Un lunes por la mañana llega un mensaje a su cola de soporte. Una mujer explica que un video suyo circula en su plataforma. Lo publicó su expareja, y ella nunca dio su consentimiento. Adjunta dos enlaces: durante el fin de semana, el mismo video se volvió a subir desde otra cuenta.
Usted es responsable de cumplimiento, y este mensaje no es un ticket más. La pregunta ya no es solo «¿hay que retirar el contenido?». Ahora es: ¿en cuánto tiempo lo retira, cómo evita que vuelva y puede demostrarlo?
La respuesta corta: en 2026, los reguladores marcaron el ritmo. Tanto en el Reino Unido como en Estados Unidos, la regla es retirar el contenido en un plazo de 48 horas tras una denuncia válida. Las copias también deben tratarse. Ofcom, el regulador británico, va más allá con las plataformas para adultos. Desde el 30 de septiembre de 2026, espera una detección por huellas digitales (hash matching) o una medida igual de eficaz. La Unión Europea va detrás: los Estados miembros deben aplicar una nueva directiva antes de junio de 2027.
¿Por qué este tema pasó a ser prioritario este otoño?
Porque las nuevas leyes y los controles llegaron al mismo tiempo.
En el Reino Unido, Ofcom lanzó el 9 de septiembre de 2026 un programa de control sobre imágenes íntimas no consentidas. Se dirige primero a los servicios para adultos y a las aplicaciones de mensajería, que considera especialmente expuestos. Las nuevas medidas de sus códigos de buenas prácticas sobre contenido ilegal se aplican desde el 30 de septiembre. Ofcom espera que los servicios afectados cumplan en esa fecha, o que actúen para cumplir poco después.
En su boletín de octubre de 2026, Ofcom precisa a quién recomienda el hash matching. Incluye en particular a los servicios de alto riesgo que alojan sobre todo contenido pornográfico o que comparten y almacenan archivos. También incluye a los que tienen más de 700 000 usuarios activos al mes en el Reino Unido. La Online Safety Act es la ley británica de seguridad en línea. Sus multas pueden llegar a 18 millones de libras o al 10 % de la facturación mundial.
Al mismo tiempo llegó otra ley británica: la Crime and Policing Act 2026, promulgada el 29 de abril de 2026. Obliga a las plataformas a retirar una imagen íntima no consentida en las 48 horas siguientes a una denuncia válida. Las plataformas también deben impedir que ese contenido vuelva, idéntico o casi idéntico. Según el gobierno, los directivos podrían enfrentar un proceso penal si no cumplen una decisión de Ofcom. Antes de que termine 2026, Ofcom consultará al sector para incluir esta obligación en sus códigos. La idea es aplicarla en 2027.
Ofcom investiga a X desde que Grok, la IA de esa red social, se usó para crear imágenes sexualizadas de personas reales. El 14 de octubre, Ofcom pasó esta investigación a una nueva fase. Ahora se centra en cómo X trata el contenido ilegal y en sus herramientas de denuncia. Es decir, Ofcom revisa sus métodos, no solo el resultado.
En Estados Unidos, la FTC (Federal Trade Commission, la autoridad de protección del consumidor) aplica la Take It Down Act desde el 19 de mayo de 2026. Las plataformas que alojan sobre todo contenido publicado por sus usuarios deben ofrecer una solicitud de retirada clara y fácil de encontrar. Después deben retirar el contenido y sus copias idénticas conocidas en un plazo de 48 horas. La ley también cubre los deepfakes, es decir, las imágenes falsificadas («digital forgeries»). La multa civil puede llegar a 53 088 dólares por infracción.
En la Unión Europea, la DSA (Digital Services Act, el reglamento europeo de servicios digitales) ya se aplica. Su artículo 16 obliga a todo prestador de alojamiento a ofrecer un mecanismo de notificación y retirada. Después debe decidir rápido y explicar su decisión. La Directiva 2024/1385 trata de la lucha contra la violencia hacia las mujeres. Su artículo 5 convierte en delito compartir sin consentimiento imágenes íntimas o falsificadas, incluidos los deepfakes. Los Estados miembros tienen hasta el 14 de junio de 2027 para incorporarla a su derecho nacional.
¿Qué debe saber hacer su plataforma, en concreto?
Estas normas se resumen en cuatro capacidades. Si no puede demostrarlas, ahí es donde debe trabajar.
| Capacidad | La pregunta que debe hacerse | La prueba esperada |
|---|---|---|
| Recibir | ¿Una víctima sin cuenta encuentra el formulario en menos de un minuto? | Proceso documentado, accesible sin iniciar sesión, número de seguimiento para cada solicitud |
| Decidir rápido | ¿El contenido denunciado se retira o se bloquea en menos de 48 h? | Hora exacta de la denuncia, de la decisión y de la retirada |
| Impedir que vuelva | ¿Una copia idéntica se bloquea en el momento de subirla? | Huella añadida a la lista de bloqueo, registro de las copias detectadas |
| Explicar | ¿La persona sabe qué se hizo y cómo impugnarlo? | Respuesta que explica la decisión, vía de recurso, estadísticas de plazos |
Muchas plataformas para adultos tienen un formulario de denuncia pensado para suscriptores con sesión iniciada. Pero la persona que le escribe casi nunca tiene cuenta en su plataforma. Además, la FTC recomienda dar un número a cada solicitud e informar a la persona de su avance.
¿Por qué el hash matching no basta por sí solo?
El hash matching compara la huella de un archivo con una lista de contenidos ya reconocidos como ilegales. Es muy eficaz contra la nueva subida de un video ya retirado, como el del fin de semana en nuestro ejemplo. Por eso Ofcom lo convirtió en la medida de referencia.
Pero una huella solo detecta lo que ya se conoce. Un contenido nuevo pasará la primera vez. Una imagen creada con IA a partir de la foto de una persona real también pasará. Ofcom lo reconoce y acepta otras medidas igual de eficaces.
La verdadera protección está antes de la publicación. En una plataforma para adultos, la mejor defensa es saber quién aparece en el contenido y si cada persona dijo que sí. Las redes de tarjetas ya lo exigen desde el anuncio de Mastercard AN 5196. Esta norma pide verificar la identidad y la edad del creador y de cada persona visible. También pide archivar un consentimiento por escrito y moderar cada contenido antes de publicarlo. Por último, obliga a tramitar las solicitudes de retirada en siete días hábiles. Las nuevas leyes reducen ese plazo a 48 horas para las imágenes íntimas no consentidas.
¿Y los deepfakes?
Es el caso más difícil: la persona que aparece nunca fue filmada. Su verificación de coparticipantes no la detectará, porque esa persona no está en sus registros.
Lo que nosotros haríamos en su lugar:
- Escribir con claridad en sus condiciones de uso que el contenido sintético está prohibido cuando muestra a una persona real sin su consentimiento. Precisar que publicarlo lleva a la expulsión.
- Tratar una denuncia de deepfake como una denuncia de imagen íntima, con el mismo plazo de 48 horas. Las leyes británica y estadounidense mencionan de forma explícita las imágenes falsificadas o generadas.
- Combinar el análisis por IA con la verificación de identidad. Puede que un rostro no coincida con ningún creador ni coparticipante verificado en la cuenta. En ese caso, una persona de su equipo debe revisar el contenido antes de publicarlo.
- Hacer que la expulsión se mantenga. Una cuenta cerrada por un deepfake vuelve dos días después con otro correo electrónico. Eso es justo lo que usted no quiere explicarle a un regulador. La expulsión debe seguir a la identidad verificada de la persona, no a la cuenta.
Lo que haríamos si fuéramos responsables de cumplimiento hoy
Medir antes de prometer. Calcule sus plazos reales de los últimos seis meses: de la denuncia a la primera acción, y de la denuncia a la retirada. A menudo la mediana es buena, pero las denuncias del viernes por la noche esperan hasta el lunes. Y las 48 horas también corren el fin de semana.
Crear una cola dedicada. Una denuncia de imagen no consentida no debe llegar a la cola general de soporte. Necesita prioridad, un equipo formado y una guardia permanente. Primer paso: ocultar el contenido antes incluso del análisis completo.
Vincular retirada y huella. Cada retirada por este motivo debe añadir de forma automática la huella del contenido a su lista. Así, la siguiente copia se bloquea en cuanto alguien la sube, en lugar de denunciarse tres días después.
Preparar su expediente. Algún día, Ofcom, Arcom (el regulador francés de lo digital) o su PSP le harán preguntas. El PSP es el proveedor de servicios de pago que le permite cobrar con tarjeta. En ese momento, debe entregar en pocos minutos su procedimiento escrito, sus estadísticas de plazos y ejemplos anonimizados. Añada la prueba de que las personas visibles en esos contenidos habían dado su consentimiento. Las sanciones de 2026 lo demostraron: responder mal a una solicitud de información ya es una infracción.
Hablar con su PSP antes de que él hable con usted. Para un banco adquirente, un caso mal gestionado amenaza su reputación y su posición ante las redes de tarjetas. Muéstrele su procedimiento y sus plazos sin esperar: su expediente saldrá reforzado.
Cómo puede ayudarle Pleenk Approve
Pleenk Approve actúa antes de la publicación, y sobre las pruebas. El núcleo de Pleenk es una identidad digital única. El creador y cada coparticipante se verifican con una prueba de vida antes de publicar. Pleenk cifra su identidad y la guarda en un wallet único (una billetera de identidad digital): su plataforma recibe una prueba, nunca el documento de identidad. Sus consentimientos y sus posibles expulsiones están vinculados a ese wallet. Por eso, una expulsión sigue a la persona, no a la cuenta. Pleenk también gestiona el derecho a retirar el consentimiento. Además, mide cuánto tarda usted en retirar un contenido cuando alguien retira su consentimiento. Su moderación sigue siendo suya: Pleenk se conecta a su herramienta de moderación por IA y guarda la prueba de que se hicieron los controles. Pleenk no sustituye su procedimiento de retirada ni su herramienta de comparación de huellas (hash matching). ¿Está revisando su procedimiento de denuncia y retirada antes de las consultas de Ofcom? Escríbanos a contact@pleenk.com.
Este artículo es solo informativo y no constituye asesoramiento jurídico. Las normas citadas cambian, y su aplicación depende de su servicio y de sus mercados. Pida a su abogado que valide sus decisiones.
Fuentes
- Ofcom – Programa de control sobre imágenes íntimas no consentidas (9 de septiembre de 2026): https://www.ofcom.org.uk/online-safety/illegal-and-harmful-content/Enforcement-programme-into-measures-being-taken-by-services-to-prevent-users-from-encountering-or-sharing-non-consensual-intimate-imagery-NCII
- Ofcom – Online Safety industry bulletin, octubre de 2026 (15 de octubre de 2026): https://www.ofcom.org.uk/online-safety/protecting-children/online-safety-industry-bulletin-october-2026
- GOV.UK – Crime and Policing Act 2026: ficha sobre el abuso de imágenes íntimas (29 de septiembre de 2026): https://www.gov.uk/government/publications/crime-and-policing-act-2026-factsheets/crime-and-policing-act-2026-intimate-image-abuse-factsheet
- Kingsley Napley – Deepfakes y Crime and Policing Act 2026 (mayo de 2026): https://www.kingsleynapley.co.uk/our-insights/articles/deepfakes-to-deletion-orders-tackling-technology-enabled-sexual-offending-in-the-crime-and-policing-act-2026/
- BusinessDay / Reuters – Ofcom y el tratamiento del contenido ilegal por parte de X (14 de octubre de 2026): https://www.businessday.co.za/world/2026-10-14-concerns-persist-over-xs-handling-of-illegal-content-uk-media-regulator/
- FTC – Take It Down Act enforcement starts now (mayo de 2026): https://www.ftc.gov/business-guidance/blog/2026/05/take-it-down-act-enforcement-starts-now-what-know-about-ftc-tida
- FTC – Complying With the Take It Down Act: https://www.ftc.gov/business-guidance/resources/complying-take-it-down-act
- EUR-Lex – Reglamento (UE) 2022/2065 (Digital Services Act): https://eur-lex.europa.eu/eli/reg/2022/2065/oj
- EUR-Lex – Directiva (UE) 2024/1385 sobre la lucha contra la violencia contra las mujeres: https://eur-lex.europa.eu/eli/dir/2024/1385/oj
- Age Verification Providers Association – Requisitos de Mastercard para comercios de contenido para adultos: https://avpassociation.com/thought-leadership/mastercard-specialty-merchant-requirements-drive-age-verification/