Si tu pequeña empresa opera una plataforma que aloja contenido de usuarios — un foro comunitario, un mercado con imágenes de vendedores, una aplicación social, una bolsa de trabajo con fotos de perfil, o incluso un chat estilo Discord para clientes — desde el 19 de mayo de 2026 estás sujeto a un plazo federal de retirada de 48 horas. Si lo incumples, la FTC puede tratar la falta como una práctica injusta o engañosa con multas de hasta $51,744 por infracción.
La ley es la Ley TAKE IT DOWN (TIDA 2025), firmada en 2024 y aplicable desde el 19 de mayo de 2026. Se dirige a las imágenes íntimas sin consentimiento (NCII), incluidos los deepfakes generados por IA de personas identificables. Ampliamente elogiada como una medida de protección a las víctimas y observada de cerca por el riesgo de retirada excesiva, fue aprobada por unanimidad en el Senado y con 409–2 en la Cámara. Para las plataformas cubiertas, las obligaciones de cumplimiento son concretas y el plazo es corto: proporcionar una forma clara para que las personas soliciten la retirada y eliminar la imagen y todas las copias idénticas dentro de las 48 horas posteriores a una solicitud válida.
Aquí se explica quién está cubierto, qué debe hacer el proceso de solicitud y cómo una pequeña empresa puede implementar un flujo de trabajo defendible de 48 horas antes de que llegue la próxima carta de advertencia.
Quiénes Están Cubiertos
La Ley define una "plataforma cubierta" como:
- Un sitio web, servicio en línea, aplicación en línea o aplicación móvil que sirve al público y proporciona principalmente un foro para contenido generado por usuarios — incluidos mensajes, videos, imágenes, juegos y archivos de audio; o
- Un servicio en línea dedicado a publicar, curar, alojar o poner a disposición contenido que sea representaciones visuales íntimas sin consentimiento.
Ese alcance es más amplio que las redes sociales. Un mercado especializado donde los vendedores suben imágenes de estilo de vida de productos, una aplicación de fitness donde los miembros comparten fotos de progreso, un sitio de noticias local con comentarios de usuarios que permiten subir imágenes, o un foro SaaS donde los usuarios publican capturas de pantalla pueden calificar si son públicos y están impulsados principalmente por contenido de usuarios. Las herramientas internas detrás de un inicio de sesión generalmente están fuera de la definición, pero cualquier cosa pública y participativa debe asumirse dentro del alcance hasta que tengas un análisis por escrito que diga lo contrario.
El tamaño no te exime. La Ley se aplica a pequeñas empresas que operan plataformas cubiertas, no solo a las grandes tecnológicas. Las cartas de advertencia de la FTC de mayo de 2026 se enviaron a una docena de sitios web de diversos tamaños, lo que indica que la aplicación no se limitará a nombres conocidos.
Lo que Exige la Ley — Prohibición de Publicación Más Deber de Retirada
Dos prohibiciones trabajan juntas:
- No publicar imágenes íntimas sin consentimiento. La Ley hace ilegal publicar — incluidos los falsificaciones digitales generadas por IA — representaciones visuales íntimas de una persona identificable sin el consentimiento de esa persona. Esto se aplica a la propia publicación de la plataforma y a los envíos de usuarios que la plataforma aloja.
- Retirar bajo solicitud dentro de las 48 horas. Al recibir una solicitud válida de una víctima (o representante autorizado), una plataforma cubierta debe retirar la NCII reportada y todas las copias idénticas conocidas dentro de las 48 horas.
El plazo de 48 horas comienza al recibir una solicitud válida, no en tu próximo día hábil. Los fines de semana cuentan. La FTC aplica la Sección 3 de la Ley y ha declarado que tratará el incumplimiento como una práctica injusta o engañosa bajo su autoridad existente, con sanciones civiles y, en casos graves, remisión para enjuiciamiento penal por difusión.
Qué Cuenta como una Solicitud Válida
Una solicitud es válida cuando proporciona suficiente información para que la plataforma identifique y retire el contenido sin requerir que la víctima haga trabajo de investigación:
- Identificación de la persona representada y una declaración de que la representación no es consentida (la Ley no exige que la víctima demuestre que nunca dio su consentimiento — su declaración es la base)
- Ubicación del contenido — URL, identificador de publicación u otro localizador que permita a la plataforma encontrar el archivo
- Información de contacto para seguimiento
La plataforma no puede condicionar la retirada a que la víctima proporcione una identificación gubernamental al público, ni puede exigir que la víctima pague una tarifa o se comunique con la persona que publicó el contenido. Una implementación de buena fe significa hacer que el canal de solicitud sea fácil de encontrar — claramente divulgado en la plataforma, no enterrado a tres clics de profundidad en un centro de ayuda.
Los deepfakes de IA están explícitamente dentro del alcance. Una imagen íntima falsificada digitalmente de una persona identificable — con intercambio de rostro o generada sintéticamente — está cubierta en la misma medida que una fotografía auténtica. Tu proceso de moderación debe tratarlas de manera idéntica.
El Flujo de Trabajo de 48 Horas que las Pequeñas Empresas Necesitan
No necesitas herramientas empresariales de confianza y seguridad para cumplir, pero sí necesitas un flujo de trabajo documentado, impulsado por el reloj, que sobreviva a una investigación de la FTC.
1. Publica un Canal de Solicitudes de Retirada
Crea una ruta dedicada y claramente etiquetada — por ejemplo, "Reportar Imagen Íntima Sin Consentimiento" — visible desde cada página que aloje contenido de usuarios y desde tus términos o pautas comunitarias. El canal debe:
- Ser accesible sin inicio de sesión, porque la víctima a menudo no es un usuario
- Aceptar solicitudes 24/7 mediante un formulario que genere un ticket con marca de tiempo
- Reconocer automáticamente la recepción con el número de ticket, el compromiso de 48 horas y un contacto para seguimiento
- Registrar la hora de recepción al minuto — esa marca de tiempo inicia el reloj
No enrutes los informes de NCII a una bandeja de entrada general de soporte donde compitan con preguntas de facturación. Una cola separada asegura que se vean primero.
2. Clasifica y Verifica sin Exigir lo Imposible
En horas, no días, un moderador designado debe:
- Confirmar que la solicitud identifica una representación que parece ser íntima y sin consentimiento y proporciona un localizador
- Localizar el archivo y todas las copias idénticas conocidas — mismo hash, mismas variaciones de URL, mismas republicaciones en el almacenamiento de la plataforma
- Preservar la evidencia (hash, URL, cuenta del cargador, marca de tiempo) antes de la retirada, porque puedes necesitar mostrar que retiraste copias idénticas y para apoyar a las autoridades
No retrases la retirada para investigar si la persona representada "realmente" dio su consentimiento o para preguntar al cargador su versión. La Ley traslada la carga a la retirada tras una solicitud válida; el recurso adecuado para una retirada indebida es un contraaviso y un proceso de restauración, no un debate previo a la retirada que haga estallar el plazo de 48 horas. Los expertos en libertad de expresión han señalado que este plazo ajustado puede incentivar la retirada excesiva — reconoce ese equilibrio en tu política, pero cumple con el cronograma del estatuto.
3. Retira y Elimina Duplicados Dentro de las 48 Horas
La retirada significa que la imagen ya no es públicamente accesible en la plataforma, y la plataforma ha tomado medidas razonables para evitar que las copias idénticas que conoce permanezcan accesibles. En la práctica:
- Elimina o deshabilita el acceso al archivo original y purga de CDN y cachés donde controles la caché
- Calcula el hash de la imagen (por ejemplo, PhotoDNA, PDQ o un hash perceptual simple) y escanea las copias idénticas en el mismo almacén de datos — la Ley exige explícitamente la retirada de copias idénticas conocidas, no solo de la URL reportada
- Suspende la capacidad del cargador de volver a publicar el mismo archivo mientras se preservan los registros de auditoría
Documenta el tiempo de retirada en el ticket. Si la retirada se completa en la hora 30, esa marca de tiempo es tu evidencia de cumplimiento.
4. Notifica y Ofrece un Proceso de Contraaviso
Después de la retirada, notifica tanto al solicitante como al cargador:
- Di al solicitante que el contenido fue retirado y proporciona la hora de cierre del ticket
- Di al cargador qué fue retirado y por qué, y explica cómo presentar un contraaviso si cree que la retirada fue errónea — los contraavisos no pausan el deber de 48 horas, pero crean un registro para cualquier disputa posterior
Mantén las comunicaciones objetivas y evita lenguaje editorial sobre culpabilidad o intención.
5. Conserva Registros y Revisa
Conserva el ticket — solicitud, marca de tiempo de recepción, notas de verificación, marcas de tiempo de retirada para cada copia y notificaciones — durante al menos dos años. La aplicación de la FTC hasta ahora ha incluido cartas de advertencia que informan a las empresas de sus obligaciones; un historial documentado de retiradas oportunas es la mejor respuesta a una investigación.
Trimestralmente, revisa el registro en busca de patrones: cargas repetidas del mismo hash (lo que indica un usuario baneado que elude mediante nuevas cuentas), o un aumento en los informes vinculados a una sola comunidad o característica de producto que pueda necesitar cambios de diseño.
Implicaciones Financieras y Operativas
El cumplimiento no es gratuito, pero el incumplimiento es más caro.
- Personal: Designa al menos a dos personas que puedan clasificar informes de NCII, para que las vacaciones o enfermedades no rompan la cadena de 48 horas. Para equipos muy pequeños, un fundador más un moderador de confianza es suficiente si ambos tienen acceso y están capacitados.
- Herramientas: Existen herramientas gratuitas o de bajo costo para hash y formularios de informe. El factor de costo no es el software sino el tiempo de respuesta — un formulario que crea un ticket y avisa al moderador de guardia vale más que un modelo de detección sofisticado sin nadie de guardia.
- Términos y seguros: Actualiza tus términos para describir el proceso de retirada y prohibir explícitamente NCII y deepfakes de IA. Revisa tu seguro de responsabilidad civil o cibernético — algunas pólizas ahora preguntan si tienes un proceso compatible con TIDA.
- Contabilidad: Registra los costos de cumplimiento — horas de moderación, herramientas, revisión legal — como un centro de costos distinto. Si luego enfrentas una sanción, los esfuerzos documentados de cumplimiento de buena fe influyen en el resultado, y los costos son gastos comerciales deducibles.
Qué No Hacer
- No exijas a las víctimas enviar correos electrónicos al cargador u obtener una orden judicial — la Ley proporciona un derecho directo de informe a la plataforma.
- No condicione la retirada a que la víctima demuestre que la imagen es "real" versus generada por IA — ambas están cubiertas.
- No vuelvas a alojar contenido retirado con fines de evidencia de manera públicamente accesible — preserva internamente, retira públicamente.
Mantén tu Plataforma Defendible
La regla de 48 horas de la Ley TAKE IT DOWN es uno de los plazos de cumplimiento más ajustados que las pequeñas empresas han enfrentado en cuanto a contenido de usuarios — más estricto que los 10–14 días hábiles del DMCA y comparable solo a las escalaciones de seguridad más urgentes. Para un equipo pequeño, la clave no es la escala sino la claridad: un canal de informe visible, un flujo de trabajo de 48 horas con marcas de tiempo, un barrido de copias idénticas basado en hash y un ticket que demuestre que cumpliste el plazo. Impleméntalo ahora, antes de que llegue la próxima solicitud, y tu plataforma puede proteger a las víctimas, preservar un registro y sobrevivir a una investigación de la FTC.
Simplifica tu Gestión Financiera
La moderación de contenido no es solo un flujo de trabajo legal — es financiero, con personal, herramientas y riesgo que pertenecen a tus libros. Beancount.io te brinda contabilidad de texto plano y con control de versiones donde cada costo de cumplimiento, cada hora de moderación y cada reserva de riesgo son trazables — para que tu proceso de 48 horas esté documentado en operaciones y reflejado en tus finanzas. Comienza gratis y mantén las finanzas de tu plataforma tan organizadas como su cola de retiradas.