La suplantación de identidad ya no depende de una fotografía robada. La inteligencia artificial ya permite construir rostros, voces, biografías e interacciones convincentes.
Durante años, los perfiles falsos fueron asociados con cuentas nuevas, fotografías de baja calidad, pocos contactos y publicaciones incoherentes. Ese modelo quedó desactualizado.
Actualmente, una identidad digital ficticia puede combinar un rostro generado mediante inteligencia artificial, una biografía verosímil, publicaciones redactadas por modelos de lenguaje, seguidores adquiridos y conversaciones adaptadas en tiempo real a la víctima. También puede utilizar imágenes, videos o audios pertenecientes a una persona real para construir una réplica digital destinada a estafar, acosar, desinformar o aproximarse a niños, niñas y adolescentes.
El problema ya no consiste solamente en determinar si una fotografía fue robada. El verdadero desafío es establecer si existe coherencia entre la identidad declarada, su trayectoria digital, sus relaciones, el contenido publicado y el comportamiento desarrollado durante la interacción.
Además, debe evitarse una confusión frecuente: un perfil anónimo, artístico, satírico o construido bajo seudónimo no es necesariamente ilícito. La falsedad relevante aparece cuando la identidad se utiliza para engañar sobre quién se encuentra detrás de la cuenta, atribuirse la identidad de otra persona o producir un perjuicio concreto.
No existe un único tipo de perfil falso
Desde una perspectiva técnica y jurídica, conviene distinguir al menos cuatro fenómenos diferentes.
Identidad ficticia: la persona crea un personaje que no existe, utilizando datos e imágenes inventadas o generadas mediante inteligencia artificial.
Suplantación de identidad: la cuenta utiliza el nombre, la imagen, la voz u otros datos de una persona real para hacerse pasar por ella.
Cuenta comprometida: el perfil pertenecía originalmente a una persona real, pero un tercero obtuvo acceso ilegítimo y comenzó a operar desde él.
Cuenta automatizada o coordinada: el perfil forma parte de una red de bots o de una operación destinada a amplificar contenido, manipular conversaciones o simular apoyo social.
Esta clasificación es fundamental. Una búsqueda inversa puede detectar una fotografía robada, pero probablemente no encuentre coincidencias cuando el rostro fue generado especialmente para esa cuenta. Del mismo modo, una cuenta antigua, con publicaciones y contactos reales, puede estar siendo controlada por un atacante después del robo de sus credenciales.
Por eso, la detección no debería emitir una respuesta binaria “real” o “falso” basada en un solo indicador. Debe trabajar con acumulación de señales y producir una evaluación de riesgo verificable.
Cómo se detecta profesionalmente un perfil falso
1. Análisis de la imagen
La búsqueda inversa permite comprobar si una fotografía apareció anteriormente en otros sitios, asociada con otro nombre o dentro de bancos de imágenes.
Google Lens y TinEye permiten buscar una imagen completa o un fragmento de ella. TinEye genera una firma visual y la compara con su índice sin depender del nombre del archivo ni de sus metadatos.
La búsqueda debe repetirse con diferentes recortes: rostro, fondo, uniforme, producto, edificio o cualquier elemento distintivo. Una misma imagen puede haber sido invertida, recortada, coloreada o parcialmente modificada para evitar una coincidencia directa.
Las herramientas de búsqueda facial, como PimEyes o FaceCheck.ID, pueden aportar posibles coincidencias cuando la fotografía tradicional no funciona. Sin embargo, procesan información biométrica, pueden producir falsos positivos y exponen la imagen a un tercero. Sus resultados deben tratarse como pistas investigativas, nunca como prueba concluyente de identidad.
2. Análisis de metadatos
Cuando se dispone del archivo original, ExifTool permite examinar datos EXIF, IPTC, XMP, modelo de dispositivo, fecha, software de edición, coordenadas y otras propiedades técnicas.
Los metadatos pueden revelar incompatibilidades, pero tienen un valor limitado: pueden ser modificados y las plataformas suelen procesar o eliminar parte de ellos. Su ausencia tampoco demuestra que una imagen sea falsa.
3. Procedencia y contenido sintético
El estándar C2PA y las Content Credentials permite incorporar información firmada sobre el origen y las modificaciones de una imagen, video o audio. Cuando estas credenciales están presentes, pueden consultarse mediante herramientas de verificación de procedencia.
No obstante, C2PA acredita una cadena técnica de producción, no la verdad de lo representado. Además, la ausencia de credenciales no convierte al contenido en falso: el dispositivo puede no soportarlas o la plataforma puede haberlas eliminado.
También existen detectores de imágenes y videos generados mediante inteligencia artificial. Deben utilizarse con extrema prudencia. El NIST advierte que los sistemas actuales de detección pueden sufrir pérdidas de rendimiento de entre 45 % y 50 % cuando pasan de evaluaciones académicas a escenarios operativos.
Un porcentaje entregado por un detector no debería presentarse judicialmente como certeza científica sin conocer el modelo utilizado, su tasa de error, el conjunto de evaluación y las transformaciones sufridas por el archivo.
4. Coherencia temporal
Debe examinarse:
- Antigüedad aparente y real de la cuenta.
- Fecha de las primeras publicaciones.
- Cambios abruptos de temática, idioma o estilo.
- Eliminación masiva de contenido anterior.
- Períodos prolongados de inactividad seguidos por una actividad intensa.
- Diferencias entre la edad declarada y la cronología de estudios, empleos o relaciones.
- Publicaciones acumuladas en pocos días para simular una historia previa.
Una cuenta reciente no es necesariamente falsa. Su valor surge al relacionarla con otros indicadores.
5. Huella del nombre de usuario
Herramientas como Sherlock y WhatsMyName permiten buscar un mismo nombre de usuario en cientos de servicios.
Esto puede revelar perfiles históricos, intereses, idiomas, fotografías anteriores o identidades alternativas. Sin embargo, encontrar el mismo alias en dos plataformas no demuestra que ambas cuentas pertenezcan a la misma persona. Los resultados necesitan corroboración contextual.
6. Relaciones y comportamiento
La identidad digital también se construye mediante relaciones. Debe observarse si los contactos interactúan de forma auténtica, si existen conversaciones históricas, etiquetas recíprocas y continuidad entre distintas plataformas.
Entre los indicadores de mayor riesgo aparecen:
- Contactos masivos con personas que no conoce.
- Seguidores comprados o con comportamiento repetitivo.
- Comentarios genéricos y descontextualizados.
- Negativa permanente a verificar información por un canal independiente.
- Solicitud de continuar rápidamente por mensajería privada.
- Pedidos de dinero, códigos de autenticación o información bancaria.
- Solicitudes de imágenes íntimas.
- Construcción acelerada de confianza o dependencia emocional.
- Relatos de emergencia destinados a impedir la reflexión.
- Envío de enlaces externos para “verificar” una cuenta, recibir un premio o recuperar dinero.
La videollamada ya no constituye por sí sola una verificación suficiente. Los deepfakes en tiempo real y la clonación de voz obligan a utilizar desafíos contextuales y, cuando sea posible, confirmar la identidad mediante un canal previamente conocido.
Herramientas y alcance probatorio
| Herramienta o técnica | Qué puede aportar | Qué no demuestra |
|---|---|---|
| Google Lens y TinEye | Reutilización, versiones anteriores y contexto de una imagen | Que quien aparece sea responsable de la cuenta |
| ExifTool | Metadatos, dispositivo, fechas y software utilizado | Autenticidad absoluta del archivo |
| InVID-WeVerify | Extracción de fotogramas, búsquedas inversas y análisis de imágenes o videos | Identidad jurídica del usuario |
| Sherlock y WhatsMyName | Aparición de un alias en diferentes plataformas | Que todas las cuentas pertenezcan a la misma persona |
| PimEyes o FaceCheck.ID | Posibles coincidencias faciales | Identificación concluyente |
| C2PA / Content Credentials | Procedencia y modificaciones declaradas y firmadas | Veracidad material de lo representado |
| Detectores de IA o deepfakes | Indicadores probabilísticos de generación o manipulación | Prueba pericial definitiva |
| Hunchly u otras soluciones de captura | URL, fecha, contenido, hashes y trazabilidad de la investigación | Autoría del perfil capturado |
El principio central es sencillo: ninguna herramienta aislada detecta un perfil falso. La conclusión debe surgir de la convergencia entre señales visuales, temporales, relacionales, conductuales y técnicas.
El marco jurídico argentino
La creación de un perfil falso no es, por sí sola, un delito federal autónomo
Al 24 de julio de 2026, el Código Penal argentino no contiene una figura general que sancione específicamente la suplantación de identidad digital.
Esto no significa que las conductas realizadas mediante un perfil falso queden impunes. Significa que deben encuadrarse en figuras creadas para proteger otros bienes jurídicos.
El artículo 172 del Código Penal puede aplicarse cuando se utiliza un nombre supuesto, una calidad simulada u otro engaño para producir una disposición patrimonial perjudicial. Si el atacante accedió a una cuenta ajena, también puede resultar aplicable el artículo 153 bis, que sanciona el acceso no autorizado a un sistema o dato informático de acceso restringido.
Según la finalidad y las acciones desarrolladas, también podrían configurarse:
- Amenazas o coacciones, conforme al artículo 149 bis.
- Extorsión o sextorsión, según los artículos 168 y 169.
- Violación de comunicaciones electrónicas o publicación indebida, según los artículos 153 y 155.
- Calumnias o injurias.
- Defraudaciones mediante manipulación informática.
- Grooming, cuando se contacta por medios tecnológicos a una persona menor de edad con el propósito previsto por el artículo 131 del Código Penal.
La utilización de una identidad falsa puede ser el medio de comisión de esos delitos, pero no necesariamente el delito principal.
Protección civil de la identidad, la imagen y la reputación
La respuesta no se limita al derecho penal. Los artículos 51, 52 y 53 del Código Civil y Comercial protegen la dignidad, la identidad, la honra, la reputación, la imagen y la voz.
La persona afectada puede solicitar medidas preventivas, el cese de la conducta y la reparación de los daños. El artículo 1770 también permite reclamar frente a intromisiones arbitrarias en la vida privada y publicaciones que perturben la intimidad.
Esto habilita, según el caso, pedidos de eliminación, bloqueo, rectificación, publicación de sentencia, indemnización o medidas cautelares.
Protección de datos personales
La Ley 25.326 considera dato personal a cualquier información referida a una persona determinada o determinable. Su artículo 16 reconoce derechos de rectificación, actualización y, cuando corresponda, supresión.
Una fotografía, un nombre, una voz o una combinación de datos utilizados para construir un perfil pueden constituir datos personales. Sin embargo, la ley fue sancionada en el año 2000 y no incluye expresamente a los datos biométricos dentro de su enumeración de datos sensibles. La propia AAIP reconoce la necesidad de actualizar el régimen vigente.
Violencia digital
La Ley 27.736, conocida como Ley Olimpia, incorporó la violencia digital o telemática al sistema de protección integral de la Ley 26.485.
La norma permite abordar afectaciones producidas mediante el uso no consentido de identidad, datos, imágenes o contenidos digitales contra mujeres. Sin embargo, no creó un delito penal autónomo de suplantación de identidad.
El antecedente de la Ciudad de Buenos Aires
La Ciudad Autónoma de Buenos Aires incorporó la suplantación digital al Código Contravencional. La regulación sanciona, siempre que el hecho no constituya un delito más grave, la utilización no consentida de la imagen o datos filiatorios de otra persona y la creación de una identidad falsa con esos elementos.
Se trata de una respuesta local y contravencional, no de una solución penal uniforme para todo el país. Esta diferencia territorial demuestra la fragmentación normativa existente.
La deuda legislativa argentina
La reiteración de proyectos legislativos demuestra que el problema continúa sin una solución federal. El expediente 923/25 del Senado, por ejemplo, propone incorporar un artículo 139 ter al Código Penal para tipificar la suplantación digital de identidad, pero permanece girado a comisiones sin dictamen registrado.
Una futura regulación debería evitar dos extremos: dejar sin protección a la víctima o criminalizar cualquier forma de anonimato, parodia, sátira, creación artística o uso legítimo de seudónimos.
La tipificación debería diferenciar claramente:
- La creación de una identidad ficticia.
- La utilización de datos de una persona real.
- El apoderamiento de una cuenta existente.
- La fabricación de imágenes, voces o videos sintéticos atribuibles a la víctima.
- La intención de cometer un delito, obtener un beneficio o causar un perjuicio.
- La existencia de parodia, sátira, interés público o ejercicio legítimo de la libertad de expresión.
También deberían contemplarse agravantes cuando la víctima sea menor de edad, cuando se utilicen datos íntimos o biométricos, cuando exista finalidad sexual o patrimonial, cuando se afecte una función pública o cuando la maniobra alcance masivamente a terceros.
La deuda no es solamente penal. Argentina necesita procedimientos claros de notificación, preservación urgente de datos, identificación de canales legales de contacto y cooperación con plataformas extranjeras. La evidencia decisiva —direcciones IP, dispositivos, correos de recuperación, cambios de contraseña e historial de accesos— permanece bajo control de las empresas y puede desaparecer antes de que llegue una orden judicial.
La deuda técnica
Las plataformas también mantienen una deuda importante.
Los sistemas de verificación suelen funcionar como distintivos comerciales y no siempre explican qué fue verificado: identidad civil, número telefónico, medio de pago, pertenencia institucional o simplemente una suscripción.
Al mismo tiempo, muchos sistemas antifraude analizan cada publicación o mensaje de forma aislada. Un perfil falso convincente puede superar esos controles porque su peligrosidad no se encuentra en un elemento particular, sino en la evolución de su conducta.
Una respuesta técnica moderna debería incorporar:
- Evaluación multiseñal y temporal.
- Detección de cambios abruptos en cuentas previamente legítimas.
- Verificación reforzada antes de realizar acciones de alto riesgo.
- Canales rápidos para denunciar suplantaciones.
- Preservación temporal de registros ante incidentes graves.
- Credenciales verificables con divulgación mínima de datos.
- Etiquetado interoperable de contenido sintético.
- Transparencia sobre qué significa cada nivel de verificación.
- Revisión humana para evitar bloqueos automáticos injustificados.
- Mecanismos de apelación y reparación para las personas afectadas.
La solución tampoco puede consistir en exigir reconocimiento facial o documentos a todos los usuarios. Una identificación obligatoria y masiva afectaría la privacidad, la libertad de expresión y la posibilidad de utilizar seudónimos por razones profesionales, políticas o de seguridad.
El objetivo debería ser aplicar controles proporcionales al riesgo, no eliminar el anonimato mediante vigilancia generalizada.
Preservar antes de denunciar
Cuando se detecta una posible suplantación, el contenido debe preservarse antes de reportar la cuenta, porque la plataforma o el propio atacante podrían eliminarlo.
La documentación mínima debería incluir:
- URL completa y nombre de usuario.
- Identificador interno del perfil, cuando esté disponible.
- Fecha, hora y zona horaria.
- Capturas completas y no solamente fragmentos.
- Código fuente o archivo de la página, cuando sea posible.
- Publicaciones, conversaciones y enlaces relacionados.
- Archivo original de las imágenes o videos.
- Hash criptográfico de los archivos preservados.
- Descripción de las herramientas y procedimientos utilizados.
- Registro cronológico de cada acción investigativa.
Herramientas como Hunchly permiten capturar páginas, registrar URL y marcas temporales, calcular hashes y conservar un historial de navegación investigativa. De todos modos, ninguna herramienta garantiza por sí misma la admisibilidad judicial: será necesario explicar la metodología, la integridad del material y su cadena de custodia.
Conclusión
Los perfiles falsos dejaron de ser cuentas improvisadas y fácilmente reconocibles. Hoy pueden construirse identidades sintéticas completas, controlar cuentas legítimas y sostener conversaciones personalizadas mediante inteligencia artificial.
Frente a ese escenario, la detección no puede depender de una fotografía, una insignia de verificación o el resultado de un detector automático. Debe basarse en la acumulación y correlación de señales.
Argentina dispone de normas que permiten actuar cuando la suplantación deriva en estafa, acceso ilegítimo, amenazas, extorsión, grooming, violencia digital o afectación de derechos personalísimos. Sin embargo, continúa faltando una regulación federal específica, equilibrada y tecnológicamente actualizada sobre identidad digital.
La verdadera deuda es doble. Es legislativa, porque la protección depende todavía de figuras dispersas y respuestas territoriales diferentes. Y es técnica, porque las plataformas poseen la información necesaria para detectar y atribuir estas conductas, pero sus sistemas de prevención, preservación y respuesta siguen siendo opacos, fragmentados y tardíos.
En un entorno donde un rostro, una voz y una historia personal pueden fabricarse, verificar una identidad ya no significa observar una fotografía. Significa reconstruir de manera crítica, proporcional y documentada la coherencia completa de su presencia digital.
