Cuando el fraude ya no necesita engañar a una persona
Por Laura Martínez-Sanz Collados
Los deepfakes permiten que una persona diseñe un fraude, una inteligencia artificial fabrique una identidad falsa y un sistema automático autorice la operación. La tecnología cambia la ejecución, pero no elimina la pregunta esencial del Derecho penal: quién sabía qué y quién decidió poner la máquina al servicio del engaño.
La inteligencia artificial no ha inventado la estafa. Ha abaratado algo decisivo para cometerla: la fabricación de confianza.
En un fraude empresarial ya conocido, un empleado recibió instrucciones aparentemente procedentes de varios directivos. Los vio, escuchó sus voces y participó con ellos en una reunión virtual. Convencido de su autenticidad, ordenó importantes transferencias. Después descubrió que aquellas identidades habían sido recreadas digitalmente.
Si una persona cree las instrucciones y dispone del dinero, el esquema penal resulta reconocible. Existe una apariencia falsa dirigida a provocar una decisión patrimonial. La inteligencia artificial no altera necesariamente la estructura de la estafa; hace mucho más convincente el engaño.
El problema jurídico adquiere una dimensión diferente cuando desaparece esa persona intermedia. Bancos, plataformas y empresas utilizan procedimientos automáticos para identificar clientes, abrir cuentas o autorizar operaciones. Un deepfake puede dirigirse entonces no a convencer a una persona, sino a conseguir que una máquina acepte una identidad falsa. ¿Se puede estafar a un algoritmo?.
Nuestro Código Penal contempla el fraude cometido mediante manipulaciones informáticas o artificios semejantes cuando estos producen una transferencia patrimonial no consentida. Ya no es imprescindible reconstruir el error psicológico de una persona: el centro puede situarse en la manipulación del sistema que produce el resultado económico.
Un control de videoidentificación no «cree» que tenga delante a una persona determinada. Compara información y, si se cumplen sus parámetros, permite continuar. La identidad sintética trata precisamente de superar ese filtro. El perjudicado puede ser la entidad que abre una cuenta, concede financiación o autoriza una operación basándose en una identidad fabricada.
La automatización, sin embargo, no desplaza la responsabilidad hacia la máquina. La inteligencia artificial que genera el rostro no se convierte en autora del delito. Tampoco lo hace el sistema que acepta la identificación. El Derecho penal debe mirar detrás de ambos y reconstruir las decisiones humanas.
La dificultad está en que el fraude puede fragmentarse. Alguien desarrolla una herramienta de uso general. Otra persona obtiene imágenes, voces o datos. Un tercero crea la identidad sintética. Otro facilita credenciales. Finalmente, alguien introduce el conjunto en el sistema y obtiene el dinero. Y no necesariamente responden todos.
La clave está en individualizar qué aportó cada uno, qué conocía y qué finalidad perseguía. Crear un programa capaz de clonar voces no convierte a su desarrollador en responsable de cualquier delito posterior. La misma tecnología puede emplearse legítimamente en cine, publicidad o accesibilidad. Tampoco ocupa la misma posición quien genera una imagen desconociendo su destino que quien la fabrica sabiendo que servirá para superar una verificación bancaria.
La frontera del proveedor tecnológico aparece cuando deja de ofrecer una herramienta neutral y pasa a integrarse conscientemente en el plan. Puede ocurrir, por ejemplo, si adapta específicamente el producto para vulnerar un determinado control, incorpora datos de la víctima, presta asistencia durante la operación o facilita el medio sabiendo que está diseñado para cometer el fraude. No basta con que el uso delictivo fuera imaginable. Debe analizarse si existió una contribución consciente y relevante.
Esa distinción ya tiene reflejo en nuestra legislación. En la estafa informática no solo puede responder quien obtiene finalmente el dinero. El Código Penal contempla también determinadas conductas de fabricación o facilitación de programas, dispositivos u otros medios específicamente diseñados o adaptados para cometer estos fraudes. La palabra decisiva es «específicamente», no cualquier tecnología es susceptible de un mal uso.
Pueden aparecer además falsedades u otros delitos según cómo se construya la operación. Pero sería un error acumular responsabilidades porque intervenga una tecnología novedosa. Cada delito conserva sus requisitos y cada participante debe responder únicamente por aquello que pueda atribuírsele.
España empieza también a reaccionar legislativamente. Está en tramitación parlamentaria el Proyecto de Ley Orgánica de protección civil de los derechos al honor, a la intimidad personal y familiar y a la propia imagen, que aborda el uso no autorizado de voces e imágenes generadas mediante inteligencia artificial con fines publicitarios o comerciales. No es una reforma penal ni resuelve el fraude automatizado, pero confirma que la identidad sintética ya es un problema jurídico presente.
La verdadera novedad no es que las máquinas hayan aprendido a delinquir. Es que una persona puede concebir un fraude y delegar en ellas una parte de su ejecución.
La IA puede fabricar la máscara y otro algoritmo aceptarla. Pero entre ambos sigue existiendo una decisión humana que el Derecho penal debe reconstruir.
En esta nueva delincuencia económica, el engañado puede ser una máquina. El autor sigue siendo humano.
