deficiencia es la brecha digital generacional y la falta de capacitación de los operadores jurídicos y de las fuerzas de seguridad, que ha sido señalada por los informes institucionales y por la doctrina como uno de los principales obstáculos para la aplicación efectiva de las normas (24, 25, 27). La formación en inteligencia artificial, deepfakes y prueba digital es insuficiente en la mayoría de los países, y la dotación de recursos técnicos para la realización de peritajes es inadecuada (17, 18, 24). Esta brecha digital afecta también a los padres y educadores, que son los primeros responsables de la protección de los menores y que a menudo carecen de las habilidades necesarias para identificar los riesgos digitales y para orientar a los menores en un uso seguro de la tecnología (22, 25). La cuarta deficiencia es la insuficiencia de la cooperación internacional, que, a pesar de los avances del Acuerdo de la Unión Europea de 2026 y de las recomendaciones de UNICEF, sigue siendo fragmentada y dependiente de la voluntad política de los Estados (7, 22, 31). Los deepfakes sexuales, por su naturaleza transnacional, requieren una respuesta coordinada que aún no se ha alcanzado, y la ausencia de estándares internacionales uniformes permite que los autores se beneficien de la impunidad en jurisdicciones con marcos normativos débiles (14, 22, 31).

La quinta deficiencia, de carácter dogmático, es la persistencia del debate sobre la tipicidad y el bien jurídico protegido, que, aunque ha sido resuelto en España mediante la reforma del Código Penal, sigue abierto en otros países y en la doctrina (26, 29, 30). La reforma española, al incorporar el artículo 173 bis y al modificar el artículo 189, ha optado por una solución mixta que combina el tipo autónomo para la difusión no consentida con la inclusión de las representaciones simuladas en el delito de pornografía infantil (4). Esta solución, que ha sido valorada positivamente por la doctrina (26, 29, 30), proporciona seguridad jurídica y cubre todos los supuestos, pero su eficacia práctica depende de la interpretación que los jueces realicen del nuevo precepto y de la eventual jurisprudencia del Tribunal Supremo. La doctrina, por su parte, ha señalado que el debate dogmático sobre la libertad sexual versus la indemnidad moral es, en gran medida, artificial, pues los deepfakes sexuales afectan a la dignidad del menor en su conjunto, y la protección penal debe cubrir ambas dimensiones (30, 31).

3. Líneas de mejora y recomendaciones estratégicas

A la luz de los hallazgos y de las deficiencias señaladas, se formulan las siguientes líneas de mejora y recomendaciones estratégicas para los poderes públicos, los operadores jurídicos y la comunidad académica.

Primera recomendación: la armonización de los tipos penales en el espacio iberoamericano. Se insta a los Estados a adoptar, a través de la Organización de Estados Americanos o de la Cumbre Iberoamericana, un instrumento regional que establezca un estándar mínimo común de protección, basado en un tipo penal autónomo para los deepfakes sexuales de menores que incluya la generación, posesión y difusión de representaciones sintéticas, con agravaciones por minoría de edad, ánimo de lucro, anonimización y difusión masiva, y con medidas de reparación integral del daño (4, 26, 29, 31). Este instrumento debería servir de guía para las reformas legislativas y de criterio interpretativo para los jueces, y debería ir acompañado de acuerdos de cooperación judicial y de asistencia técnica (7, 22, 25, 27).

Segunda recomendación: el refuerzo de la cooperación internacional y de la asistencia judicial recíproca. Se insta a los Estados a celebrar tratados bilaterales y multilaterales que establezcan procedimientos ágiles y eficaces para la obtención de pruebas, la identificación de autores, la retirada de contenido y la extradición de los responsables, y a crear comités de coordinación regional, al estilo del modelo europeo, que agrupen a las autoridades de protección de datos, fiscales y ministerios del Interior (7, 22, 24, 25, 27). Se recomienda asimismo la obligación de las plataformas digitales de designar un representante en cada país para las comunicaciones con las autoridades, como ya ha establecido el Proyecto de Ley Orgánica español (1), y la adopción de sistemas de watermarking y de verificación de edad, como exige la Ley de Inteligencia Artificial europea (3, 7).

Tercera recomendación: la implementación de protocolos de actuación conjunta entre fiscalías, agencias de protección de datos, fuerzas de seguridad y administraciones educativas. Se insta a los Estados a adoptar protocolos que establezcan procedimientos claros de comunicación, derivación de casos, intercambio de información, prevalencia de la vía penal sobre la administrativa, y mecanismos de seguimiento y evaluación (1, 23, 24, 25, 26). Estos protocolos deben incluir la creación de unidades especializadas en delitos tecnológicos en las fiscalías y en los juzgados, así como la formación continua de los operadores jurídicos y de las fuerzas de seguridad en inteligencia artificial, deepfakes y prueba digital (24, 25, 27). Se recomienda asimismo la colaboración con universidades y centros de investigación para la actualización de los conocimientos técnicos y para la elaboración de guías prácticas (27, 31).

Cuarta recomendación: la inversión en prevención y educación digital como medida estructural. Se insta a las administraciones educativas a implementar programas de educación digital en todos los centros escolares, que incluyan contenidos sobre inteligencia artificial, deepfakes, privacidad, consentimiento, respeto a la imagen y uso seguro de las redes sociales, y a proporcionar a los docentes la formación necesaria para abordar estos riesgos (1, 13, 22, 25, 27). Se recomienda asimismo la formación de padres y educadores en la identificación de riesgos digitales y en la orientación de los menores, así como la promoción de campañas de sensibilización sobre la gravedad de los deepfakes sexuales y sobre la importancia de la denuncia (22, 23, 25). La educación digital debe ser continua y actualizada, para hacer frente a la rápida evolución de las tecnologías, y debe inculcar valores de respeto, empatía y responsabilidad, para prevenir la normalización de la violencia sexual y la cosificación de la imagen de los demás (27, 29).

Quinta recomendación: el avance hacia la responsabilidad objetiva de las plataformas digitales. Se insta a los Estados a considerar la adopción de un régimen de responsabilidad objetiva o solidaria de las plataformas por la difusión de deepfakes sexuales de menores, de modo que las víctimas puedan reclamar la indemnización directamente a la plataforma si el autor no es identificado o si no puede hacer frente al pago (1, 13, 22, 29, 31). Este régimen, que ya ha sido adoptado en Bolivia (13), debería ir acompañado de garantías procesales que eviten la censura previa y la restricción desproporcionada de la libertad de expresión, incluyendo la notificación al autor, la motivación de la decisión y la posibilidad de recurso (1, 27). La responsabilidad de las plataformas debe ser disuasoria y proporcionada, incentivando la inversión en sistemas de detección y filtrado de contenido, pero sin imponer cargas excesivas que puedan poner en peligro la viabilidad económica de las plataformas (31).

Sexta recomendación: la continuidad de la investigación académica y la elaboración de estudios longitudinales. Se insta a la comunidad académica a continuar la investigación sobre los deepfakes sexuales de menores, con especial atención a la evolución del fenómeno, a la eficacia de las medidas adoptadas, a los desafíos de la prueba digital y a la dimensión psicológica y social del daño causado (22, 24, 25, 26, 27, 29, 30, 31). Se recomienda la elaboración de estudios longitudinales que permitan evaluar el impacto de las reformas legislativas y de los programas de educación digital, así como la realización de investigaciones comparadas que identifiquen buenas prácticas y modelos eficaces de protección (22, 25). La comunidad académica debe colaborar con los poderes públicos y con las organizaciones internacionales en la elaboración de guías, protocolos y estándares, y debe contribuir a la formación de los operadores jurídicos y de las fuerzas de seguridad (24, 25, 27, 31).

En definitiva, los deepfakes sexuales de menores constituyen un desafío jurídico, social y tecnológico de primera magnitud que exige una respuesta integral, coordinada y continua por parte de los poderes públicos, los operadores jurídicos, las plataformas digitales y la comunidad académica. Las reformas legislativas analizadas en el presente trabajo, los pronunciamientos judiciales y administrativos examinados, y las propuestas doctrinales y de lege ferenda formuladas, ofrecen un conjunto de herramientas que, si se implementan de manera efectiva y se articulan con las medidas de prevención, educación y cooperación internacional, pueden contribuir a una protección más completa y coherente de los menores frente a una forma de violencia sexual que, aunque tecnológicamente novedosa, produce un daño real, profundo y duradero a su dignidad, a su intimidad y a su desarrollo integral. La protección de la infancia en el entorno digital es un imperativo ético y jurídico que no admite demora, y que exige de todos los actores implicados un compromiso firme y sostenido con el interés superior del menor.

Bibliografía

(1) Proyecto de Ley Orgánica para la protección de las personas menores de edad en los entornos digitales, aprobado por el Consejo de Ministros el 25 de marzo de 2025, España. Tramitación parlamentaria en curso.

(2) Anteproyecto de ley por el que se modifica la Ley Orgánica 1/1982, de 5 de mayo, de protección civil del derecho al honor, a la intimidad personal y familiar y a la propia imagen, aprobado por el Consejo de Ministros el 13 de enero de 2026, España.

(3) Proyecto de Ley Orgánica para un uso ético, inclusivo y beneficioso de la inteligencia artificial, aprobado por el Consejo de Ministros el 26 de mayo de 2026, España. Tramitación parlamentaria en curso.

(4) Reforma del Código Penal, incorporación del artículo 173 bis y modificación de los artículos 189 y 192, en el marco del Proyecto de Ley Orgánica para la protección de las personas menores de edad en los entornos digitales, España.

(5) Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), España.

(6) Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (RGPD).

(7) Acuerdo de la Unión Europea de 7 de mayo de 2026, a propuesta del Gobierno de España, para prohibir en todo el territorio comunitario los sistemas de IA que generen deepfakes sexuales y pornografía infantil, enmienda a la Ley de Inteligencia Artificial (Reglamento (UE) 2024/1689).

(8) México: reforma al Código Penal Federal para castigar la violación a la intimidad sexual con deepfakes (2026); e iniciativa de reforma al Código Penal de la Ciudad de México, marzo de 2026.

(9) Argentina: Proyecto de ley S-0070/2025 (Senado) para modificar el artículo 128 del Código Penal; y proyecto de ley para incorporar el artículo 128 bis en la Cámara de Diputados.

(10) Chile: Ley 21.430 sobre Garantías y Protección de los Derechos de la Niñez y Adolescencia; proyecto de ley de Protección Digital de la Infancia frente a Contenido Sexual Sintético con IA (artículo 374 bis del Código Penal), en tramitación parlamentaria.

(11) Perú: Ley N.º 32314, de abril de 2025, que incorpora sanciones específicas para delitos cometidos mediante inteligencia artificial.

(12) Uruguay: modificación del artículo 92 de la Ley de Violencia hacia las Mujeres Basada en Género (2017), ampliando la protección frente a deepfakes; y proyecto de ley específico contra deepfakes sexuales, en tramitación parlamentaria.

(13) Bolivia: Ley N.º 1636 para la Protección de la Integridad Sexual de Niñas, Niños y Adolescentes en Entornos Digitales, promulgada en abril de 2025.

(14) Paraguay: Proyecto de ley "De protección de niños, niñas y adolescentes contra el grooming" (noviembre de 2024); y proyecto de ley contra deepfakes para proteger la imagen, voz y cuerpo frente a imitaciones digitales con IA (marzo de 2025), en tramitación parlamentaria.

(15) Sentencia del Juzgado de Menores de Badajoz 86/2024, de 20 de junio, caso de Almendralejo, España.

(16) Sentencia de la Audiencia Provincial de Valladolid (caso de 10 procesados), España.

(17) Procesamiento en Córdoba (junio de 2025), España.

(18) Investigación en Logroño (julio de 2026), España.

(19) Primera sentencia condenatoria en Uruguay por material de abuso sexual de menores generado con inteligencia artificial, Juzgado de Montevideo.

(20) Expediente de la Agencia Española de Protección de Datos (AEPD) EXP202503445, sanción por infracción muy grave del artículo 6.1 del RGPD, España.

(21) Resolución de la Agencia Española de Protección de Datos (AEPD), primera sanción en Europa por creación de falso desnudo mediante inteligencia artificial (noviembre de 2025).

(22) UNICEF, ECPAT e INTERPOL, "IA y deepfakes: nuevos riesgos de violencia sexual contra la niñez", estudio internacional publicado en febrero de 2026.

(23) Observatorio de la Infancia (España), informes recabados para la tramitación del Proyecto de Ley Orgánica para la protección de las personas menores de edad en los entornos digitales.

(24) Consejo General del Poder Judicial (CGPJ) y Consejo Fiscal, informes sobre el Proyecto de Ley Orgánica para la protección de las personas menores de edad en los entornos digitales.

(25) Defensoría de la Niñez de Chile, pronunciamientos sobre deepfakes sexuales e interés superior de niños, niñas y adolescentes.

(26) Benítez, C.S. (2025): "¿Es posible sancionar penalmente en España la difusión de imágenes sexuales de menores creadas mediante inteligencia artificial? A propósito de la Sentencia del Juzgado de Menores de Badajoz 86/2024, de 20 de junio". Revistas UCA.

(27) Ramos-Zaga, F. (2024): "Deepfake: Análisis de sus implicancias tecnológicas y jurídicas en el derecho penal y la protección de datos". Scielo.org.mx.

(28) Addati, F.A. (2025): "La respuesta estadounidense a los Deepfakes y el vacío normativo en Argentina". Publicaciones Científicas UCES (Argentina).

(29) Bonnett, E.J.M. (2025): "La pornografía 'deepfake': retos legales y necesidad de una tipificación autónoma en el ordenamiento español". Dialnet.

(30) García Martínez, P. (2024): "El deepfake en España. Protección Civil del Derecho al Honor, Ley Orgánica 1/1982". Trabajo Fin de Grado en Derecho, Universidad de Comillas.

(31) Palazzi, P. (2025): "El derecho y la irrupción de los deepfakes: responsabilidad civil y protección de la imagen". Universidad de San Andrés, Argentina.