Deepfakes para estafar: la industria los fabrica en segundos, la ley tarda 48 horas en borrarlos

Por Pulzo · 13 de septiembre de 2026.

Un deepfake —vídeo, audio o imagen hiperrealista generada con inteligencia artificial que hace decir o hacer a una persona real algo que nunca ocurrió— ya no es solo el ingrediente de una broma viral. Según advierte ESET, la firma de ciberseguridad, estas piezas se usan cada vez más para extorsionar, acosar, difamar y estafar, aprovechando que la tecnología permite fabricarlas a costos mínimos y con enorme velocidad. La respuesta legal, mientras tanto, avanza fragmentada por países: en Estados Unidos rige la TAKE IT DOWN Act, que obliga a las plataformas a retirar en un máximo de 48 horas el contenido íntimo no consensuado reportado; el Reino Unido fijó el mismo plazo con su Online Safety Act y su Data Act; y la Unión Europea prohibirá con la AI Act los sistemas diseñados para crear ese tipo de imágenes, dejando el resto de casos —fraude, chantaje, suplantación— en manos de la legislación de cada Estado miembro.

La nota, dirigida a audiencia colombiana, detalla el protocolo recomendado: conservar capturas de pantalla, URL, usuario y fecha; evitar interactuar con la cuenta que difunde el contenido para no amplificar su alcance; y reportarlo en cada red —Facebook, Instagram, TikTok, YouTube, X— explicando con precisión el daño (fraude, acoso, suplantación) y no solo que «es IA». Para imágenes íntimas no consensuadas, la vía especializada es StopNCII.org, gestionada por la organización británica SWGfL, que genera una huella digital del archivo para que Meta, TikTok, Reddit y X bloqueen coincidencias sin necesidad de subir la imagen a ningún servidor; para menores existe el equivalente TakeItDown.NCMEC.org. Mario Micucci, investigador de ESET Latinoamérica citado en el artículo, resume el criterio clave: hay que ser específico sobre el daño y persistente, contactando en paralelo a la plataforma, el buscador y el regulador.

Nuestra lectura: este catálogo de trámites retrata una asimetría que define buena parte del problema de seguridad de la IA generativa a corto plazo. Fabricar un deepfake cuesta minutos y cada vez menos dinero; retirarlo exige capturas de pantalla, formularios, un plazo legal de 48 horas donde existe ley, y paciencia para escalar caso por caso donde no existe. Es la misma lógica de fondo que vemos en otros frentes de gobernanza de IA: el cuello de botella no es la capacidad técnica de crear o detectar contenido sintético, sino la fricción institucional para actuar sobre él a tiempo.

Ahí asoma un vacío que la propia pieza deja entrever sin decirlo: pensada para lectores colombianos, no cita ninguna ley colombiana equivalente a la TAKE IT DOWN Act o a la AI Act. Todo el andamiaje con dientes que menciona —plazos vinculantes de 48 horas, derecho de supresión del artículo 17 del RGPD, autoridades de protección de datos— pertenece a Estados Unidos, Reino Unido y la Unión Europea. Un usuario en Bogotá o Medellín puede acudir a StopNCII.org o reportar en cada red, pero no cuenta con la misma palanca legal con plazo obligatorio que sí tiene alguien en Londres o Múnich. En general, esa desigualdad de protección entre jurisdicciones reguladas y el resto del mundo es uno de los efectos colaterales menos discutidos de una IA generativa que se distribuye globalmente mientras la ley sigue siendo, por diseño, local.

A largo plazo, la salida razonable no es solo litigar más rápido, sino que verificar cueste tan poco como generar: huellas digitales como las de StopNCII, credenciales de procedencia del contenido o marcas de agua verificables tendrían que venir integradas por defecto en las mismas herramientas que hoy fabrican estas imágenes. Esa es la infraestructura de confianza que hace falta para que la IA cumpla su promesa de abundancia sin que cada avance técnico abra, al mismo tiempo, una vía nueva de fraude. Mientras tanto, el corto plazo se sigue pareciendo a esto: la víctima convertida en investigadora improvisada, formulario en mano, corriendo detrás de una tecnología que ya se fue.