Detección de Deepfakes en Documentos: Guía Completa 2026

La detección de deepfakes documentales es el proceso de identificar documentos de identidad —pasaportes, DNI, permisos de conducir— generados o manipulados parcialmente mediante inteligencia artificial. Con la proliferación de modelos generativos accesibles al público, las falsificaciones sintéticas han alcanzado un nivel de calidad que hace ineficaz la inspección visual humana. Nuestro análisis interno muestra que el fraude generado por IA representa ahora el 12 % de todos los intentos de fraude documental detectados en nuestra plataforma, frente al 3 % en 2024.

Qué es un deepfake documental

Un deepfake documental es un documento de identidad cuyos elementos visuales han sido generados total o parcialmente por una red neuronal. Existen dos categorías principales con implicaciones distintas para la detección.

Los documentos completamente sintéticos se generan de cero mediante modelos GAN (Generative Adversarial Network) o de difusión entrenados sobre conjuntos de datos de documentos reales. El modelo aprende la estructura gráfica de pasaportes y carnés de identidad, y reproduce cada elemento: hologramas simulados, tipografías propietarias, numeración de serie, fondos de guilloqué. Estos documentos nunca han existido físicamente.

Los documentos parcialmente falsificados parten de un documento auténtico digitalizado al que se reemplazan campos concretos (nombre, fecha de nacimiento, fotografía) mediante contenido generado por IA. Este método es más frecuente en la práctica porque conserva los elementos de seguridad físicos reales, lo que dificulta enormemente la detección.

El Reglamento (UE) 2024/1689 sobre Inteligencia Artificial (AI Act, Art. 50) exige desde el 1 de agosto de 2026 que todo contenido sintético generado por IA lleve una divulgación explícita. Esta obligación recae sobre los sistemas que operan de buena fe, pero no impide que actores maliciosos produzcan falsificaciones sin etiquetado.

El INCIBE ha documentado en su informe anual de 2025 que las herramientas de generación de documentos falsos se comercializan en mercados ilícitos a precios que oscilan entre 80 y 250 euros por documento, con tiempos de entrega inferiores a 12 horas.

Cómo funcionan las técnicas de detección

La detección eficaz de deepfakes documentales combina varias capas de análisis. Ninguna técnica aislada ofrece garantías suficientes: es su combinación lo que alcanza tasas de detección superiores al 90 %.

Análisis forense de artefactos digitales

Los modelos generativos dejan huellas características en la imagen digital. El Análisis de Nivel de Error (ELA, Error Level Analysis) revela inconsistencias de compresión JPEG: las zonas manipuladas presentan una firma de compresión distinta al resto del documento. El análisis de ruido detecta la ausencia del granulado natural del sensor de una cámara real: las imágenes generadas por IA suelen ser inusualmente nítidas o presentan patrones de ruido periódico característicos de los GAN.

Las redes neuronales convolucionales (CNN) entrenadas sobre corpus de documentos auténticos y falsificados detectan artefactos de frecuencia espacial invisibles al ojo humano, especialmente las oscilaciones que los GAN introducen en los bordes de alta densidad de contraste (contornos de letras, bordes de fotografía).

Según la evaluación del NIST sobre sistemas de detección de ataques de presentación biométrica, los mejores sistemas comerciales alcanzan tasas de error inferiores al 2 % cuando combinan múltiples modalidades de detección, frente al 15-25 % de los enfoques de método único.

Verificación de elementos de seguridad

Los documentos de identidad auténticos contienen elementos de seguridad físicos que la IA no puede replicar completamente en una imagen digital: dispositivos holográficos de imágenes variables (DOVID), impresión offset en rosetón, efectos de color cinético y microimpresión. Cuando se capturan con escáner o webcam, estos elementos producen firmas ópticas características. Un deepfake los simula gráficamente, pero sin la dimensión física, algo que los sensores especializados (luz UV, infrarroja) detectan de forma fiable.

Verificación cruzada de consistencia de datos

La detección más fiable combina el análisis de la imagen del documento con la verificación de los datos que contiene. Un número de documento inexistente en los registros oficiales, una fecha de nacimiento inconsistente con el número de identificación fiscal, o un formato de dirección atípico para el país emisor son señales que no emergen del análisis visual.

Las plataformas de verificación como CheckFile cruzan automáticamente estos datos con bases de referencia, interceptando falsificaciones visualmente convincentes pero estructuralmente inconsistentes.

Comparativa de métodos de detección

Marco regulatorio en España

Las empresas sujetas a obligaciones de prevención del blanqueo de capitales (PBC) en España —entidades financieras, agentes inmobiliarios, asesores fiscales, abogados— deben verificar la identidad de sus clientes conforme a la Ley 10/2010 de prevención del blanqueo de capitales y de la financiación del terrorismo. El SEPBLAC, en su guía de enfoque basado en riesgo actualizada en 2024, indica expresamente que los sistemas de verificación remota deben incluir controles de autenticidad documental adecuados al riesgo, lo que engloba la detección de falsificaciones generadas por IA.

El AI Act clasifica los sistemas de verificación biométrica a distancia como sistemas de alto riesgo (Anexo III, punto 1). Las empresas que despliegan estos sistemas en procesos KYC deben cumplir, desde el 1 de agosto de 2026, los requisitos de robustez y gestión de riesgos previstos en los artículos 9 a 15.

El incumplimiento de las obligaciones de verificación puede acarrear sanciones de la CNMV o del SEPBLAC de hasta 10 millones de euros o el 10 % del volumen de negocio anual, conforme al artículo 57 de la Ley 10/2010.

Para un contexto regulatorio más amplio, consulte nuestro artículo sobre las técnicas de detección de fraude documental con IA.

Implementación práctica en equipos de cumplimiento

La puesta en marcha de un sistema de detección eficaz sigue tres pasos concretos.

Paso 1 — Evaluar la exposición al riesgo. No todas las empresas presentan el mismo nivel de riesgo ante los deepfakes. Una entidad financiera que procesa miles de altas de clientes en línea diariamente tiene una exposición muy superior a un despacho de abogados que verifica clientes en persona. La evaluación debe cuantificar el volumen de documentos procesados, el canal de recogida (presencial frente a remoto) y las consecuencias de aceptar una identidad fraudulenta.

Paso 2 — Combinar capas de detección. El análisis forense de artefactos, la verificación de elementos de seguridad y la verificación cruzada de datos capturan tipos de ataque distintos. Un modelo de ML detecta los artefactos de generación. Los controles de elementos de seguridad interceptan impresiones presentadas como documentos reales. La verificación de datos detecta documentos parcialmente falsificados con apariencia visual correcta.

Paso 3 — Mantener registros auditables. La Ley 10/2010 exige que las entidades sujetas conserven registros de las diligencias de identificación durante al menos diez años. Cada verificación debe registrarse con el método empleado, el resultado y el sistema o analista responsable.

La plataforma CheckFile genera automáticamente registros listos para auditoría, con una tasa de detección de fraude del 94,8 % sobre el conjunto de tipos de documentos verificados.

Consulte los precios de CheckFile para planes adaptados al volumen de su equipo.

Los documentos de identidad sintéticos como los deepfakes de identidad sintética representan una amenaza en constante evolución que requiere actualización continua de los modelos de detección.

Preguntas frecuentes

¿Qué es exactamente un deepfake documental?

Un deepfake documental es un pasaporte, DNI o permiso de conducir cuyos elementos visuales han sido generados total o parcialmente por un algoritmo de inteligencia artificial. Puede tratarse de un documento completamente ficticio o de un documento real con campos alterados. Estos documentos suelen superar las comprobaciones OCR básicas, ya que los datos de texto son correctos aunque el documento sea falso.

¿Son suficientes las herramientas gratuitas de detección?

Las herramientas gratuitas disponibles en línea realizan generalmente análisis ELA y de metadatos básicos que detectan falsificaciones rudimentarias. Son insuficientes para los deepfakes producidos por los modelos de difusión actuales, que generan artefactos mínimos. Para usos profesionales con obligaciones regulatorias, es imprescindible una solución especializada con modelos actualizados continuamente.

¿Cuánto tarda la detección automatizada?

Las plataformas modernas procesan un documento en menos de 5 segundos de media, combinando análisis forense, verificación de elementos de seguridad y cruce de datos. Este tiempo es compatible con los flujos de incorporación digital en tiempo real.

¿Es obligatoria la detección de vida junto con la verificación documental?

En la práctica, sí. Un ataque de deepfake documental suele ir acompañado de un ataque de vídeo deepfake en el paso de comparación biométrica. Combinar la verificación forense del documento con una detección de vida robusta cierra ambos vectores de ataque simultáneamente.

¿Qué debe hacer una empresa cuando un documento no supera las comprobaciones automatizadas?

Los procedimientos documentados de la empresa deben especificar una ruta de escalada clara: derivar a revisión por un analista senior, solicitar un tipo de documento alternativo o rechazar la relación comercial. Bajo la Ley 10/2010, artículo 7, no es posible establecer una relación de negocio si no se completa satisfactoriamente la identificación del cliente.

---

Este artículo se proporciona con carácter informativo. Los requisitos regulatorios evolucionan — consulte al SEPBLAC o a un asesor jurídico especializado para su situación específica. Consulte la guía de verificación de documentos para una visión completa de las mejores prácticas.