Explicación de las leyes sobre deepfakes: Regulaciones globales y riesgos legales.

Se prevé que el fraude financiero habilitado por IA generativa supere $ 40 2027 millones de dólares por, frente a los 12.3 millones de dólares de 2023. Gran parte de este crecimiento se debe a los deepfakes. Los vídeos, audios e imágenes generados por IA ahora imitan a personas reales con la suficiente precisión como para burlar las comprobaciones básicas de identidad. Los reguladores lo han notado. Ya existen leyes en Estados Unidos, Reino Unido, la Unión Europea y la región de Asia-Pacífico que regulan la creación, distribución y detección de deepfakes, y se prevé que se promulguen más hasta 2026.

Para los equipos de cumplimiento normativo y los responsables de prevención de fraude en empresas reguladas, este riesgo ya no es teórico. Las leyes sobre deepfakes establecen obligaciones legales concretas y, en algunas jurisdicciones, responsabilidad penal. Esta guía recopila las leyes sobre deepfakes en todo el mundo y explica sus implicaciones para las empresas que dependen de la verificación de identidad.

¿Qué son las leyes sobre deepfakes?

Leyes sobre deepfakes Se trata de leyes o normativas que rigen la creación, distribución y uso de contenido multimedia sintético generado por IA. Generalmente, esto incluye vídeos, audios o imágenes que representan a personas reales en escenarios ficticios. Estas normativas se sitúan en la intersección de la regulación de la IA, la legislación sobre privacidad y la prevención del fraude.

La mayoría de las leyes sobre deepfakes vigentes hasta la fecha se dividen en dos tipos. El primero se centra en el contenido dañino, abarcando imágenes íntimas no consensuales, desinformación política y fraude basado en la identidad. El segundo se centra en los usos comerciales e institucionales de los medios sintéticos generados por IA, exigiendo el etiquetado, mecanismos de consentimiento y divulgación transparente cuando la IA genera contenido sobre personas reales.

Ambos tipos conllevan consecuencias en materia de cumplimiento normativo para las empresas reguladas. Una institución financiera que procese verificaciones de identidad sin controles para detectar rostros sintéticos puede ser objeto de escrutinio regulatorio en el segundo caso, y de responsabilidad penal en el primero si esos rostros están vinculados a coacción o fraude.

Comprender la mecánica técnica de cómo deepfakes Trabaja Proporciona un contexto útil antes de analizar el panorama legal que se detalla a continuación.

¿Cómo se regulan los deepfakes en todo el mundo?

Las leyes sobre deepfakes varían considerablemente en cuanto a alcance, objetivo y aplicación en cada país para 2026. Algunas jurisdicciones se centran en la responsabilidad penal por contenido dañino. Otras se enfocan en los requisitos de divulgación civil para los medios generados por IA en contextos comerciales. Algunas incluso han ido más allá, incorporando estándares de detección técnica directamente en la normativa. Lo que todas comparten es una clara tendencia: la era de los medios sintéticos sin control está llegando a su fin.

Leyes de Deepfake en los Estados Unidos

Las leyes estadounidenses sobre deepfakes operan tanto a nivel federal como estatal. A mediados de 2025, 47 estados de EE. UU. habían promulgado legislación al respecto.El 82% de esas leyes se aprobaron en los dos años anteriores, lo que representa el ritmo legislativo más rápido en cualquier tema relacionado con la IA durante ese período.

A nivel federal, el Ley de QUITARLOLa ley, firmada en mayo de 2025, penaliza la publicación no consentida de imágenes íntimas falsificadas (deepfakes). Las leyes estatales individuales van más allá.

Varios estados han promulgado leyes que penalizan el uso de deepfakes en la interferencia electoral, el fraude financiero y el robo de identidad. Texas, California y Nueva York cuentan con mecanismos de aplicación de la ley distintos para cada categoría de delito.

El panorama de la aplicación de la ley no es uniforme en todos los estados. Las sanciones van desde indemnizaciones civiles hasta cargos penales, dependiendo de la intención y la naturaleza del contenido sintético involucrado.

Leyes británicas sobre deepfakes

La principal ley del Reino Unido sobre deepfakes es la Sección 138 de la Ley de Datos (Uso y Acceso) de 2025., que entró en vigor el 6 de febrero de 2026. Penaliza la creación de imágenes íntimas generadas por IA sin consentimiento, lo que convierte al Reino Unido en una de las pocas jurisdicciones que penalizan la creación en lugar de solo la distribución.

Además, Ofcom tiene autoridad reguladora sobre las plataformas en línea en virtud de la Ley de seguridad en línea de 2023Las plataformas deben implementar sistemas para detectar y eliminar el contenido deepfake antes de que llegue a los usuarios. En el caso de las empresas de servicios financieros reguladas, la FCA ha indicado en sus directrices de supervisión que se espera que los controles biométricos de incorporación aborden específicamente la elusión de la verificación de autenticidad mediante deepfake.

La Unión Europea y la Ley de IA

La Ley de IA de la UE constituye el marco regulatorio más amplio sobre deepfakes vigente. El artículo 50 de la Ley establece obligaciones de transparencia para los sistemas de IA que generan contenido sintético, incluyendo la obligación de revelar cuándo el contenido es generado por IA. Estas obligaciones se aplican a los proveedores y a quienes implementan modelos de IA de propósito general capaces de producir deepfakes.

Las multas por incumplimiento de las normas de transparencia pueden ascender hasta la mayor de las siguientes cantidades: quince millones de euros o el 3 % de la facturación anual global. de conformidad con las disposiciones de transparencia de la Ley de IA de la UELas normas de transparencia para quienes implementan contenido generado por IA entraron en vigor en agosto de 2026.

Para Verificación de identidad Para los proveedores y sus clientes, la obligación pertinente es el etiquetado y la divulgación cuando se utiliza contenido sintético en un flujo de trabajo, incluido el deber de detectar y señalar las entradas generadas por IA que se presentan durante la incorporación.

Asia-Pacífico y más allá

China cuenta con el marco regulatorio más estricto para el etiquetado de deepfakes en la región de Asia-Pacífico. Su normativa sobre síntesis profunda, vigente desde enero de 2023, exige el consentimiento previo para entrenar modelos de IA con la imagen de una persona, la marca de agua obligatoria para el contenido sintético y la verificación del nombre real de los usuarios en las plataformas que alojan contenido sintético.

Australia promulgó en 2024 un marco normativo específico para combatir los daños causados ​​por los deepfakes, ampliando su Ley de Seguridad en Línea para incluir el contenido íntimo generado por IA con sanciones penales. En Singapur, el discurso relacionado con los deepfakes se rige por la Ley de Protección contra la Falsedad y la Manipulación en Línea (POFMA), que permite a los tribunales ordenar la eliminación de contenido falsificado. Las sanciones a las empresas pueden alcanzar el millón de dólares singapurenses.

¿Qué implican las leyes sobre deepfakes para las empresas?

Las leyes sobre la IA deepfake imponen dos presiones distintas a cualquier organización que procese datos de identidad o genere contenido mediante IA. La primera es la obligación de divulgación y etiquetado. La segunda es la obligación de detección y control. Los equipos de cumplimiento normativo son ahora responsables de ambas, y la brecha entre la obligación legal y la preparación técnica es donde se encuentran actualmente la mayoría de las organizaciones.

Obligaciones de etiquetado y divulgación

En virtud de la Ley de IA de la UE y de marcos similares que se están desarrollando en Corea del Sur y Brasil, las empresas que implementan sistemas de IA que generan contenido sintético deben etiquetar ese contenido como generado por IA.

Para los equipos de marketing, comunicaciones y producción de contenido, esto introduce nuevos requisitos de flujo de trabajo que abarcan metadatos de divulgación, estándares de procedencia del contenido y registros de auditoría para los activos generados.

Para las empresas que dependen de la verificación de identidad, la obligación de divulgación es inversa. Su sistema de incorporación debe detectar y rechazar las entradas generadas por IA. De no hacerlo, corre el riesgo de admitir a estafadores al procesar contenido sobre el que su organización no tenía controles documentados, lo que los reguladores tanto del Reino Unido como de la UE consideran un fallo de control.

Responsabilidad penal y riesgo de fraude de identidad

Cómo los estafadores eluden la verificación facial Por lo general, se trata de ataques de inyección de deepfake, en los que se introduce vídeo pregrabado o generado por IA en la transmisión de la cámara para simular una verificación de identidad. En la mayoría de las jurisdicciones con leyes sobre deepfake, el uso de contenido multimedia sintético para suplantar la identidad de alguien durante un proceso de verificación de identidad ya constituye fraude según la legislación penal vigente.

Las nuevas leyes añaden responsabilidad específica por la creación de deepfakes. La creación o posesión de contenido multimedia sintético con fines fraudulentos ahora puede conllevar cargos penales independientes del delito de fraude subyacente.

Para los responsables de cumplimiento normativo, esto es importante. Una empresa que procese o ignore los datos de identidad generados por IA puede enfrentarse a responsabilidad subsidiaria en algunas jurisdicciones, especialmente cuando se demuestre negligencia deliberada.

Cómo Shufti ayuda a las empresas reguladas a verificar la autenticidad frente a las falsificaciones profundas (deepfakes).

La normativa sobre deepfakes impone dos tipos de presión a las instituciones financieras. Uno es legal. Las obligaciones de divulgación y etiquetado de la Ley de IA de la UE y marcos similares exigen que las organizaciones detecten y señalen las identidades generadas por IA. El otro es técnico. Los examinadores ahora esperan poder rechazar rostros sintéticos antes de que sean revisados ​​por un humano.

Shufti detección de deepfake y verificación facial Aborda ambos aspectos. La plataforma cubre más de 56 vectores de ataque contra la suplantación de identidad, incluidos rostros generados por IA, máscaras 3D, ataques de inyección y reproducción de video, con una tasa de falsa aceptación (FAR) inferior a 0.001. Esta cifra fue validada externamente por el programa RIVR del Departamento de Seguridad Nacional en 2025, lo que significa que menos de 1 de cada 1,000 intentos fraudulentos superan la capa biométrica.

La arquitectura admite la implementación local para instituciones donde los datos biométricos no pueden salir de su propia infraestructura, junto con una combinación de IA híbrida y revisión humana para casos excepcionales donde la toma de decisiones automatizada por sí sola es insuficiente.

Para los equipos de cumplimiento que construyen una respuesta defendible a las leyes de IA deepfake, Informe del GAFI Horizon Scan sobre deepfakes Describe lo que los reguladores esperan ahora de los controles de detección de las instituciones financieras.