Deepfake e imagem gerada por IA: como a empresa se protege

Recursos de edição existem há décadas e não são, por si, um problema. O deepfake se distingue pelo efeito de verossimilhança: o resultado é capaz de convencer quem assiste de que a cena aconteceu, mesmo quando nunca existiu. Isso muda a natureza do risco, porque deixa de ser estético e passa a ser informacional, afetando decisões de compra, de crédito e de reputação.

A técnica se popularizou com ferramentas acessíveis. Modelos generativos conseguem trocar rostos em vídeo, clonar voz a partir de poucos segundos de áudio e criar imagens realistas de situações fictícias. O custo baixo de produção amplia o alcance do problema e explica por que ele passou das redações de tecnologia para o dia a dia de empresas que lidam com marca, imagem e comunicação.

A fronteira jurídica não está na técnica, e sim no uso. Montar um vídeo com imagem de alguém sem autorização, ou simular uma declaração que a pessoa não fez, cria obrigações independentemente do quanto a criação foi elaborada. É por isso que a discussão sobre deepfake é, na prática, uma discussão sobre consentimento e sobre dever de informar.

A imagem de uma pessoa identificável é protegida, e o uso depende de autorização. O consentimento, porém, tem alcance limitado ao que foi combinado. Autorizar a participação em uma campanha específica não permite usar o rosto em um contexto diferente, nem criar uma cena que a pessoa não gravou. Quando o material sintético inventa uma fala ou uma situação, o uso sai do que a autorização alcançava.

O cuidado vale para todos os lados. Para a empresa que produz comunicação, a recomendação é formalizar por escrito o escopo de uso: onde, por quanto tempo, em quais canais e com quais limites de edição. Para quem cede a imagem, entender exatamente o que está autorizando evita surpresa depois. Esse é o mesmo terreno tratado em uso de imagem e conteúdo de terceiro em campanha.

O ponto se agrava com dados biométricos. Rosto e voz são características que permitem identificar uma pessoa, e o tratamento desses dados exige cuidado específico sob a LGPD. Coletar amostras de voz ou imagem para treinar modelos, mesmo com o objetivo de melhorar um serviço, é decisão que precisa de base legal adequada e informação clara ao titular.

Usar deepfake em publicidade sem informar cria risco de engano. Uma peça que simula a recomendação de uma pessoa famosa, ou que apresenta um resultado irreal como se fosse demonstração legítima, pode ser lida como publicidade enganosa. O consumidor decide com base no que vê, e o dever de informação não desaparece porque a distorção foi feita por software.

Há espaço para uso legítimo, desde que informado. Efeitos visuais, rejuvenescimento de personagem e reconstrução de cenas são recursos comuns em comunicação, e a diferença está em sinalizar quando o resultado não corresponde à realidade. O critério prático é perguntar se o consumidor, vendo a peça, tiraria uma conclusão falsa sobre o produto. Se a resposta é sim, a sinalização precisa aparecer.

O risco de reputação acompanha o risco jurídico. Uma campanha que usa a imagem de alguém sem autorização, ou que simula declaração não dita, costuma gerar reação pública antes de qualquer medida formal. Para marcas que dependem de confiança, esse desgaste pesa mais do que o ganho de uma peça chamativa, o que reforça a importância de checar a origem de todo material recebido.

Além do uso em comunicação, o deepfake aparece como instrumento de fraude. Golpes que imitam a voz ou o rosto de um executivo para autorizar transferências já são um risco concreto para operações financeiras. O padrão é conhecido: urgência, autoridade e um pedido que foge do fluxo normal. A tecnologia apenas torna a imitação mais convincente do que o antigo e-mail falso.

A defesa é processual, não tecnológica. Procedimentos de confirmação por canal independente, limites de alçada para pagamentos e regra de dupla checagem para pedidos sensíveis bloqueiam a fraude antes que ela dependa de identificar o vídeo como falso. Treinar equipes para desconfiar de urgência combinada com autoridade é a medida mais eficaz e mais barata.

Também vale tratar o incidente como risco de dados. Quando um golpe usa dados reais da empresa, como nomes, cargos e relações internas, ele revela que essas informações circularam além do necessário. Revisar o que é exposto publicamente, em sites e redes, reduz a matéria-prima disponível para quem monta a fraude.

A primeira medida é preservar a prova. Registrar o conteúdo, salvar o arquivo, guardar a URL, a data e o perfil que publicou cria o material necessário para qualquer pedido posterior. Prints sem contexto perdem força, então o ideal é reunir o endereço, o arquivo original e um registro do alcance, como número de visualizações e compartilhamentos.

A segunda é pedir remoção pela via mais rápida disponível. Plataformas costumam ter canal específico para conteúdo que viola direitos de imagem e identidade, e a notificação direta tende a ser mais ágil do que o caminho judicial. Em paralelo, uma notificação ao responsável pela publicação, quando identificável, abre caminho para acordo e correção. Esse procedimento se aproxima do que já se usa em notificação por uso indevido de marca.

A terceira é avaliar o dano e a medida cabível. Quando o conteúdo causa prejuízo concreto à honra, à imagem ou ao negócio, cabem pedidos de reparação e de cessação. A estratégia depende do caso, mas o ponto comum é a qualidade da prova reunida: quanto melhor documentado o episódio, mais forte a posição em qualquer caminho escolhido.

A prevenção começa por uma política interna de uso de imagem. Definir quem pode autorizar o uso do rosto e da voz de pessoas ligadas à empresa, exigir consentimento por escrito com escopo claro e estabelecer limites de edição reduzem a chance de um material acabar em contexto não previsto. A política também organiza o que fazer quando alguém de fora pede autorização para usar a marca ou a imagem de um porta-voz.

Do lado do recebimento, a verificação é indispensável. Toda mídia recebida de terceiros, especialmente vídeos e áudios que envolvem pessoas identificáveis, deve ter origem checada antes de ir ao ar. Conferir quem produziu, se há autorização e se a peça corresponde ao que foi combinado evita publicar algo que a empresa não pode assumir depois. A tabela resume as medidas de proteção mais eficazes.

A política precisa prever atualização. As ferramentas mudam rápido e o que era impensável há dois anos já está no mercado. Revisar o documento com alguma regularidade, acompanhar incidentes e ajustar procedimentos mantém a proteção alinhada ao risco real. A trilha de inteligência artificial na empresa reúne outros pontos que acompanham essa adoção com segurança.