UtteraMarco legal
Todo lo que regula el uso de Uttera —condiciones del servicio, privacidad, encargo de tratamiento y cookies— vive en una sola página:
Aquí solo va el resumen, con el enlace a cada apartado. El texto que vale es el de esa página: dos copias de un documento legal acaban divergiendo, y entonces no vale ninguna.
Para qué NO se puede usar
Es el apartado que más conviene leer antes de integrar, porque casi todo lo que hay en él es delito y no solo incumplimiento de contrato:
- Suplantar a una persona con voz clonada para engañar a alguien.
- Clonar la voz de alguien identificable sin su consentimiento, aunque el material de origen sea público. La voz está protegida por el art. 7.6 de la LO 1/1982.
- Transcribir grabaciones obtenidas ilícitamente. Grabar una conversación en la que participas no es delito en España; grabar una ajena sí (art. 197 CP).
- Identificar a personas por su voz o construir un registro de huellas vocales.
- Decidir sobre personas a partir del tono o del perfil del hablante.
La lista completa, con el artículo que aplica a cada uno →
El Reglamento de IA y el audio que generas
Desde el 2 de agosto de 2026 se aplica el artículo 50 del Reglamento (UE) 2024/1689. Si generas audio que imita a una persona real, o que informa sobre asuntos de interés público, tienes que declararlo. Y si tu sistema conversa con alguien, esa persona tiene que saber que habla con una máquina.
La obligación de marcar técnicamente el contenido sintético es nuestra, y el plazo de adaptación que nos aplica termina el 2 de diciembre de 2026.
La marca de agua
Todo el audio que genera Uttera lleva marca de agua, desde el 16 de septiembre de 2026. Las dos voces, la estándar y la clonada, y los cinco formatos. No es opcional y no hay ningún parámetro de la API que la desactive.
Usamos AudioSeal, de Meta, con licencia MIT. Es una marca imperceptible incrustada en las propias muestras de sonido, no un metadato del fichero. Se aplica antes de codificar, así que viaja en el audio que recibes sea cual sea el formato.
Cada respuesta de audio de la API lleva la cabecera X-Watermark con el
esquema usado. Si alguna vez recibes audio nuestro sin esa cabecera, es un fallo nuestro
y queremos saberlo.
Junto a ella vienen X-Audio-Sha256 y Content-Digest: el SHA-256 de los bytes que te entregamos, en hexadecimal y en el formato del RFC 9530. Responden a una pregunta distinta de la de la marca. La marca dice que el audio lo generó una máquina; el resumen dice que el fichero que tienes es el que salió de aquí. Ninguna sustituye a la otra, y la diferencia sirve: una marca puede sobrevivir a una recodificación, mientras que el resumen dejará de coincidir — así que si está la marca y no cuadra el resumen, lo que tienes ha pasado por algo desde que te lo mandamos.
Qué dice, y qué no dice
La marca dice que el audio lo generó una máquina. Y nada más: ni quién lo pidió, ni cuándo, ni con qué cuenta, ni ningún identificador que permita rastrearlo hasta una persona.
El formato de AudioSeal admite
16 bits de mensaje dentro de la marca, y desde el 19 de septiembre de 2026 los usamos para
una firma de origen fija: 0x5554, que son las letras UT en
ASCII. Es la misma para todos los clientes y todas las peticiones.
Hacía falta por una razón concreta: AudioSeal es software libre y público, así que la sola presencia de una marca no dice de quién es el audio —cualquiera que use la misma herramienta produce marcas igual de válidas—.
Para qué te sirve la firma (y para qué no)
La firma no prueba que un audio sea nuestro. Como AudioSeal es público, cualquiera puede estampar esos mismos 16 bits. Si te decimos lo contrario, te estaríamos vendiendo una garantía que no existe.
Lo que sí prueba es lo contrario, y es lo que de verdad te interesa: todo lo que sale
de nuestros motores va firmado —no hay forma de desactivarlo, y un servidor nuestro que no
supiera marcar no arrancaría—. Así que si un audio no lleva la firma UT, no lo
generamos nosotros. Eso es una afirmación firme, y puedes usarla:
- si alguien atribuye a Uttera una grabación que no reconoces, la ausencia de la firma la descarta;
- si alguien hace pasar por tuya una voz clonada que no pediste, y te dicen que salió de nuestro sistema, la ausencia de la firma lo desmiente.
Puedes comprobarlo tú, sin pedirnos nada, con la herramienta de Meta: lee la marca y mira el
mensaje de 16 bits. Si vale 0x5554, son las letras UT.
⚠ La firma se decodifica por posición, y los formatos comprimidos añaden
un pequeño retardo al principio del audio. Si lees la marca sobre un mp3 sin
corregir ese desfase, el mensaje sale cambiado. Hay que probar unos cuantos desplazamientos al
principio y quedarse con la mejor lectura.
Si necesitas una prueba positiva que no se pueda falsificar, la marca de agua no es la pieza adecuada: usa el informe en PDF, que va firmado criptográficamente por nosotros y se puede verificar en /verificar.
Hasta dónde aguanta
Medido por nosotros, sobre audio salido de nuestros motores:
| Por dónde pasa el audio | ¿Se sigue detectando? |
|---|---|
Comprimido a mp3, opus o flac | Sí |
| Recomprimido tres veces seguidas | Sí |
| Teléfono fijo (G.711), RDSI (G.722) | Sí |
| Móvil 2G (GSM 06.10) | Sí |
| Centralita comprimiendo a 16 kbps (G.726) | Sí |
| Recortado a la banda del teléfono (300–3400 Hz) | Sí |
| Reproducido por un altavoz y recogido por un micrófono | Sí |
| G.723.1 a 6,3 kbps (VoIP antiguo, ya en desuso) | No |
Publicamos también el caso en el que falla. Una marca que se presenta como infalible no es una marca, es publicidad.
Por qué NO usamos C2PA
C2PA es un manifiesto firmado que viaja dentro del fichero. Es el otro camino habitual para marcar contenido sintético y hemos decidido no tomarlo:
- Se quita con una orden de
ffmpeg. Es metadato del contenedor: desaparece al recodificar, y desaparece solo en cuanto el audio pasa por una plataforma que transcodifique. No demuestra nada, porque cualquiera puede quitarlo. - No hace falta para cumplir. El artículo 50.2 exige marcado legible por máquina y detectable. La marca de agua lo es, en los cinco formatos. C2PA es una forma de cumplir, no la forma.
- El estándar no admite
opusnipcmcrudo, dos de los cinco formatos que servimos. Comprobado por nosotros contra la biblioteca, no leído en una documentación. - No sobrevive al caso que importa. El fraude con voz sintética no llega en un fichero: llega por teléfono. Ahí no hay contenedor, no hay metadato y no hay manifiesto. Hay audio, y la marca sigue ahí.
Lo que C2PA aporta es interoperabilidad con plataformas que leen el manifiesto para
etiquetar contenido. Es valor real, pero no compensa lo anterior. Si cambian los hechos
—si el estándar admite opus, si las plataformas empiezan a exigirlo— lo
revisaremos y se dirá aquí.
Si eres una empresa y nos mandas datos de terceros
Tú eres el responsable del tratamiento y nosotros el encargado (art. 28 RGPD). El acuerdo de encargo está escrito y sirve como tal; si necesitas un contrato firmado, escríbenos a support@uttera.ai y lo firmamos.