La posición de la AEPD ante las imágenes generadas por IA y el nuevo marco europeo de conducta
La posición de la AEPD ante las imágenes generadas por IA y
el nuevo marco europeo de conducta
El 2 de marzo de 2026 se ha difundido un análisis jurídico
relevante sobre la posición de la Agencia Española de Protección de Datos
respecto al uso de imágenes generadas mediante sistemas de inteligencia
artificial, en conexión con el despliegue del Reglamento de Inteligencia
Artificial de la Unión Europea y los futuros códigos de conducta sectoriales.
1. La cuestión nuclear: ¿hay tratamiento de datos
personales?
Desde una perspectiva estrictamente jurídica, la clave no
reside en la tecnología empleada, sino en la eventual concurrencia de datos
personales conforme al art. 4 del Reglamento General de Protección de Datos.
La AEPD recuerda que:
Una imagen generada artificialmente puede constituir dato
personal si identifica o hace identificable a una persona física.
La recreación hiperrealista de rostros, incluso sintéticos,
puede generar riesgos de suplantación o afectación al derecho a la propia
imagen.
El entrenamiento de modelos con bases de datos que incluyan
fotografías reales activa obligaciones de licitud, información y minimización.
No es determinante que la imagen sea “ficticia”; lo
jurídicamente relevante es la posibilidad de vinculación con persona
identificable o la utilización de datasets con datos reales.
2. Transparencia y deber de información
La autoridad española incide en la exigencia de
transparencia cuando las imágenes generadas se emplean en contextos
profesionales (publicidad, comunicación institucional, servicios jurídicos,
etc.).
Se refuerzan así dos planos normativos:
El plano de protección de datos (arts. 12 y ss. RGPD).
El plano del nuevo Reglamento europeo de IA, que impone
obligaciones específicas de transparencia en sistemas generativos,
particularmente cuando el contenido pueda inducir a error sobre su carácter
artificial.
El deber de informar no se agota en advertir que “se ha
usado IA”, sino que exige una evaluación previa de riesgos y la adopción de
medidas técnicas y organizativas adecuadas.
3. Códigos de conducta y autorregulación supervisada
En el contexto europeo, se impulsa la elaboración de códigos
de conducta para desarrolladores y usuarios profesionales de IA. Estos
instrumentos, aunque voluntarios, adquieren relevancia jurídica al integrarse
en el sistema de cumplimiento del Reglamento de IA.
La AEPD subraya que:
Los códigos pueden concretar estándares técnicos de
anonimización.
Facilitan la acreditación de diligencia debida.
Refuerzan la cultura de cumplimiento en sectores intensivos
en tratamiento masivo de imágenes.
Nos encontramos, por tanto, ante una arquitectura normativa
mixta: regulación dura (Reglamento IA y RGPD) y soft law supervisado.
4. Implicaciones para operadores jurídicos
Para despachos, administraciones y empresas tecnológicas,
las implicaciones son claras:
Necesidad de realizar análisis de riesgos previos.
Revisión de contratos con proveedores de modelos
generativos.
Integración de la gobernanza algorítmica en los sistemas de
compliance.
Coordinación entre protección de datos, derecho a la propia
imagen y eventual responsabilidad civil.
La generación de imágenes mediante IA deja de ser una
cuestión meramente técnica para convertirse en un ámbito de responsabilidad
jurídica transversal.
Santiago Carretero Sánchez
Profesor Titular de la Universidad Rey Juan Carlos
Comentarios
Publicar un comentario