Con frecuencia cuando ocurre un daño en internet —como la creación de videos falsos mediante inteligencia artificial para engañar o perjudicar— la respuesta estatal tiende a ser inmediata. Arrancamos por el final, optamos por sancionar lo visible, lo urgente, lo espectacular. Pero cuando se sanciona desde el final, desde las consecuencias, desde los medios y no desde la conducta o el entendimiento del contexto, es como regular la punta del iceberg y, al intentar aplicar la ley, se descubre que hay una masa mucho mayor sumergida. Esa masa que nos cuesta tanto mirar es la complejidad, las causas estructurales, los vacíos de regulación, las competencias difusas, la falta de diseño institucional, los recursos insuficientes.
Un ejemplo de esta complejidad es la reciente reforma sobre “Uso indebido de inteligencia artificial para provocar alarma social” aprobada en San Luis Potosí a principios de este mes que penaliza el uso no autorizado de imagen o voz generada mediante Inteligencia Artificial para crear, reproducir, modificar, manipular o difundir contenidos que simulen la apariencia, voz o identidad de una persona real, así como la difusión dolosa de desinformación generada mediante Inteligencia Artificial, entendida como sistemas o algoritmos capaces de crear o alterar contenidos digitales con apariencia realista.[1]
Ante un fenómeno global como la Inteligencia Artificial, esta regulación da respuesta pronta a una pregunta que el Congreso de la Unión aún no logra aclarar: ¿a quién me compete sancionar, regular, vigilar en materia de IA? Atendiendo a un desafiante contexto local, abre espacio para implementar políticas públicas, obligaciones a autoridades y motiva a establecer mecanismos de atención. En esta contribución, analizamos la construcción de esta figura penal a partir de tres dimensiones clave: Primero, la lógica punitiva como respuesta primaria ante fenómenos tecnológicos complejos: ¿estamos frente a un nuevo episodio de populismo penal? Segundo, las consecuencias de enfocarse en el medio —la IA— y no en la conducta o el daño concreto que se busca evitar: ¿la IA es lo realmente importante en ese esta regulación?. Y tercero, a preguntarnos, si lo que se quiere es proteger los derechos de la población, ¿crear un nuevo tipo penal es la vía idónea?
A partir de estos tres ejes, vislumbremos un poco del fondo que la punta del iceberg no siempre permite ver.
Sancionar las consecuencias sin analizar las causas
Un mes antes de la reforma, el gobernador del Estado de San Luis Potosí informó que denunciará la difusión de videos manipulados con inteligencia artificial en los que se mostraba una entrevista en la que según confesaba o revelaba nexos de las autoridades del estado con el crimen organizado. La legislatura subrayó la necesidad de proteger los derechos de la población potosina. Ante una preocupación legítima muchas veces lo que primero vemos son las consecuencias: el daño, el escándalo, la indignación pública.
Legislar desde esa exigencia, gobernar a través del delito, donde las leyes penales se diseñan con base en lo que genera adhesión social y no necesariamente con base en diagnósticos jurídicos ni capacidades institucionales puede caer en un populismo punitivo, es decir, en una estrategia de política criminal donde el castigo se convierte en símbolo de respuesta estatal más allá de su efectividad real, pues muestra de una reacción rápida aunque lo estructural permanezca intacto.
Una situación análoga se ha observado en Estados Unidos, donde varios estados y el gobierno federal han legislado contra el uso de IA para generar deepfakes con fines íntimos y de abuso. La ley federal Take It Down obliga a retirar contenido íntimo no consensuado generado con IA en menos de 48 horas. No obstante, las herramientas institucionales para aplicar esta norma están subutilizadas, mal financiadas y sin prioridad política. Las leyes varían en su aplicación y alcance. El resultado: visibilidad sin garantía, reacción sin sistema.
En México, aunque gran parte de las iniciativas legislativas federales en materia de IA se han enfocado en prohibir y sancionar la generación de deepfakes (noticias falsas realizadas con IA), no se ha logrado construir una arquitectura regulatoria sólida ni definiciones compartidas, criterios técnicos mínimos o claridad sobre las competencias. No sabemos aún si regulará el IFT, si habrá una agencia nueva o si se optará por una gobernanza interinstitucional. Y lo cierto es que, sin empezar con bases sólidas, cualquier ley está condenada a la ineficacia. Pero aún más preocupante que la ineficacia es la problemática que conlleva sancionar figuras ambiguas como “alarma social” usadas históricamente para censura o represión.
Sancionar los medios y no la conducta
Día tras día, una iniciativa legislativa —ya sea federal o estatal— pretende regular “la inteligencia artificial”, “Internet” o “la tecnología” como si fueran sujetos. La mayoría de estas propuestas legislan sobre el medio, no sobre la conducta. En lugar de analizar los motivos, los fines y los efectos sociales del acto, se enfocan en el canal a través del cual se realiza. Es como si alguien usara un lápiz para dibujar algo ofensivo: el problema no es el lápiz, sino la intención y la acción de la persona. Tampoco es el hecho de que se dibuje, sino que este dibujo -al difundirse- genere un daño. Este tipo de legislaciones muchas veces omiten aspectos clave: definiciones de evidencia, estándares técnicos, cadena de custodia o carga de la prueba. Además, pueden producir efectos inhibitorios chilling effects al generar temor en quienes informan o participan del debate público.
Figuras ambiguas como “alarma social” trae a la memoria el infausto episodio de los #Twitterroristas, en el que el Legislativo del Estado de Veracruz creó en sólo cuatro horas una ley para penalizar una figura muy parecida a la de “alarma social”, que además el Ejecutivo y el Judicial aplicaron de manera retroactiva, para castigar a dos personas que divulgaron una información —que a la postre resultó ser sólo un rumor— relacionada con posibles secuestros en escuelas y que causó pánico en la sociedad por algunas horas. Los dos tuiteros terminarían siendo liberados tras una secuencia de intervenciones que incluyó la inevitable derogación de dicha ley, pero el daño hecho tuvo consecuencias funestas e irreversibles para ambos, y constituyó un severo “chilling effect” para la sociedad y la prensa.
Cuando el delito no está claramente tipificado, se vuelve herramienta de persecución. Cuando una persona hace y difunde un “deepfake” de otra que puede afectar negativamente a la segunda, ¿cuál es el bien jurídico a tutelar?, ¿a quién pertenece?, ¿en qué consiste el daño?, ¿en qué es diferente del que se incurre cuando la conducta similar se comete sin IA, por ejemplo con un dibujo a lápiz que se difunde en fotocopias xerográficas?, ¿en qué formas el realismo o la verosimilitud de la imagen o video, su amplia difusión, la dificultad de rastrear su origen y de detener su difusión, son diferentes, y cuánto? Las respuestas se reflejarán en una calificación y cuantificación del dolo y con ello al agravamiento de las penas.
Y aquí se desnuda con particular claridad el quid del asunto: “provocar alarma social” es una formulación que recuerda a la de los delitos de Disolución Social creados en el entorno de la Segunda Guerra Mundial, el abuso de los cuales para la represión política dio lugar a una de las demandas centrales del Movimiento Estudiantil de 1968, la derogación de los artículos correspondientes en el Código Penal Federal, los tristemente célebres 145 y 145 bis. Estos fueron derogados muchos años más tarde, como parte de una tendencia en la que la sociedad mexicana logró reducir los ataques y amenazas legislativos contra las libertades (otro ejemplo es el tránsito de delitos como la difamación y la calumnia del ámbito penal al civil).
¿Crear un nuevo tipo penal es la vía idónea?
Más allá de lo inaceptable de una definición vaga y las consecuencias de su aplicación arbitraria, caben dos juegos de consideraciones relevantes:
a) ¿Qué cambia —y qué no— cuando el daño se comete usando inteligencia artificial, en lugar de con métodos tradicionales?
Las leyes que toquen fenómenos relacionados con Internet, Inteligencia Artificial, y otras tecnologías potenciadoras en gran escala de la agencia humana deben partir de la conducta como componente sustantivo y tratar al medio como adjetivo. Al tratar al medio deben tomar en cuenta qué añade, que modifica o resta, a la figura sustantiva. En general se encontrará que la figura sustantiva ya existe, está ampliamente estudiada en sus aspectos jurídicos, criminológicos, políticos, económicos y sociales, y forma parte estable de la legislación existente.
Así, lo que debe hacer la legislación es entender y abordar lo que sucede en el ámbito físico y en la mente del (potencial, putativo, presunto) delincuente y en las de la víctima. Para usar un ejemplo fácil de entender, el “phishing” no es en lo esencial sino un fraude asistido por otro engaño, la suplantación de una persona física o moral; ambos son delitos de muy antigua data, codificados desde antes de que existieran leyes escritas.
Lo que cambia con la IA es la escala, la velocidad, la dificultad de rastreo y la verosimilitud del contenido. Lo que añade Internet se puede entender con seis factores: 1) Hiperescala, 2) Identidad, 3) Cruce de fronteras jurisdiccionales, 4) Abatimiento de barreras, 5) Reducción de la fricción y 6) Memoria y olvido. Además de estos factores, una buena parte de los llamados delitos cibernéticos se basan, en su modus operandi, en inducir una acción por impulso diferente de la que la víctima emprendería en una decisión reflexionada y tomada con tiempo activando la ambición, el miedo, o el altruismo.
Nada de esto es nuevo u original para el ciberespacio: son los mismos factores con los que se cometen fraudes en el espacio físico, material, tridimensional, corporal: un billete de lotería falsificado, una amenaza, una petición de ayuda pueden ser vehículos para pérdidas catastróficas. Visto así, el ejercicio legislativo debe enfocarse en añadir el clausulado necesario a los códigos existentes para tipificar correctamente las nuevas modalidades en la comisión de los delitos.
b) En casos como el de San Luis Potosí, ¿es necesario un nuevo delito para prevenir las consecuencias temidas?
Para evitar lo que en San Luis Potosí se sancionó como “el uso no autorizado de imagen o voz generada mediante IA” otros países han optado por caminos distintos. En Dinamarca, por ejemplo, en lugar de crear un nuevo tipo penal, se propuso otorgar a las personas derechos de autor sobre su rostro y voz. La lógica detrás de esta reforma es proteger la integridad personal desde el derecho civil, ampliando el ámbito de aplicación de leyes ya existentes. En paralelo, organizaciones en Países Bajos han señalado que más que crear nuevos delitos, el verdadero problema está en la falta de enforcement: ya existen normas suficientes —como el GDPR o los derechos de imagen— para perseguir ciertos deepfakes, pero ni las plataformas ni las autoridades las hacen valer con eficacia. El dilema, entonces, no es sólo si debe castigarse una conducta, sino cómo y desde qué marco jurídico conviene hacerlo.
En México se ha optado por añadir el clausulado necesario a códigos existentes para tipificar de manera correcta las nuevas modalidades en la comisión de los delitos, como se hizo en su momento para adaptar la legislación mexicana al Código Modelo de Comercio Electrónico de Uncitral. En ese proceso, en lugar de emitir un nuevo cuerpo legislativo bastó con modificar tres artículos en los Códigos Civil y de Comercio (por ejemplo, para dar certeza al comercio electrónico, se modificó el reconocimiento de la voluntad de compra por parte del comprador de “pago en efectivo o mediante giro telegráfico” añadiendo la operación de oprimir un botón virtual en una página web).
La introducción de la Inteligencia Artificial en sistemas que ven hacia la ciudadanía o el es muy reciente y está cambiando rápidamente, por lo que legislar sobre ella será una tarea imposible si se pretende alcanzar, o incluso anticipar, cada posible caso de uso, mal uso y abuso. La intervención legislativa o regulatoria en la conducta sustantiva y modificar el delito y su penalización a partir de ésta, más la modificación que introduzca la IA, se vislumbra más productivo.
El mayor esfuerzo de la sociedad, sin embargo, deberá enfocarse en prevenir, educar, en generar un nuevo pacto social en el que el engaño y la agresión, por cualesquiera medios, sean comprendidos desde antes de cometerlos y evitados. Construyamos competencias, mecanismos, recursos, cultura institucional con la conciencia de que lo que se requiere para regular temas tan complejos como IA son mucho más complejos.
Laura Márquez
Abogada. Co-fundadora y directora ejecutiva de ÏO Justice. Integrante de la Línea de Investigación sobre Derecho e Inteligencia Artificial LIDIA del IIJ-UNAM
Alejandro Pisanty
Profesor de la Facultad de Química de la UNAM. Integrante de la Línea de Investigación sobre Derecho e Inteligencia Artificial (LIDIA) del IIJ-UNAM
[1] En julio de 2025 se modificó el artículo 187 del Código Penal determinando que “Inteligencia Artificial se entiende, las aplicaciones de software, programas informáticos o cualquier software con capacidad de modificar o alterar imágenes, audios o videos.” A partir de noviembre se adicionó el artículo 187 TER que entenderá por inteligencia artificial cualquier sistema, modelo computacional o algoritmo que permita producir o alterar contenidos digitales con apariencia verosímil o similar a la realidad.