Subimos un deepfake “con credenciales” a varias redes… y casi ninguna avisó: la gran mentira del etiquetado

CURIOSIDADES · VIRAL · DEEPFAKES

Antes de entrar a cuchillo: sí, existe un estándar técnico serio detrás de esto (C2PA). No, no está integrado como tú imaginas. Y mientras tanto, el “confía en la etiqueta” se parece demasiado a “confía en el cartelito”… justo cuando el cartelito casi nunca aparece.

Si ya te suena el tema por estafas, anuncios falsos o audios trucados, aquí encaja perfecto: anuncios con deepfakes y estafas online. La diferencia es que hoy no hablamos de detección “por IA” (que también), sino de algo más básico: proveniencia.

1) El experimento: un deepfake “con credenciales” en redes

La prueba fue simple (y, por eso, demoledora): generar una pieza sintética (un deepfake) y añadirle Content Credentials antes de subirla a distintas redes. Es decir: no “colar” un vídeo manipulado sin más, sino publicarlo con un sistema que, en teoría, debería permitir a cualquiera saber que ese contenido es sintético o ha sido editado.

¿Qué esperas tú que pase si una red “soporta” credenciales? Algo así como: “Oye, esto tiene marcas de procedencia” o “Contenido generado / editado”. Un aviso visible. Un icono. Un texto. Algo.

Y aquí está el punto clave: cuando el sistema depende de que el usuario investigue, en la práctica no es un sistema de protección. Es un sistema de “para expertos”. Y en viralidad manda el dedo, no el rigor.

Por cierto, este enfoque de “tú búscate la vida para verificar” es el mismo patrón que vemos en otras capas de Internet: si la fricción es alta, se ignora. Y si la fricción es baja, cambia hábitos. Con deepfakes, la fricción debería ser cero.

2) Vale, entonces… ¿qué es “Content Credentials”?

“Content Credentials” es un nombre “amigable” para un concepto técnico: un conjunto de metadatos firmados criptográficamente que viajan con una imagen, vídeo o audio y describen cosas como quién lo creó, con qué herramientas, y qué cambios se hicieron.

El estándar más citado aquí es C2PA (Coalition for Content Provenance and Authenticity), que busca definir una forma interoperable de adjuntar proveniencia al contenido. Puedes verlo en su web oficial: c2pa.org.

La versión “en humano”

Imagina que cada pieza de contenido trae un “pasaporte” que dice: “nací aquí, me editó esta herramienta, y esta firma asegura que el pasaporte no se ha manipulado”. Si el archivo se altera de forma que rompe la firma, el pasaporte debería dejar de ser fiable.

Lo importante: no es un detector de mentiras

Esto es crucial: Content Credentials no “adivina” si algo es falso. Lo que hace es ayudar a responder otra pregunta, igual de importante: ¿de dónde viene esto y qué le pasó por el camino?

Un detector puede fallar (y fallará). La procedencia, cuando está bien implementada, puede ser más robusta. El problema es el “cuando”.

3) Por qué el etiquetado falla hoy (aunque la tecnología exista)

Si esperabas un villano único, malas noticias: no es una conspiración de una sola cosa. Es un cóctel de decisiones técnicas, de producto y de incentivos.

A) La red recodifica y “machaca” archivos

Casi todas las plataformas, para optimizar ancho de banda y formatos, reprocesan el contenido que subes. En ese proceso, los metadatos pueden perderse o la firma puede quedar invalidada si no se conserva correctamente.

B) “Soportar” no es lo mismo que “mostrar”

Una plataforma puede técnicamente ser capaz de leer credenciales… y aun así decidir que el aviso sea pequeño, opcional o escondido. Y lo “escondido” en redes equivale a “no existe”.

C) No hay un estándar de experiencia de usuario

Aunque el estándar de metadatos sea interoperable, la interfaz no lo es. Unas redes podrían mostrar un sello enorme, otras un icono, otras nada. Resultado: el usuario no aprende un hábito consistente.

D) Incentivos: etiquetar frena el engagement

Esta es la parte incómoda. El contenido sintético y espectacular suele generar interacción. Una etiqueta visible puede bajar el “enganche”. Si no hay obligación clara (o coste reputacional), la etiqueta compite con métricas internas.

E) Los atacantes juegan a “romper la cadena”

Si un fraude depende de que la credencial desaparezca, el atacante buscará justo eso: reexportar, capturar pantalla, recomprimir, regrabar… cualquier cosa que destruya la procedencia. Si el sistema no está diseñado para que esa rotura genere un aviso fuerte, el incentivo es claro.

4) El mito que nos hemos contado: “si es falso, estará etiquetado”

Hay un mito tranquilizador en Internet: si algo es peligroso, alguien lo marcará. Como si la red fuese un aeropuerto con controles perfectos. No lo es. La realidad se parece más a una estación enorme donde cada operador tiene sus reglas, sus carteles y sus prisas.

Con deepfakes el mito es especialmente tóxico porque delega responsabilidad: “si nadie avisó, será real”. Y eso, en 2026, es una apuesta perdedora.

Si te interesa la dimensión social de esto (qué pasa cuando la red discute qué es verdad y qué no), aquí encaja como anillo al dedo: cuando la IA decida qué es verdad en Internet. El etiquetado es solo la primera capa del problema.

5) ¿Qué deberíamos exigir a las plataformas (y por qué “voluntario” no basta)?

Si una red quiere presumir de “etiquetado de contenido sintético”, el listón mínimo no puede ser un PDF bonito o un comunicado. Tiene que ser un comportamiento visible y auditable.

¿Te suena exigente? Lo es. Pero también lo es pedir que una etiqueta tenga sentido. Si una credencial solo sobrevive cuando el usuario hace todo “perfecto”, entonces no protege a los que más lo necesitan: los que simplemente ven un vídeo y lo comparten.

6) Qué deberían hacer los reguladores (sin cargarse Internet de paso)

Aquí hay una línea fina: regular mal puede crear burocracia inútil; regular bien puede crear un estándar mínimo que haga imposible vender humo.

La clave no es imponer una herramienta concreta, sino imponer resultados verificables: si una plataforma dice que etiqueta, debe demostrar que etiqueta. Y si usa procedencia, debe demostrar que la preserva.

En Europa, este debate encaja con el enfoque general de transparencia y obligaciones por riesgo. Si quieres una panorámica práctica para pymes y autónomos (y por qué no es “solo para gigantes”), tienes esta guía: EU AI Act para pymes y autónomos en España.

Lo que no funciona es el “cada plataforma se autorregula y ya”. La autorregulación es estupenda… cuando coincide con el incentivo de negocio. Con deepfakes, muchas veces choca de frente.

7) Qué puedes hacer tú hoy (porque la etiqueta perfecta no llegará mañana)

Mientras las plataformas se ponen de acuerdo (o les obligan), lo mejor es adoptar una mentalidad simple: la ausencia de etiqueta no significa nada.

Esto no es convertirte en forense digital. Es entender el juego: los deepfakes no ganan por calidad técnica, ganan por velocidad emocional. Tu pausa rompe el ciclo.

8) Entonces… ¿para qué sirve C2PA si “no se ve”?

Sirve, y mucho, pero en dos condiciones:

Primera: que las plataformas lo adopten de verdad (preservar, leer y mostrar). Segunda: que la sociedad (y los reguladores) trate la procedencia como infraestructura básica, no como “feature premium”.

En un mundo ideal, C2PA sería como el candado HTTPS: al principio era cosa de nerds; luego se volvió estándar; hoy te chirría cuando no está. Con procedencia debería pasar lo mismo: te debería chirriar que no haya pasaporte cuando un contenido pretende ser prueba de algo.

9) Preguntas rápidas que te estarás haciendo

¿Content Credentials garantiza que algo es real?

No. Garantiza, cuando está bien aplicado, que los metadatos de procedencia no han sido alterados desde que se firmaron. Puede ayudarte a confiar más… o a desconfiar con fundamento.

¿Si un vídeo no tiene credenciales, es falso?

Tampoco. Puede ser real y no tener procedencia adjunta. Por eso la clave es que la ausencia de señal no “absuelva” nada.

¿Esto sustituye a los detectores de deepfakes?

No necesariamente. Lo más sensato es combinar capas: procedencia cuando exista, detección cuando falte, y contexto siempre.

10) Conclusión: la etiqueta no es el escudo, es el síntoma

El experimento no demuestra que C2PA sea inútil. Demuestra algo más preocupante: que estamos vendiendo tranquilidad sin infraestructura. Como poner un extintor de adorno y decir “edificio seguro”.

Si quieres que el etiquetado funcione, no basta con “tener un estándar”. Hace falta que las redes lo traten como parte del sistema nervioso del contenido: preservarlo, leerlo y enseñarlo, siempre.

Hasta entonces, quédate con esta idea práctica: no confíes en la ausencia de etiquetas. Confía en el contexto, en la verificación y en la pausa antes del share.

Si quieres profundizar en el estándar detrás de todo esto, la referencia oficial es C2PA. Y si te interesa ver cómo medios están intentando poner estas pruebas sobre la mesa, puedes seguir trabajos y debates en grandes redacciones como The Washington Post.