Leyes sobre fraude y suplantación con deepfakes (2027)

A noviembre de 2026, usar una voz, un rostro o un video falsos para engañar a alguien y hacer que pierda dinero puede imputarse como fraude, sea cual sea la herramienta con que se hizo: el estatuto federal de fraude electrónico (wire fraud), 18 U.S.C. 1343, prevé hasta 20 años (30 en algunos casos) y la IA no es un elemento del delito. Ningún estatuto federal convierte el «fraude con IA» en un delito aparte, pero algunos estados ya nombran la IA o la falsificación digital en el delito.

Estado al 5 de noviembre de 2026: Según nuestra lectura, al menos siete estados tienen un delito dirigido a la suplantación con IA o con semejanzas falsificadas: Arizona, Maryland, Nuevo Hampshire, Nueva Jersey, Pensilvania, Rhode Island y Washington. Es un mínimo, no un conteo completo. El de Maryland entró en vigor el 1 de octubre de 2026. El proyecto SB 1111 de California fue firmado y, por la regla general del estado, entrará en vigor el 1 de enero de 2027. Los proyectos federales sobre fraude con IA no han pasado de su remisión a comité, y ninguno es ley.

Esta página trata los deepfakes usados para fraude, suplantación, chantaje y sextorsión. Las llamadas de estafa por teléfono tienen su propia página, ¿son ilegales las llamadas de estafa con voz de IA?. Las imágenes sexuales se tratan en las leyes sobre imágenes sexuales generadas por IA, y el panorama completo de cada estado está en el centro de leyes sobre deepfakes por estado.

¿Es ilegal usar un deepfake para estafar o suplantar a alguien?

Usarlo para quedarse con dinero o bienes: sí, puede imputarse como fraude, y la herramienta no importa. Usarlo para suplantar a alguien sin fraude, amenaza ni otro delito a la vista es menos claro. La respuesta depende entonces del estado, de la finalidad y de a quién se perjudicó.

El FBI trazó esa línea en un aviso de diciembre de 2024: "The creation or distribution of synthetic content is not inherently illegal; however, synthetic content can be used to facilitate crimes, such as fraud and extortion." (La creación o distribución de contenido sintético no es ilegal por sí misma; sin embargo, el contenido sintético puede usarse para facilitar delitos, como el fraude y la extorsión). Esa frase es la descripción del FBI del punto de partida. No significa que todo uso sea lícito.

Crear un deepfake de una persona adulta no es, por sí solo, un delito según las leyes federales de fraude y de amenazas que se analizan aquí. Las imágenes de menores son distintas: 18 U.S.C. 1466A alcanza la producción de una imagen obscena de un menor, y 18 U.S.C. 2252A(a)(7) alcanza la producción, con intención de distribuirla, de pornografía infantil que sea una representación alterada de un menor identificable.

Algunos estados también alcanzan la creación misma. Nuevo Hampshire alcanza a quien «knowingly creates» (crea a sabiendas) un deepfake con un propósito dañino enumerado, y Nueva Jersey alcanza a quien «generates or creates» (genera o crea) medios engañosos para promover un delito. Otros estados alcanzan la creación de deepfakes sexuales, que el centro de leyes cubre estado por estado.

El aviso del FBI describe dos patrones a los que esta página vuelve una y otra vez: «short audio clips containing a loved one's voice to impersonate a close relative in a crisis situation» (clips de audio cortos con la voz de un ser querido para hacerse pasar por un familiar cercano en una situación de crisis) y «videos for real time video chats with alleged company executives» (videos para videollamadas en tiempo real con supuestos ejecutivos de empresas).

Leyes federales sobre fraude con deepfakes: fraude electrónico, robo de identidad, extorsión y suplantación

Ningún estatuto federal de fraude de los siguientes menciona la IA. Cada uno puede imputarse cuando se cumplen sus elementos, sea cual sea la forma en que se hizo el engaño. Describimos lo que el texto alcanza. No revisamos ningún caso federal que haya puesto a prueba estos estatutos frente a un deepfake.

¿Es una voz clonada un «medio de identificación»?

La definición de 18 U.S.C. 1028(d)(7)(B) incluye «unique biometric data, such as fingerprint, voice print, retina or iris image» (datos biométricos únicos, como la huella dactilar, la huella de voz, la imagen de la retina o del iris). Una estafa que use el nombre real de una persona puede encajar en los estatutos de identidad. Que una imitación sintética de una voz sea una «voice print» (huella de voz) no lo resuelve el texto.

Reglas de la FCC sobre voces de IA

La resolución declaratoria de la FCC, FCC 24-17, adoptada el 2 de febrero de 2024, confirmó que los límites de la Telephone Consumer Protection Act (Ley de Protección del Consumidor Telefónico, TCPA) sobre las llamadas con «artificial or prerecorded voice» (voz artificial o pregrabada) «encompass current AI technologies that generate human voices» (abarcan las tecnologías de IA actuales que generan voces humanas). Es una regla de consentimiento: esas llamadas requieren consentimiento expreso previo, salvo un fin de emergencia o una exención, y las llamadas de telemercadeo requieren consentimiento expreso previo por escrito. No es una prohibición de clonar voces.

Un expediente de aplicación de la ley muestra los límites. La FCC ordenó una multa (forfeiture) de $6,000,000 contra Steve Kramer por las llamadas automáticas con una voz de IA de Biden, con una teoría de Truth in Caller ID que, según dijo, es «not dependent on the content of the call» (no dependiente del contenido de la llamada), así que no fue una multa por hacer deepfakes como tal. Después, un jurado de Nuevo Hampshire lo absolvió de todos los cargos estatales en junio de 2025, según informó Associated Press, y él dijo a AP que no pagaría la multa. No encontramos si se ha cobrado. La operadora Lingo Telecom aceptó una sanción civil de $1,000,000 en un decreto de consentimiento. Nuestra página sobre llamadas de estafa con voz de IA cubre las reglas sobre llamadas en detalle.

La Regla de la FTC sobre suplantación, 16 CFR Parte 461

La regla de la FTC entró en vigor el 1 de abril de 2024. La sección 461.2 prohíbe hacerse pasar, de forma material y falsa, por «a government entity or officer thereof» (una entidad gubernamental o un funcionario de ella), y la sección 461.3 hace lo mismo respecto de «a business or officer thereof» (una empresa o un directivo de ella). La FTC dice que la regla permite sanciones civiles contra quienes la infrinjan.

La regla no cubre la suplantación de un particular. En un aviso publicado el 1 de octubre de 2026, la FTC dijo sobre esa disposición que «held an informal hearing in January 2025 and is still evaluating its options» (celebró una audiencia informal en enero de 2025 y sigue evaluando sus opciones). En diciembre de 2024 dijo que había «decided not to proceed with» (decidido no proseguir con) su propuesta de disposición sobre medios e instrumentos «at this time» (por ahora). El nuevo aviso se limita a las «ad-optimization practices by digital marketplace platforms» (prácticas de optimización de anuncios de las plataformas de mercados digitales), y los comentarios se cierran el 30 de noviembre de 2026.

La TAKE IT DOWN Act no es una ley de fraude

La ley federal también tipifica como delito publicar a sabiendas ciertas imágenes íntimas de personas identificables, incluidas falsificaciones de IA indistinguibles de imágenes reales, cuando se cumplen los elementos de la TAKE IT DOWN Act, 47 U.S.C. 223(h), y exige que las plataformas cubiertas retiren las representaciones reportadas dentro de las 48 horas siguientes a una solicitud válida (47 U.S.C. 223a). No alcanza una estafa que use una voz o un video falsos para obtener dinero, a menos que el contenido sea una representación íntima. Vea nuestra guía de la TAKE IT DOWN Act.

Proyectos federales sobre fraude con IA: H.R. 6306, S. 3495, S. 3982 (no son ley)

Al 5 de noviembre de 2026, la única ley que encontramos de este Congreso que tipifica como delito publicar deepfakes íntimos es la TAKE IT DOWN Act. DEFIANCE pasó el Senado pero no la Cámara de Representantes, y NO FAKES no ha tenido una votación en el pleno de ninguna de las dos cámaras. Cada uno de los proyectos de fraude siguientes fue remitido a comité sin más trámite, según el registro de Congress.gov que leímos ese día.

Nuestro seguimiento de proyectos federales sobre deepfakes sigue cada uno.

Delitos estatales de fraude y suplantación con IA

Según nuestra lectura de las leyes estatales al 5 de noviembre de 2026, al menos siete estados tienen un delito dirigido a la suplantación con IA o con semejanzas falsificadas. Hicimos una sola pasada de investigación por los 50 estados y D.C., así que otro estado podría tener uno que se nos escapó. Un estado que no figure aquí aún puede alcanzar una estafa con deepfakes mediante sus leyes generales de fraude, hurto e identidad, que no examinamos aquí.

Los verbos y la intención importan, así que lea cada fila con atención. Ninguna de estas leyes prohíbe los deepfakes como tales.

Maryland SB 8: fraude de identidad con IA y deepfakes

El Capítulo 445 de 2026 añadió la IA y los deepfakes al estatuto de fraude de identidad de Maryland, vigente desde el 1 de octubre de 2026. Una persona no puede «knowingly, willfully, and with fraudulent intent» (a sabiendas, deliberadamente y con intención fraudulenta) usar inteligencia artificial o una representación de deepfake para causar daño a otra persona «by impersonating, falsely depicting, or claiming to represent that person or any other person» (al suplantarla, representarla falsamente o afirmar que la representa a ella o a cualquier otra persona).

El mismo párrafo prohíbe usar cualquiera de las dos para crear o distribuir registros falsos con la intención de causar daño, de inducir a alguien a dar información personal identificable, o de obtener un beneficio, crédito, bien, servicio u otra cosa de valor. «Daño» significa lesión física, angustia emocional grave o daños económicos.

La definición tiene límites. Una «deepfake representation» (representación de deepfake) debe ser «indistinguishable from an actual and identifiable human being» (indistinguible de un ser humano real e identificable), y se excluyen los dibujos, las caricaturas, las esculturas y las pinturas. La pena puede ser consecutiva o concurrente con la de otro delito. Una víctima puede presentar una acción civil, y un tribunal puede dictar una orden judicial (injunction). Vea las leyes de Maryland sobre deepfakes.

Rhode Island: falsificación digital, P.L. 2026 cap. 412 y 413

La ley de 2026 de Rhode Island, que entró en vigor al aprobarse (la ley pública lleva el encabezado de promulgada el 23 de junio de 2026), añadió dos elementos al capítulo sobre fraude de identidad. Uno es suplantar a sabiendas a «an entity or person, living or dead, with intent to defraud or injure» (una entidad o persona, viva o muerta, con intención de defraudar o perjudicar). El otro es incurrir a sabiendas en falsificación digital, es decir, participar en «the generation, creation, or distribution of a forged digital likeness of a person or entity as genuine to facilitate fraud» (la generación, creación o distribución de una semejanza digital falsificada de una persona o entidad como si fuera genuina para facilitar un fraude), sabiendo o teniendo motivos para saber que es falsificada.

Una «forged digital likeness» (semejanza digital falsificada) abarca una imagen o una grabación de voz de una persona real e identificable. Debe parecerse mucho a lo genuino, ser probable que engañe a una persona razonable, haberse creado y distribuido sin el consentimiento de la persona representada, y no estar protegida de otro modo por la ley. Se exceptúan la actividad protegida por la Constitución y los proveedores y desarrolladores de tecnología.

Las penas aumentan con cada condena: hasta 3 años y $5,000 por la primera, de 3 a 5 años y hasta $10,000 por la segunda, y de 5 a 10 años y una multa de al menos $15,000 después (R.I.G.L. 11-49.1-4). No encontramos una acción civil en ese capítulo. Vea las leyes de Rhode Island sobre deepfakes.

Pensilvania: falsificación digital, 18 Pa.C.S. 4101.1

La Ley 35 de 2025 alcanza a la persona que, «with intent to defraud or injure anyone» (con intención de defraudar o perjudicar a cualquier persona), o con conocimiento e intención de facilitar un fraude o un perjuicio, «generates or creates and distributes a forged digital likeness as genuine» (genera o crea y distribuye una semejanza digital falsificada como si fuera genuina) y sabe o debería saber razonablemente que es falsificada. Crear no basta por sí solo: las palabras son «creates and distributes» (crea y distribuye).

Una «forged digital likeness» es una imagen generada por computadora de una persona real e identificable, o una grabación de audio de su voz, que cumpla los cuatro elementos siguientes:

1. Fue creada, adaptada o modificada para parecerse mucho a una imagen o registro de audio genuino de la persona.
2. Tergiversa de forma material la apariencia, el habla o el comportamiento de la persona, de modo que cambia su carácter fundamental.
3. Es probable que engañe a una persona razonable.
4. Fue creada y distribuida sin el consentimiento de la persona.

El delito base es un delito menor de primer grado. Pasa a ser un delito grave de tercer grado cuando se comete «through involvement in a scheme to defraud, coerce or commit theft of monetary assets or property» (mediante la participación en un plan para defraudar, coaccionar o hurtar activos monetarios o bienes). Los proveedores y desarrolladores de tecnología están exentos, y el acusado tiene una defensa afirmativa si tomó medidas razonables para avisar a quienes veían o escuchaban que la semejanza no era genuina. La sección no prevé una acción civil. Vea las leyes de Pensilvania sobre deepfakes.

Nueva Jersey: un deepfake usado para promover otro delito

N.J.S.A. 2C:21-17.8 es un estatuto de delito base (predicate crime). Es un delito de tercer grado generar o crear una obra de audio o medios visuales engañosos «for the purpose of attempting or furthering the commission of any crime or offense» (con el fin de intentar o promover la comisión de cualquier delito o infracción), o sabiendo que otra persona los usará así. Solicitar, divulgar o usar una con ese fin también es de tercer grado. Divulgar a sabiendas o con imprudencia temeraria una obra creada en violación del estatuto es de cuarto grado, hasta 18 meses.

Sin un fin delictivo, estos apartados no se aplican. Los ejemplos enumerados incluyen los capítulos 20 y 21 del Título 2C, que cubren los delitos de hurto y falsificación, así que una voz clonada usada para defraudar encaja en la lista. La definición alcanza una grabación sonora que «appears to a reasonable person to realistically depict» (parece a una persona razonable representar de forma realista) un discurso que nunca ocurrió.

La condena no se fusiona con el delito subyacente, y «the court shall impose consecutive sentences» (el tribunal impondrá penas consecutivas). Una víctima, es decir, alguien lesionado o que perdió bienes por la conducta, puede demandar por daños reales pero no menos de $1,000 por cada violación cometida a sabiendas o con imprudencia temeraria, y no se requiere una condena. La ley exceptúa el contenido que un espectador o oyente razonable entendería como crítica, comentario, sátira, parodia o noticia. Vea las leyes de Nueva Jersey sobre deepfakes.

Nuevo Hampshire: daño a la persona representada

RSA 638:26-a tipifica como delito grave de clase B crear, distribuir o presentar a sabiendas un deepfake de una persona identificable «for the purpose of embarrassing, harassing, entrapping, defaming, extorting, or otherwise causing any financial or reputational harm to the identifiable person» (con el propósito de avergonzar, acosar, tender una trampa, difamar, extorsionar o causar de otro modo cualquier daño financiero o reputacional a la persona identificable). Un deepfake que lleve al arresto de esa persona es un delito grave de clase B aparte. El máximo es de 7 años según RSA 651:2.

El propósito enumerado apunta a la persona representada. Un clon que engaña a un abuelo para que pague perjudica al abuelo, así que encaja peor que una falsificación usada para extorsionar a la persona que aparece en él. RSA 507:8-j da a la persona representada una acción civil por daños, pero solo contra quien use a sabiendas su semejanza para crear un deepfake con uno de los mismos propósitos enumerados. Sus palabras no alcanzan a quien solo distribuye o presenta uno. Vea las leyes de Nuevo Hampshire sobre deepfakes.

Arizona: suplantación delictiva con medios generados por computadora

A.R.S. 13-2006(A)(4) cubre «Using a computer-generated voice recording, image or video of another person with the intent to defraud other persons» (usar una grabación de voz, una imagen o un video de otra persona generados por computadora con la intención de defraudar a otras personas). Para este párrafo, defraudar significa «to make a false representation or material omission to deceive another person to gain a benefit» (hacer una representación falsa o una omisión material para engañar a otra persona y obtener un beneficio). El estatuto no usa la palabra IA.

La comedia, la parodia, la expresión artística, la crítica y las circunstancias «where it is clear to a reasonable listener or viewer that the recording, image or video has been digitally manipulated» (en que a un oyente o espectador razonable le resulta claro que la grabación, imagen o video ha sido manipulado digitalmente) no son fraudulentas. Este párrafo es un delito grave de clase 5, mientras que las formas más antiguas de suplantación delictiva son de clase 6.

Por separado, A.R.S. 16-1023 permite que un candidato o «any citizen of this state» (cualquier ciudadano de este estado) demande por una «digital impersonation» (suplantación digital) de sí mismo. El remedio por defecto allí es solo una sentencia declaratoria. Vea las leyes de Arizona sobre deepfakes.

Washington: distribuir una semejanza digital falsificada

RCW 9A.60.045(1)(b) tipifica como suplantación delictiva en segundo grado distribuir a sabiendas una semejanza digital falsificada de otra persona «as a genuine visual representation or audio recording with intent to defraud, harass, threaten, or intimidate another or for any other unlawful purpose» (como una representación visual o grabación de audio genuina con intención de defraudar, acosar, amenazar o intimidar a otra persona o con cualquier otro fin ilícito), sabiendo o teniendo motivos para saber que no es genuina. Una ley de 2026 movió este supuesto de (1)(c) a (1)(b).

Una semejanza digital falsificada debe ser indistinguible de una genuina, tergiversar la apariencia, el habla o la conducta de la persona, y ser probable que engañe a una persona razonable. El estatuto exceptúa los asuntos de interés público, incluidos el arte, el comentario, la sátira y la parodia, y protege a las plataformas y a los operadores (carriers) de responsabilidad únicamente por contenido proporcionado por otra persona. Nuestra explicación sobre la semejanza digital falsificada en Washington cubre otra ley estatal distinta. Vea las leyes de Washington sobre deepfakes.

Texas: abuso financiero mediante medios generados artificialmente

El Código Penal de Texas 32.56, en la versión añadida por SB 2373 con vigencia desde el 1 de septiembre de 2025, tipifica como delito incurrir a sabiendas en abuso financiero mediante «artificially generated media» (medios generados artificialmente) difundidos a otra persona. Las penas van, según el valor de los bienes, desde un delito menor de Clase B hasta un delito grave de primer grado. La misma ley añade una acción civil y una sanción civil que puede reclamar el Fiscal General. Texas tiene más de una Sección 32.56, así que busque la versión de SB 2373. Apunta al abuso financiero y no a la suplantación, por lo que no está en nuestro conteo de siete. Vea las leyes de Texas sobre deepfakes.

Estados que alcanzan la suplantación sin un delito nuevo de IA

Estas leyes suelen enumerarse junto con las siete anteriores. Funcionan de otra manera.

SB 1111 de California y el Código Penal 540. Stats. 2026, cap. 862, aprobada el 30 de septiembre de 2026, añade el Código Penal 540: para cualquier disposición en que la suplantación falsa sea un elemento requerido, «including, without limitation, Sections 528.5, 529, and 530, false impersonation includes the use of a digital replica with the intent to impersonate another» (incluidas, entre otras, las secciones 528.5, 529 y 530, la suplantación falsa incluye el uso de una réplica digital con la intención de suplantar a otra persona). Define un elemento de delitos existentes. No es un delito nuevo. El proyecto no es una ley de urgencia, así que por la regla general del estado entra en vigor el 1 de enero de 2027. Vea las leyes de California sobre deepfakes.

Utah. Utah Code 76-2-107 dice que un autor puede ser declarado culpable de un delito si lo comete «with the aid of a generative artificial intelligence» (con la ayuda de una inteligencia artificial generativa), o si intencionalmente le indica o provoca que lo cometa. Es una regla de responsabilidad, no un delito de fraude, y no prevé una pena propia. La sección 76-12-304 tipifica por separado como delito menor de clase B hacer publicar a sabiendas o intencionalmente un anuncio que use la identidad de una persona para dar a entender un respaldo sin su consentimiento. La ley civil de Utah Abuse of Personal Identity Act (Ley de Abuso de la Identidad Personal) define la identidad personal, en la versión vigente desde el 6 de mayo de 2026 y en la versión anterior de 2025, de modo que incluye «any simulation, reproduction, or artificial recreation» (cualquier simulación, reproducción o recreación artificial) de una imagen, semejanza o voz. Vea las leyes de Utah sobre deepfakes.

HB 2124 y SB 1053 de Virginia. HB 2124 (cap. 398) fue aprobada el 24 de marzo de 2025, y el resumen del proyecto del estado dice que es idéntica a SB 1053. Tal como fue aprobada, dice el resumen del estado, el proyecto «makes it a Class 1 misdemeanor for any person to use any synthetic digital content for the purpose of committing any criminal offense involving fraud» (tipifica como delito menor de clase 1 que cualquier persona use contenido digital sintético con el fin de cometer cualquier delito que implique fraude). Fue firmada en 2025, pero condicionada a que se promulgara de nuevo en la sesión de 2026, y no aparece en el Código: ninguna sección 18.2-213.3 figura en el Código de Virginia al 5 de noviembre de 2026, y no encontramos ninguna ley de 2026 que la promulgara de nuevo. Nuestra búsqueda abarcó el Código y el resumen del proyecto, no todos los proyectos de 2026. El informe de enero de 2026 del grupo de trabajo de la Fiscalía General llama al delito «newly enacted» (recién promulgado), pero ese informe no cambia lo que muestra el Código. Vea las leyes de Virginia sobre deepfakes.

Oklahoma. HB 3244, vigente desde el 1 de noviembre de 2026, nombra la «artificial intelligence (AI) technology» (tecnología de inteligencia artificial) entre los medios de cometer robo de identidad en 21 O.S. 1533.1(D). No crea un delito de suplantación aparte, así que no entra en nuestro conteo.

Nebraska. Nebraska apunta a las plataformas, no a los estafadores. Vea la sección de 2027 más abajo.

Leyes más antiguas sobre suplantación en línea

Varios estados tienen leyes más antiguas de suplantación, neutrales en cuanto a la tecnología. Ninguna de las siguientes menciona los medios sintéticos. Por la regla general del estado, SB 1111 de California incorpora una réplica digital a la Sección 528.5 desde el 1 de enero de 2027. Para las demás no encontramos ninguna fuente oficial que las aplique a deepfakes, así que, si cada una alcanza o no a uno, depende de sus palabras y de los hechos.

• California, Código Penal 528.5: suplantar de forma creíble, a sabiendas y sin consentimiento, a otra persona real en línea o por otros medios electrónicos para dañar, intimidar, amenazar o defraudar. Hasta un año en la cárcel del condado, una multa de hasta $1,000, o ambas.
• Texas, Código Penal 33.07: usar el nombre o la identidad de otra persona, sin consentimiento y con intención de dañar, defraudar, intimidar o amenazar, para crear una página web o publicar mensajes. Delito grave de tercer grado, de 2 a 10 años. Vea las leyes de Texas sobre deepfakes.
• Luisiana, R.S. 14:73.10: suplantar intencionalmente a una persona real en línea con intención de dañar, intimidar, amenazar o defraudar. De $250 a $1,000, de 10 días a 6 meses, o ambas.
• Rhode Island, R.I.G.L. 11-52-7.1: usar el nombre o la identidad de otra persona en un sitio comercial de redes sociales, o en un correo electrónico, un mensaje de texto o un mensaje similar, con intención de dañar, defraudar, intimidar o amenazar.
• Oklahoma, 12 O.S. 1450: una reclamación civil, no un delito, por usar el nombre, la voz, la firma, la fotografía o la semejanza de otra persona en las redes sociales para crear una identidad falsa, con el propósito de dañar, intimidar, amenazar o defraudar a esa persona.

Leyes sobre sextorsión y chantaje con deepfakes

Amenazar con difundir una imagen sexual falsa si alguien no paga puede imputarse con varias leyes. Algunos estatutos ya nombran las imágenes falsas. Otros se redactaron pensando en imágenes reales, y el encaje depende de sus palabras. El FBI informó en junio de 2023 «an uptick in sextortion victims reporting the use of fake images or videos» (un aumento de las víctimas de sextorsión que reportan el uso de imágenes o videos falsos).

Ley federal

La ley federal más directa es la disposición sobre amenazas de la TAKE IT DOWN Act, 47 U.S.C. 223(h)(6). Cubre amenazar intencionalmente con cometer un delito previsto en la ley «for the purpose of intimidation, coercion, extortion, or to create mental distress» (con el propósito de intimidar, coaccionar, extorsionar o crear angustia mental). Para una falsificación digital, el máximo es de 18 meses si la persona representada es adulta y de 30 meses si es menor. Una falsificación debe ser una representación íntima que una persona razonable, al verla en su conjunto, consideraría «indistinguishable from an authentic visual depiction of the individual» (indistinguible de una representación visual auténtica de la persona).

También pueden imputarse dos estatutos generales. 18 U.S.C. 875(d) cubre una amenaza interestatal de dañar la reputación con intención de extorsionar, hasta 2 años. Una exigencia de pago respaldada por la amenaza de difundir un video fabricado encaja en esas palabras llanas, pero no encontramos ningún caso que lo haya puesto a prueba con una imagen fabricada. 18 U.S.C. 2261A(2) cubre una conducta reiterada de acoso en línea.

Cuando la víctima es menor de edad

La ley federal alcanza las imágenes sexuales de niños hechas con IA, pero la regla depende de la imagen. Alterar la imagen de un niño real e identificable para mostrarlo en una conducta sexual cae bajo los estatutos federales de pornografía infantil, sin que sirva de defensa que no se haya usado a un niño real. Por separado, 18 U.S.C. 1466A cubre las imágenes obscenas de un menor aunque no exista ningún niño real. En agosto de 2026, un tribunal federal de apelaciones declaró inconstitucional la parte de posesión de la Sección 1466A tal como se aplicó a un hombre que poseía en su casa imágenes obscenas que, según el propio gobierno, no mostraban a un niño real; sus cargos de producción y distribución se mantienen.

Nunca copie, capture en pantalla ni reenvíe una imagen así, ni siquiera como prueba. Anote dónde la vio y repórtela (vea más abajo). Los detalles están en nuestra página sobre leyes de imágenes sexuales generadas por IA.

Estatutos estatales sobre sextorsión y chantaje

Estos son ejemplos de nuestra investigación estatal, no un panorama completo. Cuando la definición de un estatuto nombra imágenes generadas por computadora o alteradas con IA, la tabla lo indica. Los máximos mostrados corresponden al nivel descrito.

Wisconsin también da una acción civil por la conducta que prohíbe esa sección, con daños punitivos y honorarios de abogado, en Wis. Stat. 895.439. El capítulo civil de Virginia Occidental sobre imágenes íntimas nombra a las víctimas de sextorsión desde una reforma de 2026, aunque el texto no resuelve si alcanza las imágenes fabricadas.

Fraude empresarial con deepfakes: Arup, FinCEN y las cifras del IC3

El fraude corporativo con deepfakes puede imputarse con los mismos estatutos. No encontramos ninguna ley federal aparte sobre el tema.

Un ejemplo viene de la propia empresa. La firma de ingeniería Arup dijo en sus estados financieros de 2024 que «in January 2024 one of these attempts was successful, with criminals using fake voice, signatures and images» (en enero de 2024 uno de estos intentos tuvo éxito, con delincuentes que usaron voz, firmas e imágenes falsas). Los propios estados financieros de Arup no dan ninguna cifra ni lugar.

En noviembre de 2024, la Red de Control de Delitos Financieros (FinCEN) del Tesoro emitió la alerta FIN-2024-Alert004, en la que dijo que «has observed an increase in suspicious activity reporting by financial institutions describing the suspected use of deepfake media in fraud schemes» (ha observado un aumento de los reportes de actividad sospechosa de instituciones financieras que describen el presunto uso de medios deepfake en planes de fraude). La alerta está dirigida a las instituciones financieras. No es una ley para el público.

El informe de 2025 del IC3 del FBI contó 22,364 quejas que hacían referencia a la IA, con $893,346,472 en pérdidas reportadas, de un total de 1,008,597 quejas y $20.877 mil millones. Son quejas autorreportadas que contienen una referencia a la IA, no delitos con IA comprobados. Sobre las estafas de emergencia familiar con voces clonadas, el informe dice «Victims claimed losses over $5 million in 2025» (Las víctimas declararon pérdidas de más de $5 millones en 2025).

Qué cambia en 2027 en las leyes sobre fraude y suplantación con deepfakes

Estos son los hechos con fecha que encontramos. Cada uno es una fecha del calendario, no una predicción.

• 1 de enero de 2027, California. SB 1111 entra en vigor por la regla general del estado para una ley que no es de urgencia: la suplantación falsa según el Código Penal incluirá el uso de una réplica digital con la intención de suplantar a otra persona. Esa fecha es nuestra lectura; el texto promulgado no indica ninguna.
• 1 de enero de 2027, Nebraska. Neb. Rev. Stat. 87-302(a)(26), de LB838, pasa a ser operativo. Una plataforma de redes sociales que acepte pagos por anuncios debe contar con «Identity verification for advertisers» (verificación de identidad de los anunciantes), «An unlawful impersonation detection and mitigation program» (un programa de detección y mitigación de la suplantación ilícita) y «Automated and manual fraud detection systems» (sistemas automáticos y manuales de detección de fraude), y debe investigar un anuncio fraudulento reportado dentro de cinco días hábiles y luego retirarlo dentro de cinco días hábiles de comprobar que es fraudulento. Es una regla de prácticas comerciales engañosas para las plataformas, no para los estafadores. Según Neb. Rev. Stat. 87-303.08, una violación de la Uniform Deceptive Trade Practices Act (Ley Uniforme de Prácticas Comerciales Engañosas) es un delito menor de clase II «except as otherwise provided in the act» (salvo que la ley disponga otra cosa).
• 3 de enero de 2027, Congreso. Un proyecto que no se promulgue antes de que termine el 119.º Congreso el 3 de enero de 2027 no pasa al siguiente. Tendría que presentarse de nuevo en el próximo Congreso. Eso abarca H.R. 6306, S. 3495, S. 3982 y los demás proyectos anteriores. El Congreso todavía podría actuar antes de esa fecha.
• 1 de julio de 2027, Kansas. Vence el primer informe del Fiscal General según HB 2537, la ley estatal sobre extorsión sexual, y después se presentará cada año.

Al 5 de noviembre de 2026, no encontramos ninguna otra ley sobre fraude o suplantación con deepfakes programada para entrar en vigor en 2027. Buscamos en las fuentes de las legislaturas y de los códigos estado por estado para las sesiones de 2025 y 2026, un barrido parcial en algunos estados, y en los registros de congress.gov para los proyectos federales. Las nuevas sesiones abren en enero, así que esta lista puede cambiar. El período de comentarios de la FTC sobre su aviso a las plataformas se cierra el 30 de noviembre de 2026, y no encontramos ninguna fecha para una medida sobre la suplantación de particulares.

Qué hacer si se usó un deepfake en su contra

Si envió dinero o lo perdió. Comuníquese de inmediato con su banco o servicio de pagos. Si un estafador usa un inicio de sesión o un código robados para mover dinero, las reglas federales por lo general lo tratan como no autorizado, y su responsabilidad es limitada si lo reporta pronto: según la Regulación E, por lo general hasta $50 si avisa dentro de los dos días hábiles siguientes a enterarse de la pérdida o el robo de su tarjeta, código o inicio de sesión, y hasta $500 después de eso. Reporte cualquier transferencia no autorizada dentro de los 60 días siguientes al envío de su estado de cuenta, porque después de eso puede ser responsable de las transferencias posteriores que un reporte oportuno habría evitado, y el límite de $500 no pone tope a esa cantidad.

La regla no cubre con claridad un pago que usted mismo envió, aunque lo hayan engañado. También excluye las transferencias por Fedwire o por un sistema de transferencia similar usado principalmente entre instituciones financieras o empresas (12 CFR 1005.3(c)(3)), así que una transferencia bancaria (wire) puede quedar fuera. No investigamos para esta página otras reglas sobre transferencias ni los contracargos de tarjetas; nuestra guía para recuperar el dinero después de una estafa repasa cada método de pago.

Repórtelo. Presente una queja ante el Centro de Quejas de Delitos en Internet (IC3) del FBI en ic3.gov, ante la FTC en ReportFraud.ftc.gov, y ante la fiscalía general de su estado o la policía local. Conserve los mensajes, las grabaciones, los números, los nombres de cuenta y los registros de pago, a menos que el material pueda mostrar a un menor.

Si alguien amenaza con difundir una imagen sexual falsa. Reporte las amenazas a la policía y al IC3, y consérvelas a menos que contengan una imagen que pueda mostrar a un menor. Si la imagen ya fue publicada, una plataforma cubierta debe retirarla dentro de las 48 horas siguientes a una solicitud válida, que debe ser escrita y firmada, identificar la imagen y declarar la creencia de buena fe de que no es consentida. Las personas adultas pueden usar StopNCII.org, cuyas preguntas frecuentes dicen que si un deepfake «is of you, you have access to the image and it is nude/semi nude, then you can hash it» (es de usted, usted tiene acceso a la imagen y es de desnudo o semidesnudo, entonces puede generarle un hash). Solo funciona en las plataformas participantes.

Si la imagen puede mostrar a una persona menor de 18 años. No la copie, no la capture en pantalla ni la reenvíe. Repórtela a la CyberTipline del NCMEC, al 1-800-843-5678, o a la policía. El servicio Take It Down del NCMEC funciona en las plataformas participantes para imágenes tomadas cuando usted era menor de 18 años. Sus preguntas frecuentes advierten: «Do not download or share any nude, partially nude or sexually explicit image or video in order to submit» (No descargue ni comparta ninguna imagen o video desnudo, parcialmente desnudo o sexualmente explícito para enviarlo).

Si alguien falsificó su semejanza para estafar a otras personas. Una reclamación civil depende del estado y de a quién perjudicó el plan. La acción civil de Nueva Jersey pertenece a una víctima, definida como alguien lesionado o que perdió bienes por la conducta, y eso puede incluir a una persona engañada. Maryland también da a la víctima una acción civil. Las reclamaciones de Nuevo Hampshire y Oklahoma dependen de un daño dirigido a la persona representada o suplantada, así que encajan mal con una estafa dirigida solo a otras personas. Las reclamaciones por derecho de publicidad se cubren en las leyes sobre clonación de voz con IA y en las leyes sobre el derecho de publicidad por estado.

No hay una demanda privada en los estatutos federales de fraude, extorsión o acecho anteriores, y no encontramos ninguna en la TAKE IT DOWN Act. Para recibir asesoría sobre su situación, comuníquese con el servicio de referencia de abogados del colegio de abogados de su estado o con una oficina de asistencia legal.

Aviso: Esta página es información jurídica general sobre la ley federal y algunos estatutos estatales seleccionados. No es un panorama de todos los estados ni es asesoría legal.

Preguntas frecuentes

¿Es ilegal suplantar a alguien con IA?

Depende de la finalidad. Usar IA para suplantar a alguien y engañar a una persona para que pierda dinero puede imputarse como fraude. Suplantar a un organismo gubernamental o a una empresa puede violar la Regla de la FTC sobre suplantación, y hacerse pasar por un funcionario federal y actuar como tal, o exigir u obtener algo de valor, puede violar 18 U.S.C. 912. Suplantar a un particular sin fraude, amenaza ni daño no está cubierto por esas leyes federales. Según nuestra lectura al 5 de noviembre de 2026, al menos siete estados tienen delitos dirigidos a la suplantación con IA o con semejanzas falsificadas, y cada uno exige una intención particular.

¿El fraude con deepfakes es un delito federal?

No existe un delito federal llamado fraude con deepfakes. Al 5 de noviembre de 2026, un plan con deepfakes puede imputarse con leyes generales como el fraude electrónico, 18 U.S.C. 1343, que prevé hasta 20 años (30 en algunos casos). Los proyectos dirigidos al fraude con IA, incluidos H.R. 6306, S. 3495 y S. 3982, fueron remitidos a comité y no son ley.

¿Es ilegal hacer un deepfake de alguien?

Si es de una persona adulta, no por sí solo según las leyes federales de fraude y de amenazas que se analizan aquí. Las imágenes de menores son distintas: la ley federal alcanza la producción de una imagen obscena de un menor (18 U.S.C. 1466A) y la producción, con intención de distribuirla, de pornografía infantil que sea una representación alterada de un menor identificable (18 U.S.C. 2252A(a)(7)). El FBI dice que crear o distribuir contenido sintético no es ilegal por sí mismo. Algunos estados van más lejos. Nuevo Hampshire alcanza crear a sabiendas un deepfake con un propósito dañino enumerado, Nueva Jersey alcanza generar medios engañosos para promover un delito, y otros estados alcanzan la creación de deepfakes sexuales.

¿Es ilegal el chantaje con deepfakes?

Sí, una amenaza de difundir una imagen falsa para obtener dinero puede imputarse. La ley federal de extorsión, 18 U.S.C. 875(d), cubre una amenaza interestatal de dañar la reputación con intención de extorsionar, hasta 2 años, aunque no encontramos ningún caso que la haya puesto a prueba con una imagen fabricada. Kansas reformó en 2026 su estatuto de chantaje para nombrar las imágenes desnudas o sexuales alteradas con inteligencia artificial.

¿La sextorsión con deepfakes es un delito?

Puede serlo. La TAKE IT DOWN Act tipifica como delito amenazar intencionalmente con publicar una falsificación digital íntima de una persona identificable con el propósito de intimidar, coaccionar, extorsionar o crear angustia mental, con hasta 18 meses si la víctima es adulta y 30 meses si es menor. Kansas, Utah, Vermont, Virginia Occidental, Carolina del Sur y Texas tienen estatutos cuyo texto alcanza, o se lee como si alcanzara, las imágenes falsas. El estatuto de extorsión sexual de Wisconsin no lo dice.

¿Qué estados tienen leyes sobre el fraude con deepfakes?

Según nuestra lectura de las leyes estatales al 5 de noviembre de 2026, al menos siete: Arizona, Maryland, Nuevo Hampshire, Nueva Jersey, Pensilvania, Rhode Island y Washington. Es un mínimo, de una sola pasada de investigación. SB 1111 de California añade las réplicas digitales a la suplantación falsa desde el 1 de enero de 2027 por la regla general del estado, y Utah tiene una regla de responsabilidad para los delitos cometidos con IA generativa.

¿La Regla de la FTC sobre suplantación cubre un deepfake de un particular?

No. La regla, vigente desde el 1 de abril de 2024, cubre la suplantación de entidades gubernamentales y de empresas y de sus funcionarios o directivos. En un aviso publicado el 1 de octubre de 2026, la FTC dijo que sigue evaluando sus opciones sobre la suplantación de particulares.

¿Mi banco me reembolsará el dinero que perdí en una estafa con deepfakes?

Depende de cómo se movió el dinero. Si un estafador usa un inicio de sesión o un código robados para mover dinero, las reglas federales por lo general lo tratan como no autorizado, y su responsabilidad es limitada si lo reporta pronto. La regla no cubre con claridad un pago que usted mismo envió, aunque lo hayan engañado. Reporte una transferencia no autorizada dentro de los 60 días siguientes al envío del estado de cuenta para evitar responsabilidad por transferencias posteriores. La regla también excluye Fedwire y sistemas de transferencia similares usados principalmente entre instituciones financieras o empresas.

¿SB 1111 de California es ley?

Sí, fue promulgada como Stats. 2026, cap. 862, aprobada el 30 de septiembre de 2026. Por la regla general del estado entra en vigor el 1 de enero de 2027. Dice que la suplantación falsa del Código Penal incluye usar una réplica digital con la intención de suplantar a otra persona. Define un elemento de delitos existentes y no es un delito nuevo.

¿Está vigente la ley de Virginia sobre fraude con deepfakes?

No parece estarlo. HB 2124 fue firmada en 2025, pero condicionada a que se promulgara de nuevo en la sesión de 2026, y la sección que habría añadido no aparece en el Código de Virginia al 5 de noviembre de 2026.

¿Puedo demandar a alguien que usó un deepfake de mí para estafar a otras personas?

En algunos estados, según a quién haya perjudicado el plan. Nueva Jersey y Maryland dan a las víctimas una acción civil. Nuevo Hampshire y Oklahoma vinculan sus reclamaciones a un daño dirigido a la persona representada o suplantada. Encontrar al estafador y cobrarle suele ser el obstáculo práctico.