← Artigos e guias sobre fraudes, cibersegurança, LGPD e lavagem
AI Act e deepfakes: obrigações e prazos para segurança e privacidade
O que o AI Act europeu exige sobre deepfakes e conteúdo sintético, as novas datas após o Digital Omnibus, multas de até 3% e como se proteger de fraudes com IA.
Em 2024, um funcionário do escritório da Arup em Hong Kong entrou numa videochamada com quem acreditava ser o diretor financeiro e outros colegas. Eram recriações por deepfake. Convencido, ele autorizou 15 transferências que somaram HK$ 200 milhões (cerca de US$ 25,6 milhões), segundo a CNN. O caso virou referência de como a inteligência artificial generativa mudou a fraude corporativa.
A resposta regulatória mais ampla a esse tipo de risco é o AI Act europeu. Ele não é uma lei antifraude, mas cria deveres de transparência sobre conteúdo sintético que afetam diretamente quem desenvolve, usa ou é alvo de deepfakes. E o calendário acabou de mudar.
O problema: IA a serviço da engenharia social
O relatório IOCTA 2025 da Europol, publicado em 11 de julho de 2025 e resumido pela revista eucrim, aponta a engenharia social como técnica particularmente prevalente para obter dados pessoais. Sua eficácia cresce à medida que criminosos adotam grandes modelos de linguagem e outras ferramentas de IA generativa, que permitem mensagens mais direcionadas e automação de processos criminosos.
O que o Artigo 50 exige
As obrigações de transparência do Artigo 50 são as mais relevantes para deepfakes. Segundo o guia da Usercentrics:
- Provedores de IA generativa devem marcar áudio, imagem, vídeo e texto sintéticos em formato legível por máquina (Art. 50(2));
- Usuários profissionais (deployers) devem informar quando um conteúdo é deepfake gerado ou manipulado por IA (Art. 50(4));
- quem opera sistemas que interagem com pessoas deve avisar que se trata de IA, salvo quando for óbvio pelo contexto (Art. 50(1));
- textos gerados por IA sobre assuntos de interesse público precisam ser sinalizados, exceto se houver revisão humana e responsabilidade editorial.
A nota de pesquisa da Cloud Security Alliance estima multas de até € 15 milhões ou 3% do faturamento mundial por violações dessas regras e lembra que cabe à organização provar que fez a divulgação a tempo. Para as infrações mais graves do AI Act, o teto chega a € 35 milhões ou 7% do faturamento global, segundo a Usercentrics.
O novo calendário depois do Digital Omnibus
Em 7 de maio de 2026, Parlamento e Conselho chegaram a um acordo político sobre o "Digital Omnibus" de IA, informa o escritório Taylor Wessing. A Usercentrics registra a aprovação do Parlamento em 16 de junho e a adoção pelo Conselho em 29 de junho de 2026. O resultado, segundo as fontes consultadas:
| Data | O que passa a valer |
|---|---|
| 2 fev. 2025 | Práticas de IA proibidas |
| 2 ago. 2025 | Obrigações de modelos de IA de uso geral |
| 2 ago. 2026 | Maior parte das regras de transparência do Art. 50, incluindo a divulgação de deepfakes por deployers |
| 2 dez. 2026 | Marcação legível por máquina para sistemas generativos já no mercado antes de 2 ago. 2026; nova proibição de apps de "nudificação" |
| 2 dez. 2027 | Obrigações de alto risco do Anexo III (adiadas de ago. 2026) |
| 2 ago. 2028 | Alto risco de sistemas embarcados em produtos (Anexo I) |
A cronologia segue a consultoria Elevate. A CSA ressalta que o adiamento de quatro meses vale só para a marcação técnica: as obrigações de divulgação de deepfakes e de sistemas interativos começaram em 2 de agosto de 2026. Sistemas colocados no mercado a partir dessa data não têm período de carência.
A nova proibição
O Omnibus acrescentou ao Artigo 5 a proibição de sistemas de IA destinados a gerar imagens íntimas não consentidas ou material de abuso sexual infantil, os chamados apps de "nudificação", a partir de 2 de dezembro de 2026. Segundo o Taylor Wessing, a proibição alcança sistemas cuja finalidade seja essa geração ou nos quais ela seja razoavelmente previsível sem salvaguardas.
Os limites da marca d'água
A regulação não resolve sozinha o problema. A CSA observa que deepfakes costumam chegar ao público sem metadados, recodificados ou em plataformas que não preservam a procedência. Pesquisas já mostraram que marcas d'água podem ser removidas, e provedores fora da UE não são obrigados a sinalizar conteúdo que alcança usuários europeus. Por isso, a detecção do lado de quem recebe continua essencial.
Para empresas brasileiras e americanas, o efeito é indireto, mas real: quem oferece ferramentas de IA generativa a usuários europeus, ou usa avatares e vozes sintéticas em campanhas na UE, precisa cumprir o Artigo 50. E quem é alvo de golpes continua dependendo sobretudo de controles internos.
A Comissão publicou um conjunto voluntário de ícones para rotular conteúdo gerado ou modificado por IA, e o AI Office ainda trabalha num Código de Prática sobre marcação e rotulagem, cujo segundo rascunho saiu em março de 2026.
Checklist contra fraude por deepfake
- Exija confirmação por um segundo canal, previamente cadastrado, para qualquer pedido urgente de transferência, mesmo vindo de videochamada.
- Defina limites de alçada e dupla aprovação para pagamentos fora do padrão.
- Treine as equipes financeiras com exemplos reais, como o caso Arup.
- Se a empresa usa IA generativa em marketing ou atendimento na UE, mapeie as obrigações do Art. 50.
- Avalie ferramentas de detecção de mídia sintética no onboarding e no atendimento.
Fonte
- Taylor Wessing – The EU Digital Omnibus on AI: what the political deal means
- Usercentrics – EU AI Act high-risk delay and Article 50 transparency
- Cloud Security Alliance – Research note: EU AI Act Article 50 transparency (jul. 2026)
- Elevate Consult – EU AI Act timeline 2026 deadlines
- eucrim – Europol IOCTA 2025
- CNN – Arup revealed as victim of deepfake scam