L’Agència Espanyola de Protecció de Dades (AEPD) ha tornat a pronunciar-se sobre un dels fenòmens més alarmants de l’entorn digital: la difusió d’imatges falses de nus («deepnudes») creades mitjançant intel·ligència artificial. Ha imposat una multa de 2.000 € (reduïda finalment a 1.200 € per reconeixement i pagament voluntari) a un particular per difondre imatges manipulades de menors en grups de missatgeria instantània.
Encara que el sancionat no va generar les imatges, la seva participació en la difusió va ser suficient perquè l’Agència apreciés una infracció de l’article 6.1 del RGPD, al tractar-se d’un tractament de dades personals sense base jurídica legítima.
El que diu el RGPD (i per què importa aquí)
L’article 6 del RGPD estableix que tot tractament de dades personals ha de fundar-se en una base de licitud: consentiment, obligació legal, interès públic, contracte o interès legítim. Si cap d’elles concorre—com en aquest cas—, el tractament és il·lícit, fins i tot si l’infractor no obté benefici ni persegueix una fi sexual.
L’AEPD recorda que el rostre d’una persona és una dada personal (art. 4 RGPD), i que alterar-ho o combinar-ho amb un altre cos no elimina aquesta condició, sinó que l’agreuja: es crea una associació falsa en un context íntim, amb potencial de causar greus danys reputacionals.
Per tant, reexpedir o publicar aquest tipus d’imatges constitueix un tractament addicional, que requereix consentiment i proporcionalitat. L’absència de totes dues bases legitima la sanció.
La IA no esborra la responsabilitat
La resolució reforça una idea clau: l’ús d’intel·ligència artificial no eximeix de responsabilitat. La tecnologia pot automatitzar el mal, però la decisió de compartir continua sent humana. A més, quan els afectats són menors d’edat, entra en joc l’article 84 de la LOPDGDD, que reforça la protecció enfront de la difusió d’imatges que puguin vulnerar la seva dignitat o drets fonamentals.
Lliçons que deixa el cas
- La IA no anul·la la llei: les imatges sintètiques continuen sent dades personals si permeten identificar a una persona.
- Compartir també és tractar: reexpedir o publicar implica tractament i pot implicar sanció.
- Els menors compten amb una protecció reforçada, la qual cosa eleva la gravetat de la infracció.
- El RGPD és plenament aplicable a la IA generativa: els seus principis de licitud, minimització i proporcionalitat continuen sent la base del compliment.
Conclusions
La sanció de 1.200 €—després de reduccions per reconeixement i pagament voluntari—resulta considerablement baixa si es compara amb la gravetat moral i social de difondre imatges falses de nus de menors.
Encara que el RGPD permet graduar les multes en funció de la proporcionalitat, cal preguntar-se si aquest tipus de conductes no mereixerien també resposta penal, especialment quan concorren elements d’humiliació, assetjament o afectació greu a la dignitat personal.
El cas convida a un debat necessari:
- Estem aplicant sancions realment dissuasives enfront dels nous riscos digitals?
- Ha d’intervenir el Dret penal quan la intel·ligència artificial amplifica el mal a menors?
L’AEPD ha posat el focus en la il·licitud del tractament de dades, però la reflexió jurídica—i ètica—va més enllà: la tecnologia pot replicar rostres, però no pot replicar el consentiment… ni reparar el mal emocional causat.
Com sempre, cuideu les dades i cuideu-vos!
Per consultar la resolució, feu clic aquí.
