Recibes un audio de WhatsApp. Es la voz de tu hijo, exacta: su tono, sus muletillas, hasta su forma de respirar. Te pide una transferencia urgente. La haces sin dudar. Horas después descubres que nunca te llamó.
Has sido víctima de un deepfake de audio generado por inteligencia artificial. Acudes a tu banco a reclamar los 2.000 euros transferidos y te encuentras con un muro: "Usted autorizó la operación e introdujo las claves. Es una negligencia suya, no podemos devolverle el dinero."
Vemos esta respuesta automatizada de las entidades financieras constantemente. Y la realidad jurídica es que, en la inmensa mayoría de los casos, el banco no tiene razón y la ley te ampara.
El sector bancario suele escudarse en que fuiste tú quien introdujo las credenciales, pero omite la norma que rige realmente estos conflictos: el Real Decreto-ley 19/2018, de servicios de pago.
Esta ley establece un régimen de responsabilidad cuasi objetiva para los bancos frente a operaciones no autorizadas. Su artículo 45 es claro: si se ejecuta una operación de pago no autorizada, el proveedor debe devolver el importe de inmediato, como muy tarde al final del día hábil siguiente a que tenga constancia del fraude. La única vía de escape que tiene la entidad, recogida en el artículo 46, es demostrar que el usuario actuó con negligencia grave.
El banco debe devolver el importe de la operación no autorizada de inmediato, salvo que acredite fraude o negligencia grave del usuario. Y esa prueba corresponde a la entidad, no al cliente.
Arts. 44 y 45, RDL 19/2018, de servicios de pagoAquí es donde la inteligencia artificial cambia las reglas del juego en los tribunales.
Históricamente, los bancos alegaban negligencia grave si caías en un correo mal escrito pidiéndote contraseñas. Pero la jurisprudencia de las Audiencias Provinciales viene marcando un criterio consistente en los últimos años: no se le puede exigir a un ciudadano medio que detecte un fraude hiperrealista.
Si los estafadores utilizan software de IA para clonar una voz familiar o suplantan el número de teléfono real del banco (spoofing), el engaño es tan sofisticado que difícilmente puede calificarse la reacción de la víctima como gravemente negligente. Caer en una trampa tecnológicamente perfecta es un error humano — pero un error humano no equivale, en derecho, a una negligencia grave o temeraria, que exige un estándar de descuido mucho más intenso.
Y el punto que suele decidir estos casos: la carga de la prueba recae sobre el banco (art. 44 RDL 19/2018). No basta con que la entidad aporte el registro de que se introdujeron las claves correctas — eso, por sí solo, no demuestra que actuaras con negligencia grave ni que la operación fuera genuinamente tuya.
La normativa europea de servicios de pago obliga a las entidades a contar con sistemas de autenticación reforzada y mecanismos capaces de detectar patrones anómalos. Si realizas una transferencia inusual por su importe, destinatario o franja horaria, y el banco no la bloquea ni emite ninguna alerta adicional, la propia entidad puede estar incumpliendo su deber de vigilancia — con independencia de que tú introdujeras el código SMS engañado por una IA.
Cada situación es distinta. Cuéntanos la tuya y hacemos una primera valoración, sin compromiso.
Denuncia policial detallada. No te limites a decir "me han estafado". Haz constar expresamente la sofisticación del engaño — clonación de voz, suplantación de identidad telefónica — porque eso es lo que después desmonta el argumento de la negligencia grave.
Reclamación formal al Servicio de Atención al Cliente del banco. Invocando expresamente el RDL 19/2018. El primer "no" suele ser un filtro automático para disuadir a la mayoría de los afectados, no una valoración jurídica real de tu caso.
Reclamación ante el Banco de España si el SAC no resuelve a tu favor en plazo — es un paso previo obligatorio antes de la vía judicial en muchos casos, y deja constancia oficial de tu reclamación.
Vía judicial. Si las vías anteriores no prosperan, la demanda civil suele ser la herramienta definitiva. Los juzgados vienen condenando de forma consistente a los bancos a reintegrar el dinero en casos de phishing, vishing y fraudes por voz clonada, con imposición de costas a la entidad cuando su negativa carecía de fundamento real.
Que introdujeras tus claves no significa que actuaras con negligencia grave, y desde luego no exime al banco de su obligación legal de devolver el dinero salvo que demuestre lo contrario. La ley protege al usuario frente a fraudes tecnológicamente sofisticados precisamente porque nadie puede exigirte que detectes lo que ha sido diseñado para ser indetectable.
¿Tu banco se ha negado a devolverte el dinero de una estafa con voz clonada o suplantación telefónica? Cuéntanoslo en una consulta gratuita y analizamos si tu caso tiene recorrido.
