Privacidad y confianza

La AEPD y las imágenes con IA: qué dice su guía y qué hacemos con ella

13 de agosto de 2026 · 7 min de lectura · Equipo de Cuentos Mágicos

Puede que nunca hayas oído hablar de la AEPD, y sin embargo es la institución que más te protege a ti —y a tu hijo— cuando subes una foto a cualquier aplicación de inteligencia artificial. En enero de 2026 publicó una guía específica sobre este tema exacto: qué pasa cuando la imagen de una persona entra en un sistema de IA. Te contamos quién es, qué dice esa guía y, con la misma honestidad de siempre, cómo intentamos estar del lado correcto de sus criterios en Cuentos Mágicos.

Quién es la AEPD

La Agencia Española de Protección de Datos (AEPD) es la autoridad pública independiente encargada de que en España se cumpla el Reglamento General de Protección de Datos (RGPD). No es una empresa ni un sello privado: es un organismo del Estado. Entre sus funciones están investigar reclamaciones de personas que creen que sus datos se han tratado mal, sancionar a quien incumple la normativa y —lo que aquí nos interesa— publicar guías que aclaran, en lenguaje más práctico que el articulado legal, cómo debe aplicarse la protección de datos a situaciones nuevas. La inteligencia artificial generativa es, precisamente, una de esas situaciones nuevas.

La guía de enero de 2026, en pocas palabras

El 12 de enero de 2026 la AEPD publicó «El uso de imágenes de terceros en sistemas de inteligencia artificial y sus riesgos visibles e invisibles», un documento breve (ocho páginas) pero denso. Su punto de partida es sencillo y, a la vez, poco intuitivo: subir la foto de una persona a un sistema de IA es tratar un dato personal, exactamente igual que si esa persona fuera identificable por su rostro, su voz, su ropa o el contexto en el que aparece — sin que haga falta que se escriba su nombre en ningún sitio. Y esto es así aunque el uso parezca trivial (un filtro, un avatar, una caricatura) y aunque el resultado nunca llegue a compartirse con nadie.

Lo más útil de la guía, a nuestro juicio, es que separa dos tipos de riesgo que casi nunca se explican por separado: el riesgo visible (lo que puede pasar si el resultado se comparte o se difunde) y el riesgo invisible (lo que ocurre por el simple hecho de subir la foto, aunque el resultado no salga nunca de la cuenta de quien lo generó). Vamos con los dos.

Los riesgos "visibles": lo que puede pasar si algo se comparte

Son los criterios clásicos de protección de datos aplicados a contenido generado con IA — la guía los repasa uno por uno:

El contexto original no da permiso para todo. Que una foto estuviera en un grupo de mensajería o en una red social no equivale a autorizar que se suba a una IA, se transforme o se difunda el resultado.
Alcance y facilidad de difusión. Cuántas personas pueden verlo y con qué facilidad se reenvía, se copia o se vuelve a publicar.
Si el contenido se puede retirar de verdad, o si una vez fuera es prácticamente imposible recuperar el control.
Sexualización o contenido íntimo generado a partir de una imagen que era neutra — la guía lo marca como señal de riesgo muy alto.
Atribuir hechos que no ocurrieron, cuando el resultado parece lo bastante real como para que alguien se lo crea.
Sacar la imagen de su contexto con un texto o un título que cambie lo que significa.
Que la persona sea especialmente vulnerable. Y aquí la guía es explícita: «El umbral de prudencia al generar imágenes o vídeos con IA debe ser máximo con menores de edad, personas mayores, con discapacidad u otras situaciones de especial vulnerabilidad».
El impacto real en las relaciones, la reputación, el ámbito educativo o profesional de la persona.

Los riesgos "invisibles": lo que pasa aunque nadie vea nada

Esta es la parte que aporta más y que menos se suele explicar. Según la guía, subir una imagen a un sistema de IA nunca es un gesto neutro, incluso si el resultado no se comparte jamás:

Pérdida de control real. En cuanto la imagen sale de tu dispositivo, deja de estar solo bajo tu control: pasa a ser tratada por un proveedor externo que decide cómo la procesa.
Retención técnica invisible. Muchos sistemas conservan temporalmente las imágenes para procesarlas o para copias de seguridad, y esa conservación no siempre es verificable desde fuera.
Más actores de los que parece. Infraestructuras de nube, herramientas de seguridad, personal de soporte — el tratamiento casi nunca se limita a una sola empresa.
Finalidades añadidas del proveedor, más allá de generar lo que se pidió: seguridad del sistema, detección de usos indebidos, mejora del servicio.
Metadatos e inferencias internas. El sistema suele analizar la imagen (rostros, cuerpos, rasgos) para procesarla, y ese análisis deja rastro aunque el resultado final parezca inofensivo.
Identificación persistente. Cuando una herramienta está diseñada para que la misma persona aparezca de forma coherente en varias imágenes generadas a partir de una sola foto, esa foto deja de usarse una vez y pasa a funcionar como lo que la guía llama una «base estable» reutilizable — con el riesgo de reidentificación que eso implica.
Asimetría informativa. La persona afectada casi nunca sabe qué sistema se usó, cuánto tiempo se conservó su imagen o a quién reclamar.
Riesgo de exposición por incidentes de seguridad, aunque no haya existido ninguna difusión voluntaria.

Cómo aplicamos estos criterios en Cuentos Mágicos

Con esos ocho puntos delante, esto es lo que hacemos hoy con la foto que subes de tu hijo o hija — sin adornarlo:

Consentimiento explícito del tutor, no genérico. Tratamos la foto de un menor con la base legal específica del RGPD para datos de menores y categorías especiales (arts. 8 y 9.2.a), que se solicita y se registra cada vez que subes una foto —fecha, versión del texto aceptado, sin casillas premarcadas—, nunca por haberla usado antes.
El "umbral máximo" de la guía, aplicado a la retención. Si eliges "usar solo esta vez", la foto se elimina automáticamente de nuestros servidores en cuanto termina de generarse el cuento — no se queda "por si acaso" en ningún sistema nuestro.
El proveedor tecnológico, siempre como encargado del tratamiento. La foto solo llega al proveedor de infraestructura de IA que genera el retrato ilustrado, contratado con las obligaciones del art. 28 RGPD — nunca como dueño de tus datos.
Transferencias documentadas, no ocultas. Cuando parte del procesamiento ocurre fuera del Espacio Económico Europeo, va amparado por las Cláusulas Contractuales Tipo (SCC) de la Comisión Europea o, con proveedores certificados, por el Marco de Privacidad de Datos UE-EE. UU. (DPF).
Borrado real, no cosmético. Si eliminas un personaje o tu cuenta, la foto y el retrato ilustrado generado a partir de ella se eliminan de nuestros sistemas, en cascada — puedes pedirlo tú mismo desde "Mis Personajes", sin escribir a nadie.

No decimos que esto agote la guía ni que ya no quede nada por reforzar — es una lectura que, precisamente por venir de la autoridad competente, seguimos usando como referencia para revisar nuestras propias medidas. Lo que sí podemos decirte con certeza, porque está verificado en cómo funciona el sistema hoy, es lo que acabas de leer.

Si quieres el detalle completo, con la base legal artículo por artículo, está en nuestra política de privacidad. Y si lo que buscas es la lista de comprobación de seis preguntas para pasarle a cualquier app antes de subir la foto de tu hijo, la tienes en este otro artículo.

Preguntas frecuentes

¿La AEPD certifica o aprueba aplicaciones concretas?

No. La AEPD no da sellos de aprobación a productos ni empresas: publica normativa, guías y criterios, investiga reclamaciones concretas y puede sancionar. Que una app diga "cumplimos con la AEPD" no es un certificado — es, como mucho, que aplica sus criterios. Desconfía de quien lo presente como un sello oficial.

¿Esta guía es una ley nueva?

No, es una guía interpretativa: explica cómo se aplican el RGPD y los criterios ya existentes de protección de datos a un caso concreto, el de las imágenes procesadas con IA. No sustituye al Reglamento, lo desarrolla con ejemplos prácticos.

¿Qué hago si creo que una app no está tratando bien la foto de mi hijo?

Primero, puedes ejercer tus derechos directamente ante esa empresa (acceso, supresión, oposición). Si no responde o no estás conforme, puedes presentar una reclamación ante la propia AEPD, en aepd.es.

¿Todo claro? Entonces ya puedes crear el cuento de tu peque con esta guía —y la nuestra— de fondo.

Bibliografía y fuentes

Reglamento (UE) 2016/679 (RGPD): artículos 6, 8, 9, 17, 25 y 28
Agencia Española de Protección de Datos (AEPD) (12 de enero de 2026). Guía «El uso de imágenes de terceros en sistemas de inteligencia artificial y sus riesgos visibles e invisibles»
Agencia Española de Protección de Datos (AEPD): funciones y competencias, aepd.es
Basado en el funcionamiento real de Cuentos Mágicos (agosto de 2026)

Un criterio, no una promesa vacía
Consentimiento explícito, borrado real y transferencias documentadas — así aplicamos los criterios de la guía de la AEPD.
✨ Crear cuento

Sigue leyendo: