Una canción de IA llegó en días al perfil de una banda real: así falla la verificación en el streaming

Un experimento periodístico con una canción creada por IA mostró lo fácil que puede ser vincular un lanzamiento a la discografía de un artista que no participó en él. El problema va mucho más allá de un tema falso: si las distribuidoras y las plataformas de streaming no comprueban con fiabilidad quién está autorizado a publicar bajo una identidad artística ya establecida, ese mismo sistema que usan los músicos legítimos puede ser aprovechado por terceros. 1

Qué ocurrió en la prueba con Lathe of Heaven

Según 404 Media, un periodista generó una canción con Udio, la subió a través de DistroKid en aproximadamente cinco minutos y la publicó con el título «Riding High». A los pocos días, el tema apareció en las páginas oficiales de Spotify, Apple Music, Tidal y Amazon Music de Lathe of Heaven, una banda punk de Brooklyn, sin que el grupo lo supiera. 1

La prueba no consistió en vulnerar las cuentas de la banda. Se aprovechó del circuito normal por el que una distribuidora entrega música y metadatos a los servicios digitales. Engadget describió el resultado como la inserción de una pista sintética en un catálogo artístico ya existente mediante una brecha en la distribución. 19

El punto débil: asignar un perfil no es verificar una autorización

Los servicios musicales tienen que asociar cada lanzamiento entrante con la página correcta del artista. La propia documentación de DistroKid señala que quien sube música puede indicar en el formulario las páginas de artista correspondientes en cada servicio, aunque la asignación final de perfiles depende de esas plataformas. 28

Esa comodidad puede convertirse en una vulnerabilidad si los datos proporcionados para el lanzamiento bastan para asociarlo a un perfil conocido. El resultado es que una canción puede parecer una incorporación normal al catálogo de un artista real, en lugar de una publicación bajo una cuenta impostora claramente separada.

El problema también afecta a coincidencias inocentes de nombres y a errores de atribución. DistroKid dispone de una herramienta llamada Fixer para quienes encuentran su música en la página equivocada o detectan música ajena en la suya; además, hay que presentar una solicitud independiente para cada servicio. 24 Pero corregir un error después no impide que una asociación no autorizada llegue antes a los oyentes.

El incentivo económico detrás de las subidas fraudulentas

La cuenta de la distribuidora desde la que se entrega un lanzamiento suele ser la que queda en posición de recibir las regalías que genere. Investigaciones sobre impostores musicales han explicado que las distribuidoras independientes pagan regalías por reproducciones a artistas o titulares de derechos, lo que crea un incentivo para que quien publica fraudulentamente reclame un lanzamiento y busque escuchas. 22

El daño potencial no se limita a la confusión de los fans. Si la pista fraudulenta acumula reproducciones artificiales, el incentivo puede aumentar. DistroKid define el streaming artificial como el uso de medios artificiales para elevar el número de escuchas y advierte de que los lanzamientos con una mayoría de reproducciones artificiales pueden retirarse y perder las regalías correspondientes. 27

Aun así, actuar después de que se produzcan las escuchas no equivale a impedir que una publicación no autorizada se adhiera a un perfil artístico antes de salir al público.

La IA generativa escala un problema que ya existía

Las confusiones de perfiles, las subidas no autorizadas y el fraude en streaming existían antes de la IA generativa. Lo que cambia la IA es el coste y la velocidad: permite producir muchas pistas baratas y desechables en poco tiempo, dando a los actores maliciosos más material para probar los sistemas de distribución y asignación de perfiles.

Conviene ser precisos con las cifras. La evidencia disponible no respalda un dato auditado por la propia plataforma según el cual Spotify reciba 50.000 canciones de IA al día. Las cifras publicadas se refieren, en cambio, a Deezer: en abril de 2026 estimó que recibía diariamente 75.000 pistas enteramente generadas por IA, equivalentes al 44 % de sus subidas diarias. 5051 Por su parte, Spotify afirmó haber eliminado más de 75 millones de «pistas de spam» en un periodo de 12 meses; es una señal de la dimensión general del abuso, pero no un recuento de canciones de IA subidas cada día. 5659

También hay informes de músicos que han encontrado obras sospechosas o no autorizadas vinculadas a su identidad. The Guardian informó de que el músico de jazz Jason Moran figura entre los artistas afectados por aparentes suplantaciones mediante IA en plataformas de streaming. 56 Otro informe, que cita a la investigadora Odette Child, indicó que había identificado más de 300 pistas falsas de IA atribuidas a artistas reales, entre ellos Taylor Swift y músicos de jazz fallecidos. 48

El perjuicio para los músicos va más allá de las regalías

Una publicación fraudulenta puede hacer creer a los fans que un artista creó algo que nunca hizo. También puede contaminar un historial de lanzamientos que oyentes, sistemas de recomendación, medios y colaboradores usan para entender su obra.

En el caso de Lathe of Heaven, el problema era especialmente delicado porque la canción apareció bajo una identidad de banda ya consolidada, no en una página de imitación claramente distinta. La reputación del grupo, la confianza de su audiencia y la autoría de su trabajo quedaron expuestas, incluso si el lanzamiento fraudulento generaba poco dinero. 1

La diferencia importa: una plataforma puede retirar después una pista indebida, pero no puede deshacer por completo la confusión de quienes ya la escucharon ni la carga que supone para los artistas detectar, documentar e impugnar el lanzamiento.

La respuesta de Spotify: más control, pero sin prevención universal

Spotify ha lanzado Artist Profile Protection, una función opcional de Spotify for Artists que incorpora una etapa de revisión para los lanzamientos enviados a un perfil protegido. Puede avisar al artista cuando se entrega música a su página y permite retirarse de lanzamientos incorrectos. 3242

Es un avance relevante porque acerca la revisión al momento de la publicación. Spotify explica que los artistas protegidos reciben una clave única que pueden compartir con distribuidoras de confianza y que, durante la beta, los lanzamientos de la mayoría —aunque no de todos— los proveedores requieren aprobación o esa clave. 36

Sin embargo, sus límites explican por qué se considera una respuesta incompleta:

• Es una función opcional y, por ahora, está disponible solo para un grupo limitado de artistas en beta. 32
• La beta no trata de la misma forma a todos los proveedores de distribución. 36
• Se aplica a Spotify, no automáticamente a Apple Music, Tidal, Amazon Music ni a los demás servicios afectados en la prueba de 404 Media. 1
• Da al artista capacidad de revisión y retirada, pero no crea un requisito universal entre plataformas para que las distribuidoras verifiquen la autorización antes de asociar un lanzamiento nuevo con una identidad artística existente.

La insignia Verified by Spotify indica que un perfil de artista ha sido revisado conforme a los criterios de autenticidad y confianza de la compañía. 34 Puede ayudar a identificar un perfil establecido, pero no garantiza por sí sola que cada pista nueva incorporada a ese perfil haya sido autorizada por el artista.

Qué haría más difícil este abuso

Los hechos apuntan a un principio sencillo: para colocar un lanzamiento nuevo en el perfil de un artista ya existente debería exigirse una prueba de autorización más sólida que una coincidencia de nombre o una instrucción de encaminamiento.

Un modelo más resistente combinaría relaciones con distribuidoras de confianza, claves de aprobación bajo control del artista, avisos previos al lanzamiento y un mecanismo común entre servicios para resolver con rapidez las asignaciones en disputa. La beta de Spotify avanza en esa dirección, pero el experimento con Lathe of Heaven muestra que las herramientas reactivas de denuncia y las protecciones limitadas por adhesión voluntaria dejan una brecha importante. 136

Por ahora, los artistas deberían vigilar sus perfiles de streaming, reclamar el acceso a sus cuentas de gestión artística y utilizar cuanto antes los procesos de corrección de distribuidoras y plataformas cuando detecten una atribución errónea. Estas medidas pueden acortar la duración de un error o ataque, pero no eliminan la necesidad de reforzar la verificación de identidad antes de la distribución. 2432