Introdução
Deepfake não é apenas um problema de imagem falsa. Para empresas, ele combina engenharia social, identidade, reputação, fraude financeira, proteção de dados e velocidade de resposta. A publicação do Radar Tecnológico da ANPD dedicado ao tema, em 29 de julho de 2026, consolida um ponto importante: áudio, vídeo e fotografia com aparência convincente já não podem ser usados isoladamente como prova suficiente de identidade ou autorização.
O que mudou e por que importa
O avanço da IA generativa reduziu custo, tempo e conhecimento necessários para criar conteúdo manipulado com alto realismo. A consequência empresarial é direta. Uma voz semelhante à do diretor pode solicitar transferência; um vídeo pode simular declaração de executivo; uma fotografia pode ser usada para extorsão; uma chamada pode reproduzir rosto e voz; e conteúdos fabricados podem ganhar escala antes de a organização reunir evidências para desmenti-los. A defesa precisa migrar de reconhecer a pessoa para verificar a transação e o contexto.
Onde está o risco para as empresas
O risco deve ser dividido em quatro frentes. Identidade: falsificação de voz, rosto ou documento para vencer controles. Financeiro: alteração de dados bancários, urgências falsas, pagamentos e compras. Reputação: vídeos ou áudios fabricados atribuídos a executivos, profissionais e marcas. Pessoas: exposição íntima, assédio, chantagem e manipulação. O pior cenário ocorre quando processos internos ainda tratam familiaridade visual ou vocal como autenticação. A IA explora justamente essa confiança automática.
Controles que precisam sair do papel
A primeira camada é processual: nenhuma transferência relevante, alteração bancária, liberação de credencial ou mudança sensível deve depender apenas de mensagem, áudio ou vídeo. Exija confirmação por segundo canal previamente cadastrado e segregação de funções. A segunda é técnica: MFA resistente a phishing, registros de acesso, filtros de e-mail, proteção de domínio, monitoramento de marca e preservação de evidências. A terceira é humana: simulações realistas e regra clara de que urgência não suspende controle. A quarta é de comunicação: porta-voz e canal oficial.
Como transformar o tema em rotina de governança
O plano de resposta deve caber em uma página. Ao identificar suspeita, preserve arquivo original, URL, cabeçalhos, horário e registros; não edite a evidência. Bloqueie a operação associada, valide identidade por canal independente, acione segurança, jurídico e comunicação e avalie avisos a clientes, bancos, plataformas e autoridades. Se houver dados pessoais, analise também se o episódio constitui incidente de segurança e se surgem deveres sob a LGPD. Para fraude financeira, contatos de bancos e adquirentes precisam estar definidos antes do incidente.
O que a diretoria deve perguntar
A direção deve testar o cenário: se alguém reproduzir minha voz hoje e pedir uma transferência excepcional, o processo resiste? Repita para alteração de folha, redefinição de senha, envio de base de clientes, declaração pública e contratação urgente. Se a resposta depender de a equipe perceber que não é realmente o executivo, o controle é insuficiente. Confiança digital exige autenticar contexto, canal, autorização e finalidade.
Conclusão
Deepfakes tornam obsoleta uma parte dos controles baseados em aparência e familiaridade. A resposta não é desconfiar de toda comunicação, mas redesenhar processos críticos para que identidade aparente nunca seja o único fator. Empresas preparadas verificam transações, preservam evidências, treinam pessoas e respondem rápido. Essa arquitetura protege também contra outras fraudes que exploram pressão, autoridade e confiança.