Autenticidad de los datos: qué es y cómo se certifica en origen

Autenticidad de los datos: por qué lo digital ha dejado de ser fiable

Un archivo digital ya no demuestra nada por sí solo, porque cualquiera puede fabricar o retocar una foto, un audio o un documento creíble, y la única manera de separar lo real de lo falso es saber cómo se generó. Con la IA generativa, aceptar un archivo sin saber de dónde viene se ha convertido en un riesgo que pocas organizaciones pueden permitirse.

Para entender el problema conviene distinguir tres conceptos que a menudo se confunden. La autenticidad de los datos se refiere a cada dato concreto y responde a la pregunta «¿es esto lo que dice ser?». La integridad, en cambio, solo garantiza que un archivo no ha cambiado desde que se calculó su huella, aunque ese archivo ya fuera falso desde el principio. La autenticación, por último, no habla del dato sino de las personas: comprueba que quien accede a un sistema es quien dice ser.

TrueScreen certifica la autenticidad de los datos en el momento de la captura, con un método forense que registra también la hora, la posición, el dispositivo y la red. Una vez fijado ese origen, la integridad del dato se puede comprobar en cualquier momento posterior.

Más allá de los deepfakes: una crisis de confianza en todo el ecosistema digital

Los deepfakes de políticos y famosos acaparan titulares, pero el problema es mucho más amplio y bastante más cotidiano. Una aseguradora recibe fotos de daños retocadas con una aplicación gratuita, un proveedor envía una factura con el importe alterado, alguien presenta como prueba la captura de un chat que nunca existió o una página web cambia de contenido el día después de una reclamación. Ninguno de estos casos requiere grandes conocimientos técnicos.

El efecto más dañino es otro: cuando todo puede ser falso, también lo auténtico pasa a ser discutible. Quien quiere desacreditar una prueba real solo tiene que sembrar la duda de que se ha generado con IA, y sin un origen documentado esa duda es difícil de despejar. Por eso la autenticidad de los datos ha salido del departamento de ciberseguridad y ahora pesa en contratos, reclamaciones, inspecciones y litigios.

Las cifras: riesgos globales, noticias falsas y fraude en España

El Global Risks Report 2026 del Foro Económico Mundial, elaborado con la opinión de más de 1.300 expertos, coloca la desinformación en el segundo puesto de los riesgos a dos años, mientras que los efectos adversos de la IA son el riesgo que más sube en la clasificación: del puesto 30 a dos años al 5 a diez años. La percepción del público va en la misma dirección. Según el Digital News Report 2026 del Reuters Institute, el 62 % de los encuestados en 48 mercados está preocupado por distinguir lo verdadero de lo falso en internet, cuatro puntos más que el año anterior, y el aumento es de al menos cuatro puntos en todos los mercados de Europa occidental. Según el Digital News Report 2025, la confianza en las noticias en España se situó en el 31 %.

El fraude sigue la misma curva. Según el informe de Sumsub publicado en noviembre de 2025, los intentos de fraude con deepfakes detectados en su propia plataforma aumentaron un 84 % en España. Y el INCIBE gestionó 122.223 incidentes de ciberseguridad en 2025, un 26 % más que en 2024: el fraude online supuso casi 4 de cada 10, con 45.445 casos, y el 14 % de quienes llamaron a la Línea de Ayuda 017 lo hizo por algún tipo de suplantación de identidad digital.

El cambio de paradigma: certificar en origen y verificar lo que ya existe

Si cualquier contenido puede ser falso por defecto, lo eficaz es certificar el dato en el momento en que nace y reservar la detección para lo que ya circula sin garantías de origen. Las dos estrategias protegen la autenticidad de los datos y no compiten entre sí, pero tampoco valen lo mismo: una aporta pruebas y la otra, indicios.

Detectar frente a generar: una economía asimétrica

Generar un deepfake convincente cuesta hoy unos minutos y casi nada de dinero, mientras que detectarlo exige modelos que se entrenan con ejemplos de generadores que ya se han quedado atrás. El estudio Deepfake-Eval-2024 lo mide con contenidos reales que circularon en 2024: frente a los bancos de pruebas académicos anteriores, el rendimiento (AUC) de los detectores de código abierto evaluados cae un 50 % en vídeo, un 48 % en audio y un 45 % en imagen (preprint). Su conclusión coincide con la experiencia práctica: el detector tiende a ir un paso por detrás.

TrueScreen certifica en origen y ofrece también la detección de deepfakes y de contenido generado por IA para los contenidos que no ha adquirido. Esa detección funciona con fotos, vídeos y audio, nunca con texto, y devuelve un grado de confianza que se suma a las demás comprobaciones, sin sustituir a la certificación. Si quieres profundizar en las técnicas disponibles, aquí tienes una guía sobre cómo detectar un deepfake y otra sobre cómo saber si una foto es IA.

De «verdadero hasta que se demuestre lo contrario» a «certificado en origen»

Durante mucho tiempo, una foto o un documento se daban por buenos mientras nadie demostrara que eran falsos. Ese criterio funcionaba porque falsificar era caro y dejaba rastro. Hoy ocurre lo contrario: un contenido sin origen documentado es potencialmente poco fiable, y quien lo aporta debe estar preparado para demostrar de dónde viene.

Certificar en origen responde precisamente a ese cambio. En lugar de analizar a posteriori si un archivo tiene artefactos sospechosos, se documenta el momento de la captura: quién adquirió el dato, con qué dispositivo, dónde, cuándo y en qué condiciones. El resultado no depende de que un algoritmo acierte, sino de un procedimiento que cualquiera puede revisar.

Autenticidad, procedencia y Content Credentials (C2PA): en qué se diferencian

La autenticidad de los datos se refiere a un momento concreto: el instante en que el dato se certifica. La procedencia digital va más allá y reconstruye toda su historia: quién lo creó, qué cambios ha sufrido y por qué manos ha pasado. Las Content Credentials (credenciales de contenido) del estándar C2PA son una forma de transportar esa historia dentro del propio archivo, mediante un manifiesto protegido criptográficamente que indica el dispositivo o el programa de origen y las ediciones posteriores.

TrueScreen lee y escribe manifiestos C2PA y va más allá con la adquisición forense. La diferencia importa porque un manifiesto puede perderse cuando una plataforma recodifica el archivo, y porque describe lo que declara la herramienta que lo creó, no las condiciones en que se capturó la escena. Si te interesa el detalle técnico, puedes leer qué es C2PA, cómo funciona y cuáles son sus límites.

Cómo se certifica un dato en origen

Certificar un dato en origen significa adquirirlo con un método forense que sigue la ISO/IEC 27037, verificarlo, documentarlo en un informe técnico y cerrarlo con un sello electrónico cualificado y un sello de tiempo cualificado. La ISO/IEC 27037 es la norma internacional que fija las pautas para identificar, recoger, adquirir y preservar evidencias digitales, y el Reglamento eIDAS define los sellos que dan a esa evidencia presunción de integridad y de fecha en toda la UE.

El orden de los pasos no es casual: cada uno se apoya en el anterior, y un error al principio no se corrige al final. Por eso no basta con sellar un archivo que ya existe, porque el sello demostraría que el archivo no ha cambiado desde ese momento, pero no la autenticidad de los datos que contiene. Si lo que necesitas es aportar imágenes en un procedimiento, encontrarás un caso práctico en la guía para certificar fotos con valor legal.

1. 1

   Adquisición forense

   La captura se hace en un entorno controlado, en el que nadie puede alterar el contenido mientras se adquiere: ni una persona, ni un programa, ni un sistema, ni una IA. Junto con la foto, el vídeo, el audio o la página web se recoge el contexto: hora, posición, dispositivo y red. En ese mismo momento se calcula la huella (hash) SHA-256 de cada archivo, de modo que la alteración se impide durante la adquisición y se puede detectar después.

2. 2

   Verificación de los datos

   Antes de cerrar la certificación se comprueban la integridad de lo adquirido y la coherencia de los datos de contexto. Si algo no cuadra, se detecta en esta fase y no meses después, en mitad de una reclamación o de un juicio.

3. 3

   Informe técnico

   El resultado se documenta en un informe técnico legible por personas no especialistas: qué se adquirió, cómo, cuándo y dónde, con las huellas de cada archivo. Cualquier tercero puede verificarlo de forma independiente, porque el paquete completo (XML sellado, huellas e informe) se comprueba sin necesidad de recurrir a TrueScreen.

4. 4

   Sello electrónico cualificado y sello de tiempo cualificado

   Por último, el paquete se cierra con un sello electrónico cualificado y un sello de tiempo cualificado, reconocidos a nivel internacional, que en toda la Unión Europea gozan de las presunciones del Reglamento eIDAS. El sello electrónico cualificado permite presumir la integridad de los datos y la corrección del origen indicado en el sello; el sello de tiempo cualificado, la exactitud de la fecha y la hora. Cualquier cambio posterior, aunque sea de un solo bit, rompe la correspondencia con las huellas selladas y queda a la vista.

¿Cómo certifica TrueScreen la autenticidad de los datos?

TrueScreen reúne en un solo lugar la app, el Portal, el Forensic Browser, la Browser Extension, la API y el servidor MCP, y en todos ellos cada certificación sigue el mismo método forense y termina con un sello electrónico cualificado y un sello de tiempo cualificado. Cambia la puerta de entrada según el tipo de dato y de usuario, pero el método que protege la autenticidad de los datos y el valor del resultado son siempre los mismos.

App, Portal, Forensic Browser y Browser Extension

La TrueScreen App, disponible para iOS, Android, iPadOS y macOS, certifica fotos, vídeos, audio, grabaciones de pantalla, sesiones web, posición y escaneos de documentos; las conversaciones de chat, por ejemplo, se certifican grabando la pantalla desde la propia app. El Portal es el lugar donde se gestionan y se consultan todas las certificaciones, aunque no sirve para certificar páginas web.

Para la web están el Forensic Browser, un navegador de escritorio para macOS y Windows que permite adquisiciones web dirigidas, grabaciones completas de la navegación y adquisiciones automáticas, y la Browser Extension para Chrome y Edge, pensada para certificar lo que tienes delante sin cambiar de navegador. Un abogado que necesita fijar una publicación difamatoria antes de que la borren, por ejemplo, la adquiere con el Forensic Browser y obtiene un informe que la otra parte puede verificar por su cuenta.

API, servidor MCP y TrueFlow

La API REST lleva la certificación dentro de los sistemas de la empresa, de modo que un gestor de siniestros o una aplicación de inspecciones certifique los datos sin pasos manuales. El servidor MCP permite certificar los datos que producen los agentes de IA, un frente que crece a medida que esos agentes redactan informes, rellenan formularios o recogen información por su cuenta.

TrueFlow organiza recogidas guiadas: la empresa envía un enlace y quien lo recibe, incluso sin cuenta, sigue los pasos y aporta fotos, vídeos o documentos que se certifican en el momento. Los SDK y la marca blanca solo están disponibles en el plan Enterprise.

Dónde se guardan los datos y qué normas sigue

Los datos se conservan en infraestructura situada en el Espacio Económico Europeo. TrueScreen tiene la certificación ISO/IEC 27001 para la gestión de la seguridad de la información, expedida por un organismo acreditado, y sigue la ISO/IEC 27037 en la adquisición de evidencias digitales. El método de adquisición y certificación se basa en una metodología patentada.

Valor legal y probatorio de un dato certificado

Un dato certificado en origen puede aportar una base verificable ante un tribunal porque combina una adquisición que sigue las directrices de la ISO/IEC 27037 con un sello electrónico cualificado y un sello de tiempo cualificado, a los que el Reglamento eIDAS (arts. 35.2 y 41.2) atribuye en toda la UE la presunción de integridad y de corrección del origen, y de exactitud de la fecha, respectivamente. Esa presunción no decide un juicio, pero cambia el terreno de la discusión, que deja de girar en torno a la fiabilidad del archivo y se centra en lo que demuestra.

TrueScreen no es un prestador de servicios de confianza ni una autoridad de certificación. Lo que se garantiza es el cómo de la adquisición, no el qué de la escena. Si alguien prepara una escena y la graba, la certificación documenta cómo y cuándo se adquirió esa grabación, no que la escena fuera real.

eIDAS: qué presumen el sello electrónico cualificado y el sello de tiempo cualificado

El Reglamento (UE) n.º 910/2014, conocido como eIDAS, establece en su artículo 35 que el sello electrónico cualificado disfruta de la presunción de integridad de los datos y de la corrección del origen de los datos a los que está vinculado. El artículo 41 hace lo mismo con el sello de tiempo cualificado, que se presume exacto en cuanto a la fecha y la hora que indica y a la integridad de los datos asociados. Ambos se reconocen en todos los Estados miembros.

En España, la Ley 6/2020 regula determinados aspectos de los servicios electrónicos de confianza y completa el marco europeo. La ISO/IEC 27037 no es una norma jurídica: ofrece directrices técnicas para identificar, recoger, adquirir y preservar evidencias digitales.

El informe técnico ante el juez

En un procedimiento civil español, la Ley de Enjuiciamiento Civil admite fotos, vídeos y documentos electrónicos como medios de prueba, y el juez valora cada prueba digital junto con las demás pruebas. El informe técnico no sustituye esa valoración, pero le da algo sólido sobre lo que trabajar: un relato verificable de cómo se obtuvo el dato.

Si la otra parte impugna la prueba, el perito interpreta el contenido y el informe le permite comprobar por su cuenta huellas, sellos y contexto, sin depender de TrueScreen. Esa verificación independiente es la que mantiene intacta la cadena de custodia digital desde la captura hasta la sala. Ninguna certificación puede prometer el resultado de un juicio, pero sí evitar que la discusión se centre en si el archivo fue manipulado.

Quién necesita certificar la autenticidad de los datos

Cualquier organización que decida, pague o litigue a partir de fotos, vídeos, documentos o páginas web necesita poder demostrar la autenticidad de los datos con los que trabaja, y eso incluye aseguradoras, bancos, despachos, empresas de construcción, industria, logística, medios y administración pública. El tipo de dato varía de un sector a otro, pero el riesgo se repite: tomar decisiones sobre contenido que nadie puede respaldar.

Seguros, banca y finanzas

En seguros, el siniestro es el momento crítico. Si el asegurado fotografía los daños a través de un enlace de TrueFlow, la aseguradora recibe imágenes con hora, posición y dispositivo certificados, y puede tramitar el expediente, lo que reduce la necesidad de una segunda visita para descartar retoques. En banca, las fotos del estado de un inmueble que respalda una operación o las pruebas de una visita comercial ganan el mismo respaldo. Detrás de todo esto está el fraude: Deloitte calcula que el fraude facilitado por la IA generativa podría alcanzar los 40.000 millones de dólares en Estados Unidos en 2027, frente a los 12.300 millones de 2023 (proyección de 2024).

Despachos jurídicos y administración pública

Para un despacho, gran parte de la prueba de hoy vive en la web y en el móvil: publicaciones en redes sociales, conversaciones de mensajería, páginas que cambian sin aviso. Certificarlas en el momento reduce la dependencia de capturas de pantalla que la otra parte puede impugnar con facilidad. En la administración pública ocurre algo parecido con las inspecciones: un técnico municipal que documenta una obra ilegal o el estado de una vía con fotos geolocalizadas y selladas deja un expediente más difícil de impugnar.

Construcción, industria, logística y medios de comunicación

En construcción, las fotos del avance de una obra o de un defecto ocultado más tarde por el acabado resuelven muchas disputas entre promotor, contratista y subcontratas. En industria y logística, certificar el estado de la mercancía en la entrega o el resultado de una inspección de calidad fija quién respondía de qué y cuándo. Y en los medios, un periodista que certifica el material original de una fuente puede demostrar más tarde que no lo ha manipulado. Según el Digital News Report 2025, la confianza en las noticias en España se situó en el 31 %, así que poder enseñar el original pesa cada vez más.

El futuro: la procedencia digital

Según Gartner, la procedencia digital, es decir, poder seguir el origen y la historia completa de un contenido, podría convertirse en un requisito: la consultora la incluye entre las tendencias tecnológicas estratégicas de 2026 y el AI Act obliga desde agosto de 2026 a los proveedores a marcar el contenido sintético. Certificar la autenticidad de los datos en origen es el primer paso de ese camino.

Lo que exige el AI Act desde agosto de 2026

El Reglamento (UE) 2024/1689 de inteligencia artificial se aplica con carácter general desde el 2 de agosto de 2026. Su artículo 50 obliga a los proveedores a marcar en un formato legible por máquina los contenidos que generan o manipulan sus sistemas, y a los responsables del despliegue de sistemas que generan o manipulan deepfakes, a declarar que ese contenido es artificial. El Reglamento (UE) 2026/1744 concede hasta el 2 de diciembre de 2026 a los sistemas introducidos en el mercado antes del 2 de agosto de 2026, pero solo para la obligación de marcado del artículo 50.2.

La etiqueta, sin embargo, cubre solo la mitad del problema. Indica qué contenido ha generado una IA cuando el proveedor cumple, pero no dice nada de lo que es real, y un contenido sin etiqueta no se convierte por ello en auténtico.

De la autenticidad a la procedencia

Gartner define la procedencia digital como la capacidad de verificar el origen, la titularidad y la integridad del software, los datos, los contenidos y los procesos, y en su comunicado del 20 de octubre de 2025 prevé que en 2029 quienes no hayan invertido lo suficiente en ella podrían exponerse a riesgos de sanción que podrían llegar a miles de millones de dólares. TrueScreen certifica hoy la autenticidad de los datos y quiere avanzar hacia la procedencia digital.

En conclusión