Deepfakes laborales: cuando tu jefe en la videollamada no es tu jefe.
Una empresa transfirió 25 millones de dólares siguiendo instrucciones de ejecutivos que no existían. En México, el tipo penal que perseguiría esa conducta tampoco existe.
Por Osvaldo Hernández Olivera.
Abogado en Derecho Informático | Opinión Legal sobre Tecnología y Futuro
Febrero de 2024. Un empleado del área financiera de una empresa multinacional en Hong Kong recibe una invitación a una videollamada urgente con su director financiero y varios ejecutivos. Los rostros son los correctos, las voces inconfundibles; los gestos, naturales. Al término de la sesión, el empleado autoriza la transferencia equivalente a 25 millones de dólares. Ninguno era real: todos eran generación sintética producida por inteligencia artificial. ¿Qué norma penal habría aplicado si el hecho ocurre en México?
Qué es un Deepfake laboral y por qué es distinto.
Un deepfake laboral es el uso de inteligencia artificial generativa —modelos de difusión, redes generativas adversariales (GAN) o síntesis de voz neuronal— para suplantar la identidad audiovisual de una persona en el marco de una relación de trabajo o negocio. Opera en tiempo real, responde preguntas e imita microexpresiones, siendo indistinguible para el ojo humano no entrenado.
Lo distingue su triple capacidad de daño simultáneo: patrimonial, reputacional y operacional. Además, la herramienta ya no es cara ni exclusiva: aplicaciones comerciales de clonación de voz cuestan menos de veinte dólares mensuales.
El catálogo penal mexicano: tipos que no encajan.
El Código Penal Federal (CPF) no tipifica el deepfake como conducta autónoma. Para perseguir este fraude, el Ministerio Público recurriría a normas diseñadas para otras realidades tecnológicas:
- Artículo 387 del CPF (Fraude): Exige engañosas maquinaciones para obtener un lucro indebido. Aunque encaja conceptualmente, fue redactado para el engaño cara a cara o documental, abriendo el riesgo de una analogía prohibida en materia penal.
- Artículo 210 del CPF (Revelación de secretos): Podría aplicarse si se extrae información confidencial, pero protege la confidencialidad de los datos, no la integridad de la identidad suplantada.
- Artículo 211 Bis (Acceso ilícito a sistemas): Tampoco cubre el caso: en una videollamada el acceso a la plataforma es legítimo; lo ilícito es la identidad de quien accede.
- Ley de Firma Electrónica Avanzada: Protege documentos firmados con certificados digitales, no transmisiones audiovisuales en tiempo real.
Resultado: Cuatro normas potencialmente aplicables, ninguna específica y todas con flancos de impunidad para un abogado defensor.
El caso Hong Kong como piloto / La dimensión laboral
El caso no fue una anomalía; en Estados Unidos, el FBI reportó que el fraude corporativo mediante deepfake superó los 400 millones de dólares en pérdidas en 2025. En México, la Condusef y la CNBV no publican estadísticas por falta de tipos penales claros. Las empresas mexicanas con operativas transnacionales y áreas financieras son el blanco natural: los controles internos revisan la autorización formal, no la autenticidad biométrica.
Por otro lado, la amenaza también alcanza al trabajador: despidos basados en vídeos sintéticos falsos, desmovilización sindical o candidatos simulando competencias en tiempo real. La Ley Federal del Trabajo (LFT) no contempla herramientas para corregir estos vicios.
Lo que otros hacen y las 4 reformas que no pueden esperar.
Mientras California, Georgia, la Unión Europea (EU AI Act) y paises asiaticos como China ya regulan, penalizan o exigen marcado de contenido sintético, México no ha emitido ninguna norma específica. La última iniciativa en el Congreso federal no prosperó en el periodo ordinario 2025–2026.
Una respuesta legislativa mínima exige cuatro acciones concretas:
- Tipificar en el CPF el fraude mediante identidad sintética como delito autónomo, con pena agravada si supera 500 UMAs o la víctima es una persona jurídica.
- Reformar la Ley de Firma Electrónica Avanzada para incluir estándares de autenticación biométrica certificada en comunicaciones de alto valor.
- Incorporar a la LFT la nulidad ipso iure de todo despido o sanción cuya causa se acredite mediante pericia forense que fue un deepfake.
- Establecer obligaciones de marcado de contenido sintético para las plataformas de videoconferencia y comunicación empresarial que operen en México.
El deepfake no es ciencia ficción: es la próxima llamada que recibirá el contador de tu empresa con instrucciones «tuyas». La diferencia entre que esa llamada sea un crimen perseguible o un fraude impune debe marcarla un legislador y mientras no se actúe, la ganadora será la impunidad.
