España ha intensificado su respuesta frente a la proliferación de deepfakes sexuales con una batería legislativa y administrativa que combina reforma penal, regulación de la inteligencia artificial y actuaciones concretas de protección de datos. Las medidas buscan cerrar los vacíos jurídicos que permitían la creación y difusión masiva de imágenes íntimas falsas, un fenómeno que afecta mayoritariamente a mujeres y niñas y que ha crecido de forma exponencial en los últimos años.
El reforzamiento del marco normativo responde tanto a casos concretos que han conmocionado a la opinión pública como al reconocimiento institucional de que la tecnología facilita la violencia digital. A continuación se describen los antecedentes, el contenido de las iniciativas aprobadas como anteproyectos, las sanciones previstas, la actuación administrativa pionera de la AEPD y los retos que quedan por resolver.
Contexto y antecedentes: un problema en expansión
Los estudios sectoriales citados en la prensa muestran un crecimiento masivo de deepfakes pornográficos: estimaciones apuntan a que entre 2019 y 2023 el volumen aumentó varios cientos por ciento, con cifras como ~95.820 deepfakes en 2023 y subidas interanuales de +464% a +550% según distintos informes. La abrumadora mayoría del material deepfake (entre ~96% y 98%) es sexual, y las víctimas son mayoritariamente mujeres (cerca del 99% en varios análisis).
Ese crecimiento ha convertido los deepfakes sexuales en una prioridad para autoridades, ONG y expertos en derechos digitales y de género, que advierten de su carácter como forma de violencia de género. La facilidad y bajo coste de herramientas de manipulación de imágenes y vídeo multiplican la capacidad de difusión y el daño moral y social a las víctimas.
En el ámbito europeo, la AI Act y el Reglamento de Servicios Digitales (DSA) ya imponen obligaciones de transparencia y diligencia a plataformas, lo que nutre y condiciona las iniciativas normativas españolas. Las exigencias a las plataformas , etiquetado, medidas técnicas y procedimientos de retirada, se han convertido en un elemento central de la estrategia regulatoria.
Reformas penales propuestas para proteger a menores y a las víctimas
En marzo de 2025 el Gobierno remitió un anteproyecto de ley para proteger a menores en entornos digitales que reforma el Código Penal y tipifica las deepfakes sexuales como delito. El texto persigue penalizar la generación y difusión de imágenes creadas por IA de “contenido sexual o gravemente vejatorio” que menoscabe la integridad moral de la persona, con especial atención a la protección de menores.
Las coberturas públicas del anteproyecto vinculan sanciones penales en supuestos de deepfakes sexuales, con niveles de prisión citados entre 1 y 2 años en casos de contenido sexual o gravemente vejatorio, y agravantes que incrementan las penas cuando el material se difunde por redes sociales u otros cauces masivos. El trámite parlamentario sigue pendiente y las penas definitivas podrán cambiar con enmiendas.
El Gobierno ha defendido públicamente la iniciativa: “Establecemos como delito la conducta consistente en poner material pornográfico a disposición de menores… tipificamos las ‘deepfakes’ de contenido sexual o gravemente vejatorio, como delitos contra la integridad moral”, señalaron responsables en la cobertura del anteproyecto, subrayando el objetivo de proteger la dignidad de las personas frente a la manipulación digital.
La ley nacional de gobernanza de la IA: etiquetado y multas millonarias
Paralelamente, el Consejo de Ministros aprobó en marzo de 2025 un anteproyecto de ley de gobernanza de la inteligencia artificial que obliga a identificar contenido generado o manipulado por IA, incluidos los deepfakes, y a implantar medidas de trazabilidad y transparencia. El ministro Óscar López manifestó públicamente la necesidad de exigir este etiquetado para ejercer control y responsabilidad sobre los contenidos.
El texto prevé sanciones administrativas muy elevadas para incumplimientos graves: multas de hasta 35 millones de euros o un porcentaje significativo del volumen de negocio. Estas cifras buscan forzar a las plataformas y empresas a invertir en detección, etiquetado y procedimientos de eliminación rápida del contenido ilegal o no consentido.
La combinación de obligaciones técnicas, transparencia y sanciones económicas pretende complementar la vía penal: mientras las penas criminales actúan sobre autores y distribuidores, la ley de IA exige a las empresas medidas proactivas para prevenir y mitigar daños derivados del contenido sintético.
El caso Almendralejo y otras situaciones que catalizaron la respuesta
El caso de Almendralejo (septiembre de 2023) se ha citado repetidamente como catalizador del endurecimiento legislativo en España. Decenas de niñas aparecieron en imágenes íntimas falsas generadas con IA, lo que provocó alarma social y llevó a la intervención judicial y a políticas públicas orientadas a la protección infantil.
En julio de 2024 el Juzgado de Menores de Badajoz impuso libertad vigilada de un año a 15 menores considerados responsables, y el caso ha sido utilizado por legisladores y activistas como ejemplo de la urgencia de tipificar y sancionar la creación y difusión de deepfakes sexuales sin consentimiento.
Ese episodio puso de manifiesto las consecuencias personales y comunitarias de la difusión de material íntimo falso y aceleró debates sobre medidas de prevención, educación digital y respuesta rápida por parte de plataformas y administraciones.
Acción administrativa: la AEPD impone la primera sanción europea
La Agencia Española de Protección de Datos (AEPD) abrió una vía administrativa que marcó un hito en Europa. El 6 de noviembre de 2025 la AEPD sancionó con 2.000 € (1.200 € por pronto pago) a uno de los menores implicados en la difusión de desnudos falsos generados con IA en el caso de Almendralejo, calificando el acto como tratamiento ilícito de datos personales sin consentimiento.
La resolución fue presentada en la prensa como la primera sanción administrativa en Europa por difusión de desnudos falsos creados con IA, y sirve como precedente para futuras decisiones de la AEPD sobre “contenido sintético”. Se espera la publicación de criterios más detallados por parte del organismo para orientar sanciones y actuaciones preventivas.
Además de la sanción económica, la actuación administrativa subraya la posibilidad de abordar el fenómeno desde el derecho de protección de datos y no sólo desde la vía penal, ampliando las herramientas disponibles para apoyar a las víctimas y sancionar a responsables.
Plataformas, industria y respuestas complementarias
Las grandes plataformas y comunidades han ido actualizando sus políticas: muchas prohíben o restringen deepfakes no consentidos, mientras que han surgido servicios que exigen consentimiento escrito o sólo permiten personajes ficticios. Estas políticas privadas, combinadas con las obligaciones europeas (AI Act y DSA), ejercen presión sobre los alojadores de contenido para implantar sistemas de detección y procedimientos de retirada.
Investigadores y organizaciones de derechos digitales y de género reclaman una combinación de medidas: penalización de creación y difusión, herramientas de retirada rápida, responsabilidad de plataformas y apoyo integral a las víctimas, incluidos servicios jurídicos y de salud mental. El Ministerio del Interior ha integrado el “deepfake sexual” en los catálogos de conductas a combatir y el Pacto de Estado contra la Violencia de Género actualizado en 2025 incorpora medidas específicas para recopilar datos y sancionar estas conductas.
No obstante, persisten retos técnicos y prácticos: la detección fiable de manipulación, la verificación de consentimiento, la cooperación transnacional contra alojadores en jurisdicciones opacas, y la necesidad de procesos ágiles que no revictimicen a las personas afectadas durante la retirada y la investigación.
Qué vigilar: próximos hitos y retos regulatorios
En el corto y medio plazo conviene seguir la tramitación parlamentaria del anteproyecto de protección de menores y de la ley de IA durante 2025, 2026: votos, enmiendas y posibles requisitos de mayorías para algunas reformas pueden modificar el alcance de las penas y las obligaciones corporativas. La legislación final determinará el equilibrio entre sanción, prevención y garantías procesales.
También será clave la publicación de criterios y resoluciones de la AEPD sobre contenido sintético, así como la implementación práctica por parte de plataformas del etiquetado y sistemas de verificación de edad para contenido adulto. La eficacia de las multas millonarias dependerá en gran medida de la capacidad de supervisión y de la cooperación entre autoridades y empresas.
Finalmente, la comunidad técnica, las ONG y las víctimas exigirán mecanismos de ayuda rápida y reparación: unidades especializadas en apoyo jurídico y psicosocial, canales de notificación eficaces y políticas de transparencia sobre medidas adoptadas por plataformas serán determinantes para convertir la normativa en protección real.
En resumen, España ha avanzado en 2025, 2026 hacia un cerco regulatorio y administrativo que combina reforma penal, regulación de la IA y actuaciones de protección de datos para frenar los deepfakes sexuales. La respuesta es multidimensional, responde a casos concretos y se apoya en las obligaciones europeas sobre IA y servicios digitales.
El éxito de estas medidas dependerá ahora de su tramitación parlamentaria, de la capacidad de las autoridades para aplicar sanciones y criterios claros, y de la colaboración efectiva de plataformas y la sociedad civil para prevenir, detectar y reparar los daños a las víctimas.
