Deepfake.

En la práctica

Un caso conocido es el de Arup, la ingeniería británica. A principios de 2024, una empleada de su oficina de Hong Kong entró en una videollamada con varios supuestos directivos de la empresa y, a petición de ellos, hizo 15 transferencias por un total de 200 millones de dólares de Hong Kong, unos 20 millones de libras. Las caras y las voces estaban generadas con IA. Arup lo confirmó en mayo de 2024, según The Guardian, que contaba también un intento con la voz clonada del consejero delegado de WPP.

Es el fraude del CEO de siempre, ahora con la cara y la voz de los jefes. El responsable de sistemas de Arup dijo entonces que estos ataques crecían deprisa en número y en sofisticación.

Por qué te importa

Por dos lados. Si la empresa es la posible víctima, una orden urgente de pagar o de cambiar una cuenta bancaria se comprueba por otro canal, aunque la cara y la voz sean las de siempre.

Si es la empresa la que publica, desde el 2 de agosto de 2026 el artículo 50 obliga a quien difunda un deepfake hecho con IA a decir que lo es. En una obra creativa, satírica o de ficción basta con avisar sin estropearla. En el proyecto de ley español, que sigue en el Congreso, no avisar es una infracción grave.

Y el Ómnibus del Reglamento de IA prohíbe en la UE, desde el 2 de diciembre de 2026, la IA que genera desnudos o escenas sexuales de personas identificables sin su consentimiento, y la que genera material de abuso sexual infantil.

Los límites

No todo lo hecho con IA generativa es un deepfake. Tiene que parecerse a algo real y poder pasar por auténtico, así que una ilustración que nadie confundiría con una foto no lo es. Detectarlos tampoco es fácil. La marca técnica que la ley pide a los fabricantes se puede perder, y la norma la exige solo hasta donde sea técnicamente viable.