A Agência Nacional de Proteção de Dados (ANPD) publicou um estudo técnico dedicado aos deepfakes, mapeando riscos, normas aplicáveis e boas práticas relacionadas ao uso dessas tecnologias sob a perspectiva da proteção de dados pessoais. O Radar Tecnológico nº 6, elaborado pela Superintendência de Inovação Tecnológica (Sitec) e publicado em 29 de julho, tem caráter técnico-informativo e prospectivo, sem constituir orientação normativa. O documento esclarece que a atuação da ANPD observará os limites de suas competências legais, incidindo especialmente quando houver tratamento de dados pessoais, nos termos da Lei Geral de Proteção de Dados (LGPD).

O que são deepfakes?

Deepfakes são áudios, fotos e vídeos modificados ou criados artificialmente por inteligência artificial, caracterizados pela simulação hiper-realista da identidade e da ação humana. Constituem uma subcategoria das chamadas mídias sintéticas e podem assumir diferentes formas, como troca de rosto (face swapping), clonagem de voz, síntese de texto, reencenação facial e manipulação de atributos de uma pessoa.

Para fins do estudo, a ANPD adota uma concepção ampla do fenômeno, que compreende tanto a transferência integral da identidade entre indivíduos quanto a manipulação de atributos de uma pessoa ou a criação de identidades sintéticas, principalmente quando utilizadas com intenção de lesar o público.

Riscos identificados pela ANPD

O uso crescente de deepfakes para fraudes, golpes, roubo de identidade, violações de dados pessoais, desinformação em massa e produção de conteúdo pornográfico está entre as principais preocupações apontadas pelo estudo.

Os riscos são vinculados a três finalidades básicas da produção de deepfakes: (i) treinamento de modelos, em que os dados servem de insumo ao aprendizado do algoritmo; (ii) síntese ou manipulação da mídia visual ou auditiva; e (iii) disseminação dessas mídias no ambiente digital. Na etapa do treinamento, por exemplo, podem ocorrer tratamentos sem hipótese legal adequada, sem transparência, para usos secundários ou sem salvaguardas proporcionais.

O estudo destaca, ainda, os riscos relacionados à burla de mecanismos de verificação de identidade e autenticação biométrica, inclusive em serviços financeiros; a fraudes corporativas ultrarrealistas - como a simulação de videoconferências e vozes de altos executivos -; à violência digital de gênero; e à desinformação eleitoral.

Apesar dos avanços tecnológicos, o estudo ressalta que os mecanismos atuais de detecção apresentam limitações relevantes. Embora existam ferramentas voltadas à identificação de conteúdos sintéticos, a maioria delas, baseadas em aprendizado profundo, ainda não é confiável e frequentemente não consegue explicar as razões que levaram à classificação de determinado conteúdo como autêntico ou manipulado. Por isso, o documento destaca a importância da supervisão humana e do desenvolvimento de técnicas de Inteligência Artificial explicável (XAI) – aquela capaz de detalhar como a máquina chegou a determinada conclusão, trazendo mais transparência e confiança aos resultados analisados.

Relação com a LGPD e demais normas aplicáveis

A geração de deepfakes não ocorre em vácuo normativo: sempre que houver tratamento de dados pessoais, aplicam-se as disposições da LGPD, inclusive quando os dados utilizados estiverem publicamente disponíveis. Nesses casos, devem ser observados os princípios da finalidade, transparência, segurança e prevenção, além dos direitos dos titulares e da existência de hipótese legal adequada para o tratamento.

O documento também chama atenção para os desafios relacionados ao uso do consentimento como fundamento jurídico para operações de coleta massiva de dados utilizados no treinamento de modelos de IA. O Radar afirma que a obtenção de consentimento válido é particularmente difícil em cenários de coleta ampla e de posterior reutilização dos dados para finalidades distintas das originalmente previstas. O legítimo interesse, além disso, não constitui hipótese legal para o tratamento de dados pessoais sensíveis, e o Radar ressalta a necessidade de identificar fundamento jurídico adequado sempre que imagens, vozes ou padrões comportamentais forem tratados como dados biométricos vinculados a uma pessoa natural, nos termos do artigo 11 da LGPD.

Além da LGPD, o Radar também contextualiza as deepfakes em cenário regulatório mais amplo, destacando que os riscos decorrentes dessas tecnologias extrapolam a proteção de dados pessoais e afetam temas como segurança digital, proteção de grupos vulneráveis e integridade de informações.

Nesse contexto, o Radar menciona os Decretos 12.975 e 12.976, ambos de 20 de maio de 2026: o primeiro altera a regulamentação do Marco Civil da Internet e reforça deveres de cuidado, governança e gestão de risco por parte dos provedores de aplicação; o segundo estabelece diretrizes para a proteção de mulheres na internet e proíbe a geração ou modificação, por inteligência artificial, de conteúdo íntimo de terceiros, exigindo a adoção de salvaguardas para bloquear essas solicitações.

O estudo também relaciona as deepfakes aos riscos enfrentados por crianças e adolescentes no ambiente digital, especialmente diante da possibilidade de exposição a conteúdos inadequados, de utilização indevida de dados biométricos e de burlas a mecanismos de verificação etária. Por essa razão, referencia o ECA Digital (Lei 15.211/25), que reforça deveres de proteção e de adoção de medidas compatíveis com o melhor interesse de crianças e adolescentes em serviços digitais.

Por fim, a publicação destaca as Resoluções do TSE 23.732/24 e 23.755/26, que disciplinam o uso de conteúdo sintético em propaganda eleitoral e refletem a crescente preocupação regulatória com os impactos dos deepfakes sobre a formação da opinião pública e a integridade do processo democrático.

Boas práticas sugeridas

Para aplicações de IA de maior risco, especialmente as que envolvem dados biométricos, crianças e adolescentes, autenticação, perfilamento, geração de conteúdo íntimo ou circulação massiva de mídia sintética, o Radar recomenda o fortalecimento da governança, avaliação de riscos, medidas de segurança, retenção limitada, controles de acesso, mecanismos de atendimento aos direitos dos titulares e, quando cabível, a elaboração de Relatório de Impacto à Proteção de Dados Pessoais (RIPD).

Entre as soluções técnicas discutidas estão ferramentas de detecção automatizada, assinaturas criptografadas, marcas d’água digitais e padrões de rastreabilidade, para registro da origem, autoria, histórico de edição e cadeia de produção. Os mecanismos devem expressar o compromisso das empresas de desenvolver sistemas de IA que considerem a privacidade e a proteção de dados desde a concepção (by design).

O Radar observa, ainda, que fraudes com clonagem de voz ou imagem apontam para a necessidade de novos mecanismos técnicos e comportamentais de verificação, e associa o letramento digital à inclusão, nas organizações, de procedimentos complementares de autenticação de identidade.

O Radar conclui que deepfakes desafiam conceitos tradicionais de autenticidade, consentimento, identidade e responsabilização, e que o enfrentamento de seus riscos exige abordagem multidimensional: soluções técnicas, transparência, rastreabilidade, estruturas regulatórias compatíveis com a velocidade da inovação e supervisão humana qualificada, com responsabilização dos diferentes agentes envolvidos na produção e circulação de conteúdos sintéticos.

Nosso escritório está à disposição para acompanhar os próximos desdobramentos regulatórios sobre deepfakes e apoiar empresas na avaliação de riscos, na estruturação de governança e na adequação às exigências relacionadas a essas tecnologias e ao uso de inteligência artificial. Para saber mais, acompanhe nossas publicações e entre em contato com nossa equipe.