¿Qué es C2PA? Content Credentials: funcionamiento, servicios compatibles, comprobación y diferencias con la marca de agua

¿Esa foto que has visto en internet se hizo de verdad con una cámara, o se creó o modificó con IA? C2PA intenta responder a esta pregunta con un «registro de cómo se creó». Esta información ya acompaña a las imágenes creadas con ChatGPT y a las fotos tomadas con un Google Pixel, y las redes sociales empiezan a mostrarla como etiqueta. En este artículo repasamos cómo funciona C2PA, qué servicios lo admiten, cómo comprobarlo, sus límites y en qué se diferencia de las marcas de agua digitales (watermark) como SynthID, a partir de información oficial a 9 de octubre de 2026.

Qué es C2PA

C2PA (Coalition for Content Provenance and Authenticity) es el nombre de una organización que elabora estándares técnicos para indicar la procedencia (de dónde viene) y la autenticidad del contenido digital, y también del propio estándar. La fundaron en febrero de 2021 Adobe, Arm, BBC, Intel, Microsoft y Truepic.

La información de procedencia que se añade siguiendo el estándar C2PA se conoce en general como Content Credentials (credenciales de contenido). Como la etiqueta de ingredientes de un alimento, permite comprobar «cuándo, quién y con qué herramienta creó un contenido y cómo se editó».

A octubre de 2026, el comité directivo de C2PA lo integran 11 empresas: Adobe, Amazon, BBC, Google, Meta, Microsoft, OpenAI, Publicis Groupe, Sony, TikTok y Truepic. Entre los miembros generales también figuran empresas y organizaciones japonesas como Canon, Nikon, Fujifilm, NHK y NTT Docomo.

Relación entre C2PA y CAI

Un nombre que suele aparecer junto a C2PA es CAI (Content Authenticity Initiative). CAI es una iniciativa que Adobe puso en marcha en 2019; ofrece herramientas de código abierto para implementar el estándar C2PA e impulsa su adopción. El reparto de papeles es este: C2PA es «la organización que crea el estándar» y CAI, «la que lo difunde».

Cómo funciona: un «registro de procedencia» firmado que se adjunta al archivo

En C2PA, se adjunta al contenido un registro de procedencia llamado manifiesto. El manifiesto contiene información como la siguiente.

Aserciones: datos individuales como las operaciones de creación y edición, las herramientas o la IA utilizadas, o la cámara con la que se tomó la foto
Declaración (claim): reúne las aserciones y la firma electrónicamente el creador (emisor)
Hash del contenido: un valor calculado a partir del contenido del archivo. Si el contenido se modifica, deja de coincidir, así que permite detectar manipulaciones

Como la firma electrónica usa un certificado, se puede comprobar quién añadió el registro. Con cada nueva edición, se añade un nuevo registro que hereda el manifiesto anterior, de modo que se puede seguir el historial de ediciones.

Qué pasa si se pierden los metadatos

Como el manifiesto se guarda como información adicional del archivo, puede perderse con una captura de pantalla o al volver a guardar el archivo. Para compensar este punto débil, el estándar C2PA también define un mecanismo (Durable Content Credentials) que permite localizar un manifiesto almacenado a partir de una marca de agua digital o de una huella digital (características calculadas a partir del contenido).

La versión más reciente del estándar

La versión 2.4 del estándar, publicada en abril de 2026, añadió campos específicos para indicar el uso de IA y permitió incrustar la procedencia también en textos como documentos HTML o Markdown. Además, desde 2025 existe un programa de conformidad que certifica los productos que cumplen correctamente el estándar.

Principales adopciones

Estas son las principales adopciones confirmadas en la información oficial de cada empresa.

OpenAI: añade Content Credentials a las imágenes generadas con ChatGPT y otros productos. En imágenes y audio también incluye la marca de agua SynthID de Google.
Google: añade Content Credentials a todas las fotos JPEG tomadas con la cámara del Pixel 10, que pueden comprobarse en Google Fotos. La función «Sobre esta imagen» de la Búsqueda también aprovecha la información C2PA. En YouTube, los vídeos grabados con cámara y sin editar muestran la etiqueta «Captured with a camera» (grabado con una cámara).
Microsoft: añade automáticamente Content Credentials a todas las imágenes generadas con Azure OpenAI.
Adobe: ofrece la aplicación «Adobe Content Authenticity» y una extensión para Chrome que permiten añadir y comprobar Content Credentials.
Redes sociales: LinkedIn muestra un icono en las imágenes y vídeos con información C2PA. TikTok y Meta (Facebook, Instagram y Threads) leen la información C2PA y etiquetan también el contenido generado con IA en otros servicios.
Cámaras y smartphones: la Leica M11-P se presentó en 2023 como la primera cámara con Content Credentials integradas. La serie Galaxy S25 de Samsung añade Content Credentials a las imágenes editadas con IA.
Infraestructura de distribución: Cloudflare ofrece una función que conserva las Content Credentials al transformar imágenes.

Cómo comprobar la información C2PA

Para saber si un archivo lleva información C2PA, puedes usar estos métodos.

Sitio Verify: si subes una imagen u otro archivo al sitio de comprobación de CAI (contentcredentials.org/verify), muestra el registro de procedencia.
Extensión del navegador: con la extensión de Adobe para Chrome puedes comprobar la información de las imágenes de una página web.
Indicaciones de cada servicio: puedes verlo en los detalles de Google Fotos, en «Sobre esta imagen» de la Búsqueda, en el icono «CR» de LinkedIn o en las etiquetas de IA de Meta y TikTok.
Herramienta de comprobación de OpenAI: en openai.com/verify puedes comprobar si una imagen o un audio procede de OpenAI.

Límites y precauciones de C2PA

C2PA es un mecanismo potente, pero tiene los siguientes límites.

La información se pierde con facilidad: al hacer una captura de pantalla o convertir un archivo, la información de procedencia puede perderse. Muchos servicios eliminan la información adicional al subir los archivos.
Sin información no significa que sea falso: adoptar C2PA es voluntario. YouTube también indica claramente que la ausencia de etiqueta no significa que el contenido se haya alterado.
No garantiza la veracidad: lo que muestra C2PA es la procedencia, es decir, «quién dice haberlo creado y cómo». No indica si el contenido en sí es correcto.
Puede haber fallos de implementación: según informaron los medios, en 2025 se descubrió en cámaras de Nikon un problema que permitía firmar imágenes que no eran las tomadas realmente, y se suspendió el servicio relacionado.
La adopción aún no está completa: los productos certificados por el programa de conformidad todavía son solo una parte.

Diferencias con las marcas de agua digitales (watermark)

Además de C2PA, otra forma de indicar el origen del contenido de IA son las marcas de agua digitales (watermark), como SynthID de Google.

C2PA: un registro firmado que se adjunta al archivo. Permite conocer con detalle el proceso desde la creación hasta la edición, pero se pierde si se borra la información adicional
Marca de agua digital: una señal invisible incrustada en los píxeles de una imagen o en la forma de onda de un audio. Tiende a permanecer aunque se borre la información adicional, pero solo indica más o menos si se creó con una IA compatible

Ambas se complementan, y OpenAI y Google combinan las dos. Explicamos las marcas de agua digitales en «¿Qué es SynthID?» y las diferencias entre los distintos métodos en «Comparativa de marcas de agua de IA (watermark)».

Novedades regulatorias

Las normas que exigen señalar el contenido creado con IA también impulsan la adopción de C2PA.

UE: el artículo 50 de la Ley de IA obliga a los proveedores de IA generativa a indicar sus resultados de forma que puedan identificarse por medios automáticos como creados con IA. El artículo 50 se aplica desde el 2 de agosto de 2026. No obstante, la modificación de la Ley de IA de 2026 (Digital Omnibus) concede, solo a los sistemas de IA comercializados antes de esa fecha, un plazo de gracia hasta el 2 de diciembre de 2026 para la obligación de marcado legible por máquina. El código de buenas prácticas que concreta los métodos se ultimó en junio de 2026.
California (EE. UU.): la ley de transparencia de la IA (SB 942) cambió su fecha de entrada en vigor al 2 de agosto de 2026 mediante una ley de reforma de 2025 (AB 853). Exige a los grandes proveedores de IA generativa que incrusten indicaciones invisibles en imágenes, vídeos y audio, y que ofrezcan una herramienta de comprobación gratuita.
Japón: en Japón avanzan, con la participación de medios de comunicación y otras organizaciones, las pruebas de «Originator Profile (OP)», una tecnología que permite verificar quién publica un sitio web o un contenido.

Conclusión

C2PA es un estándar internacional que deja en el archivo, como registro firmado, el proceso por el que se creó y editó un contenido. Lo han adoptado grandes empresas como OpenAI, Google, Microsoft y Adobe, y se está extendiendo a cámaras y redes sociales.

Sin embargo, la información puede perderse, y su ausencia no demuestra que el contenido sea falso. Lo más realista es usar las indicaciones de C2PA como una pista más, junto con la comprobación de marcas de agua digitales y del origen.