¿Pueden usar tu voz y tu cara para un avatar con IA?

¿Qué pasó en este caso? (caso real anonimizado)

Una creadora de contenido nos escribió con una captura de pantalla: “Doctor, esta campaña la grabé hace 6 meses. Pero este anuncio no lo grabé yo. Es un avatar con mi cara y mi voz, diciendo cosas que yo nunca dije”.

No era un montaje casero: era inteligencia artificial bien hecha. La marca había tomado los videos de la campaña, clonó la voz, generó un avatar con el rostro de la creadora y siguió produciendo anuncios nuevos — sin grabarla otra vez, sin pagarle otra vez y varios meses después de terminada la campaña.

¿Qué decía el contrato? Una sola línea: “el influencer autoriza el uso de su imagen para la campaña”. Nada sobre IA, nada sobre voz sintética, nada sobre vigencia. Y ahí está el problema — y también la defensa.

¿Por qué tu rostro y tu voz están protegidos de forma especial?

Porque no son “contenido”: son datos biométricos, es decir, información que identifica de manera única a una persona. El art. 5 de la Ley 1581 de 2012 los clasifica como datos sensibles, y eso cambia todo:

• Su tratamiento está prohibido, salvo autorización expresa del titular.
• Debe informársele al titular que no está obligado a autorizar datos sensibles.
• La autorización debe ser previa, expresa e informada y para una finalidad determinada (principios de finalidad y libertad, arts. 4, 8, 9 y 12).
• El responsable debe poder demostrar que obtuvo esa autorización. Si no puede probarla, el tratamiento es ilegal.
• El titular puede conocer, actualizar, suprimir y revocar la autorización.

Además del régimen de datos, opera el derecho a la propia imagen: la Corte Constitucional lo ha calificado como un derecho personalísimo, ligado a la dignidad, la intimidad y el buen nombre. Su uso requiere consentimiento y no se presume; cuando existe duda sobre el alcance de lo autorizado, la interpretación es restrictiva a favor del titular (T-090/96, SU-056/95, T-471/99, T-405/07).

¿La SIC ya dijo algo sobre inteligencia artificial?

Sí. En la Circular Externa 002 de 2024, la Superintendencia de Industria y Comercio impartió instrucciones sobre el tratamiento de datos personales en el desarrollo y uso de sistemas de inteligencia artificial. Las ideas centrales:

• Usar datos personales para entrenar, ajustar o alimentar un sistema de IA sigue siendo tratamiento de datos y se rige por la Ley 1581 de 2012.
• La finalidad debe informarse de forma clara y específica: no basta una autorización genérica para “fines publicitarios”.
• Aplican privacidad desde el diseño y por defecto, evaluación de impacto en casos de riesgo alto y rendición de cuentas demostrable.
• Tratar datos sensibles (como voz y rostro) en sistemas de IA eleva el estándar de diligencia y de prueba.

En otras palabras: para 2026 ninguna marca ni agencia puede alegar que “no sabía” que clonar una voz o generar un avatar exigía autorización específica.

No. Y este es el punto que decide el caso. Son cuatro permisos distintos, con valor económico distinto, que deben pactarse por separado:

1. 1

   Aparecer en la campaña: grabar y entregar las piezas acordadas.

2. 2

   Licencia de imagen: que la marca publique y difunda esas piezas, en unos medios, un territorio y una vigencia determinados.

3. 3

   Uso del material para entrenar IA: que tus videos, fotos y audios alimenten un modelo. Esto crea una capacidad nueva y permanente.

4. 4

   Generación de contenido sintético: avatar, réplica digital, voz clonada o deepfake que dice y hace cosas que tú nunca dijiste ni hiciste.

El permiso 1 no implica el 2; el 2 no implica el 3; y el 3 jamás implica el 4. Cuando la marca salta del 2 al 4 apoyada en una línea genérica del contrato, hay exceso en el uso autorizado, con dos consecuencias simultáneas: incumplimiento contractual y tratamiento no autorizado de datos sensibles.

¿Por qué el riesgo no es solo económico?

Porque un avatar tuyo puede decir cualquier cosa. El daño típico tiene tres capas:

• Patrimonial: tu clon trabaja gratis y para siempre. Cada pieza generada con IA es una campaña que no te contrataron, y además devaluúa tu tarifa futura.
• Reputacional: si el avatar recomienda un producto que no probaste, entra en un contexto sensible (política, salud, apuestas, criptomonedas) o comete un error, tu audiencia te lo cobra a ti, no a la marca.
• Exclusividad y conflictos: un clon activo puede aparecer promocionando a la competencia de otro cliente tuyo y hacerte incumplir un acuerdo de exclusividad.

Y hay un riesgo espejo para la marca: al usar un avatar que “recomienda” sin respaldo real, se expone por publicidad engañosa frente a la SIC (Ley 1480 de 2011), además de la sanción por datos.

La cláusula anti-IA / anti-deepfake que hoy no puede faltar

Este es el estándar mínimo que negociamos en los contratos de campaña de nuestros clientes:

1. 1

   Prohibición expresa de entrenamiento: el material entregado no podrá usarse, directa o indirectamente, para entrenar, ajustar o alimentar modelos o sistemas de IA, propios o de terceros.

2. 2

   Prohibición de réplicas digitales: queda prohibido generar avatares, gemelos digitales, voz sintética, doblajes con IA, deepfakes o cualquier contenido en el que el creador aparezca diciendo o haciendo algo que no grabó.

3. 3

   Prohibición de edición sustancial con IA: no se podrá alterar con IA el mensaje, el guión, el producto mostrado ni el contexto de las piezas aprobadas.

4. 4

   Delimitación del uso permitido: vigencia, territorio, plataformas y formatos concretos — con vigencias separadas para contrato, campaña y licencia de imagen.

5. 5

   Aprobación previa por escrito de cualquier pieza generada o modificada con IA, y prohibición de contextos sensibles.

6. 6

   Etiquetado: obligación de identificar como contenido generado con IA cualquier pieza sintética autorizada (estándar que el AI Act europeo ya exige y que las plataformas están adoptando).

7. 7

   Régimen de incumplimiento: retiro del contenido en un plazo en horas, cláusula penal cuantificada, indemnización por daño moral y reputacional, y responsabilidad solidaria de la agencia intermediaria.

8. 8

   Si el uso de IA se llega a permitir: autorización separada y específica de datos biométricos, con finalidad, alcance, vigencia, remuneración adicional, límites de uso, prohibición de sublicencia y derecho de revocatoria con obligación de borrado del modelo y de las piezas.

Ya ocurrió: paso a paso para reaccionar

1. 1

   Asegura la prueba. Descarga las piezas, captura URLs, fechas, métricas y cuentas que las publican; deja constancia con fecha cierta (idealmente ante notario o con un tercero de confianza).

2. 2

   Revisa qué firmaste. Delimita exactamente qué autorizaste, con qué vigencia y a favor de quién (marca, agencia de publicidad, agencia de representación).

3. 3

   Requerimiento formal por escrito a la marca y a la agencia: retiro inmediato, cese de uso, borrado del material y del modelo entrenado, y liquidación de los perjuicios.

4. 4

   Reclamo de habeas data ante el responsable del tratamiento (art. 14 y ss. de la Ley 1581) exigiendo supresión y revocando cualquier autorización.

5. 5

   Queja ante la SIC por tratamiento no autorizado de datos sensibles (multas hasta 2.000 SMMLV y órdenes de cesación).

6. 6

   Retiro por las plataformas: reportes por suplantación de identidad, uso no autorizado de imagen y contenido sintético engañoso.

7. 7

   Vía judicial según el caso: acción contractual y de perjuicios (arts. 1613 y ss. y 2341 y ss. del Código Civil), tutela por imagen, intimidad y buen nombre, y denuncia penal si el contenido implica injuria o calumnia (arts. 220 y 221 del Código Penal), falsedad personal (art. 296) o delitos informáticos.

Preguntas frecuentes

¿Qué dicen la ley y la jurisprudencia? (marco de referencia)

• Ley 1581 de 2012, art. 5: los datos biométricos son datos sensibles; su tratamiento requiere autorización expresa y advertencia de que no es obligatorio autorizarlos.
• Ley 1581 de 2012, arts. 4, 8, 9, 12 a 15 y Decreto 1074 de 2015: principios de finalidad, libertad y acceso restringido; autorización previa, expresa e informada; carga de la prueba en el responsable; derechos de acceso, actualización, supresión y revocatoria; consultas y reclamos.
• Ley 1581 de 2012, art. 23: sanciones de la SIC — multas hasta 2.000 SMMLV, suspensión de actividades y cierre de operaciones de tratamiento.
• Circular Externa 002 de 2024 (SIC): tratamiento de datos personales en el desarrollo y uso de sistemas de inteligencia artificial.
• Constitución Política, arts. 14, 15 y 21: personalidad jurídica, intimidad, habeas data y buen nombre.
• Corte Constitucional T-090/96, SU-056/95, T-471/99, T-405/07: la imagen como derecho personalísimo; el uso requiere consentimiento, no se presume y se interpreta de forma restrictiva.
• Ley 23 de 1982 y Ley 1915 de 2018: derechos morales irrenunciables; la cesión de derechos patrimoniales debe ser expresa, escrita y determinada en obras, usos y modalidades.
• Decisión Andina 351 de 1993, art. 54: no se reconocen usos que no hayan sido autorizados expresamente.
• Ley 1480 de 2011: publicidad engañosa y responsabilidad del anunciante.
• Código Penal, arts. 220 y 221 (injuria y calumnia), 296 (falsedad personal) y 269A y ss. (delitos informáticos).
• Código Civil, arts. 1613 y ss. y 2341 y ss.: responsabilidad contractual y extracontractual, daño moral y daño a la vida de relación.
• Referencia comparada: el AI Act europeo exige transparencia y etiquetado de contenidos sintéticos; varias jurisdicciones ya protegen expresamente voz e imagen frente a réplicas digitales. Sirve como estándar contractual al negociar con marcas globales.