Resumen rápido. Si has sufrido una estafa por deepfake (voz clonada, vídeo falso o suplantación mediante IA), actúa en las primeras 48 horas: avisa a tu banco para intentar la retrocesión de la transferencia, preserva todas las pruebas sin borrarlas y presenta denuncia. La conducta se persigue como estafa agravada (arts. 248 y 250 CP) y es posible reclamar el dinero por varias vías: penal, bancaria y civil.
Una llamada con la voz exacta de tu director financiero ordenando una transferencia urgente. Una videollamada en la que “tu jefe” te pide autorizar un pago a un proveedor nuevo. Un audio de WhatsApp de un familiar pidiendo dinero. La estafa por deepfake ya no es ciencia ficción: la inteligencia artificial permite clonar voces y rostros con un realismo que desarma los controles tradicionales, y las víctimas —particulares y empresas— se preguntan lo mismo: ¿es delito?, ¿quién responde? y, sobre todo, ¿puedo recuperar mi dinero? En esta guía respondemos a las tres preguntas con la normativa española vigente en 2026.
¿Qué es una estafa por deepfake y por qué está creciendo?
Un deepfake es un contenido —audio, imagen o vídeo— generado o manipulado mediante inteligencia artificial para hacer que una persona parezca decir o hacer algo que nunca dijo ni hizo. Su uso delictivo se ha disparado por tres razones: las herramientas de clonación son gratuitas o muy baratas, bastan unos segundos de voz real para entrenar el modelo, y el resultado supera el filtro del oído y el ojo humanos.
Las modalidades más frecuentes que llegan a los despachos son:
- Fraude del CEO con voz clonada: un empleado del departamento financiero recibe una llamada o audio con la voz del directivo ordenando una transferencia urgente y confidencial.
- Videollamadas falsas: el estafador altera su rostro y voz en tiempo real durante una reunión por videoconferencia para suplantar a un directivo o a un proveedor.
- Estafas a particulares: falsos familiares en apuros, falsas inversiones promocionadas con vídeos manipulados de personajes públicos, o falsos empleados de banco que combinan voz sintética con spoofing telefónico y SIM swapping para interceptar los códigos de verificación por SMS.
- Extorsión con contenido falso: amenaza de difundir imágenes o vídeos manipulados de la víctima si no paga.
¿Es delito el deepfake en España? Marco penal aplicable
En el Código Penal español no existe todavía un “delito de deepfake” con nombre propio, pero esto no significa impunidad: la conducta encaja en tipos penales ya establecidos, y los tribunales vienen aplicándolos con firmeza.
Estafa (arts. 248 y 249 CP). Es el encuadre natural del fraude del CEO y de las transferencias inducidas mediante voz o vídeo falsos: engaño bastante, error en la víctima, acto de disposición patrimonial y perjuicio. La pena básica es de 6 meses a 3 años de prisión.
Estafa agravada (art. 250 CP). Cuando el perjuicio supera los 50.000 euros, cuando afecta a una generalidad de personas o cuando el autor se aprovecha de su credibilidad empresarial o profesional, la pena se eleva de 1 a 6 años de prisión y multa. En los fraudes corporativos con deepfake, la agravación por cuantía es habitual: los importes medios superan con mucho ese umbral.
Usurpación de estado civil y suplantación (art. 401 CP) y falsedades (arts. 390 y 392 CP), cuando el deepfake se acompaña de documentos falsificados (facturas, órdenes de pago, contratos) que dan apariencia de normalidad a la operación.
Delitos contra la intimidad y la propia imagen (art. 197 CP). Si el contenido manipulado es de carácter íntimo o sexual, la creación y difusión puede ser punible incluso sin ánimo de lucro, con penas de prisión de 1 a 5 años según la modalidad y la difusión. A ello se suma la vía civil de la LO 1/1982, de protección del honor, la intimidad y la propia imagen.
A nivel europeo, el Reglamento (UE) 2024/1689 (Reglamento de Inteligencia Artificial) impone en su art. 50 obligaciones de transparencia: los contenidos generados o manipulados por IA deben etiquetarse como tales. En España, el anteproyecto de ley para el buen uso y la gobernanza de la IA prevé sanciones específicas por no etiquetar contenidos sintéticos. Este marco no sustituye al Código Penal, pero refuerza la posición de la víctima: la ausencia de etiquetado es un indicio más del propósito fraudulento.
Me han estafado con un deepfake: qué hacer en las primeras 48 horas
El tiempo es el factor decisivo, tanto para inmovilizar el dinero como para preservar la prueba. Nuestra recomendación profesional, por este orden:
Plan de acción en las primeras 48 horas
1Llama inmediatamente a tu banco y comunica la operación fraudulenta. Solicita por escrito la retrocesión de la transferencia y el bloqueo de los fondos en la cuenta de destino. Cada hora cuenta: los fondos se fragmentan y salen del circuito en cuestión de horas a través de mulas bancarias.
2No borres nada. Conserva la llamada, los audios, los correos, la videollamada grabada si existe, los justificantes de transferencia y los números desde los que te contactaron. La cadena de custodia de la prueba digital será determinante en el proceso.
3Documenta la prueba de forma fehaciente: capturas certificadas, acta notarial o depósito ante prestador cualificado. Un peritaje informático posterior podrá acreditar la manipulación del archivo (metadatos, artefactos de interpolación propios de la IA).
4Presenta denuncia ante el Grupo de Delitos Telemáticos de la Guardia Civil o la unidad de ciberdelincuencia de la Policía Nacional, aportando toda la documentación. En el caso de empresas, valora también la comunicación a la aseguradora si existe póliza ciber.
5Consulta con un abogado especializado antes de firmar nada con el banco ni aceptar respuestas tipo “la operación fue autorizada por usted”. Esa frase, precisamente, es donde empieza la batalla jurídica.
¿Puedo recuperar el dinero de una estafa por deepfake? Las tres vías de reclamación
Aquí está la diferencia esencial que casi nadie explica y que condiciona toda la estrategia: no es lo mismo un pago no autorizado que una transferencia autorizada pero inducida por engaño.
Tres vías para recuperar el dinero
1Vía bancaria: pagos no autorizados vs. transferencias inducidas
Si el estafador operó directamente en tu cuenta (obtuvo tus claves y ordenó él la transferencia), estamos ante un pago no autorizado: el art. 45 del Real Decreto-ley 19/2018, de servicios de pago, obliga al banco a devolver el importe de inmediato, salvo que pruebe negligencia grave del cliente, y la carga de la prueba recae sobre la entidad (art. 44 RDL 19/2018).
En cambio, en el fraude del CEO y en la mayoría de estafas por deepfake, es la propia víctima quien ordena la transferencia engañada por la voz o el vídeo falsos. Es una transferencia autorizada aunque viciada por el engaño, y el régimen automático de devolución del RDL 19/2018 no se aplica con la misma contundencia. Ello no cierra la puerta a la reclamación contra las entidades: cabe analizar si el banco emisor ejecutó la orden pese a señales evidentes de anomalía, y si el banco receptor incumplió sus obligaciones de prevención de blanqueo al abrir o mantener la cuenta de destino.
2Vía penal
La condena penal por estafa lleva aparejada la responsabilidad civil derivada del delito (arts. 109 y siguientes CP): restitución e indemnización de daños y perjuicios, incluido el daño moral en los supuestos de suplantación con contenido difamatorio o íntimo. La acción se dirige contra los autores identificados y también contra las mulas bancarias, los titulares de las cuentas de destino, que responden al menos a título de receptación o blanqueo imprudente y, en todo caso, civilmente por el importe recibido.
3Vía civil
Cuando la vía penal se archiva por falta de identificación del autor principal —algo frecuente cuando la trama opera desde el extranjero—, sigue abierta la acción civil contra los titulares de las cuentas receptoras por enriquecimiento injusto o por responsabilidad extracontractual (art. 1902 CC). Es una vía menos conocida y, en nuestra experiencia, decisiva para recuperar al menos parte de los fondos. Ten presente, además, la prejudicialidad penal: mientras el procedimiento penal esté vivo, el civil sobre los mismos hechos queda en suspenso, lo que exige diseñar bien la estrategia desde el inicio.
Empresas: por qué el fraude del CEO con IA exige protocolo (y qué pasa si no lo hay)
Para una pyme, una transferencia fraudulenta de seis cifras puede ser existencial. Y además del daño directo, se abren derivadas internas: ¿respondió el empleado que ordenó el pago?, ¿responden los administradores por no haber implantado controles?
Nuestra recomendación para empresas, proporcionada al tamaño de cada organización: doble verificación por canal independiente de toda orden de pago no habitual (una llamada al número de siempre desactiva el 90% de estos fraudes), palabras clave internas para autorizaciones sensibles, formación básica del equipo financiero y protocolo escrito de reacción. La existencia de estos controles no solo previene: también refuerza la posición de la empresa frente al banco y frente a la aseguradora si el fraude llega a consumarse.
Deepfake, spoofing y phishing: en qué se diferencian (y por qué importa)
Conviene no confundir figuras, porque el régimen de reclamación cambia. En el phishing y smishing clásicos el estafador obtiene tus credenciales y opera él: pago no autorizado, régimen del RDL 19/2018 favorable a la víctima. En el spoofing telefónico el estafador falsea el número llamante para hacerse pasar por tu banco. El deepfake añade la capa más sofisticada: ya no suplanta un número, sino una voz o un rostro. Cuanto más sofisticado el engaño, más difícil es sostener que la víctima incurrió en negligencia grave, y ese es un argumento central en la reclamación.
| Figura | Cómo opera el estafador | Posición de la víctima en la reclamación |
|---|---|---|
| Phishing / smishing | Obtiene tus credenciales y opera él la cuenta. | Favorable pago no autorizado; régimen del RDL 19/2018 favorable a la víctima |
| Spoofing telefónico | Falsea el número llamante para hacerse pasar por tu banco. | Intermedia mayor sofisticación del engaño que el phishing clásico |
| Deepfake | Ya no suplanta un número, sino una voz o un rostro. | Más compleja cuanto más sofisticado el engaño, más difícil sostener negligencia grave de la víctima |
Preguntas frecuentes sobre estafas por deepfake
¿Es delito crear un deepfake aunque no se difunda?
Puede serlo. Si el contenido es de carácter íntimo o sexual, la mera creación referida a una persona identificable puede ser punible conforme al art. 197 CP. Si el deepfake se crea como instrumento para una estafa, la responsabilidad surge con la tentativa o consumación del fraude.
¿Quién responde: el que crea el deepfake, el que lo difunde o la plataforma?
El creador responde como autor del delito instrumentado; quien lo difunde a sabiendas puede responder como cooperador (arts. 28 y 29 CP); y las plataformas tienen obligaciones de retirada y trazabilidad conforme al Reglamento de Servicios Digitales, cuyo incumplimiento puede generar responsabilidad propia.
¿El banco tiene que devolverme el dinero si ordené yo la transferencia engañado?
No automáticamente, y esa es la diferencia con el phishing clásico. Pero sí cabe reclamar si el banco emisor ignoró señales de alarma evidentes o si el banco receptor incumplió sus deberes de diligencia sobre la cuenta de destino. Cada caso exige analizar la operativa concreta.
¿Cómo se demuestra que un audio o vídeo es falso?
Mediante peritaje informático forense: análisis de metadatos, patrones de interpolación característicos de la IA generativa y comparación de huellas del archivo. Los tribunales exigen cada vez más informes periciales específicos, por lo que la correcta preservación inicial de la prueba es esencial.
¿Has sido víctima de una estafa con inteligencia artificial? Actuamos hoy
En LEXWAY Abogados combinamos la experiencia en litigación bancaria y derecho penal económico con el conocimiento técnico que exigen estos casos: peritajes multimedia, preservación de prueba digital, reclamación frente a entidades y acciones contra las cuentas receptoras. Analizamos tu caso, te decimos con claridad qué posibilidades reales de recuperación existen y diseñamos la estrategia —penal, bancaria y civil— más eficaz. Estamos en Madrid y Guadalajara: llámanos al 917 60 71 35 o escríbenos desde nuestra página de contacto.
Este artículo tiene carácter meramente informativo y no constituye asesoramiento jurídico. Cada caso requiere un análisis individualizado de sus circunstancias. Si te encuentras en una situación similar, te invitamos a concertar una consulta personalizada con nuestro equipo.
Soy abogado con más de 15 años de ejercicio profesional. He participado en más de 200 procedimientos judiciales y he cultivado más de 2200 horas de formación continuada tras licenciarme.
Me gusta el Derecho y he dedicado la mayor parte de mi carrera a las áreas del derecho Inmobiliario, Urbanismo y Mercantil.
