Ultrasuplantación (deepfake)

El Reglamento Europeo de IA define la ultrasuplantación (deepfake) en términos muy cercanos a estos (art. 3, 60) y la regula mediante transparencia y no mediante prohibición. Los proveedores de sistemas generativos deben marcar los contenidos sintéticos en un formato legible por máquina y detectable, y los responsables del despliegue que generan o manipulan ultrasuplantaciones deben revelar que el contenido es artificial. En obras evidentemente artísticas, satíricas o de ficción, la divulgación puede limitarse para no arruinar la obra.

Se suman otras normas. Una ultrasuplantación de una persona identificable trata datos personales, a menudo biométricos, y por eso está sujeta a la normativa de protección de datos; las de carácter íntimo o difamatorio pueden además ser delito según la ley nacional. Para las organizaciones, los riesgos más comunes son el fraude (clones de voz de ejecutivos autorizando pagos), los ataques a la reputación y las pruebas manipuladas. Los controles incluyen procedimientos de verificación para solicitudes inusuales, concientización del personal y planes de respuesta a incidentes.

Ejemplo: un analista de finanzas recibe una videollamada de quien parece ser el director financiero pidiendo una transferencia urgente; la verificación por un número conocido revela el fraude.