Protegerse de los deepfakes y de la suplantación de identidad

Recurso complementario de la lección “Deepfakes y suplantación de identidad” — curso Anonimato online

Para protegerse de los deepfakes no hace falta desaparecer de internet. Ayuda saber tres cosas: cuánto de tu cara y de tu voz está a la vista, cómo te enterarías si alguien las usara y adónde acudir si ocurre. Este recurso te acompaña en las tres, con calma y en proporción a tu vida.

A. Por qué importa

En este curso, la privacidad consiste en decidir qué saben otras personas de ti; el anonimato, en poder actuar sin que lo que haces quede vinculado a quién eres. Un deepfake le da la vuelta a esa segunda idea. En lugar de ocultar un vínculo, lo inventa: un vídeo, una imagen o un audio que une tu nombre y tu cara a palabras o actos que nunca fueron tuyos.

Es la suplantación de identidad de siempre con una herramienta nueva. Un perfil falso con tus fotos o un vídeo en el que «tú» recomiendas un producto toman prestada la confianza que otras personas tienen en ti. No eres responsable del mal uso que haga otra persona. Sí puedes ponérselo más difícil, enterarte antes y responder con un plan en lugar de con prisas.

Las estafas con voz clonada se tratan en el curso Privacidad en línea (mira los recuadros tras la sección D). Aquí el centro es tu identidad: lo que te hace copiable y qué hacer si aparece una copia.

Qué dicen las fuentes

La Agencia Española de Protección de Datos (AEPD), la autoridad española en la materia, lanzó en marzo de 2026 la iniciativa «Los deepfakes no son una broma». En su vídeo «se muestra cómo la IA puede generar contenidos audiovisuales realistas a partir de una simple fotografía». La misma nota advierte de que esta tecnología puede usarse «para intentar suplantar, humillar o desacreditar a una persona».

En enero de 2026, al presentar su guía sobre el uso de imágenes de terceros en sistemas de inteligencia artificial, la AEPD señaló un riesgo especial cuando «se generan contenidos verosímiles que pueden atribuir a la persona hechos o conductas que no han ocurrido». Recordó también que, además de la protección de datos, «pueden verse afectados otros derechos fundamentales, como el honor, la intimidad o la propia imagen».

El 23 de febrero de 2026, 61 autoridades de protección de datos, entre ellas el Comité Europeo de Protección de Datos y las autoridades catalana y vasca, firmaron una declaración conjunta (en inglés) sobre las imágenes y vídeos realistas de personas creados sin su conocimiento ni consentimiento. Piden vías accesibles para solicitar la retirada de contenidos dañinos.

Las reglas cambian deprisa: el 7 de julio de 2026, según el Ministerio de Justicia, el Consejo de Ministros aprobó el proyecto de Ley Orgánica de protección civil de los derechos al honor, a la intimidad personal y familiar y a la propia imagen, que «considera ilegítimo el uso de la voz o la imagen de una persona sin su autorización» con fines publicitarios o comerciales mediante IA. A noviembre de 2026, la última publicación oficial consultada (Boletín Oficial de las Cortes Generales, 27 de julio) lo recoge como proyecto, no como ley vigente: comprueba su estado en la web del Congreso. En la Unión Europea, el artículo 50 del Reglamento de IA obliga a quien usa un sistema para crear una «ultrasuplantación» a hacer público que el contenido es artificial. Las reglas varían de un país a otro: el punto de partida más útil son las vías de cada plataforma y, si no bastan, los organismos de la sección H.

B. Conceptos clave: cómo protegerse de los deepfakes

Cinco ideas, agrupadas en torno a tres verbos: limitar, enterarte y actuar.

La materia prima: lo que te hace copiable

Un deepfake necesita una muestra de la persona a la que imita: fotos o vídeos nítidos de la cara, grabaciones de la voz. Cuanto más público, nítido y variado es el material, más fácil resulta trabajar con él. Cuentan las fotos de perfil, los vídeos en los que hablas a cámara y las fotos en las que te etiquetan.

Por qué te importa: No controlas las herramientas, pero decides buena parte del material con el que trabajan. Esa parte está en tus manos.

Limitar con proporción, no hasta cero

Limitar no significa borrar tu vida en internet. Significa preguntarte, ante cada contenido público, si de verdad necesita serlo. Una página profesional puede necesitar tu cara; las fotos de unas vacaciones rara vez tienen que estar abiertas a todo el mundo.

Por qué te importa: El objetivo es menos material para desconocidos, no menos vida para ti. La proporción hace que la decisión se sostenga en el tiempo.

Tu público también forma parte de tu exposición

Lo que publicas para «solo amigos» lo ven las personas de tu lista de amigos. Un contacto que aceptaste sin saber quién había detrás puede ver, guardar y reutilizar todo lo que compartes con ellas.

Por qué te importa: Cuanto más pequeño y conocido es tu público, menos personas pueden copiar tu cara o tu voz sin buscarlas.

Enterarte pronto: un aviso, no una vigilancia

No puedes vigilar todo internet, ni te hace falta. Con Alertas de Google «puedes recibir correos electrónicos cuando aparezcan resultados nuevos sobre un tema en la Búsqueda de Google»: una alerta con tu nombre entre comillas funciona como un aviso discreto. La herramienta «Results about you», que Google está ofreciendo a mayores de 18 años en algunos mercados, comprueba si tu dirección, tu teléfono o tu correo aparecen en la Búsqueda y puede avisarte de resultados nuevos. Google aclara, en su página en inglés, que quitar un resultado de la Búsqueda no borra la información del sitio que la publica.

Por qué te importa: Sin un aviso, quizá te enteres de un falso solo cuando alguien lo vea por casualidad. Prepararlo cuesta unos minutos.

Actuar: denunciar como la persona que aparece

Las plataformas suelen pedir que sea la propia persona suplantada quien lo comunique. El formulario de Instagram para cuentas que se hacen pasar por alguien, válido también para Threads, explica en inglés que solo atiende avisos de la persona suplantada o de su representante autorizado. Pide verificar tu identidad con una foto de tu documento y asegura que la borra en 30 días. Las normas de privacidad de YouTube (en inglés) permiten denunciar contenido generado con IA que se parece a ti o suena como tú, indicando la URL del vídeo y los minutos en los que apareces.

Por qué te importa: La persona que aparece tiene la petición más sólida y, a menudo, la única que una plataforma acepta. El Centro Europeo del Consumidor en España lo resume: «Lo primero, contactar con la red social mediante los formularios habilitados a tal efecto».

C. Un ejemplo concreto: Lucía y el vídeo que nunca grabó

Lucía tiene 48 años, es madre y usa servicios en línea a diario. Es voluntaria en la biblioteca municipal de su barrio y, cada mes, presenta sus actividades en un vídeo corto en la página pública de la biblioteca. Su perfil personal muestra una foto nítida y sonriente.

Una noche, una amiga le escribe: «¿Eres tú?». El enlace abre una cuenta nueva con el nombre y la foto de Lucía. Su único vídeo muestra su cara y su voz anunciando un curso en línea de pago, con un enlace para apuntarse.

Lucía nunca grabó ese vídeo: alguien lo había montado con los clips de la biblioteca. Primero, vergüenza; después, una pregunta: ¿y ahora qué hago?

Qué cambió cuando Lucía siguió un plan

• Hizo capturas de pantalla de la cuenta y del vídeo, y apuntó el nombre de la cuenta, el enlace y la fecha antes de denunciar nada.
• Usó el formulario de la plataforma para cuentas que se hacen pasar por alguien, como la persona que aparece, y adjuntó el documento que le pedían.
• Avisó a sus contactos: la cuenta no era suya y no debían comprar nada a través de ella.
• Creó una alerta con su nombre entre comillas.

Unos días después, la cuenta había desaparecido. Lucía siguió presentando las actividades en vídeo, porque ese trabajo le importa y ahora la decisión es consciente. Pasó sus fotos personales y su lista de amigos a un público reducido y quitó contactos que no sabía situar. Lo que más cambió fue su confianza: la próxima vez sabe el camino.

D. Pruébalo tú: prepara tu kit de respuesta ante un deepfake (15 minutos)

Cuatro pasos. Al final tendrás una nota breve; nada de lo que encuentres significa que hayas hecho algo mal.

Paso 1 — Apunta lo que copiaría primero quien quiera hacerse pasar por ti (4 minutos)

• Escribe las cuentas en las que tu nombre aparece junto a una foto tuya nítida: es lo primero que copia un perfil falso.
• Añade los dos o tres vídeos o audios públicos en los que se te reconoce mejor. Si hiciste el ejercicio sobre tu voz y tu cara del curso Privacidad en línea, tómalos de esa lista.
• Junto a cada uno, anota si lo quieres en público o si simplemente nunca lo cambiaste.

Paso 2 — Prepara un aviso (3 minutos)

Elige al menos una de estas herramientas, a modo de ejemplo:

• Alertas de Google: escribe tu nombre y apellidos entre comillas en el cuadro superior. Con «Mostrar opciones» eliges cada cuánto recibes los correos; después, haz clic en «Crear alerta».
• Results about you, en tu Cuenta de Google, si está disponible para ti: añade los datos de contacto que quieres vigilar y activa las notificaciones de resultados nuevos.

Paso 3 — Localiza las vías de denuncia antes de necesitarlas (4 minutos)

• En las dos plataformas que más usas, busca en el centro de ayuda cómo denunciar una cuenta que se hace pasar por ti (en las páginas en inglés, «impersonation») y guarda el enlace al formulario.
• Apunta qué pide cada formulario. Algunos piden una foto de tu documento de identidad; otros, como la reclamación de privacidad de YouTube, funcionan mejor con el enlace del vídeo y los minutos en los que apareces.
• Guarda los enlaces en un mismo sitio, como una nota en el móvil.

Paso 4 — Escribe tu nota de respuesta (4 minutos)

Escribe cuatro líneas breves para seguirlas en un mal día:

1. Guarda pruebas: captura, nombre de la cuenta, enlace, fecha. Hazlo lo primero, antes de denunciar.
2. Denuncia: como la persona que aparece, con el formulario guardado.
3. Avisa: un mensaje a tus contactos para decir que esa cuenta o ese vídeo no eres tú.
4. Da el siguiente paso: adónde acudir si la plataforma no responde (mira la sección H) y cuándo ir a la policía, por ejemplo si hay amenazas o se pide dinero en tu nombre.

Guárdala con los enlaces. Probablemente nunca la necesites, y eso está bien.

Ya tratado en el curso Privacidad en línea

Estafas con voz clonada: cómo los deepfakes usan lo que publicas
Explica cómo se usan las voces clonadas en las estafas y cómo revisar qué revela tu voz en público; este recurso se centra en los deepfakes que se hacen pasar por ti y en cómo denunciarlos.

Palabra clave familiar: cómo frenar estafas con voz clonada
Prepara dos hábitos para comprobar una llamada antes de fiarte; este recurso mira el otro lado, cuando alguien usa tu cara o tu voz para engañar a otras personas.

E. Vídeos, artículos y otros recursos

Primero las fuentes institucionales españolas; después, las plataformas.

Fuentes institucionales

AEPD — La AEPD promueve el uso responsable de la IA con una iniciativa sobre deepfakes
Nota de prensa de marzo de 2026: qué puede hacer la IA a partir de una sola foto y para qué se usa mal.
https://www.aepd.es/prensa-y-comunicacion/notas-de-prensa/aepd-promueve-uso-responsable-de-la-ia-con-iniciativa-sobre-deepfakes

AEPD — La AEPD alerta sobre los riesgos visibles e invisibles del uso de imágenes de terceros en sistemas de inteligencia artificial
Nota de prensa de enero de 2026: contenidos que atribuyen hechos falsos, derechos afectados y cuándo interviene la policía.
https://www.aepd.es/prensa-y-comunicacion/notas-de-prensa/la-aepd-alerta-sobre-los-riesgos-visibles-e-invisibles-del

AEPD — Canal Prioritario
La vía para pedir la retirada urgente de fotos, vídeos o audios sexuales o violentos difundidos sin autorización.
https://www.aepd.es/canalprioritario

Ministerio de Justicia — El Consejo de Ministros aprueba la nueva Ley del derecho al honor y la envía al Congreso para su tramitación
Nota de julio de 2026 sobre el proyecto de ley y el uso no autorizado de la voz y la imagen con IA.
https://www.mjusticia.gob.es/es/institucional/gabinete-comunicacion/noticias-ministerio/nueva-ley-derecho-honor

Centro Europeo del Consumidor en España — Consejos para actuar ante una suplantación de identidad en las redes sociales
Artículo de 2022: formularios de las redes, reclamación ante la AEPD y Canal Prioritario.
https://portal-cec.consumo.gob.es/en/comunicacion/noticias/2022/consejos-para-actuar-ante-una-suplantacion-de-identidad-en-las-redes

La Moncloa — Teléfono 017: el servicio nacional de ayuda en ciberseguridad
Qué ofrece la línea de INCIBE, horarios y canales, y adónde acudir para denunciar.
https://www.lamoncloa.gob.es/serviciosdeprensa/notasprensa/transformacion-digital-y-funcion-publica/paginas/2026/140726-telefono-017-ayuda-ciberseguridad.aspx

Documentación de las plataformas

Instagram Help Centre — Report an Impersonation Account on Instagram or Threads
El formulario para denunciar una cuenta que se hace pasar por ti y lo que pide (en inglés).
https://help.instagram.com/contact/636276399721841

Ayuda de Búsqueda de Google — Crear una alerta
Cómo recibir un correo cuando aparecen resultados nuevos con tu nombre.
https://support.google.com/websearch/answer/4815696?hl=es

Enlaces comprobados en noviembre de 2026. Si una dirección cambia, buscar el título en el sitio del organismo suele ayudar a encontrarla.

F. El Framework Cyber Welfare: Competencias, Conciencia, Comportamiento Seguro

Este recurso se sitúa en el pilar Conciencia, nivel FL2 – Iniciado: entender cómo tu cara y tu voz públicas pueden convertirse en un vínculo falso con tu identidad.

Competencias

• Encontrar los contenidos públicos en los que tu cara se ve nítida o tu voz se oye.
• Crear una alerta con tu nombre.
• Localizar el formulario de una plataforma para denunciar una suplantación o un problema de privacidad.

Conciencia

• Entender que un deepfake ata tu identidad a palabras o actos que nunca fueron tuyos.
• Saber que las plataformas suelen pedir que la denuncia la haga la persona que aparece.
• Reconocer que limitar el material es cuestión de proporción, no de desaparecer.

Comportamiento Seguro

• Elegir el público de cada foto o vídeo en el que se te reconoce.
• Guardar pruebas de lo que ves antes de denunciarlo.
• Avisar pronto a tus contactos cuando una cuenta o un vídeo con tu nombre no eres tú.

G. Preguntas para detenerte a pensar

• ¿Qué fotos o vídeos tuyos mantendrías en público aun sabiendo que se pueden copiar, y por qué?
• Si esta noche una amiga te escribiera «¿Eres tú?», ¿cuáles serían tus tres primeros pasos?
• ¿A quién de tu lista de amigos no sabrías poner nombre o situar, y qué puede ver?

H. Qué hacer ahora

Las recomendaciones (R) y las medidas de seguridad (MS) de la base de datos de Cyber Welfare que se aplican más directamente a este tema.

1. Limita la materia prima

• MS6 — Haz privadas tus cuentas de redes sociales donde puedas, para que tus fotos y vídeos lleguen a las personas que has elegido y no a cualquiera que te busque.
• MS7 — Limita quién puede ver tu cuenta, tus fotos y tus publicaciones cambiando los ajustes de privacidad, empezando por aquellos en los que se te reconoce.
• R23 — Seguir solo a personas conocidas en redes sociales: tu círculo decide quién te ve: las personas de tu lista de amigos pueden ver, y guardar, lo que compartes con ellas.

Compromiso mínimo: hoy, elige una foto o un vídeo público en el que se te reconozca y reduce su público, o decide con conocimiento de causa dejarlo como está.

2. Prepárate para actuar

• R29 — Mensajes enviados en tu nombre: qué hacer cuando un contacto te avisa: cuando aparece algo en tu nombre que no enviaste ni hiciste, avisa pronto a tus contactos para que no actúen por ello.
• Guarda los enlaces de denuncia y tu nota de respuesta donde los encuentres.

• Si la respuesta de la plataforma no te satisface, el Centro Europeo del Consumidor recuerda que «se puede formular una reclamación ante la Agencia Española de Protección de Datos», con la documentación de tu petición. El 017 de INCIBE, gratuito y confidencial, te orienta sobre los trámites; para denunciar, acude a la Policía Nacional o a la Guardia Civil.
• Si el falso es sexual o violento, el Canal Prioritario de la AEPD permite pedir la retirada urgente de contenidos difundidos sin tu autorización; según el CEC, en estos casos no hace falta contactar antes con la red social. La página no menciona expresamente los contenidos generados con IA.

Compromiso mínimo: esta semana, crea una alerta con tu nombre y guarda el formulario de suplantación de la plataforma que más usas.

En breve

• Un deepfake es un vínculo falso entre tu identidad y algo que nunca hiciste; la AEPD advierte de que puede usarse para suplantar, humillar o desacreditar.
• Para protegerse de los deepfakes, se limita el material público con proporción: conserva lo que te importa y reduce el resto.
• Una alerta con tu nombre y los formularios guardados convierten un susto en un plan.
• Si ocurre: guarda pruebas, denuncia como la persona que aparece, avisa a tus contactos y, si hace falta, acude a la AEPD, al 017 o a la policía.

Recursos relacionados en este curso

• Búsqueda inversa de imágenes: quién te encuentra por una foto
• Estilometría: cómo tu forma de escribir puede identificarte
• Usar chatbots de forma anónima: hasta dónde se puede

Descubre más recursos complementarios de los cursos en línea del Programa Protege tu Privacidad Digital.