Los deepfakes ya no son solo un riesgo reputacional: ¿qué deben documentar las empresas tras el AI Act?
El artículo 50 del AI Act establece obligaciones de transparencia y divulgación para imágenes, audio y vídeos generados o manipulados por IA que constituyan deepfakes. Registrar el modo de…
Actualizado: 3 de septiembre de 2026 · Categoría: IA, seguridad de datos e infracciones
Los deepfakes ya no son solo un riesgo reputacional: ¿qué deben documentar las empresas tras el AI Act?
El artículo 50 del AI Act establece obligaciones de transparencia y divulgación para imágenes, audio y vídeos generados o manipulados por IA que constituyan deepfakes. Registrar el modo de producción, la herramienta utilizada, el control humano y la aprobación de publicación no constituye una obligación autónoma de registro específicamente regulada por ese artículo; es una práctica que refuerza el cumplimiento, la gobernanza y, cuando sea necesario, la capacidad probatoria de la empresa.
Contenido- Respuesta breve
- ¿Por qué importa?
- ¿Qué deben hacer las empresas?
- ¿Cómo medir estos controles?
- Fuentes
- Preguntas frecuentes
El artículo 50 del AI Act establece obligaciones de transparencia y divulgación para imágenes, audio y vídeos generados o manipulados por IA que constituyan deepfakes. Registrar el modo de producción, la herramienta utilizada, el control humano y la aprobación de publicación no constituye una obligación autónoma de registro específicamente regulada por ese artículo; es una práctica que refuerza el cumplimiento, la gobernanza y, cuando sea necesario, la capacidad probatoria de la empresa.
¿Por qué es importante?El riesgo de los deepfakes va más allá de las noticias falsas y los ataques reputacionales. Cuando una marca crea mediante IA la imagen, voz o conducta de una persona real en su propia publicidad, pueden entrar en juego tanto las reglas de transparencia del artículo 50 del AI Act como la impresión causada en el consumidor.
Conviene distinguir la divulgación legal del artículo 50 de los registros internos de prueba. Registrar el modelo, el momento de producción, la supervisión humana y la aprobación es una buena práctica de gobernanza; sería incorrecto presentar todos esos registros como una obligación autónoma de «Evidence Pack» expresamente impuesta por dicho artículo.
¿ Qué deben hacer las empresas? 7 controles antes de publicar un deepfake- Determine si el contenido representa artificialmente a una persona o un suceso real.
- Distinga las responsabilidades del proveedor y del responsable del despliegue según el caso de uso.
- Compruebe la capacidad necesaria de marcado legible por máquina.
- Documente si se requiere divulgación por el responsable del despliegue y cómo se aplica de forma visible.
- Verifique por separado las autorizaciones relativas a la imagen, voz y derechos de la personalidad de la persona real.
- No dé la impresión engañosa de que la persona realmente probó o recomendó el producto.
- Conserve el archivo final, la decisión de divulgación y la aprobación humana en el registro de versiones.
| Control | KPI |
|---|---|
| Clasificación de deepfakes | Cobertura de clasificación |
| Marcado del proveedor | Tasa de éxito de las pruebas de marcado legible por máquina |
| Divulgación por el responsable del despliegue | Integridad de la divulgación |
| Derechos de la personalidad | Cobertura de pruebas de consentimiento o licencia |
| Control humano | Cobertura de revisión humana |
| Versión | Trazabilidad de los archivos publicados |
En vez de usar solo el número de deepfakes como KPI, mida cuántos de los relevantes cuentan conjuntamente con divulgación, control de derechos y pruebas de la versión final.
Evaluación especializadaLa distinción esencial en la gobernanza de deepfakes no es solo si el contenido se creó con IA, sino qué realidad imita y sobre qué puede engañar al usuario. Un personaje virtual totalmente ficticio y la réplica digital de un directivo o cliente real presentan riesgos diferentes.
¿Cómo distinguir los niveles de riesgo de los deepfakes?El ciclo de vida de un archivo deepfake va más allá de su producción. La identidad de la persona real representada, el contexto imitado, el grado de manipulación del audio o la imagen y la percepción de realidad creada por el anuncio son señales de riesgo distintas. Un comunicado empresarial con la voz sintética de un directivo exige, por ejemplo, controles diferentes a los de un avatar totalmente ficticio que describe un producto.
En usos que sugieren testimonios o recomendaciones, el significado del mensaje importa tanto como la técnica de producción. Dar la impresión de que una persona real hizo una recomendación que nunca formuló no se resuelve solo añadiendo «Creado con IA». La divulgación, la titularidad de derechos y el carácter engañoso del anuncio deben evaluarse por separado.
Trazabilidad final de los archivosSi el equipo crea muchas variantes, conservar solo la carpeta del proyecto no basta. Debe poder mostrarse qué archivo se publicó, cuándo, en qué plataforma y con qué divulgación. Reunir el hash del archivo final, el ID de la creatividad, la URL de publicación y la aprobación en un mismo expediente permite detectar antes las variantes modificadas o reutilizadas por error.
Plan de incidentes con deepfakes tras la publicaciónSi un deepfake se usa indebidamente o se reutiliza sin permiso, retirar solo la creatividad puede no bastar. Compruebe su difusión en otras cuentas sociales, bibliotecas de anuncios o canales de terceros. El hash del original aprobado y sus registros de publicación ayudan a distinguir el contenido de la marca de copias modificadas después.
La gobernanza de medios sintéticos continúa, por tanto, tras la aprobación previa a la producción. Un procedimiento de incidentes separado puede cubrir la retirada, la detección de usos indebidos, la notificación a titulares de derechos y la prevención de la reutilización. En contenidos con altos directivos o personas conocidas también reduce riesgos reputacionales y de fraude.
Análisis de Riesgo Digital y CumplimientoB10 puede evaluar el uso de deepfakes y medios sintéticos con puntuaciones de riesgo separadas para clasificación, divulgación, titularidad de derechos y pruebas de la versión publicada.
Contenidos relacionados- Vendedores no autorizados y riesgo de marca en la exportación digital: ¿quién vende su marca en los mercados globales?
- El caso Travelport: ¿cómo causó un error de API una brecha de datos que afectó a 73.000 personas?
- ¿Cómo se convierten las vulnerabilidades de seguridad de API en infracciones de la KVKK? Guía de privacidad y exposición de API para empresas
- Comisión Europea – directrices de transparencia del artículo 50 del AI Act
- AI Act de la UE – Reglamento (UE) 2024/1689
Las fuentes se verificaron a 3 de septiembre de 2026. Los casos jurídicos concretos requieren también examinar el texto vigente y asesoramiento especializado.
Preguntas frecuentes ¿Por qué es importante ahora?El artículo 50 del AI Act establece obligaciones de transparencia y divulgación para imágenes, audio y vídeos generados o manipulados por IA que constituyan deepfakes. Registrar el modo de producción, la herramienta utilizada, el control humano y la aprobación de publicación no constituye una obligación autónoma de registro específicamente regulada por ese artículo; es una práctica que refuerza el cumplimiento, la gobernanza y, cuando sea necesario, la capacidad probatoria de la empresa.
¿Qué deben comprobar las empresas primero?Inventaríe la práctica actual y los flujos de datos o de trabajo.
¿Basta con un control puntual?No. Los registros internos de producción y aprobación son una buena práctica de gobernanza y prueba; no deben considerarse en su conjunto una obligación autónoma de registro establecida con ese nombre en el artículo 50.
¿Qué puede aportar B10?B10 puede reunir el inventario de medios sintéticos, la clasificación de deepfakes, los controles de divulgación y el seguimiento de versiones creativas en un único flujo de pruebas.