La doble cara de la regulación: prohibir deepfakes sexuales mientras se aplazan las reglas de IA

Dos movimientos regulatorios ocurrieron casi en simultáneo y, vistos juntos, revelan una tensión incómoda. Mientras el fiscal de San Francisco, David Chiu, exigía a Apple y Google retirar 13 aplicaciones de “nudificación” que generan desnudos con inteligencia artificial sin consentimiento, los gobiernos de la Unión Europea aprobaban una moratoria de hasta dos años para las obligaciones más estrictas de la Ley de IA sobre sistemas de alto riesgo.

Desde California, Chiu fue contundente: envió cartas de cese y desista a las dos grandes plataformas de aplicaciones, señalando que generar imágenes íntimas no consentidas es ilegal y que las compañías tecnológicas han obtenido “posiblemente millones” en ingresos a través de estas herramientas mediante pagos dentro de las apps. Las leyes estatales prohíben apoyar servicios que crean pornografía deepfake, y Chiu recordó que el impacto en la reputación y la salud mental de las víctimas —muchas mujeres y menores— es devastador.

Del otro lado del Atlántico, la UE fue más allá de una acción puntual. Los 27 estados miembros acordaron introducir un nuevo artículo en la Ley de Inteligencia Artificial para vetar de forma explícita las aplicaciones de IA que generen desnudos falsos o material de abuso sexual infantil. La medida, según informó la presidencia chipriota del Consejo, prohíbe “prácticas de IA relacionadas con la generación de contenido sexual o íntimo no consentido”. España impulsó la iniciativa, con el respaldo de Francia, Alemania e Irlanda, entre otros.

Pero aquí viene la paradoja. En la misma reunión, los gobiernos aprobaron posponer hasta diciembre de 2027 la entrada en vigor de las obligaciones para sistemas de IA considerados de “alto riesgo” —como los usados para selección automatizada de personal, evaluación de créditos o reconocimiento facial en espacios públicos— y hasta agosto de 2028 para los integrados en productos. La moratoria responde a la presión del expresidente del Banco Central Europeo, Mario Draghi, quien argumentó que el reglamento introduce “trabas insuperables a la innovación”.

Para América Latina, el mensaje es doblemente relevante. Por un lado, la región carece de un marco regulatorio unificado como el europeo, y la mayoría de los países ni siquiera tipifica como delito la creación de deepfakes sexuales no consentidos. Las startups y empresas locales que entrenan modelos de IA generativa operan en un vacío legal que, paradójicamente, puede ser tanto una ventaja competitiva como un riesgo reputacional. Mientras Brasil avanza con su propia Ley de IA, y México debate reformas, el resto de los países observa.

Por otro lado, la decisión europea de aplazar las reglas para sistemas de alto riesgo abre una ventana de oportunidad para que desarrolladores latinoamericanos lancen productos sin la carga regulatoria que enfrentarán sus pares europeos —al menos por dos años. Pero esa misma ventana es también un riesgo: el mercado global podría empezar a exigir estándares que las empresas locales aún no incorporan.

El caso de las aplicaciones de nudificación es paradigmático. No se trata solo de lo que ocurre en las tiendas de Apple y Google; el verdadero problema es quién controla y modera los modelos base. La UE ya abrió un expediente sancionador contra X (antes Twitter) por las imágenes sexualizadas generadas por Grok, su chatbot, con multas potenciales de hasta el 6% del volumen de negocios. Pero, como señaló la vicepresidenta de la Comisión, Henna Virkkunen, las sanciones caso por caso “no bastan”.

Lo que está en juego no es solo la prohibición de unas pocas apps. Es si la regulación de la inteligencia artificial será capaz de reaccionar a la velocidad del daño cuando el daño es concreto, o si, como en este caso, se avanza rápido contra el síntoma —los deepfakes sexuales— mientras se aplaza la discusión estructural sobre cómo auditar y controlar los modelos que los generan.

Para un ejecutivo latinoamericano que evalúa integrar IA generativa en su empresa, la pregunta debería ser: ¿estoy comprando un modelo que podría generar este tipo de contenido sin que yo lo sepa? Y si ocurre, ¿quién responde?