Estafa bancaria con voz clonada por IA: cuándo el banco tiene que devolverte el dinero

Contaste tu problema al Servicio de Atención al Cliente de tu banco y la respuesta fue no. Alguien, con una voz que sonaba exactamente a la de un empleado de tu propia entidad, a la de tu director financiero o a la de un familiar en apuros, consiguió que transfirieras dinero o que soltaras tus claves, y el banco alega ahora negligencia grave por tu parte. Antes de resignarte a esa respuesta conviene entender algo que casi nadie explica en ese primer contacto: tu caso puede regirse por dos regímenes jurídicos distintos, y cuál te toca depende de un solo dato, quién dio literalmente la orden de la transferencia. Ese dato decide si el banco tiene que probar tu negligencia grave, o si la carga recae del todo sobre ti. Este artículo explica esa distinción, qué tiene que acreditar el banco en cada escenario y qué pasos seguir, con plazos concretos, si el SAC ya te ha dicho que no.

Qué ha pasado: vishing, número real y voz clonada

La secuencia se repite con pocas variaciones. Una llamada entra con un número que reconoces, a veces literalmente el que tienes guardado como el de tu banco, porque los delincuentes han contratado líneas legítimas o han falseado el identificador. Al otro lado, una voz que imita con precisión a un empleado del departamento antifraude, a tu director financiero o a un familiar en apuros sostiene una conversación fluida, capaz de responder a tus preguntas de control. Bastan unos segundos de audio público, un vídeo, una nota de voz, para entrenar ese clon.

La llamada termina de dos formas distintas, y la diferencia importa más de lo que parece. En la primera, el estafador obtiene tus claves o tus códigos de autenticación y ejecuta él mismo la transferencia. En la segunda, eres tú quien, convencido de que hay que blindar el dinero, lo transfiere a una supuesta cuenta segura que consideras una custodia provisional del banco. Vivida desde dentro, la diferencia es irrelevante: en ambos casos pierdes el dinero por el mismo engaño. Jurídicamente, es la pregunta que decide todo lo que viene después.

Este artículo cubre el fraude donde el objetivo eres tú y tu cuenta, personal o de empresa. Si lo que perdiste fue un pago que tu empresa envió a la cuenta de un proveedor suplantado, si el fraude fue un pago desviado a un proveedor, no contra tu banco, se resuelve con otro régimen; y si lo que falló fue el propio software o un sistema de IA sin que mediara ningún engaño, si el daño lo causó un fallo del software y no una estafa, el régimen es otro.

La pregunta que decide tu caso: ¿quién dio la orden de pago?

El Real Decreto-ley 19/2018, de servicios de pago, distingue entre operaciones no autorizadas y operaciones autorizadas, y solo las primeras activan el régimen de protección reforzada. Si el estafador ejecutó la transferencia con tus credenciales, sin que tú dieras la orden, la operación es no autorizada: se aplican los artículos 44 a 46 y la carga de la prueba recae sobre el banco. Si en cambio fuiste tú quien, engañado, tecleó la orden y la confirmó con tu propia autenticación, la operación es autorizada en sentido técnico. El régimen de esos tres artículos no se aplica de forma directa, y el análisis se traslada a otro terreno: el del identificador único de la cuenta destinataria y la doctrina que fijó el Tribunal de Justicia de la Unión Europea en el caso Tecnoservice, sentencia de 21 de marzo de 2019, asunto C-245/18.

Esta distinción decide, en la práctica, si tu caso cuenta con jurisprudencia sólida a favor o exige un análisis mucho más fino sobre el contrato marco, la actuación del banco al validar el destinatario y la diligencia exigible a cada parte. Antes de escribir una sola línea a tu banco, vale la pena tener claro en cuál de los dos escenarios estás.

Si el estafador ejecutó la operación con tus claves: lo que tiene que probar el banco

En este escenario, el reparto de cargas favorece al usuario de forma casi automática. El artículo 44 obliga al banco a demostrar que la operación fue autenticada, registrada con exactitud y contabilizada; el mero hecho de que se usara tu clave o tu confirmación por SMS no basta por sí solo. El artículo 45 le impone devolver el importe de inmediato, a más tardar al final del día hábil siguiente a la notificación, salvo que tenga motivos razonables para sospechar fraude y lo comunique al Banco de España. Y el artículo 46 limita tu exposición a 50 euros, salvo que el banco acredite que actuaste con fraude o negligencia grave.

Aquí la sofisticación de la inteligencia artificial deja de ser un problema tuyo y pasa a serlo del banco. La negligencia grave no se presume por el simple hecho de que la operación se autenticara con tus códigos. El Tribunal Supremo, en la sentencia 571/2025 de 9 de abril (Sala Primera, caso Ibercaja), condenó al banco por no activar alertas ante quince transferencias seguidas de madrugada, y precisó que la diligencia exigible a la entidad incluye también reaccionar ante los indicios de operativa anómala, más allá del correcto funcionamiento técnico del sistema. Si ni un empleado del banco distingue tu voz clonada de la real, difícilmente puede exigírsete a ti un estándar de detección mayor. Ese argumento cuenta además con el respaldo del Tribunal de Justicia de la Unión Europea, que en su sentencia de 15 de octubre de 2026 (asunto C-70/25) resolvió que la negligencia grave del cliente no exime al proveedor de servicios de pago de devolver de inmediato el importe de una operación de pago no autorizada. La única excepción a esa devolución inmediata es que la entidad tenga motivos razonables para sospechar un fraude del propio cliente y los comunique por escrito a la autoridad nacional competente. El banco puede reclamarte después el reembolso de las pérdidas, y para ello le corresponde probar que hubo negligencia grave por tu parte.

Ningún tribunal español ha resuelto todavía un caso de estafa con voz clonada por inteligencia artificial en estos términos: la STS 571/2025 resuelve un supuesto de SIM swapping. Mi lectura es que el mismo armazón jurídico se aplica sin dificultad, porque los artículos 44 a 46 se activan por el hecho de que la operación se ejecutara sin tu orden, no por la técnica de engaño empleada.

Si fuiste tú quien ordenó la transferencia: por qué es más difícil, y qué hacer

Este es el escenario más habitual en los fraudes con cuenta segura, y también el más difícil de plantear sin ayuda especializada. Al ser una operación técnicamente autorizada, el banco puede alegar que ejecutó correctamente una orden tuya, y la reclamación pasa a depender de otros incumplimientos: si verificó el identificador único de la cuenta destinataria conforme a sus obligaciones, si hubo negligencia en la prestación del servicio, o si la propuesta de Reglamento europeo de servicios de pago, todavía en tramitación y con un régimen específico para el fraude de suplantación del proveedor, ofrece algún argumento aplicable por analogía. La reclamación al SAC sigue siendo el primer paso obligado, pero la estrategia deja de ser una plantilla: exige valorar el contrato marco y la prueba disponible caso por caso. Si no tienes claro en qué escenario estás, una videoconsulta de 60 minutos por 90€, IVA incluido y descontable de la primera factura si aceptamos el encargo, sirve para clasificarlo antes de mover ficha.

En cualquiera de los dos escenarios, si el SAC de tu banco ya ha rechazado la reclamación por escrito, el siguiente paso es elevarla al Servicio de Reclamaciones del Banco de España, que emite un informe no vinculante pero con peso real en un procedimiento judicial posterior. Si tampoco ahí obtienes una respuesta favorable, queda la reclamación de cantidad contra el banco por vía judicial. Hasta la negativa por escrito del banco puedes moverte solo, con la reclamación al SAC y, si procede, la denuncia. A partir de ahí, la calificación del caso, autorizada o no autorizada, decide toda la estrategia de la demanda, y ese análisis conviene hacerlo con un abogado antes de redactarla.

La línea que separa un caso ganador de uno complicado no es la sofisticación del fraude, es un dato muy concreto: quién dio la orden de pago. Si fue el estafador con tus credenciales, la ley juega a tu favor y el banco parte con la carga de probar tu negligencia. Si fuiste tú, engañado por una voz idéntica a la real, el camino existe pero es más estrecho y depende de cómo actuó el banco al validar la cuenta destinataria. En ambos casos, notifica cuanto antes: tienes 13 meses como máximo, pero cada día que pasa resta fuerza a tu reclamación. Si ya tienes la negativa del banco por escrito, tráela a una videoconsulta de 60 minutos por 90€, IVA incluido, para saber en qué escenario estás y qué opciones reales tienes.

Preguntas frecuentes

¿Cuánto tiempo tengo para reclamar al banco?

El plazo máximo es de 13 meses desde la fecha del cargo, según el artículo 43.1 del RDL 19/2018. Pero la ley exige además notificar sin demora injustificada en cuanto tengas conocimiento del fraude: cuanto más tardes, más fácil le resulta al banco cuestionar tu buena fe.

¿Qué pasa si perdiste el dinero por Bizum?

Un Bizum es una operación de pago más a efectos del RDL 19/2018, así que se rige por las mismas reglas que una transferencia. Lo decisivo sigue siendo quién lo ejecutó: si el estafador lo confirmó con tus claves, es una operación no autorizada; si fuiste tú quien lo confirmó personalmente, aunque fuera bajo engaño, es autorizada y el análisis cambia.

¿Se aplica igual si soy una empresa?

Si tu empresa es una microempresa, menos de diez empleados y hasta dos millones de euros de facturación o balance, mantienes la misma protección que un consumidor. Las empresas de mayor tamaño pueden tener pactado en el contrato marco que ciertas garantías de este régimen no se apliquen, así que es aconsejable revisar las condiciones contratadas antes de dar por hecho el mismo nivel de protección.

¿Hace falta denunciar antes de reclamar al banco?

No es un requisito legal para presentar la reclamación al SAC, pero ayuda hacerlo cuanto antes. La denuncia deja constancia oficial de la fecha en que conociste el fraude, y sin ella el banco tiene más margen para sugerir que la operación fue en realidad consentida.

¿Puede el banco tardar indefinidamente en responder?

No. En reclamaciones sobre servicios de pago, el SAC tiene un plazo máximo de 15 días hábiles para responder por escrito. Si no contesta en ese plazo, o si la respuesta te resulta insuficiente, ya puedes elevar la reclamación al Banco de España.