Deepfake

O AI Act define deepfake em termos muito próximos a estes (art. 3, 60) e o regula pela transparência, e não pela proibição. Fornecedores de sistemas generativos devem marcar os conteúdos sintéticos de forma legível por máquina e detectável, e responsáveis pela implantação que geram ou manipulam deepfakes devem revelar que o conteúdo é artificial. Em obras evidentemente artísticas, satíricas ou ficcionais, a divulgação pode ser limitada para não prejudicar a obra.

Outras regras se somam. Um deepfake de pessoa identificável trata dados pessoais, muitas vezes biométricos, e por isso está sujeito à LGPD e ao GDPR; deepfakes íntimos ou difamatórios podem ainda ser crime pela lei nacional. Para organizações, os riscos mais comuns são fraude (clones de voz de executivos autorizando pagamentos), ataques à reputação e provas manipuladas. Os controles incluem procedimentos de verificação para pedidos incomuns, conscientização das equipes e planos de resposta a incidentes.

Exemplo: um analista financeiro recebe uma videochamada de quem parece ser o diretor financeiro pedindo uma transferência urgente; a confirmação por um número conhecido revela a fraude.