Wyjaśnienie przepisów dotyczących deepfake: globalne regulacje i ryzyko prawne

Szacuje się, że liczba oszustw finansowych wspomaganych sztuczną inteligencją przekroczy $ 40 mld 2027, w porównaniu z 12.3 miliarda dolarów w 2023 roku. Znaczna część tego wzrostu wynika z deepfake'ów. Generowane przez sztuczną inteligencję filmy, dźwięki i obrazy podszywają się pod prawdziwe osoby na tyle skutecznie, że ominęły podstawowe kontrole tożsamości. Regulatorzy to zauważyli. Przepisy dotyczące tworzenia, dystrybucji i wykrywania deepfake'ów są już w przygotowaniu w Stanach Zjednoczonych, Wielkiej Brytanii, UE i regionie Azji i Pacyfiku, a do 2026 roku spodziewane są kolejne.

Dla zespołów ds. zgodności i menedżerów ds. oszustw w regulowanych firmach nie jest to już ryzyko teoretyczne. Przepisy dotyczące deepfake'ów nakładają konkretne obowiązki prawne, a w niektórych jurysdykcjach odpowiedzialność karną. Niniejszy przewodnik przedstawia przepisy dotyczące deepfake'ów na całym świecie i wyjaśnia, co oznaczają one dla firm, które polegają na weryfikacji tożsamości.

Czym są prawa dotyczące deepfake?

Prawa dotyczące deepfake’ów To przepisy ustawowe lub regulacyjne regulujące tworzenie, dystrybucję i wykorzystywanie syntetycznych mediów generowanych przez sztuczną inteligencję. Najczęściej są to materiały wideo, audio lub obrazy przedstawiające prawdziwych ludzi w wymyślonych scenariuszach. Znajdują się one na styku regulacji dotyczących sztucznej inteligencji, prawa ochrony prywatności i zapobiegania oszustwom.

Większość dotychczasowych przepisów dotyczących deepfake można podzielić na dwa typy. Pierwszy dotyczy szkodliwych treści, obejmujących niechciane, intymne obrazy, dezinformację polityczną i oszustwa związane z tożsamością. Drugi dotyczy komercyjnego i instytucjonalnego wykorzystania syntetycznych mediów opartych na sztucznej inteligencji, wymagając etykietowania, mechanizmów zgody i ujawniania informacji o przejrzystości, gdy sztuczna inteligencja generuje treści dotyczące prawdziwych osób.

Oba typy wiążą się z konsekwencjami prawnymi dla regulowanych firm. Instytucja finansowa, która przetwarza weryfikacje tożsamości bez kontroli wykrywających sztuczne twarze, może podlegać kontroli regulacyjnej w ramach drugiego typu, a także narażeniu na odpowiedzialność karną w ramach pierwszego, jeśli te twarze są powiązane z przymusem lub oszustwem.

Zrozumienie mechanizmów technicznych, w jaki sposób deepfakes praca zapewnia użyteczny kontekst przed zapoznaniem się z poniższym krajobrazem prawnym.

Jakie są regulacje dotyczące deepfake’ów na świecie?

Przepisy dotyczące deepfake w poszczególnych krajach do 2026 roku znacznie różnią się pod względem zakresu, celu i egzekwowania. Niektóre jurysdykcje koncentrują się na odpowiedzialności karnej za szkodliwe treści. Inne koncentrują się na wymogach dotyczących ujawniania informacji cywilnych w kontekście komercyjnym dla mediów generowanych przez sztuczną inteligencję. Kilka państw poszło o krok dalej, włączając techniczne standardy wykrywania bezpośrednio do przepisów. Łączy je wyraźna ścieżka. Era niekontrolowanych mediów syntetycznych dobiega końca.

Przepisy dotyczące deepfake’ów w Stanach Zjednoczonych

Amerykańskie przepisy dotyczące deepfake'u obowiązują zarówno na szczeblu federalnym, jak i stanowym. Do połowy 2025 roku 47 stanów USA uchwaliło przepisy dotyczące deepfake'u.82% tych ustaw zostało uchwalonych w ciągu dwóch poprzednich lat, co stanowi najszybsze tempo prac legislacyjnych w kwestiach związanych ze sztuczną inteligencją w tym okresie.

Na szczeblu federalnym Ustawa ZNISZCZ TOUstawa podpisana w maju 2025 r. kryminalizuje niechcianą publikację intymnych zdjęć deepfake. Przepisy poszczególnych stanów rozszerzają tę kategorię.

Kilka stanów uchwaliło ustawy mające na celu zwalczanie deepfake'ów wykorzystywanych do ingerencji w wybory, oszustw finansowych i kradzieży tożsamości. Teksas, Kalifornia i Nowy Jork mają oddzielne procedury egzekwowania prawa dla różnych kategorii szkód.

Egzekwowanie prawa w poszczególnych stanach nie jest jednolite. Kary wahają się od odszkodowań cywilnych po zarzuty karne, w zależności od intencji i charakteru treści syntetycznej.

Brytyjskie przepisy dotyczące deepfake

Podstawowym prawem Wielkiej Brytanii dotyczącym deepfake jest artykuł 138 ustawy o danych (wykorzystanie i dostęp) z 2025 r., która weszła w życie 6 lutego 2026 r. Ustawa ta kryminalizuje tworzenie przez sztuczną inteligencję intymnych obrazów bez zgody, co czyni Wielką Brytanię jedną z niewielu jurysdykcji, w których kryminalizuje się tworzenie, a nie tylko rozpowszechnianie takich obrazów.

Jednocześnie Ofcom sprawuje nadzór nad platformami internetowymi na mocy Ustawa o bezpieczeństwie w Internecie 2023Platformy muszą wdrożyć systemy wykrywania i usuwania treści deepfake, zanim dotrą one do użytkowników. W przypadku regulowanych firm świadczących usługi finansowe, FCA zasygnalizowała w wytycznych nadzorczych, że kontrola biometryczna onboardingu ma w szczególności dotyczyć omijania zasad dotyczących żywotności deepfake.

Unia Europejska i ustawa o sztucznej inteligencji

Ustawa UE o sztucznej inteligencji (AI) to najszersze obecnie obowiązujące ramy regulacyjne dotyczące deepfake'ów. Artykuł 50 ustawy nakłada obowiązek przejrzystości na systemy AI generujące syntetyczne media, w tym obowiązek ujawniania, że ​​treści są generowane przez AI. Obowiązki te dotyczą dostawców i użytkowników uniwersalnych modeli AI zdolnych do generowania deepfake'ów.

Kary za nieprzestrzeganie przepisów dotyczących przejrzystości mogą sięgać kwoty wyższej, tj. piętnastu milionów euro lub 3% globalnego rocznego obrotu zgodnie z przepisami dotyczącymi przejrzystości zawartymi w ustawie UE o sztucznej inteligencjiZasady przejrzystości dla podmiotów udostępniających treści generowane przez sztuczną inteligencję zaczną obowiązywać od sierpnia 2026 r.

Dla litu szacuje się weryfikacja tożsamości dostawców i ich klientów, istotnym obowiązkiem jest etykietowanie i ujawnianie, gdy w przepływie pracy wykorzystywana jest treść syntetyczna, w tym obowiązek wykrywania i oznaczania danych wprowadzanych przez sztuczną inteligencję podczas wdrażania.

Azja i Pacyfik i dalej

Chiny stosują najbardziej restrykcyjne ramy etykietowania deepfake w regionie Azji i Pacyfiku. Przepisy dotyczące deep syntezy, obowiązujące od stycznia 2023 r., wymagają zgody przed trenowaniem modeli AI na podobiznie osoby, obowiązkowego stosowania znaków wodnych w treściach syntetycznych oraz weryfikacji prawdziwych imion i nazwisk użytkowników na platformach hostujących media syntetyczne.

W 2024 roku Australia uchwaliła specjalne ramy prawne dotyczące szkodliwości deepfake'ów, rozszerzając swoją ustawę o bezpieczeństwie online (Online Safety Act) o sankcje karne za treści o charakterze intymnym generowane przez sztuczną inteligencję. W Singapurze treści związane z deepfake'ami podlegają ustawie o ochronie przed fałszerstwami i manipulacją w Internecie (Protection from Online Falsehoods and Manipulation Act, POFMA), która pozwala sądom nakazać usunięcie sfabrykowanych treści. Kary nakładane na firmy mogą sięgać miliona dolarów singapurskich.

Jakie znaczenie dla firm mają przepisy dotyczące deepfake?

Przepisy dotyczące sztucznej inteligencji typu deepfake wywierają dwie odrębne presje na każdą organizację przetwarzającą dane tożsamości lub produkującą treści generowane przez sztuczną inteligencję. Pierwsza to obowiązek ujawniania i etykietowania. Druga to obowiązek wykrywania i kontroli. Zespoły ds. zgodności obecnie odpowiadają za oba te obowiązki, a luka między obowiązkiem prawnym a gotowością techniczną leży obecnie w obszarze, w którym znajduje się większość organizacji.

Obowiązki dotyczące etykietowania i ujawniania informacji

Zgodnie z ustawą UE o sztucznej inteligencji oraz podobnymi ramami opracowywanymi w Korei Południowej i Brazylii, przedsiębiorstwa wdrażające systemy sztucznej inteligencji generujące treści syntetyczne muszą oznaczać te treści jako wygenerowane przez sztuczną inteligencję.

Dla zespołów zajmujących się marketingiem, komunikacją i produkcją treści oznacza to wprowadzenie nowych wymagań dotyczących przepływu pracy, obejmujących metadane ujawniane, standardy pochodzenia treści i ślady audytu generowanych zasobów.

W przypadku firm zależnych od weryfikacji tożsamości obowiązek ujawniania informacji jest odwrotny. System onboardingowy musi wykrywać i odrzucać dane generowane przez sztuczną inteligencję. Niedopełnienie tego obowiązku grozi przyznaniem się do oszustw podczas przetwarzania treści, nad którymi organizacja nie miała udokumentowanej kontroli, co organy regulacyjne zarówno w Wielkiej Brytanii, jak i w UE traktują jako błąd w kontroli.

Odpowiedzialność karna i ryzyko oszustwa tożsamościowego

Jak oszuści omijają weryfikację twarzy Zazwyczaj obejmują one ataki z wykorzystaniem technologii deepfake injection, w których do strumienia kamery przesyłany jest wstępnie nagrany lub wygenerowany przez sztuczną inteligencję obraz wideo w celu sfałszowania weryfikacji autentyczności. W większości jurysdykcji, w których obowiązują przepisy dotyczące deepfake, wykorzystanie syntetycznych mediów do podszywania się pod kogoś podczas procesu weryfikacji tożsamości stanowi oszustwo na mocy obowiązujących przepisów karnych.

Nowe przepisy wprowadzają szczególną odpowiedzialność za deepfake. Tworzenie lub posiadanie syntetycznych nośników danych w celu oszukańczego wykorzystania może teraz podlegać oskarżeniom karnym, niezależnie od samego przestępstwa oszustwa.

Dla specjalistów ds. zgodności ma to znaczenie. Firma, która przetwarza lub ignoruje dane identyfikacyjne generowane przez sztuczną inteligencję, może ponieść odpowiedzialność dodatkową w niektórych jurysdykcjach, szczególnie tam, gdzie można udowodnić celowe ignorowanie informacji.

Jak Shufti pomaga regulowanym firmom weryfikować pod kątem deepfake’ów

Przepisy dotyczące deepfake wywierają na instytucje finansowe dwie odrębne presje. Jedna z nich ma charakter prawny. Obowiązki dotyczące ujawniania i oznaczania danych zawarte w unijnej ustawie o sztucznej inteligencji (AI Act) i podobnych przepisach nakładają na organizacje obowiązek wykrywania i oznaczania danych identyfikacyjnych generowanych przez sztuczną inteligencję. Druga ma charakter techniczny. Oczekiwania egzaminatorów obejmują obecnie możliwość odrzucania syntetycznych twarzy, zanim trafią one do weryfikatora.

Shufti's wykrywanie deepfake'ów oraz weryfikacja twarzy Rozwiązanie obu tych problemów. Platforma obejmuje ponad 56 wektorów ataków antyspoofingowych, w tym twarze generowane przez sztuczną inteligencję, maski 3D, ataki typu injection i odtwarzanie wideo, ze współczynnikiem fałszywej akceptacji (FAR) poniżej 0.001. Wartość ta została zweryfikowana zewnętrznie przez program RIVR Departamentu Bezpieczeństwa Krajowego w 2025 roku, co oznacza, że ​​mniej niż 1 na 1,000 prób oszustwa przechodzi przez warstwę biometryczną.

Architektura obsługuje wdrożenia lokalne w instytucjach, w których dane biometryczne nie mogą opuszczać własnej infrastruktury, a także hybrydową sztuczną inteligencję w połączeniu z oceną ludzką w przypadkach skrajnych, w których samo zautomatyzowane podejmowanie decyzji jest niewystarczające.

W przypadku zespołów ds. zgodności, które tworzą obronną odpowiedź na przepisy dotyczące sztucznej inteligencji typu deepfake, Raport FATF Horizon Scan dotyczący deepfake’ów opisuje, czego regulatorzy oczekują obecnie od mechanizmów kontroli wykrywania stosowanych przez instytucje finansowe.