El 7 de julio el Consejo de Ministros aprobó el proyecto de ley que moderniza la protección del derecho al honor, la intimidad y la propia imagen. Suena a victoria: por fin España legisla contra las deepfakes, contra los true crimes que revictimizan a familias enteras y contra el uso comercial de tu voz sin permiso. Bolaños lo vendió como devolver el poder a los ciudadanos y quitárselo a los oligarcas tecnológicos. Me parece bien el titular. Lo que no me cuadra es lo que falta debajo.
Porque si gestionas una web, una tienda online o cualquier servicio donde subes fotos de equipo, testimonios o vídeos de producto, esta ley te afecta mucho más de lo que parece. No es solo política de salón. Es el marco en el que vas a tener que demostrar que tu contenido no es una suplantación generada con IA, que tienes consentimiento explícito y que sabes borrar material lesivo cuando alguien lo pide. Y aquí empiezan los agujeros.
La norma considera ilegítimo usar la imagen o la voz de una persona creada, simulada o manipulada con IA sin autorización, según recoge RTVC. También regula los contenidos de true crime que reconstruyen delitos reales sin respetar a las víctimas, fija la edad de consentimiento en los 16 años y permite prohibir por testamento el uso comercial de tu imagen tras fallecer. Todo eso estaba pendiente desde hace décadas: la ley original es de 1982, cuando ni existía Instagram ni un modelo de difusión que copia un vídeo en segundos.
Pero fíjate en el detalle político: se tramita como ley orgánica, lo que exige mayoría absoluta en el Congreso. El País y otros medios lo señalan como un escollo real. Traducción: el Gobierno plantea una norma ambiciosa sabiendo que puede quedarse a medias en la negociación parlamentaria. Otra vez anunciamos blindaje digital en rueda de prensa y delegamos el músculo legislativo en un escenario fragmentado. Si llevas años pidiendo reglas claras para usar IA en marketing, esto no te da certeza; te da un debate.
Las excepciones tampoco son balas de plata. Se protege la sátira, la ficción y la creación artística si se indica que hay IA detrás. Suena razonable hasta que intentas aplicarlo en la práctica. ¿Quién verifica que el aviso es visible? ¿Una etiqueta de cuatro píxeles en un Reel cuenta? ¿Una nota al final de un podcast generado con voz clonada basta? La ley dice que en contextos creativos con personas de proyección pública hay margen, pero no define un estándar técnico. En mi experiencia, eso significa litigios, no tranquilidad.
Y luego está la pregunta que nadie responde con números: ¿quién responde cuando una pyme usa una herramienta de IA que clona voces y la herramienta se pasa de la raya? El proveedor del SaaS suele limitar responsabilidad en sus condiciones. El cliente cree que cumple porque ha puesto un checkbox de consentimiento. La víctima demanda al que publicó el anuncio porque es quien factura. La plataforma se escuda en ser mero intermediario. Hemos visto esta película con cookies, con derechos de imagen en campañas de influencers y con música en vídeos corporativos. La ley castiga el uso ilegítimo, pero no obliga a los grandes a diseñar sistemas que impidan la creación abusiva por defecto.
El discurso oficial apunta a los oligarcas tecnológicos, y no me parece descabellado. Pero las pymes españolas no van a recibir una llamada de OpenAI pidiendo perdón si un empleado genera un deepfake con una demo gratuita. Quien va a recibir la reclamación eres tú, con tu dominio en Plesk y tu factura de hosting al día. Si tienes una agencia que gestiona webs de terceros, el riesgo se multiplica: ¿has actualizado el contrato de mantenimiento para cubrir revisión de contenidos generados con IA? Apuesto a que no.
Tampoco me convence que la solución pase solo por más prohibiciones sin inversión en detección y prueba. El Gobierno habla de medidas para que el contenido lesivo no perdure en entornos digitales, según EFE, pero no he visto un calendario ni un presupuesto para herramientas de verificación accesibles a un autónomo. Las grandes plataformas ya tienen equipos de moderación. Tu blog de nicho no. ¿Cómo demuestras que retiraste un vídeo en un plazo razonable si el enlace seguía en caché de un CDN que ni controlas?
En paralelo, España sigue empujando infraestructura de IA con otro discurso: soberanía, gigafactorías, 719 millones para computación avanzada. Son carriles que no se hablan entre sí. Por un lado invertimos para producir más IA. Por otro aprobamos una ley que reacciona a los abusos de esa misma IA sin exigir trazabilidad en los modelos ni etiquetado obligatorio en los metadatos de imagen y audio. Europa lleva tiempo con el AI Act, pero esta reforma es civil y nacional. El empleado de marketing de una tienda online en Valencia no va a leer tres capas normativas antes de publicar un vídeo de producto.
Lo que más me preocupa es el efecto chilling en contenido legítimo. Si el margen de error legal es alto y la prueba de consentimiento es difusa, muchos equipos pequeños van a dejar de usar IA en creatividades aunque la herramienta ahorre tiempo real. Otros harán lo contrario: seguirán generando contenido sin documentar nada porque la probabilidad de sanción parece remota hasta que llega la primera demanda mediática. Ninguna de las dos reacciones es buena para el sector.
Desde el lado técnico, lo mínimo que deberías hacer ya no espera a la ley final. Inventario de dónde usas IA en tu web: descripciones de producto, chatbots, imágenes de catálogo, vídeos de equipo. Registro de consentimientos con fecha y alcance. Política pública de uso de IA en tu sitio. Procedimiento de retirada en 24 horas si alguien reclama. No es paranoia; es higiene digital. La norma solo va a convertir en obligatorio lo que hoy es recomendable.
La reforma de La Vanguardia también menciona nuevos criterios para calcular indemnizaciones según gravedad, repercusión y beneficio obtenido. Eso sí cambia incentivos: usar una deepfake para vender más deja de ser un truco de growth hacking y se convierte en apuesta financiera con cola judicial. Pero de nuevo, el que tiene abogados y seguro de responsabilidad civil duerme mejor que la pyme que factura 200.000 euros.
No digo que la ley sea innecesaria. Digo que llega tarde, que mezcla protección legítima con anuncio político y que deja en tierra de nadie a quien realmente publica en internet cada día. Los grandes tecnológicos seguirán negociando excepciones. Las víctimas de true crime tendrán una vía más clara, y eso cuenta. Pero si esperabas que con un trámite en el Congreso se resolviera el caos de la IA generativa en marketing, te has quedado corto.
El mercado necesitaba reglas hace tres años, cuando ya se podía clonar una voz con un minuto de audio. Ahora legislamos cuando el daño es noticia dominical. Es el patrón habitual: primero la herramienta gratis, luego el escándalo, después la ley, y al final la factura para el que no tiene departamento legal.
Si mañana un cliente te pide un vídeo testimonial generado con IA para ahorrar una jornada de rodaje, ¿tendrías claro qué documento firmarías para dormir tranquilo sabiendo que esta ley puede exigirte prueba de consentimiento explícito y retirada inmediata si alguien reclama?