Os deepfakes já não são apenas um risco reputacional: o que devem documentar as empresas após o AI Act?

Atualizado: 3 de setembro de 2026 · Categoria: IA, segurança de dados e violações

Os deepfakes já não são apenas um risco reputacional: o que devem documentar as empresas após o AI Act?

O artigo 50.º do AI Act estabelece obrigações de transparência e divulgação para imagens, áudio e vídeos gerados ou manipulados por IA que constituam deepfakes. Registar o modo de produção, a ferramenta utilizada, o controlo humano e a aprovação da publicação não constitui uma obrigação autónoma de conservação de registos especificamente prevista nesse artigo; é uma prática que reforça a conformidade, a governação e, quando necessário, a capacidade de prova da empresa.

Índice

• Resposta curta
• Porque importa?
• O que devem fazer as empresas?
• Como medir estes controlos?
• Fontes
• Perguntas frequentes

Resposta curta

O artigo 50.º do AI Act estabelece obrigações de transparência e divulgação para imagens, áudio e vídeos gerados ou manipulados por IA que constituam deepfakes. Registar o modo de produção, a ferramenta utilizada, o controlo humano e a aprovação da publicação não constitui uma obrigação autónoma de conservação de registos especificamente prevista nesse artigo; é uma prática que reforça a conformidade, a governação e, quando necessário, a capacidade de prova da empresa.

Porque é importante?

O risco de deepfakes não se limita a notícias falsas ou ataques à reputação. Quando uma marca cria por IA a imagem, a voz ou o comportamento de uma pessoa real na sua própria publicidade, podem estar em causa tanto as regras de transparência do artigo 50.º do AI Act como a impressão causada no consumidor.

É importante distinguir a divulgação legal prevista no artigo 50.º dos registos internos de prova da empresa. Registar o modelo, o momento de produção, a supervisão humana e a aprovação é uma boa prática de governação; não é correto apresentar todos estes registos como uma obrigação autónoma de «Evidence Pack» expressamente imposta pelo artigo.

O que as empresas devem fazer? 7 controlos antes de publicar um deepfake

1. Determine se o conteúdo representa artificialmente uma pessoa ou um acontecimento real.
2. Distinga as responsabilidades do fornecedor e do responsável pela implantação conforme o caso de utilização.
3. Verifique a capacidade necessária de marcação legível por máquina.
4. Documente se é necessária divulgação pelo responsável pela implantação e como é aplicada de forma visível.
5. Verifique separadamente as autorizações relativas à imagem, à voz e aos direitos de personalidade da pessoa real.
6. Não crie a impressão enganosa de que a pessoa realmente experimentou ou recomendou o produto.
7. Guarde o ficheiro final, a decisão de divulgação e a aprovação humana no registo de versões.

Modelo de Medição proposto para B10

Controlo	KPI
Classificação de deepfakes	Cobertura de classificação
Marcação pelo fornecedor	Taxa de sucesso dos testes de marcação legível por máquina
Divulgação pelo responsável pela implantação	Completude da divulgação
Direitos de personalidade	Cobertura de provas de consentimento ou licença
Controlo humano	Cobertura de revisão humana
Versão	Traçabilidade dos ficheiros publicados

Em vez de usar apenas o número de deepfakes como KPI, acompanhe quantos deepfakes relevantes dispõem simultaneamente de divulgação, verificação de direitos e prova da versão final.

Avaliação especializada

Na governação de deepfakes, a distinção essencial não é apenas saber se o conteúdo foi criado com IA, mas que realidade imita e sobre o que pode enganar o utilizador. Uma personagem virtual inteiramente fictícia e a réplica digital de um dirigente ou cliente real apresentam riscos diferentes.

Como distinguir os níveis de risco dos deepfakes?

O ciclo de vida de um ficheiro deepfake vai além da produção. A identidade da pessoa real representada, o contexto imitado, o grau de manipulação do áudio ou da imagem e a perceção de realidade criada pela publicidade são sinais de risco distintos. Um anúncio institucional com a voz sintética de um dirigente exige, por exemplo, controlos diferentes dos de um avatar inteiramente fictício que descreve um produto.

Em utilizações que sugerem testemunhos ou recomendações, o significado da mensagem importa tanto como a técnica de produção. Dar a impressão de que uma pessoa real fez uma recomendação que nunca fez não se resolve apenas com a indicação «Criado com IA». A divulgação, a titularidade dos direitos e o caráter enganoso da publicidade devem ser avaliados separadamente.

Traçabilidade Final do Ficheiro

Quando a equipa cria muitas variantes, guardar apenas a pasta do projeto não basta. Deve ser possível mostrar que ficheiro foi publicado, quando, em que plataforma e com que divulgação. Reunir o hash do ficheiro final, o ID do criativo, o URL de publicação e o registo de aprovação no mesmo caso permite detetar mais depressa variantes alteradas ou reutilizadas por engano.

Plano de incidentes com deepfakes após a publicação

Se um deepfake for utilizado indevidamente ou reutilizado sem autorização, retirar apenas o criativo pode não bastar. Verifique a circulação do mesmo ficheiro noutras contas sociais, bibliotecas de anúncios ou canais de terceiros. O hash do original aprovado e os registos de publicação ajudam a marca a distinguir o seu conteúdo de cópias posteriormente alteradas.

A governação de meios sintéticos prossegue, portanto, após a aprovação anterior à produção. Um procedimento de incidentes separado pode abranger a retirada, a deteção de uso indevido, a notificação aos titulares de direitos e a prevenção da reutilização. Em conteúdos com dirigentes de topo ou pessoas conhecidas, também reduz riscos reputacionais e de fraude.

Análise de Risco e Conformidade Digital

A B10 pode avaliar o uso de deepfakes e meios sintéticos com pontuações de risco separadas para classificação, divulgação, titularidade de direitos e provas da versão publicada.

Conteúdos relacionados

• Vendedores não autorizados e risco de marca na exportação digital: quem vende a sua marca nos mercados globais?
• O caso Travelport: como um erro de API causou uma violação de dados que afetou 73 mil pessoas?
• Como se tornam as vulnerabilidades de segurança de API em violações da KVKK? Guia de privacidade e exposição de API para empresas

Fontes oficiais e primárias

• Comissão Europeia – orientações de transparência do artigo 50.º do AI Act
• AI Act da UE – Regulamento (UE) 2024/1689

As fontes foram verificadas em 3 de setembro de 2026. Os casos jurídicos concretos exigem também a análise do texto atual e aconselhamento especializado.

Perguntas frequentes Porque é que isso é importante agora?

O artigo 50.º do AI Act estabelece obrigações de transparência e divulgação para imagens, áudio e vídeos gerados ou manipulados por IA que constituam deepfakes. Registar o modo de produção, a ferramenta utilizada, o controlo humano e a aprovação da publicação não constitui uma obrigação autónoma de conservação de registos especificamente prevista nesse artigo; é uma prática que reforça a conformidade, a governação e, quando necessário, a capacidade de prova da empresa.

O que as empresas devem primeiro verificar?

Inventarie a prática atual e os fluxos de dados ou de trabalho.

Basta um controlo único?

Não. Os registos internos de produção e aprovação são uma boa prática de governação e prova; não devem ser considerados, no seu conjunto, uma obrigação autónoma de registo prevista com esse nome no artigo 50.º.

O que pode a B10 oferecer?

A B10 pode reunir o inventário de meios sintéticos, a classificação de deepfakes, o controlo de divulgação e o acompanhamento de versões dos criativos num único fluxo de provas.