Leis sobre Deepfakes Explicadas: Regulamentações Globais e Riscos Legais

Prevê-se que a fraude financeira facilitada por IA generativa ultrapasse $ 40 bilhões até 2027, um aumento em relação aos US$ 12.3 bilhões de 2023. Grande parte desse crescimento se deve aos deepfakes. Vídeos, áudios e imagens gerados por IA agora falsificam pessoas reais com tanta perfeição que conseguem burlar verificações básicas de identidade. Os órgãos reguladores perceberam isso. Leis que visam a criação, distribuição e detecção de deepfakes já estão em vigor nos EUA, Reino Unido, UE e região Ásia-Pacífico, e espera-se que mais leis sejam implementadas até 2026.

Para as equipes de compliance e gestores de fraude em empresas regulamentadas, esse risco deixou de ser teórico. As leis sobre deepfakes criam obrigações legais concretas e, em algumas jurisdições, responsabilidade criminal. Este guia mapeia as leis sobre deepfakes ao redor do mundo e explica o que elas significam para empresas que dependem da verificação de identidade.

O que são as leis sobre deepfakes?

Leis sobre deepfakes São leis ou normas regulamentares que regem a criação, distribuição e uso de mídia sintética gerada por IA. Mais comumente, isso significa vídeo, áudio ou imagens que retratam pessoas reais em cenários fictícios. Elas se situam na interseção entre a regulamentação da IA, a legislação de privacidade e a prevenção de fraudes.

A maioria das leis contra deepfakes até o momento se enquadra em um de dois tipos. O primeiro visa conteúdo prejudicial, abrangendo imagens íntimas não consensuais, desinformação política e fraude baseada em identidade. O segundo visa usos comerciais e institucionais de mídia sintética gerada por IA, exigindo rotulagem, mecanismos de consentimento e divulgações de transparência quando a IA gera conteúdo sobre pessoas reais.

Ambos os tipos acarretam consequências de conformidade para empresas regulamentadas. Uma instituição financeira que processa verificações de identidade sem controles para detectar rostos sintéticos pode enfrentar escrutínio regulatório sob o segundo tipo e responsabilidade criminal sob o primeiro, caso esses rostos estejam ligados a coerção ou fraude.

Compreendendo o mecânica técnica de como deepfakes trabalho  Fornece um contexto útil antes de analisarmos o panorama jurídico abaixo.

Como os deepfakes são regulamentados em todo o mundo?

As leis sobre deepfakes variam consideravelmente em escopo, público-alvo e aplicação em cada país até 2026. Algumas jurisdições se concentram na responsabilidade criminal por conteúdo prejudicial. Outras focam nos requisitos de divulgação civil para mídias geradas por IA em contextos comerciais. Algumas foram além, incorporando padrões técnicos de detecção diretamente na regulamentação. O que elas têm em comum é uma trajetória clara: a era da mídia sintética sem regulamentação está chegando ao fim.

Leis de deepfake nos Estados Unidos

As leis americanas sobre deepfakes operam tanto em nível federal quanto estadual. Em meados de 2025, 47 estados americanos haviam promulgado legislação sobre deepfakes.Com 82% dessas leis aprovadas nos dois anos anteriores, o ritmo legislativo mais rápido em qualquer tópico relacionado à IA nesse período.

No nível federal, o Lei TAKE IT DOWNA lei, assinada em maio de 2025, criminaliza a publicação não consensual de imagens deepfake íntimas. Leis estaduais individuais vão além.

Diversos estados promulgaram leis que visam o uso de deepfakes em interferências eleitorais, fraudes financeiras e roubo de identidade. Texas, Califórnia e Nova York possuem mecanismos de fiscalização distintos para diferentes categorias de danos.

O regime de fiscalização varia entre os estados. As penalidades variam de indenizações civis a acusações criminais, dependendo da intenção e da natureza do conteúdo sintético envolvido.

Leis do Reino Unido sobre Deepfakes

A principal lei do Reino Unido sobre deepfakes é a Seção 138 da Lei de Dados (Uso e Acesso) de 2025., que entrou em vigor em 6 de fevereiro de 2026. Ela criminaliza a criação de imagens íntimas geradas por IA sem consentimento, tornando o Reino Unido uma das poucas jurisdições a criminalizar a criação, e não apenas a distribuição.

Além disso, a Ofcom detém autoridade regulatória sobre as plataformas online ao abrigo do Lei de Segurança Online 2023As plataformas devem implementar sistemas para detectar e remover conteúdo deepfake antes que ele chegue aos usuários. Para empresas de serviços financeiros regulamentadas, a FCA sinalizou em orientações de supervisão que os controles biométricos de integração devem abordar especificamente a burla da verificação de autenticidade por deepfake.

A União Europeia e a Lei de Inteligência Artificial

A Lei de IA da UE é a estrutura regulatória mais abrangente sobre deepfakes atualmente em vigor. O Artigo 50 da Lei impõe obrigações de transparência para sistemas de IA que geram mídia sintética, incluindo o dever de divulgar quando o conteúdo é gerado por IA. Essas obrigações se aplicam a fornecedores e implementadores de modelos de IA de uso geral capazes de produzir deepfakes.

As multas por incumprimento das disposições relativas à transparência podem atingir o valor mais elevado entre quinze milhões de euros ou 3% do volume de negócios anual global. De acordo com as disposições de transparência da Lei de IA da UEAs regras de transparência para quem utiliza conteúdo gerado por IA entraram em vigor em agosto de 2026.

Para Verificação de Identidade Para os fornecedores e seus clientes, a obrigação relevante é a rotulagem e a divulgação quando conteúdo sintético é usado em um fluxo de trabalho, incluindo o dever de detectar e sinalizar entradas geradas por IA apresentadas durante o processo de integração.

Ásia-Pacífico e além

A China opera a estrutura de rotulagem de deepfakes mais rigorosa da região Ásia-Pacífico. Suas regulamentações sobre síntese profunda, em vigor desde janeiro de 2023, exigem consentimento antes do treinamento de modelos de IA com base na imagem de um indivíduo, marca d'água obrigatória em conteúdo sintético e verificação do nome real dos usuários em plataformas que hospedam mídia sintética.

A Austrália promulgou uma legislação específica sobre danos causados ​​por deepfakes em 2024, estendendo sua Lei de Segurança Online para abranger conteúdo íntimo gerado por IA, com penalidades criminais. Em Singapura, discursos relacionados a deepfakes são abrangidos pela Lei de Proteção contra Falsidades e Manipulação Online (POFMA), que permite aos tribunais ordenar a remoção de conteúdo falsificado. As multas para empresas podem chegar a um milhão de dólares de Singapura.

O que as leis sobre deepfakes significam para as empresas?

As leis sobre deepfakes e IA criam duas pressões distintas para qualquer organização que processe dados de identidade ou produza conteúdo gerado por IA. A primeira é a obrigação de divulgação e rotulagem. A segunda é a obrigação de detecção e controle. As equipes de compliance agora são responsáveis ​​por ambas, e a lacuna entre a obrigação legal e a prontidão técnica é onde a maioria das organizações se encontra atualmente.

Obrigações de rotulagem e divulgação

De acordo com a Lei de IA da UE e estruturas semelhantes em desenvolvimento na Coreia do Sul e no Brasil, as empresas que implementam sistemas de IA para gerar conteúdo sintético devem rotular esse conteúdo como gerado por IA.

Para as equipes de marketing, comunicação e produção de conteúdo, isso introduz novos requisitos de fluxo de trabalho que abrangem metadados de divulgação, padrões de proveniência de conteúdo e trilhas de auditoria para ativos gerados.

Para empresas que dependem da verificação de identidade, a obrigação de divulgação funciona no sentido inverso. Seu sistema de integração deve detectar e rejeitar entradas geradas por IA. Não fazer isso implica o risco de admitir fraudadores durante o processamento de conteúdo sobre o qual sua organização não possui controles documentados, o que os órgãos reguladores do Reino Unido e da UE consideram uma falha de controle.

Responsabilidade criminal e risco de fraude de identidade

Como os golpistas burlam a verificação facial Normalmente, envolve ataques de injeção de deepfake, nos quais vídeos pré-gravados ou gerados por IA são inseridos no fluxo da câmera para simular uma verificação de presença. Na maioria das jurisdições com leis contra deepfakes, o uso de mídia sintética para se passar por outra pessoa durante um processo de verificação de identidade já constitui fraude de acordo com as leis penais vigentes.

O que as novas leis acrescentam é a responsabilidade específica por deepfakes. A criação ou posse de mídia sintética para uso fraudulento agora pode acarretar acusações criminais separadas do crime de fraude subjacente.

Para os responsáveis ​​pela conformidade, isso é importante. Uma empresa que processa ou ignora dados de identidade gerados por IA pode ser responsabilizada por acessividade em algumas jurisdições, principalmente nos casos em que se possa comprovar negligência intencional.

Como a Shufti ajuda empresas regulamentadas a verificarem sua autenticidade contra deepfakes

A regulamentação sobre deepfakes impõe duas pressões distintas às instituições financeiras. Uma é legal. As obrigações de divulgação e rotulagem previstas na Lei de IA da UE e em estruturas semelhantes exigem que as organizações detectem e sinalizem dados de identidade gerados por IA. A outra é técnica. As expectativas dos examinadores agora incluem a capacidade de rejeitar rostos sintéticos antes que cheguem a um revisor humano.

Shufti's detecção de deepfake e verificação facial A plataforma aborda ambos os problemas. Ela cobre mais de 56 vetores de ataque anti-spoofing, incluindo rostos gerados por IA, máscaras 3D, ataques de injeção e reprodução de vídeo, com uma taxa de falsa aceitação (FAR) inferior a 0.001. Esse número foi validado externamente pelo programa RIVR do Departamento de Segurança Interna dos EUA em 2025, o que significa que menos de 1 em cada 1,000 tentativas fraudulentas passa pela camada biométrica.

A arquitetura suporta a implementação local para instituições onde os dados biométricos não podem sair de sua própria infraestrutura, juntamente com IA híbrida e revisão humana para casos extremos em que a tomada de decisão automatizada por si só é insuficiente.

Para as equipes de compliance que elaboram uma resposta defensável às leis sobre IA deepfake, o Relatório FATF Horizon Scan sobre deepfakes Descreve o que os reguladores agora esperam dos controles de detecção das instituições financeiras.