A evolução da Inteligência Artificial Generativa trouxe avanços significativos para diversos setores da sociedade. Ao mesmo tempo, ampliou riscos relacionados à privacidade, à proteção de dados pessoais, às fraudes digitais e à manipulação da informação. Nesse contexto, os deepfakes passaram a ocupar posição de destaque na agenda regulatória global.
Reconhecendo a relevância do tema, a Autoridade Nacional de Proteção de Dados (ANPD) publicou o
Radar Tecnológico sobre Deepfakes, documento que analisa as oportunidades, os riscos e os impactos dessa tecnologia sob a perspectiva da proteção de dados pessoais.
Para o Data Protection Officer (DPO), o Radar vai além de um material informativo. Trata-se de uma importante ferramenta para compreender novos riscos associados ao tratamento de dados pessoais, fortalecer programas de governança e apoiar a conformidade com a Lei Geral de Proteção de Dados (LGPD).
O documento apresenta diferentes abordagens sobre a conceituação dos deepfakes, definindo-os como conteúdos sintéticos gerados por inteligência artificial capazes de reproduzir ou alterar características de indivíduos reais, como imagem facial, voz, expressões, gestos e movimentos corporais. O objetivo é criar conteúdos altamente realistas, capazes de fazer com que terceiros acreditem que determinada pessoa realizou uma ação, fez uma declaração ou participou de um evento que, na realidade, nunca ocorreu.
A ANPD destaca que a tecnologia não é ilícita por natureza. Os riscos estão diretamente relacionados à forma como ela é utilizada, aos dados empregados no treinamento dos modelos e aos impactos gerados para os titulares.
Sob a ótica da LGPD, uma das primeiras reflexões que o DPO deve realizar é:
Quais dados pessoais estão sendo tratados durante a criação ou utilização de um deepfake? E qual a finalidade desse tratamento?
A resposta normalmente envolve diversos elementos, como imagens de pessoas identificadas ou identificáveis, gravações de voz, registros audiovisuais, informações comportamentais e, em muitos casos, dados biométricos. Como os deepfakes frequentemente dependem da coleta e do processamento de características capazes de identificar unicamente uma pessoa, o tema encontra-se diretamente conectado à proteção de dados pessoais e aos direitos da personalidade.
O Radar Tecnológico reforça a necessidade de observância dos princípios previstos no artigo 6º da LGPD. Toda utilização de imagem, voz ou características biométricas deve possuir uma finalidade legítima, específica e devidamente informada ao titular. Da mesma forma, o DPO deve avaliar se o uso de dados reais é efetivamente necessário para atingir os objetivos pretendidos ou se existem alternativas menos invasivas.
A transparência também assume papel fundamental. Os titulares precisam compreender quando seus dados estão sendo utilizados em projetos envolvendo inteligência artificial e conteúdos sintéticos. Além disso, as organizações devem implementar medidas de segurança e prevenção capazes de reduzir riscos de uso indevido, vazamentos e manipulações.
Outro aspecto relevante destacado pelo Radar é o risco de discriminação. Sistemas baseados em inteligência artificial não podem ser utilizados para promover tratamentos discriminatórios ou reforçar vieses que gerem exclusão, desigualdade ou prejuízos aos titulares dos dados.
Nesse contexto, ganha força o princípio da responsabilização e prestação de contas (accountability), segundo o qual as organizações devem ser capazes de demonstrar, de forma objetiva e documentada, a conformidade de suas operações de tratamento com a legislação aplicável.
Um dos maiores desafios para os DPOs está na definição clara das responsabilidades em ambientes que envolvem deepfakes. Frequentemente participam do ecossistema diversos agentes, como empresas contratantes, desenvolvedores, provedores de infraestrutura, fornecedores de modelos de IA e terceiros responsáveis pela coleta dos dados.
Nesses cenários, identificar corretamente quem atua como controlador e quem atua como operador torna-se fundamental para a alocação de responsabilidades, elaboração de contratos, atendimento aos direitos dos titulares e resposta a incidentes de segurança. A ausência dessa definição pode comprometer a governança e dificultar a demonstração de conformidade perante a ANPD.
Sob a perspectiva da gestão de riscos, uma das principais recomendações derivadas do Radar Tecnológico é a realização de avaliações prévias de impacto, especialmente por meio do Relatório de Impacto à Proteção de Dados Pessoais (RIPD).
Projetos envolvendo deepfakes costumam reunir características que elevam significativamente o nível de risco, tais como:
- Uso intensivo de dados biométricos;
- Elevado grau de inovação tecnológica;
- Potenciais danos reputacionais;
- Possibilidade de fraudes e golpes;
- Impactos relevantes sobre direitos e liberdades fundamentais.
Talvez o aspecto mais preocupante para as organizações seja justamente a utilização maliciosa dos deepfakes. Casos de clonagem de voz, fraudes financeiras, engenharia social, roubo de identidade e disseminação de desinformação já fazem parte da realidade de empresas e cidadãos.
Para o DPO, esses riscos ultrapassam a esfera da privacidade e passam a integrar diretamente a agenda de segurança da informação, gestão de riscos corporativos e continuidade de negócios. Por essa razão, programas de conscientização devem contemplar orientações específicas para identificação de conteúdos manipulados e prevenção de ataques baseados em inteligência artificial.
O Radar também chama atenção para os riscos relacionados ao tratamento de dados de crianças e adolescentes. Nesses casos, os impactos podem ser ainda mais severos, especialmente quando associados à exposição indevida, ao cyberbullying, à exploração da imagem ou a outras formas de violação de direitos.
Outro ponto importante evidenciado pelo documento é a evolução do papel do DPO. Já não basta acompanhar apenas operações tradicionais de tratamento de dados pessoais. A crescente adoção da inteligência artificial exige uma atuação cada vez mais estratégica, abrangendo temas como governança de IA, avaliação de riscos algorítmicos, ética digital, transparência e supervisão de tecnologias emergentes.
Nesse cenário, o DPO assume um papel fundamental na construção de mecanismos que conciliem inovação, conformidade regulatória e proteção dos direitos fundamentais dos titulares.
O Radar Tecnológico da ANPD sobre Deepfakes demonstra que essa discussão transcende o campo puramente tecnológico e alcança diretamente a privacidade, a proteção de dados pessoais, a segurança da informação e a governança corporativa.
Sob a ótica do DPO, os deepfakes representam simultaneamente oportunidade e risco. Quando utilizados de forma responsável, podem gerar benefícios significativos em áreas como educação, entretenimento, acessibilidade e comunicação. Entretanto, sem controles adequados, podem resultar em fraudes, discriminação, danos reputacionais e graves violações de direitos.
Mais do que compreender a tecnologia, o grande desafio do DPO é garantir que sua utilização esteja alinhada aos princípios da LGPD, às boas práticas de governança e à cultura de responsabilidade necessária para a proteção de dados na era da Inteligência Artificial.
Por Bruna Fabiane da Silva
(DeServ)
DPO, Consultora em Privacidade e Proteção de Dados
Especialista em Governança de Privacidade e Inteligência Artificial
