Escucha este artículo
Audio generado con IA de Google
0:00
/
0:00
Un video aparentemente auténtico muestra al CEO de una empresa anunciando una operación inexistente. Un audio reproduce la voz de un directivo para solicitar una transferencia. Una cuenta falsa utiliza la identidad visual de una compañía para dirigirse a clientes. Aunque estos incidentes pueden parecer similares, no lo son.
Un deepfake, una suplantación de identidad, un fraude, una lesión reputacional y un uso indebido de datos personales pueden coincidir dentro del mismo caso, pero cada categoría activa riesgos y vías de actuación diferentes.
Andrea Baggio, CEO EMEA de ReputationUP, sostiene que la primera respuesta de una empresa no debe ser publicar un desmentido ni solicitar indiscriminadamente la eliminación del contenido. Antes es necesario verificar qué ocurrió, preservar las evidencias, proteger los activos comprometidos y coordinar a los responsables internos.
Deepfake, suplantación y fraude no son sinónimos
La clasificación inicial determina la calidad de la respuesta.
Deepfake
Es un contenido audiovisual generado o manipulado mediante inteligencia artificial para representar de forma convincente a una persona, entidad o acontecimiento. Puede reproducir rostros, voces, gestos, declaraciones o escenarios inexistentes.
No siempre persigue un beneficio económico: también puede utilizarse para desinformar, intimidar, ridiculizar o causar daño reputacional.
Suplantación de identidad
Se produce cuando alguien se presenta como otra persona o entidad. Puede utilizar inteligencia artificial, pero no la necesita. Una cuenta falsa, un dominio similar, una firma copiada o un correo manipulado pueden ser suficientes.
Fraude y lesión reputacional
El fraude implica normalmente un engaño dirigido a obtener un beneficio o provocar una disposición patrimonial. Un deepfake puede ser el instrumento del fraude, pero su existencia no demuestra por sí sola que haya ocurrido una estafa.
La lesión reputacional aparece cuando se difunden afirmaciones capaces de afectar a una persona o empresa. Su análisis depende del contenido, la veracidad, la jurisdicción, la intención y el alcance.
El marco legal empieza a adaptarse
Colombia ya contempla expresamente la suplantación mediante inteligencia artificial. La Ley 2502 de 2025 modificó el artículo 296 del Código Penal e introdujo un agravante cuando la sustitución o suplantación de una persona se realiza mediante IA, incluyendo la manipulación del rostro, la voz u otros elementos asociados a su proyección externa.
Esto no significa que todo contenido sintético constituya automáticamente falsedad personal. La aplicación dependerá de los hechos, la finalidad, el posible daño y la concurrencia de otras conductas delictivas.
También puede resultar aplicable la normativa de protección de datos. Cuando un deepfake utiliza el rostro, la voz, el nombre u otros elementos identificadores de un ejecutivo, debe evaluarse si existe un tratamiento ilícito de datos personales y qué responsabilidades corresponden a quienes recopilan, transforman o difunden esa información.
Para las organizaciones que operan en la Unión Europea, el artículo 50 del AI Act será especialmente relevante desde el 2 de agosto de 2026. Sus obligaciones de transparencia refuerzan dos principios esenciales para la gestión corporativa: la procedencia del contenido y la identificación de su naturaleza sintética.
Actuar rápido sin precipitarse
Reaccionar de inmediato no significa publicar de inmediato. Un desmentido precipitado puede amplificar un contenido todavía limitado, alertar al atacante, dirigir tráfico hacia el material, introducir contradicciones o comprometer una investigación.
ReputationUP distingue entre respuesta interna inmediata y comunicación externa proporcional. La actuación interna comienza desde el primer momento; la comunicación pública se decide después de evaluar alcance, credibilidad y daño potencial.
1. Verificar el incidente
La empresa debe identificar dónde apareció el contenido, quién lo publicó, cuándo comenzó a circular, qué audiencia lo ha visto y si contiene enlaces, instrucciones o solicitudes de pago. También debe comprobar si existe acceso no autorizado a una cuenta oficial.
La inspección visual o auditiva no es suficiente. El análisis puede requerir la comparación con materiales auténticos, la revisión de metadatos, la verificación de cuentas, el examen técnico del archivo y la confirmación directa con la persona representada.
2. Preservar la evidencia
Antes de solicitar la retirada del contenido, deben conservarse pruebas suficientes: URL, fecha y hora, capturas de pantalla, grabación de la navegación, identificadores de cuenta, número de visualizaciones, comentarios relevantes, archivos descargables, cabeceras de correo, dominios utilizados e instrucciones de pago.
Una captura aislada puede demostrar que el contenido existió, pero no siempre permite identificar su origen, autenticidad o difusión.
3. Proteger los activos corporativos
La suplantación puede indicar que otros activos también están comprometidos. El equipo de seguridad debe revisar correos, redes sociales, dominios, credenciales, sesiones activas, accesos administrativos, números telefónicos, sistemas de pago y cuentas publicitarias.
Cuando exista sospecha de acceso indebido, puede ser necesario revocar sesiones, cambiar credenciales, activar la autenticación multifactor, bloquear tokens, preservar registros e informar a proveedores o entidades financieras.
4. Determinar el objetivo del ataque
No todos los incidentes persiguen lo mismo. El contenido puede buscar dinero, credenciales, manipulación de mercado, daño reputacional, extorsión, engaño a clientes o interferencia en una negociación.
Esta clasificación define a quién debe informarse. Un intento de fraude puede exigir contacto inmediato con bancos y clientes. Una suplantación de un ejecutivo puede requerir advertir a los empleados. Una campaña reputacional puede necesitar una respuesta jurídica y editorial.
5. Activar una respuesta multidisciplinaria
La respuesta no pertenece exclusivamente a ciberseguridad. Debe integrar a los departamentos legal, de comunicación, riesgos, compliance, recursos humanos y alta dirección, además de especialistas reputacionales.
“Eliminar una publicación, cuando es posible, no basta si la identidad sigue comprometida o si el contenido ya circula en otros canales”, señala Andrea Baggio.
6. Comunicar sin amplificar
La comunicación pública puede ser necesaria cuando existe riesgo financiero, engaño a clientes, confusión sobre los canales oficiales o una difusión significativa.
El mensaje debe identificar el contenido falso, señalar los canales auténticos, explicar qué deben hacer los afectados, ofrecer un punto de contacto y evitar especular sobre los responsables sin pruebas. Una respuesta agresiva o excesivamente detallada puede aumentar la difusión.
De la retirada del contenido a la recuperación de la confianza
La eliminación no siempre marca el final. El material puede permanecer en capturas, cuentas secundarias, grupos privados, resultados de búsqueda, noticias, bases de datos o respuestas generadas por inteligencia artificial.
La recuperación exige revisar qué narrativa quedó instalada, qué públicos necesitan una aclaración y qué vulnerabilidades internas permitieron el incidente.
Las medidas pueden incluir una advertencia oficial, contacto directo con los afectados, coordinación con medios, refuerzo de perfiles ejecutivos, monitorización de búsquedas y seguimiento de respuestas generativas.
El objetivo no es inundar internet con contenido positivo, sino restablecer una fuente oficial clara, verificable y confiable.
Cómo prepararse antes de un incidente
Una empresa debería contar con materiales auténticos de referencia, canales oficiales reconocibles, autenticación reforzada, un protocolo de escalamiento, procedimientos de conservación de evidencia, mensajes preaprobados y formación interna para detectar instrucciones anómalas o solicitudes financieras sospechosas.
La velocidad es importante. La secuencia lo es más.
Sobre ReputationUP
ReputationUP es una firma internacional especializada en monitorización, análisis y gestión de la reputación digital de empresas, profesionales y ejecutivos. Su equipo integra competencias reputacionales, jurídicas, tecnológicas, de comunicación y ciberseguridad.