La UE endurece el control sobre la IA generativa: watermarking y límites a contenidos sexuales no autorizados

La Unión Europea sigue ajustando su marco regulatorio sobre inteligencia artificial con un enfoque más estricto sobre los usos de mayor riesgo. Las nuevas disposiciones, integradas en la Ley de IA (AI Act) a través de enmiendas recientes, establecen obligaciones concretas para los desarrolladores y distribuidores de modelos generativos.

Watermarking obligatorio para contenidos sintéticos

Entre las medidas destacadas figuran la prohibición de generar imágenes sexuales no autorizadas y la incorporación de watermarking obligatorio para contenidos creados por IA. El watermarking (marca de agua) debe ser técnicamente robusto, es decir, no eliminable mediante recorte, redimensionado o compresión de la imagen.

La obligación aplica a cualquier contenido generado por IA que se distribuya al público en la Unión Europea, ya sea texto, imagen, audio o vídeo. Los desarrolladores deben incrustar la marca de agua en el momento de la generación, y los distribuidores (plataformas sociales, agregadores, editores) deben verificar que la marca está presente antes de publicar el contenido. El incumplimiento puede acarrear multas de hasta el 7% de la facturación global de la empresa.

Estándares técnicos en desarrollo

La Comisión Europea tiene un plazo de 12 meses para definir los estándares técnicos de watermarking. Varias tecnologías están sobre la mesa: marcas visibles (como logos transparentes), marcas invisibles (bits modificados en los píxeles) y marcas criptográficas (firmas digitales verificables mediante blockchain). La opción favorita es la combinación de marca invisible resistente a la compresión y un certificado externo que acredite la autenticidad.

Empresas como Google (con SynthID), Microsoft y startups como Truepic ya ofrecen soluciones de watermarking para IA. Sin embargo, la UE quiere un estándar único para garantizar la interoperabilidad: una imagen marcada en Francia debe poder ser verificada en Polonia sin necesidad de software especial. El desafío técnico es considerable, pero los reguladores confían en que la industria alcanzará un consenso.

Prohibición de imágenes sexuales no autorizadas

La prohibición de generar imágenes sexuales no autorizadas es una de las medidas más comentadas. Afecta tanto a imágenes de personas reales (deepfakes pornográficos sin consentimiento) como a imágenes hiperrealistas de personas ficticias pero que podrían confundirse con menores. La infracción se considera de "riesgo inaceptable", la categoría más grave de la Ley de IA.

Los desarrolladores de modelos generativos deben implementar filtros que impidan la generación de este tipo de contenido. Los filtros deben ser proactivos (bloquear la consulta antes de generar la imagen) y reactivos (detectar si el modelo ha sido manipulado para eludir los filtros). Las plataformas que alojen este tipo de contenido generado por IA, incluso si no lo crearon ellas mismas, también son responsables si no lo retiran en un plazo de 24 horas desde la notificación.

Preocupación por menores y abuso de identidad

La regulación responde directamente al aumento de deepfakes pornográficos que circulan en redes sociales y aplicaciones de mensajería. Famosas, políticas y menores han sido víctimas de este fenómeno. En algunos casos, el contenido generado por IA ha sido utilizado para chantaje, acoso escolar o extorsión. La UE quiere cerrar esta vía de abuso tecnológico con una combinación de prohibición, filtros técnicos y sanciones disuasorias.

El abuso de identidad digital también está en el punto de mira. La nueva normativa prohíbe generar contenidos que suplanten a una persona (en imagen, voz o vídeo) sin su consentimiento explícito, salvo en excepciones muy limitadas (parodia, sátira, crítica política). Las plataformas deberán implementar sistemas de verificación de identidad para denuncias de suplantación y resolverlas en menos de 48 horas.

Deepfakes y trazabilidad de contenidos sintéticos

El objetivo es doble: reducir el daño potencial de los deepfakes y mejorar la trazabilidad de los contenidos sintéticos. La trazabilidad permite a los usuarios saber si lo que están viendo es real o generado por IA, y también permite a los investigadores estudiar la propagación de desinformación y a los reguladores identificar a los responsables.

La UE ha optado por un modelo de trazabilidad descentralizado: no hay una base de datos central de todos los contenidos sintéticos (por razones de privacidad y viabilidad técnica), sino que cada contenido lleva su propia marca de agua que puede ser verificada localmente. Cuando un usuario sospecha que una imagen es un deepfake, puede usar una herramienta oficial (una app gratuita proporcionada por la Comisión) para verificar la marca de agua y saber qué modelo la generó y en qué fecha.

Limitaciones del watermarking técnico

Ningún sistema de watermarking es perfecto. Las marcas de agua pueden ser eliminadas con suficiente esfuerzo técnico (por ejemplo, generando una nueva imagen a partir de la original con técnicas de difusión inversa). La regulación reconoce esta limitación y establece que el watermarking debe ser "robusto frente a manipulaciones comunes", no frente a ataques de laboratorio. Además, el watermarking es solo una capa de control; la otra capa es la supervisión humana y la moderación de contenidos.

Los críticos argumentan que esta regulación será efectiva solo contra actores de buena fe. Los criminales y los estados autoritarios no van a respetar el watermarking ni las prohibiciones. La respuesta de la UE es que la regulación no pretende ser infalible, sino elevar el coste de producir y distribuir deepfakes, y proporcionar herramientas legales para perseguir a los infractores. En un mundo donde la tecnología avanza más rápido que la ley, este enfoque pragmático puede ser lo mejor que se puede hacer.

Presión sobre las grandes tecnológicas

En paralelo, Bruselas mantiene la presión sobre las grandes tecnológicas para que sus sistemas de IA operen con más transparencia y responsabilidad. La Comisión ha abierto expedientes a varios proveedores de modelos generativos por incumplir las obligaciones de información sobre los datos de entrenamiento y las capacidades de sus sistemas.

Google, Meta, OpenAI y Microsoft han recibido requerimientos de información detallada sobre sus modelos. La UE quiere saber qué datos se utilizaron para entrenarlos (especialmente si incluyen datos personales o con derechos de autor), qué medidas de seguridad tienen implementadas y cómo gestionan los sesgos discriminatorios. Las empresas que no cooperen se enfrentan a multas periódicas y, en última instancia, a la prohibición de operar en la UE.

La Ley de Servicios Digitales como complemento

La Ley de IA no actúa sola. La Ley de Servicios Digitales (DSA) ya obliga a las plataformas a retirar contenidos ilegales, incluidos los deepfakes, en un plazo breve. La nueva normativa añade una obligación específica para los contenidos generados por IA, independientemente de si son ilegales o no: deben estar marcados como sintéticos. Un meme humorístico generado por IA no es ilegal, pero debe llevar la marca de agua para que el usuario sepa que no es real.

Esta distinción es importante porque evita la censura. No se prohíbe generar contenidos sintéticos (salvo los sexuales no autorizados), solo se exige que sean identificables como tales. El derecho a la libertad de expresión se preserva, pero el derecho del público a saber la verdad se refuerza. El equilibrio es delicado y sin duda dará lugar a litigios en los tribunales europeos.

Implicaciones para medios, marcas y plataformas

Para medios, marcas y plataformas, este contexto exige revisar procesos editoriales, políticas de moderación y sistemas de etiquetado de contenido. Un medio de comunicación que publique una imagen generada por IA sin la marca de agua correspondiente puede ser sancionado. Una marca que utilice IA generativa en su publicidad debe asegurarse de que el contenido está correctamente etiquetado. Una plataforma que aloje contenido sintético sin verificar su marca de agua puede ser considerada responsable.

Los departamentos legales y de cumplimiento de las empresas tecnológicas están trabajando a contrarreloj para adaptarse. Las soluciones técnicas deben estar listas cuando la regulación entre en vigor (previsto para finales de 2025). Esto incluye sistemas de watermarking integrados en los modelos de IA, APIs para verificar marcas de agua de forma automática y flujos de trabajo de moderación para gestionar las denuncias de deepfakes.

Oportunidad para la industria del etiquetado

La exigencia de watermarking crea un nuevo mercado para empresas de verificación de contenidos. Startups como Truepic, Sensity y Amber ya ofrecen servicios de detección de deepfakes y verificación de autenticidad. La UE está considerando acreditarlos como "verificadores cualificados" cuyas evaluaciones tengan validez legal. Esto podría convertirse en un negocio lucrativo a medida que la demanda de verificación crezca.

Para los creadores de contenido, la regulación impone cargas adicionales pero también ofrece protección. Un fotógrafo cuyas imágenes sean utilizadas para entrenar modelos de IA sin permiso podrá reclamar gracias a las obligaciones de transparencia. Un artista cuyo estilo sea imitado por IA podrá exigir que las obras generadas lleven una marca que indique que no son originales. La ley equilibra la innovación tecnológica con los derechos de los creadores, al menos sobre el papel.

Comparativa con otros marcos regulatorios

El enfoque de la UE es el más estricto del mundo en materia de watermarking y contenidos sintéticos. China también exige marcas de agua, pero sus estándares son más laxos y su aplicación más opaca. Estados Unidos carece de una ley federal similar; algunos estados han aprobado leyes contra deepfakes, pero el panorama es fragmentado. El Reino Unido está desarrollando un enfoque autorregulatorio. Japón y Corea del Sur están observando atentamente la evolución europea para decidir si replican el modelo.

Las grandes tecnológicas preferirían un estándar global único para no tener que desarrollar versiones diferentes de sus modelos para cada región. Pero la UE, consciente de su poder de mercado (el mercado único europeo tiene 450 millones de consumidores), está imponiendo sus estándares de facto. Las empresas que quieran vender en Europa tendrán que cumplir con el watermarking europeo, y es probable que extiendan ese cumplimiento al resto del mundo por razones de eficiencia.

Conclusión: una regulación necesaria pero imperfecta

La decisión de la UE de endurecer el control sobre la IA generativa es una respuesta a problemas reales y crecientes: deepfakes sexuales no consentidos, desinformación a gran escala, abuso de identidad digital. El watermarking obligatorio y la prohibición de ciertos contenidos son herramientas imperfectas pero necesarias. Los primeros desafíos técnicos y legales ya están apareciendo, pero la dirección es clara.

La tecnología no se detiene, y los reguladores no pueden esperar a tener la solución perfecta. La UE ha optado por actuar ahora, con las herramientas disponibles, e ir ajustando la normativa a medida que se aprende de la experiencia. Los críticos dirán que la regulación es demasiado lenta, demasiado laxa o demasiado intrusiva. Pero en el debate sobre cómo gobernar la IA sin matar la innovación, la apuesta europea es una de las más serias y mejor articuladas del mundo.

El verdadero impacto de estas medidas se verá en los próximos años, cuando los sistemas de watermarking estén implementados, los tribunales hayan interpretado los límites, y las empresas hayan adaptado sus procesos. Por ahora, la UE ha enviado una señal clara: la IA generativa no es un espacio sin ley, y los derechos de las personas (a la intimidad, a la identidad, a la información veraz) están por encima de los intereses comerciales o tecnológicos.