Durante mucho tiempo, Internet se percibió como un territorio donde las normas llegaban tarde y las responsabilidades resultaban difíciles de exigir. Aquella idea tenía algo de verdad, pero hoy resulta jurídicamente insostenible. En España tienes derecho a proteger tus datos personales, tu intimidad, tu imagen y tu identidad digital, incluso cuando intervienen algoritmos o sistemas de inteligencia artificial. El Reglamento General de Protección de Datos (RGPD), la legislación española y las nuevas normas europeas establecen garantías concretas, aunque su aplicación depende de las circunstancias de cada conflicto.
Imagina que descubres un vídeo falso en el que apareces diciendo algo que jamás has pronunciado. O que una empresa rechaza tu candidatura porque un algoritmo ha elaborado un perfil sobre ti utilizando información que desconocías. La tecnología puede convertir una decisión aparentemente sencilla en un problema jurídico bastante serio. Y la sofisticación del programa utilizado no concede a nadie una licencia para vulnerar derechos fundamentales.
Comprender Qué derechos digitales tienes en España y cómo protegerlos ante la inteligencia artificial exige identificar las normas aplicables, conocer sus límites y distinguir las vías de reclamación disponibles. A continuación, examinaremos las principales garantías legales, los riesgos relacionados con los deepfakes y las decisiones automatizadas, y las actuaciones que puedes valorar cuando una plataforma, empresa o particular utiliza indebidamente tu información.
Qué derechos digitales protege la legislación española y europea
A tener en cuenta: Los derechos digitales en España se apoyan en garantías constitucionales y normas europeas y nacionales. El RGPD protege los datos personales; la Ley Orgánica 3/2018 desarrolla derechos vinculados al entorno digital, y la Ley Orgánica 1/1982 tutela civilmente el honor, la intimidad y la propia imagen. Su ejercicio está sujeto a requisitos y límites legales.
Privacidad, protección de datos y control de la identidad digital
El artículo 18 de la Constitución española protege la intimidad personal y familiar, el honor y la propia imagen. Su apartado cuarto establece, además, una garantía específica frente al uso de la informática. Esta previsión constitucional adquiere especial importancia cuando nuestros datos circulan por servicios que elaboran perfiles, predicen comportamientos o condicionan decisiones mediante sistemas automatizados.
El Reglamento General de Protección de Datos, Reglamento (UE) 2016/679, y la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), proporcionan buena parte de las herramientas jurídicas para controlar esos tratamientos. No obstante, sería un error reducir los derechos digitales al consentimiento para aceptar cookies. El sistema de garantías es considerablemente más amplio.
Entre los principales derechos reconocidos por el RGPD destacan los siguientes:
- Derecho de acceso: permite conocer si una organización trata tus datos personales y obtener información sobre las finalidades, categorías de datos, destinatarios y otros aspectos legalmente previstos.
- Derecho de rectificación: permite solicitar la corrección de información personal inexacta y completar los datos incompletos cuando corresponda.
- Derecho de supresión: permite pedir la eliminación de determinados datos cuando concurren las causas legales, por ejemplo, cuando dejan de ser necesarios para la finalidad que justificó su recogida.
- Derecho de oposición: permite oponerte a determinados tratamientos, especialmente los basados en el interés público o legítimo, atendiendo a los requisitos y excepciones aplicables.
- Derecho a la limitación del tratamiento: permite restringir temporalmente ciertas operaciones sobre tus datos en las situaciones contempladas por la normativa.
- Derecho a la portabilidad: permite recibir ciertos datos en un formato estructurado y transmitirlos a otro responsable cuando se cumplen las condiciones previstas en el artículo 20 del RGPD.
La Agencia Española de Protección de Datos explica el alcance de estos derechos y recuerda que su ejercicio no es ilimitado (AEPD, s. f.). Una entidad puede estar obligada a conservar determinados datos por exigencias legales, incluso cuando el interesado solicita su eliminación.
Ejemplo práctico: imagina que cancelas una cuenta en una aplicación de servicios profesionales y descubres que la empresa conserva información utilizada anteriormente para elaborar recomendaciones personalizadas. Puedes solicitar información sobre el tratamiento y valorar la supresión de los datos que ya no resulten necesarios. La empresa deberá examinar la petición, justificar su actuación y cumplir las obligaciones de conservación que correspondan.
La cuestión se complica cuando hablamos de identidad digital. Una persona puede identificarse mediante su nombre, fotografía o credenciales, pero su representación en Internet también puede construirse mediante hábitos de navegación, valoraciones, relaciones y conclusiones extraídas por algoritmos.
Como explica Lorenzo Cotino, presidente de la Agencia Española de Protección de Datos, la identidad digital plantea cuestiones que van más allá de los mecanismos utilizados para identificarse en Internet. También comprende la representación de la persona construida mediante sus datos, perfiles e inferencias, lo que exige analizar nuevas garantías de protección (Cotino, 2026).
Este planteamiento importa especialmente en el ejercicio jurídico. Un perfil elaborado por inteligencia artificial puede contener datos correctos y, aun así, conducir a conclusiones discutibles o discriminatorias. Determinar si existe un tratamiento ilícito exige examinar su finalidad, fundamento legal, exactitud y consecuencias.
Qué ocurre con el derecho al olvido y la Carta de Derechos Digitales
El derecho al olvido merece una precisión que suele desaparecer en las explicaciones apresuradas. Solicitar la retirada de un resultado de búsqueda no equivale necesariamente a eliminar el contenido original de la página donde se publicó.
Los artículos 93 y 94 de la LOPDGDD regulan derechos relacionados con la desvinculación de resultados en buscadores y la supresión de datos en redes sociales. Su aplicación requiere valorar la pertinencia de la información, el tiempo transcurrido, las circunstancias personales y el interés público, entre otros factores (BOE, 2018).
También debes distinguir la Carta de Derechos Digitales española, aprobada en 2021, de las normas directamente exigibles. La Carta constituye un instrumento orientador que identifica principios y desafíos de la digitalización, pero carece por sí misma de naturaleza normativa vinculante.
Su importancia jurídica es indudable como referencia para el desarrollo e interpretación de garantías. Ahora bien, pretender fundamentar exclusivamente en ella una reclamación judicial sería confundir una declaración de principios con una disposición legal que establece obligaciones concretas.
Derecho al honor, a la propia imagen y protección de menores en Internet
La publicación de una fotografía puede parecer un gesto inocente. Sin embargo, cuando se difunden imágenes, conversaciones privadas o contenidos que afectan a la reputación de una persona, entran en juego derechos protegidos por el artículo 18 de la Constitución y por la Ley Orgánica 1/1982, de protección civil del derecho al honor, a la intimidad personal y familiar y a la propia imagen.
Esta ley permite reaccionar frente a determinadas intromisiones ilegítimas, atendiendo a factores como el consentimiento, el contexto, la finalidad, la existencia de interés público y las excepciones legales. El hecho de que una fotografía pueda consultarse en una red social no autoriza automáticamente cualquier utilización posterior.
Para examinar una posible vulneración, resulta útil identificar cuatro elementos:
- El contenido utilizado: imagen, voz, información privada o expresiones potencialmente lesivas.
- El origen y la autorización: cómo se obtuvo y qué consentimiento se prestó, si era necesario.
- La finalidad de la difusión: información, publicidad, entretenimiento, humillación u otros propósitos.
- Las circunstancias y consecuencias: alcance de la publicación, identificación de la persona e intereses jurídicos afectados.
En determinados supuestos puede concurrir una intromisión civilmente ilegítima sin que exista delito. Esta distinción es elemental para un abogado en formación: la ilicitud civil y la responsabilidad penal responden a presupuestos distintos. La vía penal exige comprobar que los hechos encajan en un tipo delictivo concreto.
La protección resulta especialmente delicada cuando intervienen menores. El artículo 7 de la LOPDGDD establece que el consentimiento para el tratamiento de datos personales de menores de catorce años, cuando dicho tratamiento se funde en el consentimiento, requiere la intervención de quienes ejerzan la patria potestad o tutela. Desde esa edad, el menor puede consentir determinados tratamientos, con las excepciones legalmente previstas (BOE, 2018).
Además, los artículos 84 y 92 de la misma ley refuerzan la protección de los menores en Internet, especialmente cuando se publican sus datos o imágenes.
- Ejemplo práctico: un centro educativo publica fotografías identificables de sus alumnos en una red social. Para valorar la licitud de esa difusión habrá que examinar su finalidad, la base jurídica correspondiente y las garantías del interés superior del menor. Una autorización genérica no debe interpretarse como permiso ilimitado para utilizar las imágenes en cualquier contexto.
La exposición de menores también plantea problemas cuando son sus propios familiares quienes publican imágenes de manera reiterada, fenómeno conocido como sharenting. La relación familiar no elimina la necesidad de respetar los derechos del menor.
A estas garantías se suman otros derechos digitales previstos en la LOPDGDD, como la desconexión digital en el ámbito laboral, la protección de la intimidad frente a determinados dispositivos de vigilancia y las garantías relacionadas con el acceso a Internet.
El marco jurídico, por tanto, existe. Lo verdaderamente complejo aparece cuando la inteligencia artificial permite reconstruir identidades, fabricar contenidos aparentemente auténticos y adoptar decisiones cuyo razonamiento resulta difícil de examinar.
Cómo afectan la inteligencia artificial, los deepfakes y las plataformas a tus derechos
Idea clave: La inteligencia artificial puede comprometer la privacidad, la identidad digital y la igualdad cuando trata datos personales, genera contenidos manipulados o interviene en decisiones relevantes. El RGPD, la legislación civil y el Reglamento europeo de Inteligencia Artificial establecen garantías diferentes. Las plataformas, además, están sometidas a obligaciones específicas conforme al Reglamento de Servicios Digitales.
Deepfakes y suplantación de identidad: cuándo pueden vulnerar la ley
Un deepfake es un contenido audiovisual generado o manipulado mediante inteligencia artificial que puede representar de forma aparentemente auténtica a personas, objetos, lugares o acontecimientos. Su capacidad para reproducir rostros, voces y gestos ha introducido dificultades considerables para proteger la identidad digital y determinar la autenticidad de una publicación.
Imagina que alguien utiliza fotografías públicas de una profesional para crear un vídeo en el que aparentemente reconoce haber cometido un fraude. Después, distribuye la grabación por distintas redes sociales. Aunque el contenido sea artificial, sus consecuencias pueden afectar al honor, a la imagen y a la reputación de la persona representada.
La Ley Orgánica 1/1982 ofrece instrumentos de protección civil frente a determinadas intromisiones ilegítimas. Además, según el contenido, la forma de obtención o difusión y las circunstancias acreditadas, podrían resultar aplicables disposiciones penales relativas a la intimidad, la integridad moral u otros bienes jurídicos.
No obstante, debemos evitar una conclusión precipitada: no todo deepfake constituye automáticamente un delito. La valoración jurídica exige identificar la conducta concreta y comprobar los elementos previstos en la legislación.
El jurista Jorge Antonio Climent Gallart analiza precisamente esta dificultad en su investigación sobre deepfakes satíricos o paródicos. Su estudio explica que estas creaciones pueden plantear conflictos entre la libertad artística y la protección de los derechos fundamentales, por lo que resulta necesario examinar el contexto, el contenido y las obligaciones de transparencia (Climent Gallart, 2025).
La parodia merece protección jurídica, pero no concede inmunidad frente a cualquier lesión de derechos. Una publicación humorística puede estar amparada por la libertad de expresión y, en otras circunstancias, constituir una intromisión ilegítima. El calificativo de «sátira» no resuelve por sí mismo el problema.
Aquí interviene el Reglamento (UE) 2024/1689, de Inteligencia Artificial, conocido como AI Act. Su artículo 50 contempla obligaciones de transparencia para determinados contenidos creados o manipulados mediante IA.
Desde el 2 de agosto de 2026 son aplicables, entre otras, determinadas obligaciones de revelar que un contenido audiovisual que constituye una ultrafalsificación ha sido generado o manipulado artificialmente. El Reglamento establece excepciones y reglas específicas para contenidos artísticos, creativos, satíricos o de ficción.
La Comisión Europea diferencia las obligaciones de identificación técnica de contenidos correspondientes a los proveedores de determinados sistemas y las obligaciones de información que corresponden a quienes los utilizan en los supuestos regulados (Comisión Europea, 2026).
La transparencia tampoco equivale a una autorización para vulnerar derechos. Identificar un vídeo como artificial no hace lícita, por ese único motivo, una utilización ilegítima de la imagen ajena.
Uso de datos personales y decisiones automatizadas mediante IA
La inteligencia artificial necesita información para desarrollar numerosas funciones. El problema jurídico surge cuando esa información incluye datos personales utilizados sin una base legitimadora adecuada, para finalidades incompatibles o sin las garantías exigibles.
Una empresa puede emplear datos para entrenar modelos, elaborar perfiles o apoyar decisiones comerciales. Cada tratamiento debe analizarse conforme al RGPD, con especial atención a su fundamento jurídico, la finalidad, la minimización, la transparencia y la proporcionalidad.
Esto obliga a desmontar otra idea bastante extendida: la utilización de datos personales no exige siempre consentimiento. El artículo 6 del RGPD contempla distintas bases jurídicas, entre ellas el cumplimiento de obligaciones legales y el interés legítimo cuando concurren sus requisitos. Si aparecen categorías especiales de datos, como información sobre salud, entran en juego las condiciones adicionales del artículo 9.
Por ejemplo, que una fotografía sea públicamente accesible no significa que pueda incorporarse indiscriminadamente a cualquier conjunto de entrenamiento. Habrá que estudiar si existen datos personales, quién determina las finalidades y medios del tratamiento, cuál es la base jurídica invocada y qué garantías se han establecido.
El análisis cambia cuando el algoritmo participa en una decisión que afecta significativamente a una persona.
El artículo 22 del RGPD reconoce garantías frente a decisiones basadas únicamente en tratamientos automatizados, incluida la elaboración de perfiles, cuando producen efectos jurídicos o afectan de manera similar y significativa al interesado.
Ejemplo práctico: decisión automatizada sobre una candidatura laboral
Una empresa utiliza un sistema que evalúa automáticamente solicitudes de empleo. El programa asigna puntuaciones a los candidatos y descarta determinadas candidaturas sin que exista una valoración humana real antes de que se produzcan consecuencias significativas.
Para analizar el supuesto habría que comprobar:
- Si la decisión está basada exclusivamente en tratamiento automatizado.
- Si produce efectos jurídicos o una afectación significativamente equivalente.
- Si concurre alguna de las excepciones previstas en el artículo 22 del RGPD.
- Qué medidas de información, intervención humana e impugnación resultan exigibles.
- Si se han utilizado categorías especiales de datos o criterios potencialmente discriminatorios.
La existencia de una excepción legal tampoco elimina las garantías correspondientes. En determinadas situaciones, el responsable debe facilitar la posibilidad de obtener intervención humana, expresar el propio punto de vista e impugnar la decisión.
La intervención humana efectiva merece especial atención. La Agencia Española de Protección de Datos explica que incorporar formalmente a una persona en el proceso resulta insuficiente si esta carece de autoridad, competencia, capacidad o independencia para examinar realmente el resultado (AEPD, 2024).
Una persona que se limita a confirmar automáticamente las conclusiones del sistema puede no aportar una intervención jurídicamente significativa. El análisis debe atender al funcionamiento real del procedimiento, no al nombre del departamento encargado de supervisarlo.
Además, el Reglamento europeo de Inteligencia Artificial identifica determinados usos en empleo, educación, servicios esenciales y otras materias como sistemas potencialmente de alto riesgo.
Aquí importa especialmente el calendario normativo. Según la información oficial de la Comisión Europea actualizada el 20 de octubre de 2026, las reglas específicas de alto riesgo del anexo III serán aplicables desde el 2 de diciembre de 2027, y las relativas a determinados sistemas incorporados en productos, desde el 2 de agosto de 2028.
Por tanto, sería incorrecto presentar todas esas obligaciones específicas como plenamente exigibles en octubre de 2026. Ello no suspende la aplicación del RGPD ni de otras normas vigentes a los tratamientos que ya se están realizando (Comisión Europea, 2026).
Responsabilidad de las plataformas ante contenidos ilícitos
Cuando un contenido perjudicial circula por redes sociales, la responsabilidad jurídica puede involucrar a varios sujetos. El autor de la publicación constituye un punto de partida, pero también deben examinarse las actuaciones de otros usuarios y del intermediario digital.
El Reglamento (UE) 2022/2065, de Servicios Digitales, conocido como DSA, establece obligaciones para determinados prestadores de servicios intermediarios. Entre ellas figuran mecanismos que permiten notificar la presencia de contenidos presuntamente ilícitos.
Su artículo 16 regula los sistemas de notificación y acción para servicios de alojamiento de datos. Estos mecanismos deben permitir comunicar contenidos concretos y facilitar información suficientemente precisa para su evaluación.
Supongamos que una red social aloja un vídeo manipulado que contiene afirmaciones potencialmente difamatorias sobre una persona. La afectada puede utilizar el sistema de notificación de la plataforma e identificar la publicación y los motivos que justificarían su ilicitud.
Sin embargo, una notificación no convierte automáticamente el contenido en ilegal. La plataforma deberá valorar la comunicación conforme a las obligaciones que le resulten aplicables y adoptar las medidas correspondientes cuando proceda.
La investigadora Laura Herrerías Castro examina esta distribución de responsabilidades en su estudio sobre difamación en redes sociales. Su análisis permite comprender por qué la responsabilidad puede alcanzar a diferentes participantes, pero exige valorar individualmente sus conductas y los presupuestos legales del régimen de responsabilidad (Herrerías Castro, 2024).
Esta distinción tiene especial relevancia para los futuros abogados. La responsabilidad del creador del contenido y la del intermediario digital no responden necesariamente al mismo fundamento jurídico. Los regímenes de exención condicionada establecidos para determinados intermediarios deben analizarse antes de atribuirles responsabilidad por publicaciones ajenas.
También es importante distinguir un contenido ilícito de una información simplemente controvertida o discutible. La mera calificación de «desinformación» no determina, por sí sola, que exista una infracción jurídica.
La variedad de situaciones que pueden aparecer con la inteligencia artificial aconseja ordenar los problemas según el derecho afectado, la normativa aplicable y las posibles actuaciones iniciales.
Cuando surge un problema digital, ¿qué derecho puede estar afectado?
Selecciona una de las seis situaciones para conocer las garantías jurídicas relacionadas, su marco normativo y una posible actuación inicial.
Uso indebido de datos personales Consultar detalle Derecho afectado Privacidad y protección de datos Marco jurídico RGPD y LOPDGDD Posible actuación Ejercer los derechos correspondientes ante el responsable
El tratamiento de datos personales requiere una base jurídica adecuada y el cumplimiento de los principios del RGPD. Puedes solicitar información sobre los datos utilizados y ejercer los derechos que correspondan ante el responsable del tratamiento. Si no recibes una respuesta adecuada a tu solicitud, o existen indicios de otras infracciones, puedes valorar una reclamación ante la Agencia Española de Protección de Datos (AEPD).
Deepfake de imagen o voz Consultar detalle Derecho afectado Honor, propia imagen e intimidad Marco jurídico LO 1/1982, RGPD y artículo 50 del Reglamento de IA Posible actuación Conservar pruebas y solicitar revisión del contenido
La utilización de rasgos personales mediante inteligencia artificial puede afectar al honor, la intimidad o la propia imagen según el contenido, el contexto y la finalidad. Conserva las evidencias y examina si procede solicitar la retirada del material o ejercitar acciones civiles. El artículo 50 del Reglamento de IA contempla determinadas obligaciones de transparencia sobre contenidos sintéticos y ultrafalsificaciones, pero la falta de transparencia y la eventual ilicitud del contenido son cuestiones que deben analizarse de forma diferenciada. La posible relevancia penal requiere una valoración específica.
Suplantación de identidad Consultar detalle Derecho afectado Identidad, honor y protección de datos Marco jurídico RGPD, LO 1/1982 y normativa penal aplicable Posible actuación Documentar los hechos y comunicar la suplantación
Un perfil que utiliza indebidamente la identidad de otra persona puede afectar a diferentes derechos. Conserva las evidencias, identifica las actuaciones realizadas desde la cuenta y comunica los hechos a la plataforma. Si existen fraudes, amenazas u otras conductas potencialmente delictivas, valora acudir a las autoridades competentes. No toda suplantación constituye automáticamente un delito: la calificación depende de los hechos.
Decisión automatizada relevante Consultar detalle Derecho afectado Protección de datos y no discriminación Marco jurídico Artículo 22 del RGPD y Reglamento de IA Posible actuación Solicitar información y examinar las garantías
Cuando una decisión se basa exclusivamente en un tratamiento automatizado y produce efectos jurídicos sobre una persona o le afecta significativamente de modo similar, pueden resultar aplicables las garantías del artículo 22 del RGPD. Deben examinarse las excepciones previstas legalmente, las garantías exigibles en cada caso y la posible intervención humana. El Reglamento de IA puede establecer obligaciones adicionales según el tipo de sistema y su ámbito de utilización.
Contenido presuntamente ilícito Consultar detalle Derecho afectado Honor, intimidad y otros derechos Marco jurídico Reglamento de Servicios Digitales y legislación civil Posible actuación Utilizar el mecanismo de notificación de la plataforma
Los prestadores de servicios de alojamiento de datos sujetos al Reglamento de Servicios Digitales deben ofrecer mecanismos que permitan notificar contenidos presuntamente ilícitos. Identifica su ubicación concreta y explica de forma suficientemente fundamentada por qué consideras que infringe la normativa. Una notificación no determina automáticamente la retirada del contenido ni establece por sí sola la responsabilidad del intermediario.
Difusión de imágenes de menores Consultar detalle Derecho afectado Privacidad, propia imagen e interés superior del menor Marco jurídico LOPDGDD, artículos 7, 84 y 92 Posible actuación Solicitar protección y valorar vías urgentes
La publicación de imágenes o información identificable de menores requiere especial cautela. Deben examinarse la base jurídica, las reglas de consentimiento aplicables y la protección de su interés superior. El artículo 84 de la LOPDGDD contempla la intervención del Ministerio Fiscal cuando la difusión en determinados servicios pueda implicar una intromisión ilegítima en sus derechos fundamentales. Según las circunstancias, pueden proceder medidas de protección urgentes.
Información jurídica orientativa. La normativa y las vías de protección dependen de los hechos concretos, la naturaleza del conflicto y la autoridad competente. Este mapa no sustituye el asesoramiento jurídico individualizado.
La coexistencia de normas civiles, administrativas, penales y europeas está modificando las exigencias profesionales del sector jurídico. Para quien comienza sus estudios de Derecho, prepararse para los retos jurídicos del futuro exige dominar los fundamentos jurídicos y desarrollar capacidad crítica para aplicarlos a tecnologías cuyo funcionamiento puede resultar complejo.
No basta con identificar el artículo legal. Hay que comprender qué conducta se ha producido, quién interviene, qué efectos genera y qué garantías resultan exigibles. Esa capacidad de análisis será decisiva cuando pasemos de describir una posible vulneración a elegir una vía de protección concreta.
Qué hacer si vulneran tus derechos digitales y qué retos quedan por resolver
Qué debes saber: Ante una posible vulneración de tus derechos digitales, identifica al responsable, conserva las pruebas relevantes y determina qué vía jurídica corresponde. Puedes ejercer derechos ante el responsable del tratamiento, notificar contenidos a plataformas o acudir a autoridades competentes. Según los hechos, también podrían proceder acciones civiles, denuncias penales o medidas urgentes de protección.
Cómo solicitar la retirada de contenidos o reclamar por tus datos
Descubrir que alguien utiliza tus datos sin autorización, suplanta tu identidad o difunde una imagen manipulada puede generar una sensación inmediata de indefensión. Sin embargo, una actuación precipitada también puede perjudicar la protección posterior de tus derechos, especialmente si desaparecen las pruebas necesarias.
El primer objetivo debe ser identificar correctamente el conflicto jurídico. Una utilización irregular de datos personales no requiere necesariamente la misma respuesta que una publicación difamatoria, una suplantación de identidad o una amenaza difundida mediante una plataforma digital.
Aunque cada situación presenta particularidades, existe una secuencia inicial que permite organizar las actuaciones de manera razonable.
1. Identifica la conducta y sus posibles responsables
Determina qué ha sucedido, cuándo lo descubriste, qué contenido o información resulta afectado y quién podría haber intervenido. Debes diferenciar al creador de una publicación, al responsable de un tratamiento de datos y a la plataforma que aloja el contenido.
Esta distinción condicionará la vía de reclamación. Dirigir una petición al sujeto equivocado puede retrasar la solución y dificultar la identificación de responsabilidades.
2. Conserva las pruebas digitales relevantes
Antes de solicitar la retirada de una publicación, resulta recomendable recopilar elementos que permitan acreditar su existencia y características.
Una documentación inicial útil puede incluir:
- Capturas de pantalla completas, con fechas y contexto cuando sea posible.
- Identificación de perfiles y direcciones de las publicaciones.
- Comunicaciones intercambiadas con los posibles responsables.
- Documentación sobre las consecuencias sufridas.
- Copias de las solicitudes y reclamaciones presentadas.
- Información técnica o verificaciones especializadas cuando la autenticidad resulte discutida.
Las capturas pueden constituir un punto de partida, pero su valor probatorio dependerá de las circunstancias. Cuando exista riesgo de manipulación o desaparición de contenido, puede ser necesario valorar mecanismos de preservación y acreditación más sólidos.
En los procedimientos relacionados con deepfakes, esta precaución adquiere especial importancia. La controversia puede girar precisamente alrededor de la autenticidad del contenido, su origen y la posibilidad de identificar a quien lo generó o difundió.
3. Examina qué derechos y normas resultan aplicables
Una vez conservadas las pruebas, debe determinarse si el problema afecta a la protección de datos, al honor, a la intimidad, a la propia imagen o a otros derechos.
Cuando concurren varios bienes jurídicos, es posible que existan diferentes vías de actuación. Sin embargo, eso no significa que todas resulten adecuadas ni que deban iniciarse simultáneamente.
Para un abogado en formación, aquí aparece una de las decisiones más importantes: separar las pretensiones que pueden obtener tutela administrativa de aquellas que requieren una acción judicial civil o una denuncia penal.
4. Dirige la solicitud al responsable o utiliza los mecanismos de la plataforma
Si el conflicto afecta al tratamiento de datos personales, puedes ejercer el derecho correspondiente ante el responsable. La solicitud deberá identificar adecuadamente a la persona interesada y concretar el derecho que pretende ejercer.
Con carácter general, el RGPD establece un plazo de un mes para responder, con posibilidad de ampliación en determinados supuestos complejos, siempre que se cumplan los requisitos de información previstos en la norma (AEPD, s. f.).
Cuando el problema consista en una publicación presuntamente ilícita alojada en una plataforma, puede utilizarse su mecanismo de notificación. Es importante describir el contenido, identificar su localización y justificar por qué se considera contrario a la normativa aplicable.
5. Valora una reclamación ante la AEPD u otras autoridades competentes
La Agencia Española de Protección de Datos constituye una vía de protección ante determinadas infracciones del RGPD y la legislación española de protección de datos.
Cuando exista un problema relacionado con el ejercicio de derechos, resulta recomendable documentar la solicitud presentada y la respuesta recibida, o la ausencia de respuesta, antes de acudir a la autoridad de control cuando corresponda.
En situaciones especialmente graves de difusión ilegítima de imágenes sexuales o violentas, puede resultar aplicable el Canal Prioritario de la AEPD, concebido para facilitar una intervención urgente cuando concurren los requisitos específicos del mecanismo.
No obstante, la AEPD no es un organismo encargado de resolver cualquier controversia que aparezca en Internet. La competencia depende del tratamiento afectado y de las normas aplicables.
Las posibles infracciones del Reglamento europeo de Inteligencia Artificial deben examinarse conforme al régimen de supervisión y a la distribución de competencias entre autoridades. La Agencia Española de Supervisión de la Inteligencia Artificial (AESIA) forma parte de este sistema, pero no debe asumirse que cualquier problema relacionado con algoritmos corresponde automáticamente a este organismo.
6. Examina las posibles acciones judiciales
Cuando existan indicios de intromisión ilegítima en el honor, la intimidad o la propia imagen, puede valorarse el ejercicio de acciones civiles al amparo de la Ley Orgánica 1/1982.
Si los hechos pudieran constituir una infracción penal, será necesario comprobar los elementos del delito correspondiente y determinar la conveniencia de acudir a las Fuerzas y Cuerpos de Seguridad o a la autoridad judicial.
La decisión debe adoptarse atendiendo a la gravedad de los hechos, la prueba disponible, las pretensiones de la persona afectada y los requisitos de cada procedimiento.
Comparativa de las principales vías de protección
¿Qué vía de actuación puede resultar adecuada ante un conflicto digital?
No todos los conflictos digitales se resuelven mediante el mismo procedimiento. Esta comparativa permite identificar cinco vías posibles, las situaciones en las que pueden ser relevantes y los elementos que debes comprobar antes de actuar.
| Vía de actuación | Cuándo puede resultar adecuada | Qué debe comprobarse |
|---|---|---|
| Protección de datos | Tratamiento presuntamente ilícito o desatención de derechos del RGPD. | Responsable, datos tratados, fundamento jurídico y solicitud presentada. |
| Plataforma digital | Publicación de contenido presuntamente ilícito. | Contenido concreto, mecanismo de notificación y obligaciones del intermediario. |
| Protección civil | Posible intromisión en el honor, intimidad o propia imagen. | Hechos, consentimiento, contexto, pruebas y pretensiones. |
| Vía penal | Conductas que podrían encajar en un tipo delictivo. | Elementos del delito, autoría, prueba y gravedad de los hechos. |
| Supervisión de IA | Posible incumplimiento de obligaciones específicas del Reglamento de IA. | Sistema afectado, obligación aplicable, fecha de exigibilidad y autoridad competente. |
Esta comparación ofrece orientación general. No sustituye el análisis de los hechos y tampoco establece un orden obligatorio de actuación.
¿Qué puedes hacer si vulneran tus derechos digitales?
Identifica el problema y consulta las actuaciones iniciales que podrías valorar según las circunstancias. Selecciona cualquiera de los cuatro escenarios para examinar su ruta.
Selecciona una situación para consultar los pasos orientativos.
Escenario 01 · Protección de datos Mis datos personales se han utilizado indebidamente Consultar actuaciones
Orientación para posibles tratamientos contrarios a la normativa de protección de datos.
- Identifica el tratamiento. Reúne información sobre la entidad, los datos afectados y su posible utilización.
- Ejercita los derechos adecuados. Solicita acceso, rectificación, supresión u otros derechos cuando proceda.
- Conserva las comunicaciones. Guarda tu solicitud, los justificantes y la respuesta recibida.
- Valora reclamar ante la AEPD. Comprueba si existen indicios de infracción y si la Agencia es competente.
Escenario 02 · Imagen e intimidad Han difundido una imagen o vídeo manipulado de mí Consultar actuaciones
Orientación ante posibles deepfakes o usos perjudiciales de imagen y voz.
- Preserva las pruebas. Documenta el contenido, su ubicación, la fecha y el contexto de difusión.
- Examina los derechos afectados. Valora el honor, la propia imagen, la intimidad y la protección de datos.
- Solicita la revisión del contenido. Utiliza los canales adecuados de la plataforma, sin perder las evidencias.
- Valora otras medidas de protección. Según los hechos, podrían proceder acciones civiles, actuaciones urgentes o una denuncia penal.
Escenario 03 · Servicios digitales Una plataforma mantiene contenido que considero ilícito Consultar actuaciones
Orientación para contenidos alojados en plataformas y servicios digitales.
- Identifica la publicación. Conserva el contenido, su localización y los elementos que consideres relevantes.
- Justifica la posible ilicitud. Explica qué derechos o disposiciones legales podrían estar afectados.
- Utiliza el sistema de notificación. Presenta un aviso suficientemente preciso mediante el mecanismo disponible.
- Examina la respuesta. Valora las opciones de revisión, reclamación o actuación judicial que resulten legalmente disponibles.
Escenario 04 · Protección de menores Se ha difundido contenido que afecta a un menor Consultar actuaciones
Orientación inicial cuando se ven comprometidos derechos de menores.
- Valora el riesgo inmediato. Identifica el contenido y determina si existe una situación que requiera protección urgente.
- Conserva las evidencias necesarias. Preserva las pruebas lícitamente, evitando aumentar la difusión del material perjudicial.
- Solicita medidas de protección. Contacta con el responsable o la plataforma cuando corresponda.
- Acude a las autoridades competentes. Valora el Canal Prioritario de la AEPD si se cumplen sus requisitos y las demás vías adecuadas según los hechos.
Por qué la protección de los ciudadanos exige nuevas respuestas jurídicas
La inteligencia artificial está cambiando la naturaleza de numerosos conflictos jurídicos. La creación de imágenes sintéticas, la elaboración de perfiles automatizados y la circulación inmediata de contenidos dificultan identificar conductas, determinar responsabilidades y acreditar hechos.
Sin embargo, sería excesivo afirmar que el Derecho español carece de instrumentos para enfrentarse a estas situaciones. La Constitución, la legislación civil, las normas de protección de datos y el régimen europeo de servicios digitales ya ofrecen mecanismos relevantes.
El verdadero desafío consiste en interpretar y aplicar correctamente las normas existentes, identificar sus insuficiencias y comprender qué obligaciones introducen las nuevas disposiciones europeas.
Este proceso exige preparación técnica. Un jurista que desconoce el funcionamiento básico de un sistema automatizado puede encontrar dificultades para formular las preguntas necesarias, examinar una evaluación de riesgos o valorar el alcance de una decisión algorítmica.
Antes de abordar un expediente relacionado con inteligencia artificial, resultará útil responder a cuestiones como estas:
- ¿Qué información utiliza el sistema y de dónde procede?
- ¿Se están tratando datos personales y quién determina su utilización?
- ¿Cuál es la finalidad del tratamiento y qué fundamento jurídico lo permite?
- ¿El sistema recomienda una decisión o la adopta sin intervención humana significativa?
- ¿Qué consecuencias tiene el resultado para la persona afectada?
- ¿Qué normativa resulta aplicable en la fecha en que se producen los hechos?
- ¿Qué elementos probatorios permiten acreditar el funcionamiento y los efectos del sistema?
Estas preguntas ayudan a evitar que el debate jurídico se reduzca a expresiones como «el algoritmo se ha equivocado». La equivocación técnica puede ser relevante, pero la responsabilidad jurídica requiere identificar conductas, obligaciones y consecuencias.
La alfabetización en inteligencia artificial, contemplada en el artículo 4 del Reglamento europeo de IA, refuerza la importancia de desarrollar conocimientos adecuados sobre el funcionamiento, las oportunidades y los riesgos de estos sistemas en los contextos regulados.
La formación jurídica debe evolucionar en consecuencia. Las universidades afrontan el desafío de desarrollar una formación adaptada a los nuevos retos profesionales, incorporando una comprensión crítica de la transformación tecnológica sin descuidar los principios jurídicos fundamentales.
Porque el conocimiento técnico carece de utilidad jurídica si no permite examinar la licitud de una conducta, fundamentar una pretensión o proteger correctamente a una persona.
Qué cuestiones debería dominar un futuro profesional del Derecho digital
Para quienes estudian Derecho, la especialización en estos asuntos exige desarrollar competencias complementarias.
Competencias jurídicas fundamentales
- Interpretar el RGPD y la legislación española de protección de datos.
- Distinguir los mecanismos civiles, administrativos y penales de protección.
- Comprender el régimen de responsabilidad de los intermediarios digitales.
- Identificar las obligaciones del Reglamento europeo de Inteligencia Artificial y su aplicación temporal.
- Reconocer los conflictos entre privacidad, libertad de expresión y otros derechos fundamentales.
Competencias prácticas y tecnológicas
- Comprender los fundamentos de las decisiones automatizadas.
- Identificar riesgos asociados al perfilado y a la discriminación algorítmica.
- Valorar la autenticidad y preservación de pruebas digitales.
- Formular solicitudes de información suficientemente precisas.
- Reconocer cuándo se necesita apoyo pericial especializado.
Estas capacidades permiten abordar los conflictos digitales con mayor rigor. La intervención del abogado sigue descansando en la valoración jurídica de hechos y pruebas, aunque los medios tecnológicos que generan el problema sean cada vez más sofisticados.
La pregunta Qué derechos digitales tienes en España y cómo protegerlos ante la inteligencia artificial requiere, en definitiva, una respuesta que combine conocimiento normativo, comprensión tecnológica y capacidad para identificar los instrumentos jurídicos adecuados.
El futuro de los derechos digitales depende de cómo sepamos protegerlos hoy
Los derechos digitales en España cuentan con una protección jurídica real, aunque sus garantías están distribuidas entre distintas normas. El RGPD, la legislación española sobre protección de datos, la tutela civil del honor y la propia imagen, el Reglamento de Servicios Digitales y las disposiciones aplicables del Reglamento europeo de Inteligencia Artificial ofrecen mecanismos para reaccionar frente a numerosos conflictos.
La aparición de tecnologías capaces de fabricar imágenes, elaborar perfiles y automatizar decisiones obliga a examinar con mayor precisión el funcionamiento de los sistemas y sus consecuencias. Conocer los derechos, identificar correctamente al responsable y conservar las pruebas necesarias constituye el punto de partida de una protección jurídica eficaz. Cada situación exige, después, valorar sus circunstancias y aplicar las normas correspondientes sin confundir las posibilidades legales con garantías de éxito.
Aviso jurídico
Este artículo tiene carácter exclusivamente informativo y no constituye asesoramiento jurídico individualizado. Las referencias normativas, los ejemplos y las vías de actuación descritas deben interpretarse según los hechos de cada caso y la legislación vigente, incluidos los calendarios de aplicación de las normas europeas. Antes de iniciar una reclamación o procedimiento, comprueba los requisitos y plazos aplicables y, cuando sea necesario, consulta con un profesional del Derecho.
Referencias consultadas:
- Agencia Española de Protección de Datos. (2024). Evaluación de la intervención humana en las decisiones automatizadas. AEPD.
- Agencia Española de Protección de Datos. (s. f.). Tus derechos de protección de datos. AEPD.
- Climent Gallart, J. A. (2025). Los deepfakes satíricos o paródicos: análisis desde la perspectiva del Derecho europeo. Revista Boliviana de Derecho, 39, 36–67.
- Cotino Hueso, L. (2026). La identidad digital como derecho: entre la protección de datos y la representación digital de la persona. Agencia Española de Protección de Datos.
