A evolução da Inteligência Artificial Generativa trouxe novas possibilidades para empresas e diferentes setores da sociedade. Ao mesmo tempo, também ampliou os desafios relacionados à privacidade, à proteção de dados pessoais, à segurança da informação e à manipulação de conteúdos digitais.
Nesse contexto, os deepfakes ganharam relevância nas discussões sobre os impactos das tecnologias emergentes. Em julho de 2026, a Agência Nacional de Proteção de Dados (ANPD) publicou o Radar Tecnológico nº 6 – Deepfakes, estudo que aborda conceitos, aplicações, riscos e possíveis impactos dessa tecnologia sob a perspectiva da proteção de dados pessoais.
Para o Data Protection Officer (DPO), o documento representa uma importante fonte de informação para compreender riscos associados ao uso de inteligência artificial e avaliar possíveis impactos sobre as atividades de tratamento de dados pessoais.
O que são deepfakes?
Deepfakes são conteúdos digitais sintéticos ou manipulados com o uso de técnicas de inteligência artificial capazes de reproduzir ou modificar características de pessoas reais.
Essas técnicas podem envolver elementos como imagem facial, voz, expressões, gestos e movimentos corporais, permitindo criar conteúdos com elevado grau de realismo.
O resultado pode fazer com que uma pessoa pareça ter realizado uma ação, feito uma declaração ou participado de determinada situação que, na realidade, não aconteceu.
É importante destacar que a tecnologia de deepfake não é, por si só, necessariamente ilícita. Os riscos dependem de fatores como a finalidade da utilização, os dados envolvidos, a forma de desenvolvimento ou aplicação da tecnologia e os impactos gerados para as pessoas afetadas.
Qual é a relação entre deepfakes e a LGPD?
Uma das principais questões para o DPO é compreender quais dados pessoais estão envolvidos na criação ou utilização de um deepfake e para qual finalidade esses dados são tratados.
Dependendo da aplicação, podem estar envolvidos:
- imagens de pessoas identificadas ou identificáveis;
- gravações de voz;
- fotografias e vídeos;
- informações relacionadas a características físicas;
- dados comportamentais;
- dados biométricos, quando presentes os requisitos legais para essa classificação.
Quando o tratamento envolve dados pessoais, a organização precisa avaliar a aplicação dos princípios e das demais disposições da Lei Geral de Proteção de Dados Pessoais (LGPD).
Entre os pontos que merecem atenção estão finalidade, adequação, necessidade, transparência, segurança, prevenção e responsabilização.
Quais cuidados o DPO deve considerar em projetos com deepfakes?
A atuação do DPO deve considerar o contexto específico de cada operação de tratamento. Entre as principais perguntas estão:
- Qual é a finalidade do tratamento?
- Quais dados pessoais serão utilizados?
- Existe uma base legal adequada para o tratamento?
- O uso desses dados é realmente necessário?
- Existem alternativas menos invasivas?
- Os titulares serão devidamente informados?
- Quais fornecedores terão acesso aos dados?
- Quais riscos podem afetar os titulares?
- Quais medidas técnicas e administrativas serão adotadas?
Essa análise é especialmente relevante em projetos que envolvem tecnologias capazes de reproduzir características de indivíduos reais.
A transparência também merece atenção. Sempre que aplicável, os titulares devem receber informações claras e adequadas sobre o tratamento de seus dados, considerando a natureza e o contexto da operação.
Deepfakes podem envolver dados biométricos?
Sim, dependendo da forma como a tecnologia é utilizada.
Características físicas utilizadas para identificar uma pessoa de maneira específica podem envolver dados biométricos, que recebem tratamento especial pela LGPD quando vinculados a uma pessoa natural.
Por isso, projetos que utilizam reconhecimento facial, características faciais, voz ou outros elementos capazes de identificar indivíduos devem ser avaliados cuidadosamente pelo DPO, considerando a finalidade, a necessidade, os riscos e a hipótese legal aplicável.
A ANPD já destaca, em seus estudos sobre tecnologias emergentes e biometria, a importância de avaliar os impactos dessas tecnologias sobre a privacidade, a proteção de dados e os riscos de discriminação.
Deepfakes e o risco de discriminação
Outro ponto relevante na discussão sobre inteligência artificial é o risco de vieses e discriminação.
Sistemas baseados em IA podem reproduzir ou ampliar vieses presentes nos dados utilizados em seu desenvolvimento ou aplicação. Dependendo do contexto, isso pode gerar impactos negativos sobre determinados grupos ou indivíduos.
Por esse motivo, a avaliação de riscos não deve considerar apenas aspectos técnicos. Também é importante analisar possíveis impactos sobre direitos e liberdades dos titulares.
Controlador e operador: quem é responsável pelo tratamento?
Projetos envolvendo deepfakes podem reunir diferentes participantes, como empresas contratantes, fornecedores de tecnologia, desenvolvedores, provedores de infraestrutura e plataformas de inteligência artificial.
Nesse cenário, a identificação adequada dos papéis de controlador e operador é importante para estabelecer responsabilidades relacionadas ao tratamento de dados pessoais.
Essa definição também pode contribuir para uma melhor estruturação de contratos, gestão de fornecedores, atendimento aos direitos dos titulares e tratamento de eventuais incidentes de segurança.
Para o DPO, compreender o fluxo de dados e os papéis desempenhados por cada agente é uma etapa importante da governança de privacidade.
O RIPD pode ser considerado em projetos de deepfake?
A necessidade de uma avaliação de impacto deve ser analisada de acordo com as características de cada operação.
Projetos envolvendo inteligência artificial podem apresentar fatores que justificam uma análise mais aprofundada dos riscos, especialmente quando envolvem dados biométricos, grande quantidade de dados pessoais, tecnologias inovadoras ou potenciais impactos relevantes aos direitos dos titulares.
Nesse contexto, o Relatório de Impacto à Proteção de Dados Pessoais (RIPD) pode ser uma ferramenta importante para documentar a análise de riscos e as medidas adotadas para mitigá-los, quando aplicável.
O objetivo é permitir que a organização compreenda melhor os possíveis impactos da operação e demonstre as medidas consideradas para proteção dos dados pessoais.
Deepfakes e segurança da informação
Os riscos associados aos deepfakes não se limitam à privacidade.
A tecnologia também pode ser utilizada em situações de engenharia social, fraude, falsificação de identidade e manipulação de conteúdos, criando novos desafios para os programas de segurança da informação.
Um exemplo são os ataques que utilizam clonagem ou manipulação de voz para tentar convencer colaboradores a realizar determinadas ações, como transferências financeiras ou compartilhamento de informações.
Por isso, a discussão sobre deepfakes pode envolver diferentes áreas da organização, incluindo Privacidade, Segurança da Informação, Compliance, Jurídico, Recursos Humanos e Gestão de Riscos.
Programas de conscientização também podem incorporar orientações sobre como identificar possíveis conteúdos manipulados e como proceder diante de situações suspeitas.
Quais são os riscos dos deepfakes para crianças e adolescentes?
O uso de inteligência artificial para criação ou manipulação de conteúdos envolvendo crianças e adolescentes exige atenção especial.
A exposição indevida de imagem, a disseminação de conteúdos manipulados, o cyberbullying e outras formas de utilização abusiva podem gerar impactos significativos.
A proteção de dados pessoais desse público deve considerar o melhor interesse da criança e do adolescente, além dos princípios e demais disposições aplicáveis da legislação.
Esse tema ganha ainda mais relevância diante da evolução do ambiente digital e das discussões regulatórias relacionadas à proteção de crianças e adolescentes online.
Como o papel do DPO está mudando com a inteligência artificial?
A expansão da inteligência artificial amplia o escopo de temas que podem fazer parte da atuação estratégica do DPO.
Além do acompanhamento de operações tradicionais de tratamento de dados, profissionais de privacidade precisam compreender questões relacionadas a IA, governança, avaliação de riscos, transparência, segurança, ética e proteção de direitos.
Isso não significa que o DPO precise assumir sozinho todas as responsabilidades relacionadas à inteligência artificial. Pelo contrário: a complexidade desses projetos reforça a importância de uma atuação multidisciplinar e integrada entre diferentes áreas da organização.
Nesse cenário, o DPO pode contribuir para aproximar inovação e proteção de dados, apoiando a identificação de riscos e a construção de processos de governança mais responsáveis.
O que o Radar Tecnológico da ANPD sobre deepfakes representa para as empresas?
O Radar Tecnológico nº 6 – Deepfakes amplia a discussão sobre os impactos de uma tecnologia que pode afetar diretamente a privacidade, a proteção de dados pessoais e a segurança da informação.
Para as empresas, acompanhar estudos como esse ajuda a antecipar riscos e compreender melhor os desafios relacionados à adoção de tecnologias emergentes.
É importante, porém, interpretar o Radar como uma publicação técnica e informativa da ANPD, e não como substituto da legislação, de regulamentações específicas ou de uma análise jurídica aplicada a cada situação. A própria série Radar Tecnológico tem como objetivo contribuir para o debate sobre tecnologias emergentes e seus possíveis impactos na proteção de dados.
Conclusão
Os deepfakes mostram como a evolução da inteligência artificial pode criar novas oportunidades, mas também novos desafios para a proteção de dados e a segurança das organizações.
Sob a perspectiva do DPO, compreender essa tecnologia significa avaliar não apenas quais dados estão sendo tratados, mas também a finalidade do tratamento, os riscos envolvidos, os agentes participantes, os impactos sobre os titulares e as medidas de segurança e governança aplicáveis.
Mais do que acompanhar a evolução tecnológica, o desafio está em construir processos capazes de conciliar inovação, proteção de dados, segurança da informação e respeito aos direitos dos titulares.
O Radar Tecnológico da ANPD sobre Deepfakes reforça a importância de acompanhar a evolução das tecnologias emergentes e seus impactos no cenário de privacidade e proteção de dados no Brasil.
Por Bruna Fabiane da Silva
DPO e Consultora em Privacidade e Proteção de Dados na DeServ
Especialista em Governança de Privacidade e Inteligência Artificial
