Plu­mas NCC | Implicaciones sociales y legales de los deepfakes

Por: Rodolfo Guerrero Martínez (México).

En el siglo XXI localizamos una sociedad hiperconectada con una basta cantidad de presumibles beneficios con la aplicación de las tecnologías de la información y de la comunicación (TIC), tales como la inteligencia artificial (IA), la gran analítica de la información o big data, entre otras; advirtiendo su impacto positivo en la medida que exista información cierta y una estrategia cultural digital para la construcción de una sociedad del conocimiento.

Precisamente, tras lo establecido en lo precedente, nos enfocaremos en el caso de los deepfakes o ultrafalsos, que comprenden los archivos de video, imagen y voz alterados por medio de un software de inteligencia artificial teniendo como resultado, mantener la apariencia de los originales.

En ese sentido, en el año 2017 sucedió un caso aparentemente inédito para la dinámica social en internet por medio de un deepfake -un video manipulado-, debido a que en Reedit un usuario “deepfakes” publico videos pornográficos utilizando rostros de celebridades o personalidades como Gal Gadot, Taylor Swift, Scarlett Johansson y Maisie Williams, apoyado de la creación de un algoritmo propio, además de hacer uso entre sus insumos tecnológicos de la biblioteca open source Jeras y TensorFlow de Google.

Sin embargo, la historia nos indica que el primer deepfake ocurrió en el año 1997, el cual se le denominado “video rewrite”, en el cual una mujer se muestra con una voz y rostro ajenos a ella.

Por otra parte, los ultrafalsos nos proponen diversas interrogantes como, ¿cuáles son problemáticas legales sobre la utilización de los deepfakes? ¿qué tipos de deepfakes son los mayormente utilizados? ¿la generación de materiales para la industria entretenimiento se convierte en una causa de exclusión de responsabilidad?

En el presente artículo desarrollaremos los cuestionamientos enunciados con antelación, además de señalar la ingeniería social a través de los deepfakes, las dificultades legales y su regulación en la Ciudad de México.

La nueva ingeniería social a través de los deepfakes

Recordemos que una de las formas más usuales para la manipulación del colectivo social es por medio de la ingeniería social, entiéndela como el conjunto de técnicas que facilitan la obtención de información confidencial de los usuarios de la red, para lo cual, el ciberdelincuente o cibercriminal efectuará diferentes tipos de ataques: (I) Phishing; (II) Hacking de correo electrónico y envío de spam; (III) Pretexto; (IV) Quid Pro Quo; y (V) Spear phishing.

Ahora bien, la utilización de los deepfakes crea un nuevo escenario para las técnicas de ataque aplicadas por la ingeniería social, en orden de ideas, es primordial considerar en primer término, el desconocimiento de la población, en este caso, en Latinoamérica sobre los métodos de inteligencia artificial que recopila una basta cantidad de datos sobre expresiones y movimientos físicos. Y como segundo punto, el cómo se práctica mediante esta técnica una suplantación de identidad.

En cuanto al primer aspecto, la investigación realizada por la empresa internacional dedicada a la seguridad informática Kaspersky detalló que, el 70% de los usuarios latinoamericanos ignora la existencia de esta táctica de ingeniería social mediante deepfake. En la encuesta participaron ciudadanos peruanos demostrando (75%) -además de ser quienes más desconocimiento tienen en la materia-, mexicanos y chilenos (ambos con 72%), argentinos (67%), brasileros (66%) y colombianos (63%).

Con respecto al segundo punto, localizamos el caso de fraude que sucedió en el año 2020 donde un banco de Emiratos Árabes Unidos sufrió un ataque en el cual se hizo uso de deepfakes de voz y suplantación de identidad mediante correos electrónicos, dado a ello las autoridades solicitaron a los Estados Unidos de Norteamérica abriesen una investigación a dos cuentas bancarias (1), debido a que en su territorio podría haberse recibido 400,000 de dólares de los 35 millones robados.

En otro caso, señalamos la suplantación de identidad realizada en agosto del año 2019, donde un grupo de cibercriminales engañaron al director ejecutivo de una empresa de energía con sede en el Reino Unido (2), con el fin de efectuar una transferencia bancaria de 243,000 dólares utilizando un deepfake de la voz de su CEO accionado por inteligencia artificial. Posteriormente, se explicó que la persona que llamó había reproducido de manera convincente el acento alemán y el tono de voz del empresario. En este asunto, el ciberdelincuente no presento dificultades como la de generar un video, sólo de hacer una llamada telefónica.

Por lo señalado en lo precedente, resulta primordial la apreciación de los detalles sobre las características de los deepfakes, para la concientización de las personas que permitan verificar la autenticidad y legitimidad sobre el contenido digital que consumen por medio de sitios, plataformas, aplicaciones y redes sociales digitales. A continuación, compartimos algunos puntos (3):

• Movimiento brusco
• Cambios de iluminación de un fotograma al siguiente
• Cambios en el tono de la piel
• Parpadeo extraño o ausencia de parpadeo
• Falta de sincronía de los labios con el habla
• Artefactos digitales en la imagen

Dificultades legales sobre el uso de deepfakes en el mundo

El hecho de apreciar la aplicación de los deepfakes nos advierte sobre el uso de un algoritmo codificador de inteligencia artificial de miles de fotografías para analizar las similitudes entre dos caras, por ejemplo, que presenta un tipo de analogía antropomórfica. Así también utiliza un segundo algoritmo de IA, para decodificar las imágenes con el objetivo de recuperar la información de los rasgos faciales de dos rostros, y al ser diferentes, es preciso manejar un decodificador distinto para cada imagen.

Ahora bien, a lo anterior añadimos los dos tipos de deepfakes mayormente utilizados que son el deepface -comprende la manipulación y generación de nuevas imágenes y videos a partir de otros, remplazando a la persona que aparece en dichos recursos-, y el deepvoice que entiende la suplantación de la voz de una persona a través de un audio.

En el orden establecido de los párrafos precedentes, el desempeño de los deepfakes establecen dificultades y/o problemáticas legales en la tutela de derechos como: de privacidad, protección de datos personales, imagen, acceso a la información, libertad de expresión, entre otros, que deben contemplarse e interpretarse adecuadamente en los diferentes países del mundo. En ese sentido, nos enfocaremos en resaltar la situación jurídica actual de:

(1) Estados Unidos de Norteamérica. Presenta que los mecanismos legales existentes son insuficientes para abordar las posibles amenazas en casos de campañas políticas difamatorias, por ejemplo, debido a que la Sección 230 de la Ley de Decencia en la Comunicación protege a las empresas de redes sociales de la responsabilidad por los deepfakes difundidos en sus plataformas. Incluso las enmiendas propuestas a la Sección 230 no abordan adecuadamente la amenaza de los deepfakes.

Además, se presenta un escenario donde quienes aportan o representan a la industria o ámbito del entretenimiento para adultos, cuentan con una aparente causa excluyente de responsabilidad, consecuencia de que caso tras caso, la Primera Enmienda ha protegido parodias, caricaturas y sátiras -razón por la cual la pornografía tiene una larga historia de títulos como Everybody Does Raymond y Buffy the Vampire Layer-, el hecho que la pornografía de intercambio de caras sea una parodia, demuestra la debilidad del argumento legal, ya que es evidentemente una explotación de la imagen de una persona.

(2) Unión Europea. No están regulados expresamente, pese a ello, se aprobó en abril del año 2021 la propuesta de Ley de Inteligencia Artificial que establece las obligaciones de transparencia de los sistemas de inteligencia artificial, el Reglamento señala que: los usuarios de un sistema de IA que genere o manipule contenido de imagen, sonido o vídeo que se asemeje notablemente a personas, objetos, lugares u otras entidades o sucesos existentes, y que pueda inducir erróneamente a una persona a pensar que son auténticos o verídicos (ultra falsificación), harán público que el contenido ha sido generado de forma artificial o manipulado (4).

(3) España. No están regulados expresamente, sin embargo, el artículo 18 de la Constitución Española y tipificado en la Ley Orgánica 1/1982, de 5 de mayo, en lo que se refiere a la protección civil del honor, de la intimidad y de la propia imagen, el artículo séptimo establece en sus números 3, 5, 6 y 7: la divulgación de hechos relativos a la vida privada; la captación, reproducción o publicación de fotografía filme, o cualquier otro procedimiento, de la imagen de una persona en lugares o momentos de su vida privada o fuera de ellos; la utilización del nombre, de la voz o de la imagen; y la imputación de hechos o la a manifestación de juicios de valor a través de acciones o expresiones que de cualquier modo lesionen la dignidad de otra persona.

(4) Portugal. No están regulados expresamente, no obstante, la Ley n.º 27/2021, con la Carta Portuguesa de Derechos Humanos en la Era Digital. El artículo sexto establece, en seis números, el derecho a la protección contra la desinformación.

Regulación de los Deepfakes en la Ciudad de México

En el Congreso de la Ciudad de México a través de quien desempeña la presidencia de la Comisión de Seguridad Ciudadana, Nazario Noberto Sánchez, presentó la iniciativa con proyecto por el que se adiciona un tercer párrafo al artículo 26 de la Ley de Responsabilidad Civil para la Protección del Derecho a la Vida Privada, el Honor y la Propia Imagen en el Distrito Federal, estableciendo que:

“La captación, reproducción o publicación por fotografía, filme o cualquier otro procedimiento, de la imagen de una persona en lugares o momentos de su vida privada o fuera de ellos sin la autorización de la persona constituye una afectación al patrimonio moral. La utilización del nombre, de la voz o de la imagen de una persona con fines peyorativos, publicitarios, comerciales o de naturaleza análoga dará lugar a la reparación del daño que por la difusión de la misma se genere. Mientras no sea condenado por sentencia ejecutoriada, el probable responsable tiene derecho a hacer valer el respeto a su propia imagen”. 

Asimismo, considera una afectación al patrimonio moral, la captación, reproducción, modificación o publicación de fotografías, filmes o cualquier otro procedimiento que, mediante software de inteligencia artificial, manipule estos archivos de imagen, video o voz para que parezcan originales, auténticos o reales, sin autorización de quien tenga el derecho a otorgarlo. Lo anterior sin detrimento de las responsabilidades de carácter penal como la usurpación de identidad o cualquier otro hecho que la ley señale como delito.

Por otra parte, la iniciativa también contempla los siguientes puntos:

(1) La adición de un tercer y cuarto párrafo al Artículo 211 Bis, del Capítulo III Usurpación de Identidad, del Código Penal para la Ciudad de México, estableciendo que: “Al que por cualquier medio usurpe, con fines ilícitos, la identidad de otra persona, u otorgue su consentimiento para llevar a cabo la usurpación en su identidad, se le impondrá una pena de uno a cinco años de prisión y de cuatrocientos a seiscientos días multa”. 

(2) Se aumentarán en una mitad las penas previstas en el párrafo anterior, a quien se valga de la homonimia, parecido físico o similitud de la voz para cometer el delito establecido en el presente artículo.

(3) Se sancionará con la misma pena antes señalada, a quien con el ánimo de usurpar la identidad de otra persona manipule mediante software de inteligencia artificial archivos de imagen, video o voz para que parezcan originales, auténticos o reales.

(4) Las penas se aumentarán al doble cuando la finalidad de la usurpación de identidad con inteligencia artificial sirva para cometer alguno o varios de los delitos siguientes: I. Pornografía, previsto en el artículo 187; II. Robo, previsto en el artículo 220; III. Fraude, previsto en el artículo 230, o IV. Extorsión, previsto en el artículo 236.

Adicionalmente, el Congreso de la Ciudad de México a través del diputado Alberto Martínez Urincho, presentó la iniciativa con proyecto por el que se adiciona el artículo 205 bis al Código Penal para el Distrito Federal (4), para la tipificación del contenido audiovisual modificado conocido como deepfake utilizado con fines degradantes e independientes.

Conclusión general

Sin duda, la progresividad tecnológica nos ofrece puntos valiosos como la optimización de procesos por medio de la inteligencia artificial, mostrando aplicaciones como las del deepfake que facilitan, por ejemplo, que las industrias de entretenimiento recreen rostros de actores ya fallecidos o su rejuvenecimiento a demanda de las historias que deseen ser contadas tanto en las plataformas de streaming como en las salas de cine.

No obstante, representan fuertes problemáticas ante la ejecución de nuevas técnicas de ingeniería social para suplantar identidad, así como generar un amplio número de estafas y fraudes que involucren en un solo ataque, usuarios de diversas partes del mundo, lo cual desafía la actuación de las autoridades de los países, consecuencia de su ausencia normativa. A su vez, exhorta sobre la actualización, reforma o aprobación de nuevos instrumentos legales que contemplen tanto la parte sustantiva como adjetiva que tutelen los derechos humanos de última generación de la población.

Fuentes de consulta

(1) Hackers use Deep Voice Tech in $35 million theft, 2021. Véase en: https://t.ly/2MaAG

(2) STUPP, Catalina. Estafadores utilizaron IA para imitar la voz del director ejecutivo en un caso inusual de ciberdelincuencia, 2019. Véase en: https://t.ly/Y46rq

(3) KASPERSKY. Vídeos falsos y deepfake: ¿cómo pueden protegerse los usuarios? Véase en: https://t.ly/3janX

(4) European Comission. (2020). Proposal for an AI Regulation laying down harmonised rules on artificial intelligence. COM/2021/206 final. Véase en: https://t.ly/zHkgl

(5) Iniciativa con proyecto de decreto por el que se adiciona el artículo 205 bis al código penal para el distrito federal, para la tipificación del contenido audiovisual modificado conocido como “deepfake” utilizado con fines degradantes e indebidos. Véase en: https://t.ly/QTYra

***

Ro­dol­fo Gue­rre­ro es abo­ga­do por la Be­ne­mé­ri­ta Uni­ver­si­dad de Gua­da­la­ja­ra y maes­tro en de­re­cho con orien­ta­ción en ma­te­ria Cons­ti­tu­cio­nal y ad­mi­nis­tra­ti­vo por la mis­ma casa de es­tu­dios. Es So­cio Fun­da­dor y Re­pre­sen­tan­te Le­gal de la So­cie­dad Ci­vil Cof­fee Law “Dr. Jor­ge Fer­nán­dez Ruiz”. So­cio fun­da­dor de la Aca­de­mia Me­xi­ca­na de De­re­cho “Juan Ve­lás­quez” A.C. Ti­tu­lar de la Co­mi­sión de Le­gal­tech del Ilus­tre y Na­cio­nal Co­le­gio de Abo­ga­dos de Mé­xi­co A.C. Ca­pí­tu­lo Oc­ci­den­te. Vi­ce­pre­si­den­te de la Aca­de­mia Me­xi­ca­na de De­re­cho In­for­má­ti­co, Ca­pí­tu­lo Ja­lis­co.