Su equipo de producto tiene una idea que encanta a los creadores. Una herramienta de IA generaría fotos y videos cortos «a su imagen», sin nueva grabación. Los creadores ahorrarían tiempo y sus suscriptores tendrían más contenido. Pero en la reunión surge rápido una pregunta: ¿y si alguien usa la herramienta con la cara de otra persona?
En Europa, esa pregunta ya tiene una respuesta legal. La respuesta corta: el AI Act es el reglamento europeo de inteligencia artificial. A partir del 2 de diciembre de 2026, prohíbe la IA que crea imágenes íntimas realistas de una persona identificable sin su consentimiento. Ese consentimiento debe darlo la propia persona representada. Debe ser libre, específico, informado, inequívoco y explícito. La casilla que marca quien sube el contenido no basta.
Para una plataforma para adultos, esto afecta a dos situaciones. Usted ofrece una herramienta de IA a sus creadores. O aloja contenidos creados con IA en otro lugar. En ambos casos, la pregunta clave es la misma: ¿quién aparece, y esa persona dijo que sí?
¿Qué cambia exactamente el 2 de diciembre de 2026?
La Unión Europea modificó el AI Act mediante un reglamento llamado «ómnibus», el Reglamento (UE) 2026/1744. El Parlamento Europeo lo aprobó el 16 de junio de 2026 y el Consejo, el 29 de junio. Se publicó en el Diario Oficial de la UE en julio de 2026.
El reglamento añade dos prohibiciones a la lista de prácticas de IA prohibidas. La primera se dirige a los sistemas que crean o modifican imágenes, videos o audios realistas. Se trata de contenidos que muestran las partes íntimas o la actividad sexual de una persona identificable. La prohibición se aplica cuando esa persona no dio un consentimiento libre, específico, informado, inequívoco y explícito. La segunda se dirige al material de abuso sexual infantil, sin ninguna excepción basada en el consentimiento.
Ambas prohibiciones se aplican desde el 2 de diciembre de 2026. Cubren tres actos: introducir la herramienta en el mercado, ponerla en servicio o utilizarla.
El plazo es corto. Sin embargo, el mismo texto aplaza otros plazos del AI Act. El legislador convirtió así las herramientas de «desnudo» por IA en una prioridad.
¿Su plataforma está afectada?
Depende de su papel. El AI Act distingue al proveedor, que desarrolla o pone en servicio la herramienta, del responsable del despliegue, que la utiliza.
Si ofrece una herramienta de IA a sus creadores, usted está en primera línea. Para el proveedor, la prohibición no cubre solo las herramientas diseñadas para crear estas imágenes. También cubre las que pueden hacerlo de forma previsible y reproducible, sin salvaguardas suficientes. Un generador «a imagen del creador» entra claramente en este marco. La pregunta es entonces: ¿sus salvaguardas impiden crear la imagen de otra persona?
Si un creador usa una herramienta para fabricar este tipo de imagen, él es el responsable del despliegue. La prohibición se le aplica cuando la usa para crear un contenido prohibido, incluso eludiendo las protecciones de la herramienta. Una creación accidental no está cubierta.
Si solo aloja contenidos creados en otro lugar, el AI Act no se dirige directamente a usted. Pero otras normas toman el relevo. La DSA (Ley de Servicios Digitales) es el reglamento europeo sobre servicios en línea. Le obliga a recibir avisos y a actuar sobre los contenidos ilícitos (artículo 16). La directiva europea 2024/1385 sobre la violencia contra las mujeres pide a los Estados castigar la difusión de estos montajes sin consentimiento. Debe transponerse antes del 14 de junio de 2027.
Además, el AI Act impone una regla de transparencia desde el 2 de agosto de 2026. Quien usa una IA para crear un deepfake debe indicar que el contenido fue generado o modificado por IA (artículo 50).
Las sanciones son elevadas. Una práctica prohibida puede costar hasta 35 millones de euros o el 7 % del volumen de negocios mundial. Se aplica la cifra más alta.
¿Por qué el consentimiento debe venir de la persona representada?
Porque es ella quien sufre el daño, no quien publica. El AI Act lo dice con claridad: el consentimiento exigido es el de la persona identificable que aparece. Un creador no puede consentir en nombre de su expareja, de una colega o de una celebridad.
Esta lógica no es nueva para las plataformas para adultos. Desde abril de 2021, Mastercard exige un consentimiento claro y documentado de las personas que aparecen en los contenidos. La red también exige una prueba de edad e identidad de cada persona representada y de cada persona que publica. Explicamos estas exigencias en nuestro artículo sobre la gestión del consentimiento en una plataforma para adultos.
Con la IA, la dificultad cambia de naturaleza. Ya no hay grabación, así que no hay un momento natural para firmar. Una sola foto basta para crear un contenido. Por eso el consentimiento debe obtenerse antes de la generación, no después de la queja.
Hay otro punto que merece su atención: el consentimiento se puede retirar. El RGPD, el reglamento europeo de protección de datos, establece que el consentimiento puede retirarse en cualquier momento (artículo 7). Un creador que cierra su cuenta o cambia de opinión debe poder impedir que la herramienta siga usando su imagen.
Lo que haríamos si lanzáramos una herramienta de IA mañana
Estas son las decisiones que tomaríamos antes del 2 de diciembre, en este orden.
Reservar la herramienta a creadores verificados. Verificaríamos la identidad y la edad de cada creador con una prueba de vida. Este control confirma que hay una persona real frente a la cámara, no una foto ni un deepfake. Sin él, alguien puede abrir una cuenta con la cara de otra persona.
Permitir solo la imagen del propio creador. Por defecto, la herramienta solo genera a la persona verificada titular de la cuenta. Cualquier otra persona que aparezca debe haber dado su propio consentimiento, firmado por ella misma.
Recoger un consentimiento específico para la IA. Aceptar ser grabado no es aceptar ser recreado por una máquina. Añadiríamos un consentimiento separado que precise los usos: qué contenidos, en qué plataforma y por cuánto tiempo.
Prever la retirada desde el inicio. Escribiríamos el procedimiento: quién recibe la solicitud y en cuánto tiempo la herramienta deja de usar la imagen. También precisaríamos qué pasa con los contenidos ya publicados. Y mediríamos el plazo real.
Escribir la regla en sus condiciones de uso y aplicarla. Deben prohibir los contenidos de IA de una persona sin su consentimiento. También deben exigir la mención «creado con IA». La DSA pide aplicar estas normas con diligencia y de forma proporcionada (artículo 14).
Bloquear a la persona, no solo la cuenta. Un creador que publica un deepfake íntimo puede volver con otro seudónimo. Un bloqueo vinculado a su identidad verificada lo impide.
Guardar el rastro de todo. Su herramienta de moderación revisa los contenidos antes de publicarlos. Conserve la prueba de cada control y de cada decisión. Su PSP, el proveedor que le permite cobrar con tarjeta, se la pedirá tarde o temprano.
¿Y si usted no ofrece ninguna herramienta de IA?
Seguramente ya recibe contenidos creados con IA. Algunos creadores los producen con herramientas externas. La regla básica es la misma: cada persona identificable debe haber dado su consentimiento.
En la práctica, pediríamos al creador declarar todo contenido creado o modificado con IA. Comprobaríamos que la persona representada es él mismo, o alguien que firmó su propio consentimiento. Trataríamos con prioridad los avisos sobre deepfakes. Y guardaríamos la prueba de cada decisión, para el PSP y para el regulador.
Cómo puede ayudarle Pleenk Approve
El núcleo de Pleenk es una identidad digital única. Cada creador, coparticipante, agencia o afiliado se verifica con una prueba de vida. Pleenk cifra su identidad y la guarda en un wallet único. La plataforma recibe una prueba, nunca el documento de identidad. Todo está vinculado a ese wallet: sus cuentas, sus consentimientos, el IBAN que recibe sus ingresos y sus posibles bloqueos. Una persona que aparece en un contenido no necesita una cuenta en su plataforma. Se la invita, se la verifica y firma ella misma su consentimiento a través de Pleenk. En su espacio Pleenk, ve sus consentimientos y puede retirarlos. La retirada se le transmite a usted, y Pleenk mide el plazo de retirada del contenido. La moderación sigue siendo de su plataforma: Pleenk se conecta a su herramienta de moderación y conserva la prueba de los controles. Desde Pleenk, usted genera automáticamente su informe y lo comparte con su PSP en un clic. Para hablarlo, escríbanos a contact@pleenk.com.
Este artículo es solo informativo. No constituye asesoramiento jurídico.
Fuentes
- Texto del AI Act modificado por el Reglamento (UE) 2026/1744 (ómnibus de IA), nuevo artículo 5, letras ba) y bb), y fechas de aplicación: https://artificialintelligenceact.eu/ai-act-explorer/digital-omnibus/
- Covington, Inside Privacy, «EU AI Act Update: Timeline Relief, Targeted Simplification, and New Prohibitions», 18 de mayo de 2026: https://www.insideprivacy.com/artificial-intelligence/eu-ai-act-update-timeline-relief-targeted-simplification-and-new-prohibitions/
- Future of Privacy Forum, «The AI Act implementation timeline: What changes under the AI Omnibus?»: https://fpf.org/blog/the-ai-act-implementation-timeline-what-changes-under-the-ai-omnibus/
- Orrick, «EU AI Act Update: Digital Omnibus Finalizes 8 Compliance Changes», julio de 2026: https://www.orrick.com/en/Insights/2026/07/EU-AI-Act-Update-Digital-Omnibus-Finalizes-8-Compliance-Changes
- Comisión Europea, AI Act Service Desk, artículo 99 (sanciones): https://ai-act-service-desk.ec.europa.eu/en/ai-act/article-99
- Directiva (UE) 2024/1385 sobre la lucha contra la violencia contra las mujeres: https://eur-lex.europa.eu/eli/dir/2024/1385/oj
- Mastercard, «Protecting our network, protecting you: Preventing illegal adult content on our network», 14 de abril de 2021: https://www.mastercard.com/global/en/news-and-trends/perspectives/2021/protecting-our-network-protecting-you-preventing-illegal-adult-content-on-our-network.html
- Reglamento (UE) 2022/2065 de Servicios Digitales (DSA), artículos 14 y 16: https://eur-lex.europa.eu/eli/reg/2022/2065/oj
- Reglamento (UE) 2016/679 (RGPD), artículo 7: https://eur-lex.europa.eu/eli/reg/2016/679/oj