Última actualización: 19 de agosto de 2026
¿Es legal subir la foto de otra persona a una inteligencia artificial?
La respuesta corta es:
Puede serlo, pero no existe un permiso general para utilizar cualquier fotografía de cualquier persona porque esté en Internet o porque la finalidad parezca inocente.
Hay una enorme diferencia entre:
- subir una fotografía propia;
- subir la foto de un amigo para hacer una caricatura privada;
- utilizar fotografías de empleados dentro de una empresa;
- transformar la imagen de un cliente para una campaña publicitaria;
- generar un vídeo falso de una persona;
- o utilizar la fotografía de un menor.
También importa mucho qué ocurre técnicamente con la imagen después de pulsar “subir”.
La Agencia Española de Protección de Datos —AEPD— publicó en enero de 2026 unas orientaciones específicas sobre el uso de imágenes de terceros en sistemas de inteligencia artificial.
Su punto de partida es claro:
una fotografía o vídeo en el que una persona es identificada o identificable constituye un dato personal, y subirlo a un sistema de IA, transformarlo o generar nuevo contenido a partir de él supone un tratamiento de datos personales.
Pero que exista tratamiento de datos no significa automáticamente:
“está prohibido”.
Hay que analizar quién realiza el tratamiento, para qué, en qué contexto y qué sucede después con el contenido.
Respuesta rápida: ¿puedo subir esta foto a una IA?
| Situación | Valoración orientativa |
|---|---|
| Una foto tuya para probar un filtro de IA | 🟢 Generalmente posible, revisando privacidad del servicio |
| Foto de un amigo, con su permiso, para una caricatura privada | 🟢 Riesgo normalmente bajo |
| Foto de un amigo sin avisarle, uso estrictamente privado y sin difusión | 🟡 El RGPD puede no resultar aplicable por la excepción doméstica, pero siguen existiendo otros derechos |
| Foto pública de Instagram de otra persona | 🟠 Que sea pública no equivale a autorización general |
| Foto de un empleado subida por una empresa | 🟠 Requiere análisis de protección de datos y finalidad |
| Foto de un cliente para crear publicidad | 🔴 Necesita especial cautela: imagen, protección de datos y finalidad comercial |
| Foto de un niño para probar una IA | 🔴 Especial prudencia |
| Transformar una persona en una escena humillante o sexual | 🔴 Riesgo jurídico muy elevado |
| Crear un vídeo falso realista de alguien | 🔴 Puede constituir deepfake |
| Crear un falso desnudo de una persona | 🔴 Muy alto riesgo; además cambia el AI Act en diciembre de 2026 |
| Utilizar imágenes para reconocimiento facial | 🔴 Puede implicar tratamiento biométrico especialmente protegido |
Esta tabla es orientativa.
El contexto concreto puede cambiar completamente el análisis.
Primero: una fotografía puede ser un dato personal aunque no aparezca el nombre
No es necesario que debajo de una foto aparezca:
“Juan Pérez”.
Una persona puede ser identificable por:
- su rostro;
- cuerpo;
- tatuajes;
- ropa;
- entorno;
- gestos;
- relaciones con otras personas;
- combinación de distintos elementos.
La AEPD señala expresamente que una persona puede seguir siendo identificable incluso si la imagen se ha modificado mediante inteligencia artificial.
Por tanto:
difuminar parcialmente la cara no convierte automáticamente una fotografía en anónima.
Si una persona sigue siendo reconocible por el resto de elementos, sigue existiendo información relacionada con ella.
¿Subir una fotografía a una IA cuenta realmente como tratamiento de datos?
Sí, cuando aparece una persona identificada o identificable.
La AEPD incluye expresamente como operaciones de tratamiento:
- subir una imagen;
- reenviarla a una plataforma;
- transformarla;
- generar contenido visual a partir de ella.
Esto es importante porque existe una idea bastante extendida:
“No la estoy publicando. Solo la he subido a ChatGPT.”
Desde el punto de vista técnico y de protección de datos son dos cosas distintas.
Publicar es una operación.
Subir el archivo a un proveedor externo para que lo procese es otra.
Aunque nadie más vea el resultado.
¿Qué ocurre técnicamente cuando subimos una foto a una IA?
Para comprender el problema jurídico conviene comprender primero lo que ocurre detrás del botón.
Cuando utilizamos una IA alojada en Internet, normalmente la imagen:
TU DISPOSITIVO
↓
se transmite al proveedor
↓
se procesa en sus sistemas o infraestructura asociada
↓
el sistema analiza su contenido
↓
se genera una respuesta, transformación o nueva imagen
↓
pueden existir determinados registros, retenciones o copias técnicas según el servicio
Esto significa que la fotografía deja de estar únicamente:
en tu teléfono.
Ha sido facilitada a un tercero tecnológico.
La AEPD considera esta pérdida efectiva de control uno de los riesgos menos visibles de utilizar imágenes de terceros con sistemas de IA.
Una IA puede analizar mucho más que “una cara”
Para generar o interpretar una imagen, el sistema puede detectar o representar elementos como:
- personas;
- rostros;
- cuerpos;
- objetos;
- texto;
- ropa;
- entorno;
- posiciones;
- características visuales.
Además, durante el procesamiento pueden generarse metadatos o inferencias internas relacionadas con el contenido. La AEPD señala expresamente este fenómeno como uno de los tratamientos menos visibles asociados a estos sistemas.
Y una fotografía puede revelar información que quien la sube no había considerado.
Por ejemplo:
una insignia de colegio;
una tarjeta identificativa;
una matrícula;
una dirección visible;
un informe médico al fondo;
un uniforme de empresa;
una ubicación reconocible;
otras personas.
Por eso el dato que enviamos a la IA no es necesariamente:
“la cara de María”.
Puede ser todo el contexto visual de María.
¿La IA guarda la fotografía?
Depende del proveedor, producto, modalidad y configuración.
No existe una respuesta universal.
La AEPD advierte de que los sistemas pueden necesitar conservar temporalmente archivos para:
- procesamiento;
- funcionamiento del servicio;
- seguridad;
- gestión de errores;
- copias de seguridad;
y que pueden intervenir infraestructuras adicionales como proveedores cloud, almacenamiento, moderación o soporte técnico.
Algunos proveedores pueden también utilizar determinados contenidos para evaluar o mejorar sus servicios, dependiendo de sus condiciones y configuraciones.
Por eso, antes de subir una fotografía sensible, importa saber a qué servicio concreto se está entregando.
Un ejemplo concreto: ChatGPT
ChatGPT permite actualmente utilizar imágenes como entrada para que el sistema pueda interpretarlas y responder sobre ellas.
En los servicios de ChatGPT para particulares, OpenAI indica que el contenido —incluidas imágenes y archivos— puede utilizarse para mejorar los modelos dependiendo de la configuración del usuario. La opción “Improve the model for everyone” puede desactivarse desde los controles de datos.
En cambio, OpenAI indica que el contenido de ChatGPT Business, Enterprise y su API no se utiliza por defecto para entrenar los modelos, salvo que el cliente opte expresamente por compartirlo.
Esto ilustra una regla importante:
“Utilizar ChatGPT” no describe por sí solo todas las condiciones de tratamiento.
Puede cambiar según:
- producto;
- tipo de cuenta;
- configuración;
- controles de privacidad.
Y lo mismo ocurre con otros proveedores.
Desactivar el entrenamiento no significa que la foto nunca sea procesada
Ésta es una distinción técnica importante.
Supongamos que desactivamos:
“Improve the model for everyone”.
Eso evita determinados usos de nuevas conversaciones para entrenamiento según las condiciones actuales de ChatGPT.
Pero no transforma mágicamente un servicio cloud en:
“un programa que funciona únicamente en mi ordenador”.
La fotografía sigue teniendo que enviarse y procesarse para proporcionar el servicio.
Por tanto:
no usar para entrenamiento
no significa exactamente lo mismo que:
no procesar
ni:
no conservar absolutamente ningún dato bajo ninguna circunstancia.
¿Y utilizar un chat temporal?
OpenAI señala actualmente que los archivos de un Temporary Chat no se guardan en la Library y esas conversaciones no se utilizan para entrenar sus modelos.
Puede ser una medida de reducción de riesgo para determinadas situaciones.
Pero tampoco convierte automáticamente en lícito subir una fotografía de otra persona.
La cuestión jurídica sigue siendo:
¿tenías legitimación para tratar esa imagen de esa manera?
La configuración del proveedor puede reducir el riesgo técnico.
No sustituye la base jurídica.
¿Sería más privado utilizar una IA que funcione localmente?
Desde el punto de vista técnico, puede reducir determinados riesgos.
Si el modelo funciona completamente:
en tu propio dispositivo
sin enviar el archivo a un proveedor externo, desaparece precisamente uno de los factores señalados por la AEPD:
la transferencia de control hacia un tercero tecnológico.
Eso no significa que cualquier tratamiento local sea automáticamente legal.
Pero sí cambia sustancialmente la arquitectura de privacidad.
Podemos comparar:
IA cloud
Foto → Internet → proveedor → infraestructura → resultado.
IA local
Foto → dispositivo propio → modelo local → resultado.
Desde una perspectiva de minimización, una organización debería preguntarse:
¿Necesito realmente enviar esta imagen fuera de mi infraestructura para conseguir el resultado que busco?
¿Puedo subir mi propia foto a una IA?
En principio, la situación es mucho más sencilla.
Eres tú quien decide facilitar tu imagen.
Pero todavía merece la pena revisar:
- privacidad del proveedor;
- uso para entrenamiento;
- conservación;
- finalidad;
- seguridad;
- qué información adicional aparece en la foto.
Además, una fotografía aparentemente “tuya” puede contener datos de otras personas.
Por ejemplo:
selfie familiar;
foto de una boda;
imagen de una oficina;
fotografía de un grupo escolar.
Que tú aparezcas en la imagen no te convierte automáticamente en titular de todos los derechos de las demás personas fotografiadas.
¿Puedo subir la foto de un amigo para hacer una imagen divertida?
Aquí aparece la primera gran zona gris.
Imaginemos:
tomas la fotografía de un amigo y pides a una IA que lo convierta en caballero medieval.
No publicas el resultado.
No hay finalidad profesional.
No existe intención de perjudicarlo.
La propia AEPD reconoce que muchos usos estrictamente personales o domésticos, sin proyección profesional ni difusión fuera de ese entorno, pueden quedar fuera del ámbito de aplicación del RGPD.
Además, la AEPD señala que muchos usos triviales o humorísticos de imágenes generadas mediante IA no presentan relevancia jurídica y pueden estar legalmente amparados.
Por tanto, no sería correcto afirmar:
“Convertir una foto de un amigo en dibujo mediante IA sin permiso es automáticamente ilegal.”
La realidad es más matizada.
Pero “uso doméstico” no significa “todo vale”
Aunque el RGPD no resulte aplicable a una actividad estrictamente doméstica, pueden seguir existiendo otros derechos.
La propia AEPD advierte expresamente de que pueden resultar afectados:
- honor;
- intimidad;
- propia imagen;
y, en situaciones más graves, otras normas incluido el Código Penal.
Por ejemplo, existe una enorme diferencia entre:
convertir privadamente a tu hermano en un personaje de fantasía
y:
generar una imagen sexual falsa y enviarla a sus compañeros de trabajo.
La herramienta es la misma.
La valoración jurídica no.
La forma más sencilla de reducir el riesgo: preguntar
En muchos usos cotidianos existe una solución extremadamente simple:
“¿Te importa si uso esta foto para probar una herramienta de IA?”
No todas las actividades jurídicamente lícitas requieren necesariamente consentimiento como única base.
Pero desde una perspectiva práctica, pedir permiso evita gran parte del problema cuando hablamos de usos:
- personales;
- recreativos;
- creativos.
Especialmente si la imagen no es nuestra.
¿Una foto publicada en Instagram se puede utilizar libremente?
No.
Éste es probablemente uno de los puntos más importantes del artículo.
La AEPD señala de forma expresa que una fotografía publicada:
- en una red social;
- en un grupo de mensajería;
- o enviada anteriormente
no equivale a una autorización general para subirla a herramientas de IA, transformarla, crear variantes o difundir el resultado.
Existe además jurisprudencia constitucional reciente que insiste en una idea semejante respecto del derecho a la propia imagen: que una fotografía sea accesible públicamente en una red social no significa automáticamente que exista autorización para reutilizarla o divulgarla en un contexto distinto.
Por tanto:
público ≠ libre de derechos.
Ejemplo: fotografía del Instagram de una compañera
Una persona publica una fotografía en su Instagram.
Otra persona la descarga y pide a una IA:
“Ponla vestida de novia junto a este hombre.”
No significa automáticamente que exista un delito.
Pero tampoco puede justificarse simplemente diciendo:
“La foto estaba pública.”
El análisis debe considerar:
- finalidad;
- contexto original;
- resultado;
- difusión;
- expectativas razonables;
- posible daño.
Cuanto más se aleja el nuevo uso de la finalidad original de la fotografía, mayor puede ser el riesgo. Éste es precisamente uno de los criterios destacados por la AEPD.
El derecho a la propia imagen existe además del RGPD
Ésta es otra distinción esencial.
Podemos tener:
Protección de datos
Regulada fundamentalmente por el RGPD y la LOPDGDD.
Y, al mismo tiempo:
Derecho al honor, intimidad y propia imagen
Protegido, entre otras normas, por la Ley Orgánica 1/1982.
La ley española protege estos derechos frente a intromisiones ilegítimas y contempla expresamente supuestos relacionados con la captación, reproducción o publicación de la imagen de una persona y con el uso de su imagen o voz con finalidades publicitarias o comerciales.
Por eso:
cumplir RGPD no significa automáticamente tener derecho a utilizar comercialmente la imagen de alguien.
Son capas jurídicas distintas.
Ejemplo muy claro: publicidad
Una empresa tiene la fotografía de una clienta porque participó en un evento.
Después utiliza IA para generar:
una fotografía de esa mujer utilizando el producto de la empresa.
Y publica el resultado en publicidad.
Aquí ya no estamos ante:
un experimento doméstico.
Entramos en:
- tratamiento profesional de datos;
- derecho a la propia imagen;
- utilización comercial;
- posible contenido generado mediante IA;
- publicidad.
El artículo 7.6 de la Ley Orgánica 1/1982 contempla específicamente como posible intromisión ilegítima la utilización del nombre, voz o imagen de una persona para fines publicitarios, comerciales o análogos.
Por eso una empresa debería disponer de una base jurídica y autorización adecuada antes de convertir la fotografía de una persona en material publicitario mediante IA.
Si una empresa utiliza la foto, el análisis cambia mucho
Cuando hablamos de una organización, empresa, administración o profesional, normalmente desaparece la comodidad de la excepción puramente doméstica.
La organización debe analizar cuestiones como:
Finalidad
¿Por qué necesita tratar la imagen?
Base jurídica
¿Qué base del artículo 6 del RGPD permite el tratamiento?
Información
¿La persona sabe cómo se utiliza su fotografía?
Proveedor
¿A qué IA se entrega?
Encargado del tratamiento
¿Qué papel tiene el proveedor?
Transferencias internacionales
¿Dónde se procesan los datos?
Conservación
¿Cuánto tiempo permanecen?
Finalidades adicionales
¿Puede el proveedor utilizarlos para mejorar su servicio?
Minimización
¿Era realmente necesario subir la fotografía completa?
El RGPD exige que todo tratamiento tenga una base jurídica válida; el consentimiento es una posibilidad, pero no la única.
¿Puede una empresa usar interés legítimo?
En determinados tratamientos puede existir interés legítimo.
Pero no debería utilizarse como una palabra mágica:
“Interés legítimo, solucionado.”
Debe existir:
un interés real
necesidad del tratamiento
ponderación frente a los derechos de la persona.
Y cuanto más inesperado o intrusivo resulte utilizar la fotografía en una IA, más difícil puede ser justificarlo.
La propia AEPD señala que cuanto más se aleje el uso del contexto inicial de la fotografía y menor sea el control de la persona, más exigente debe ser la legitimación.
Un ejemplo empresarial razonable y otro mucho más difícil
Ejemplo 1
Una herramienta corporativa autorizada utiliza la fotografía profesional de un empleado para recortarla automáticamente y adaptar el fondo para el directorio interno.
Es un tratamiento limitado y relacionado con la finalidad original.
Ejemplo 2
La empresa toma esa fotografía y genera:
diez imágenes artificiales del empleado en situaciones comerciales para publicar una campaña.
Aunque el archivo de origen sea exactamente el mismo, la finalidad ha cambiado radicalmente.
El segundo tratamiento requiere un análisis completamente distinto.
¿Una fotografía es un dato biométrico?
No automáticamente en el sentido reforzado del artículo 9 del RGPD.
Una fotografía de una persona es normalmente un dato personal cuando permite identificarla.
Pero el RGPD define los datos biométricos como aquellos obtenidos mediante un tratamiento técnico específico de características físicas, fisiológicas o conductuales que permite o confirma la identificación única de una persona.
Por tanto:
Foto normal
Dato personal.
Foto procesada técnicamente para identificar inequívocamente a la persona mediante reconocimiento facial
Puede convertirse en tratamiento biométrico sujeto a garantías mucho más estrictas.
La AEPD también ha señalado que el reconocimiento facial con fines de identificación biométrica implica tratamiento de categorías especiales de datos.
No confundamos “la IA ve una cara” con “reconocimiento facial biométrico”
Ésta es una diferencia técnica importante.
Una herramienta puede detectar:
“hay una cara en esta fotografía”
para recortarla.
Eso no es necesariamente lo mismo que:
comparar sus rasgos con una base de datos para determinar que la persona es María López.
Ni tampoco que:
crear una plantilla biométrica estable para autenticarla posteriormente.
Las operaciones y riesgos son diferentes.
¿Y si la IA mantiene siempre la misma cara?
Algunas herramientas permiten generar muchas fotografías coherentes de una misma persona utilizando una única imagen inicial.
Técnicamente, para conseguir esa consistencia tienen que reutilizar características capaces de mantener la identidad visual del sujeto.
La AEPD identifica esto como riesgo de identificación persistente: la foto deja de utilizarse como una referencia puntual y puede convertirse en una base estable desde la que recrear repetidamente a la misma persona.
Esto resulta especialmente relevante para:
- avatares;
- modelos virtuales;
- generación de vídeos;
- creación repetitiva de campañas.
¿Puedo subir la fotografía de un niño a una IA?
Aquí sería mucho más prudente.
La AEPD señala expresamente que el nivel de cautela debe ser máximo cuando aparecen:
- menores;
- personas mayores;
- personas con discapacidad;
- otras personas especialmente vulnerables.
Además, la Ley Orgánica de Protección Jurídica del Menor reconoce expresamente los derechos de los menores:
- al honor;
- a la intimidad;
- a la propia imagen.
Y establece una protección especialmente intensa cuando la utilización de la imagen puede perjudicar sus intereses.
“Soy su padre o madre” tampoco debería convertirse en una autorización sin límites
Los representantes legales toman legítimamente muchas decisiones sobre fotografías de sus hijos.
Pero el interés del menor continúa siendo el criterio fundamental.
No resulta equivalente:
utilizar una foto familiar en una aplicación para crear una felicitación privada
que:
generar un vídeo humillante del niño y publicarlo en una cuenta con miles de seguidores.
El segundo escenario puede perjudicar directamente sus derechos aunque la decisión inicial haya sido tomada por un adulto responsable.
Una recomendación práctica con menores
Antes de subir una imagen identificable de un menor a una IA cloud, preguntaría:
¿Necesito realmente que aparezca su cara?
¿Puedo utilizar una imagen ficticia?
¿Puedo recortarla?
¿Puedo eliminar colegio, uniforme y ubicación?
¿Qué proveedor estoy utilizando?
¿Qué hará con el archivo?
¿Voy a publicar el resultado?
¿Puede perjudicar al menor hoy o dentro de unos años?
Si existe una alternativa menos intrusiva, probablemente sea preferible.
¿Qué pasa si solo quiero preguntar a la IA qué aparece en una foto?
Por ejemplo:
“¿Qué planta es ésta?”
y en una esquina aparece accidentalmente una persona.
Técnicamente, la fotografía sigue conteniendo información sobre esa persona si es identificable.
Pero jurídicamente el riesgo puede ser muy inferior que si pedimos:
“Analiza a esa persona, dime quién es y crea diez imágenes nuevas de ella.”
La evaluación debe tener en cuenta:
- finalidad;
- cantidad de información;
- expectativa;
- reutilización;
- difusión;
- impacto.
No todas las cargas de una imagen tienen el mismo nivel de riesgo.
Una medida sencilla: recorta antes de subir
Si la persona no es necesaria para conseguir la finalidad, elimínala.
Por ejemplo:
foto original
persona + perro
pero nuestra pregunta es:
“¿Qué raza puede ser este perro?”
Entonces:
recorta la persona.
Es un ejemplo básico del principio de minimización:
no proporcionar datos personales que no necesitas.
Difuminar no siempre basta
Imaginemos que ocultamos el rostro.
Pero siguen visibles:
- uniforme con nombre;
- tatuaje;
- matrícula;
- casa;
- compañeros;
- ubicación;
- tarjeta profesional.
La persona puede seguir siendo identificable.
La AEPD recuerda precisamente que la identificación no depende únicamente del rostro.
Por eso anonimizar correctamente significa:
impedir razonablemente la identificación, no simplemente poner un cuadrado sobre los ojos.
¿Qué cambia si después publico la imagen generada?
Mucho.
La AEPD distingue precisamente entre:
el riesgo invisible de subir la fotografía
y
el daño visible que puede aparecer cuando el contenido generado se difunde.
Al publicar aparecen riesgos adicionales:
- difusión masiva;
- reenvíos;
- capturas;
- pérdida de control;
- descontextualización;
- reputación;
- acoso;
- buscadores.
Una imagen que permanece en tu dispositivo y una imagen viral en TikTok no plantean el mismo escenario.
Ejemplo: “pon a mi amigo junto a Taylor Swift”
Uso privado, claramente humorístico, no difundido.
Puede tener escasa relevancia jurídica.
Pero imaginemos que posteriormente se publica con el texto:
“Fotografía filtrada que demuestra que mantienen una relación.”
Ahora aparece una atribución falsa presentada de forma verosímil.
La AEPD considera precisamente la atribución de hechos no reales y los efectos reputacionales uno de los factores de riesgo significativo.
¿Cuándo puede convertirse en un deepfake?
El AI Act define específicamente los deepfakes en relación con contenido:
- de imagen;
- audio;
- vídeo;
generado o manipulado mediante IA que representa personas, objetos, lugares, entidades o acontecimientos existentes y puede parecer falsamente auténtico o verdadero.
Desde el 2 de agosto de 2026 existen obligaciones específicas de transparencia para determinados deepfakes.
No toda fotografía editada con IA es un deepfake.
Por ejemplo:
retrato de una amiga como personaje de Pixar
no es automáticamente comparable a:
vídeo hiperrealista de esa amiga robando en una tienda.
La falsa apariencia de autenticidad es fundamental.
Puedes ampliar esta diferencia en nuestra guía:
Deepfakes y AI Act: cuándo hay que etiquetarlos.
Una etiqueta “hecho con IA” no concede permiso para utilizar la imagen
Éste es otro error posible.
Supongamos que una empresa genera una fotografía artificial de una persona sin autorización y añade:
“Imagen generada mediante IA”.
Puede haber cumplido, dependiendo del caso, una determinada obligación de transparencia.
Pero eso no significa que haya solucionado automáticamente:
- protección de datos;
- derecho a la propia imagen;
- utilización comercial;
- honor;
- intimidad.
El AI Act complementa estas normas; no las sustituye.
¿Y si genero un falso desnudo?
Aquí entramos en una de las situaciones de mayor riesgo.
La AEPD identifica expresamente la:
- desnudez añadida;
- erotización;
- sexualización;
- contenido íntimo sintético
como señales de riesgo muy alto.
Además, el AI Omnibus aprobado en 2026 ha introducido una nueva prohibición europea relacionada con determinados sistemas que generan contenido sexual o íntimo realista de personas identificables sin el consentimiento correspondiente. Esa nueva prohibición específica comienza a aplicarse el 2 de diciembre de 2026.
Esto no significa que esos usos sean libremente lícitos hasta diciembre.
Ya pueden intervenir otras normas españolas sobre:
- intimidad;
- propia imagen;
- protección de datos;
- acoso;
- integridad moral;
- menores;
- responsabilidad penal.
Si te ha ocurrido: ya hemos preparado una guía específica
Si alguien ha utilizado tu fotografía para generar:
- un falso desnudo;
- un vídeo falso;
- una escena humillante;
- una suplantación;
- contenido sexual;
- una falsa atribución;
consulta nuestra guía:
Cómo denunciar un deepfake en España: retirada, AEPD y vías legales.
Allí explicamos:
- cómo conservar pruebas;
- cómo pedir retirada;
- cuándo utilizar el Canal Prioritario de la AEPD;
- cuándo acudir a Policía o Guardia Civil;
- cómo valorar una acción por honor o propia imagen;
- cómo intentar desindexar el contenido.
¿Qué pasa si utilizan mi fotografía sin permiso pero no crean un deepfake?
También puedes tener derechos.
No toda vulneración relacionada con una imagen tiene que ser:
“deepfake”.
Puede existir simplemente:
- reutilización no autorizada;
- publicación en otro contexto;
- uso comercial;
- tratamiento de datos;
- perfil falso.
La Ley Orgánica 1/1982 protege civilmente el honor, la intimidad y la propia imagen y permite solicitar medidas para poner fin a determinadas intromisiones y reclamar los perjuicios correspondientes.
Puedes consultar también nuestra guía general:
Cómo reclamar por un sistema de inteligencia artificial.
¿Qué derechos tengo frente al tratamiento de mi fotografía?
Cuando resulta aplicable el RGPD, pueden entrar en juego derechos como:
- acceso;
- rectificación;
- supresión;
- oposición;
- limitación;
dependiendo del tratamiento y de su base jurídica.
Uno de los problemas destacados por la AEPD es precisamente que la persona cuya fotografía ha sido subida puede no saber:
- qué herramienta se utilizó;
- cuánto se conservó;
- qué ocurrió con ella;
- a quién pedir su eliminación.
Es lo que la Agencia denomina una asimetría informativa que dificulta ejercer los derechos.
¿Puedo pedir que la empresa de IA borre mi fotografía?
Puede haber vías para solicitar supresión o ejercer otros derechos cuando el RGPD resulte aplicable.
Pero jurídicamente puede existir cierta complejidad.
Supongamos:
Juan sube sin permiso una foto de María a una plataforma de IA.
Ahora existen potencialmente dos actores distintos:
Juan
Ha decidido utilizar la fotografía.
Proveedor
Ha recibido y procesado el archivo de acuerdo con su propio servicio.
Determinar quién es:
- responsable;
- encargado;
- responsable independiente;
depende del tratamiento concreto.
Precisamente por eso es útil conservar información sobre:
- plataforma;
- cuenta;
- fecha;
- resultado;
- posibles publicaciones.
¿Qué pasa si la foto está en un grupo de WhatsApp?
Tampoco existe una autorización general.
Que alguien envíe una fotografía a un grupo significa:
la envió en ese contexto.
No significa automáticamente:
autorizo a todos a cargarla en servicios externos de IA y generar nuevas versiones.
La AEPD utiliza expresamente los grupos de mensajería como ejemplo para explicar que la existencia previa de una fotografía en un determinado contexto no supone autorización general para nuevos usos.
¿Y una fotografía profesional de LinkedIn?
El razonamiento es parecido.
Que una persona publique una fotografía para:
identificarse profesionalmente en LinkedIn
no significa necesariamente que espere que terceros la utilicen para:
- crear avatares;
- campañas comerciales;
- reconocimiento facial;
- falsos vídeos.
Cuanto mayor sea la distancia entre:
finalidad original
y
nuevo tratamiento
más rigurosamente debe analizarse la legitimación.
¿Puedo usar una foto de un famoso?
El hecho de tener proyección pública sí puede modificar determinados equilibrios jurídicos.
La Ley Orgánica 1/1982 contempla excepciones relacionadas con personas que ejercen cargos públicos o profesiones de notoriedad o proyección pública cuando su imagen se capta en actos públicos o lugares abiertos al público, además de caricatura conforme al uso social y determinados supuestos informativos.
Pero eso tampoco significa:
“La imagen de cualquier famoso es de dominio público y puedo usarla para cualquier cosa.”
Especialmente para:
- publicidad;
- suplantación;
- contenido sexual;
- atribución falsa.
El contexto continúa siendo decisivo.
¿Y una persona fallecida?
Como regla general, el RGPD no se aplica a los datos de personas fallecidas.
La AEPD lo recuerda expresamente.
Pero pueden continuar existiendo derechos y vías relacionadas con:
- honor;
- intimidad;
- propia imagen;
- memoria familiar.
La Ley Orgánica 1/1982 establece incluso quién puede ejercer determinadas acciones de protección tras el fallecimiento.
Por tanto, tampoco podemos concluir:
“Como ha fallecido, su imagen puede utilizarse libremente mediante IA.”
¿Qué debería revisar antes de subir una foto a una IA?
Si es tuya
- ¿Aparecen otras personas?
- ¿Hay información sensible en el fondo?
- ¿Necesitas subir la foto completa?
- ¿Sabes qué hace el proveedor con los archivos?
- ¿Está activado el uso para entrenamiento?
- ¿Puedes utilizar una modalidad más privada?
Si es de otra persona
- ¿Sabe que vas a utilizarla?
- ¿Te ha dado permiso?
- ¿Es estrictamente personal o existe finalidad profesional?
- ¿La fotografía era pública? Eso no equivale a autorización.
- ¿Qué vas a generar?
- ¿Podría resultar humillante?
- ¿Puede parecer auténtico?
- ¿Vas a difundirlo?
- ¿Es un menor?
- ¿Existe una alternativa sin datos personales?
Si eres una empresa
- ¿Cuál es la finalidad?
- ¿Cuál es la base jurídica?
- ¿Se ha informado a la persona?
- ¿Existe derecho a utilizar su imagen para esa finalidad?
- ¿Qué proveedor interviene?
- ¿Existe contrato adecuado?
- ¿Dónde están los datos?
- ¿Se utilizan para entrenamiento?
- ¿Cuánto se conservan?
- ¿Existe transferencia internacional?
- ¿Se generan datos biométricos?
- ¿Existe riesgo elevado que requiera evaluación adicional?
Cómo reducir realmente el riesgo técnico
No todas las soluciones dependen de abogados.
Hay medidas técnicas muy sencillas.
1. No subas la imagen si no la necesitas
Es la solución más eficaz.
2. Recorta personas irrelevantes
Si preguntas por un objeto, elimina a las personas.
3. Elimina información identificativa
Por ejemplo:
- matrículas;
- acreditaciones;
- direcciones;
- documentos;
- pantallas;
- uniformes.
4. Utiliza una imagen ficticia
Para:
- pruebas;
- presentaciones;
- prototipos;
- formación;
muchas veces no necesitas una persona real.
5. Utiliza herramientas locales cuando sea posible
Reducen la exposición a terceros.
6. Revisa los controles de privacidad
Por ejemplo:
- entrenamiento;
- historial;
- retención;
- uso empresarial.
7. No utilices cuentas personales para datos corporativos
Una empresa debería aprobar las herramientas y configuraciones que pueden utilizarse.
8. Elimina los archivos cuando ya no sean necesarios
No acumules imágenes innecesariamente.
Semáforo práctico
🟢 Riesgo normalmente bajo
Foto propia.
Uso lúdico.
Sin datos sensibles.
Herramienta con configuración de privacidad adecuada.
Sin publicación perjudicial.
🟡 Riesgo moderado
Foto de amigo.
Uso privado.
Sin permiso expreso.
Sin difusión.
No sexual, humillante ni engañoso.
Puede entrar en un contexto doméstico, pero pedir permiso sigue siendo la opción más prudente.
🟠 Riesgo considerable
Foto pública de una persona descargada de Internet.
Generación de nuevas imágenes.
Difusión en redes.
La persona no conoce el uso.
🔴 Riesgo alto
Empleado, cliente o menor.
Uso profesional.
Identificación persistente.
Reconocimiento biométrico.
Datos sensibles.
🔴🔴 Riesgo muy alto
Falso desnudo.
Contenido sexual.
Humillación.
Suplantación.
Atribución de delitos.
Deepfake realista.
Extorsión.
Menores.
Aquí ya no estamos ante:
“una divertida prueba con IA”.
Puede existir un problema jurídico grave.
Cinco mitos sobre fotografías e inteligencia artificial
“Si está en Google puedo usarla”
Falso.
Accesibilidad pública no equivale a autorización general.
“Si no publico el resultado no existe ningún problema”
No necesariamente.
El simple hecho de subir una fotografía identificable a un proveedor externo ya puede constituir tratamiento de datos.
“Toda foto subida sin consentimiento infringe el RGPD”
Tampoco.
Los usos estrictamente personales o domésticos pueden quedar fuera de su ámbito, aunque otros derechos continúen siendo relevantes.
“Una foto es siempre un dato biométrico sensible”
No.
Debe existir un tratamiento técnico específico orientado a permitir o confirmar la identificación única para entrar en esa categoría biométrica reforzada.
“Si digo que está generado con IA puedo utilizar la imagen”
No.
La transparencia del AI Act no sustituye el derecho a la propia imagen ni la protección de datos.
Preguntas frecuentes
¿Es ilegal subir una foto de otra persona a ChatGPT?
No existe una regla que haga automáticamente ilegal cualquier carga.
Depende del contexto, finalidad y uso.
Un uso estrictamente privado puede quedar fuera del RGPD; un uso profesional, comercial o perjudicial requiere un análisis mucho más exigente.
¿Necesito consentimiento?
No siempre el consentimiento es la única base jurídica posible para un tratamiento sujeto al RGPD.
Pero en usos personales o creativos de fotografías ajenas, pedir permiso es normalmente la forma más sencilla de evitar problemas.
En determinados usos de la propia imagen puede ser además jurídicamente esencial.
¿Puedo subir una foto de Instagram?
Que sea accesible en Instagram no otorga una autorización general para reutilizarla mediante IA.
¿Puedo hacer una caricatura de un amigo con IA?
Un uso estrictamente personal, trivial o humorístico puede tener poca relevancia jurídica e incluso quedar fuera del RGPD.
Pero la valoración cambia si se difunde, perjudica o humilla a la persona.
¿Puedo subir una fotografía de mi hijo?
Es posible realizar usos legítimos, pero los menores disponen de una protección especialmente intensa sobre honor, intimidad y propia imagen.
Debe extremarse la minimización y valorarse cuidadosamente la herramienta y la finalidad.
¿Puedo usar una foto de un empleado con IA?
Una empresa debe analizar finalidad, base jurídica, información, proveedor y derechos del trabajador.
No debería utilizarse una foto corporativa como autorización implícita para cualquier nueva finalidad.
¿Puedo generar nuevas fotografías profesionales de un trabajador?
Puede ser posible si existe una base adecuada y se respetan sus derechos, pero debe analizarse específicamente el uso de su imagen y la finalidad.
Especialmente si posteriormente se publicarán comercialmente.
¿Puedo usar fotos de clientes para probar una herramienta?
Utilizar datos reales simplemente:
“para probar”
no elimina las obligaciones de protección de datos.
Siempre que sea posible deberían utilizarse datos ficticios o anonimizados.
¿ChatGPT guarda las fotos?
Las condiciones dependen del producto y configuración.
En los servicios para particulares, OpenAI indica actualmente que imágenes y archivos pueden utilizarse para mejorar modelos dependiendo de los controles de datos; puede desactivarse esa utilización. Los productos Business, Enterprise y API no utilizan por defecto esos contenidos para entrenamiento.
¿Desactivar el entrenamiento hace que sea seguro subir cualquier imagen?
No.
Reduce una finalidad concreta de tratamiento, pero no elimina el procesamiento necesario para proporcionar el servicio ni convierte automáticamente en legítimo utilizar datos de terceros.
¿Puedo borrar después la imagen?
Muchos servicios ofrecen mecanismos de eliminación, pero pueden existir determinados plazos técnicos o copias de seguridad según cada proveedor.
La AEPD precisamente advierte de que la retención técnica y las copias no visibles son un riesgo que el usuario normalmente no puede verificar directamente.
¿Puedo usar una foto de alguien famoso?
La proyección pública puede justificar determinados usos informativos o caricaturas en las condiciones legalmente previstas, pero no autoriza cualquier utilización, especialmente comercial, falsa, humillante o sexual.
¿Una imagen generada de una persona real tiene que etiquetarse como IA?
No toda imagen modificada necesita una etiqueta visible.
Pero si constituye un deepfake en el sentido del artículo 50 del AI Act, pueden existir obligaciones específicas de transparencia desde el 2 de agosto de 2026.
¿Qué hago si han usado mi foto para crear contenido falso?
Conserva pruebas y valora:
- retirada en la plataforma;
- ejercicio de derechos;
- reclamación ante la AEPD;
- protección del honor y propia imagen;
- vía policial/judicial cuando existan indicios de delito.
Consulta nuestra guía Cómo reclamar por un deepfake.
Una regla práctica que funciona bastante bien
Antes de subir la foto de otra persona a una IA, hazte cuatro preguntas:
1. ¿Esperaría razonablemente esa persona que utilizara su foto así?
2. ¿Necesito realmente utilizar a una persona real?
3. ¿Qué va a ocurrir técnicamente con el archivo?
4. ¿Me sentiría cómodo explicándole exactamente lo que he hecho?
Si la cuarta respuesta es:
“preferiría que no lo supiera”,
probablemente merece la pena replantear el uso.
La conclusión jurídica más importante
No existe una regla sencilla como:
“Está prohibido subir fotos de terceros a una IA.”
Tampoco existe la contraria:
“Si la fotografía estaba en Internet puedo hacer lo que quiera.”
La realidad se mueve en un continuo.
Uso privado + inocuo + no difundido
Riesgo normalmente menor.
Uso profesional o empresarial
Protección de datos mucho más relevante.
Nueva finalidad alejada de la original
Mayor exigencia.
Difusión
Mayor pérdida de control.
Menores o personas vulnerables
Mayor prudencia.
Uso comercial
Derecho a la imagen especialmente importante.
Contenido falso realista
Puede aparecer el régimen de deepfakes.
Sexualización, humillación o suplantación
Riesgo jurídico elevado.
Conclusión: subir una fotografía a una IA no es un gesto técnicamente neutro
Hasta hace poco, transformar una fotografía podía significar:
abrir Photoshop en tu ordenador.
Con la IA generativa cloud puede significar:
enviar la fotografía a una empresa externa, permitir que sus sistemas la analicen, producir nuevas representaciones de esa persona y facilitar que se generen decenas de variantes en segundos.
La AEPD considera precisamente que la utilización de imágenes de terceros mediante IA produce no solo riesgos visibles cuando el contenido se comparte, sino también riesgos invisibles por el mero hecho de cargarlo en el sistema.
Eso no convierte la tecnología en ilegal.
Pero sí obliga a abandonar una idea muy extendida:
“Solo es una foto.”
Una fotografía puede ser:
dato personal
imagen protegida
información contextual
entrada para generar nuevas representaciones de una persona.
Y cuanto mayor sea la capacidad del sistema para:
- identificar;
- recrear;
- transformar;
- difundir;
más importante resulta preguntarse quién controla el uso.
La regla práctica para un particular puede ser sencilla:
si es la imagen de otra persona y puedes preguntarle, pregunta.
Para una empresa, en cambio, la pregunta debe ser más completa:
¿tenemos una finalidad legítima, una base jurídica adecuada, derecho a utilizar esa imagen y un proveedor configurado de forma compatible con nuestros deberes?
Y para una persona afectada por un uso perjudicial:
que la imagen sea artificial no significa que el daño ni tus derechos también lo sean.
Recursos relacionados en IA Regulación
- Deepfakes y AI Act: cuándo hay que etiquetarlos
- Cómo denunciar un deepfake en España
- Prácticas prohibidas por el AI Act
- Cómo reclamar por un sistema de inteligencia artificial
- Qué cambió el 2 de agosto de 2026
Fuentes oficiales principales
Esta guía se ha elaborado principalmente a partir de:
- Agencia Española de Protección de Datos — El uso de imágenes de terceros en sistemas de IA y sus riesgos visibles e invisibles, enero de 2026.
- AEPD — recomendaciones sobre utilización responsable de imágenes y sistemas de inteligencia artificial.
- Ley Orgánica 1/1982, de protección civil del derecho al honor, intimidad y propia imagen.
- Ley Orgánica 1/1996, de Protección Jurídica del Menor.
- Reglamento General de Protección de Datos.
- Comisión Europea — Directrices sobre transparencia del artículo 50 del AI Act.
- Reglamento (UE) 2026/1744 — AI Omnibus.
Aviso jurídico
Este contenido tiene finalidad informativa y divulgativa y no constituye asesoramiento jurídico.
La licitud de utilizar una fotografía mediante inteligencia artificial depende de circunstancias como la identidad de la persona, finalidad, contexto, base jurídica, difusión, tecnología utilizada y resultado generado.