La regulació europea de deepfakes se centra en l'eina, no en el frau

L'article 50 de la Llei d'IA de la UE s'aplica a partir del 2 d'agost de 2026. Els proveïdors de sistemes generatius han de marcar la seva sortida de manera llegible per màquina; qualsevol que desplegui un deepfake ha de declarar-ho. El defraudador que n'utilitza un contra un banc ignora ambdues obligacions, i la regulació està escrita sabent que ho faran.

La versió curta

• El Reglament (UE) 2024/1689, la Llei d'IA, s'aplica a partir del 2 d'agost de 2026. L'article 50 exigeix que els sistemes d'IA que generen àudio, imatge, vídeo o text marquin la seva sortida en un format llegible per màquina perquè pugui ser detectada com a generada artificialment.
• Qualsevol que desplegui un deepfake ha de revelar que el contingut és artificial. L'article 3(60) defineix un deepfake com a contingut d'IA que s'assembla a persones, llocs o esdeveniments reals i que "semblaria falsament autèntic o verídic a una persona".
• L'incompliment de l'article 50 comporta multes de fins a 15 milions d'euros o el 3% de la facturació anual mundial, la quantitat que sigui superior. Els sistemes que ja estan al mercat abans del 2 d'agost tenen fins al 2 de desembre de 2026 per complir amb l'obligació de marcatge.
• La mateixa Llei, en la seva llista d'alt risc, exclou expressament la verificació biomètrica 1:1, la comprovació que confirma que una persona és qui diu ser. L'eina que ataca la comprovació d'identitat està regulada; la comprovació en si mateixa es deixa tranquil·la per funcionar.

Els deepfakes són ara una entrada permanent en les avaluacions de frau dels reguladors

El 30 de juliol de 2026, la Gambling Commission de Gran Bretanya va publicar una avaluació de riscos que anomena els vídeos deepfake i els intercanvis de cares entre els mètodes utilitzats per superar les comprovacions d'identitat, i qualifica el risc dels documents d'identitat al capdamunt de la seva escala. Un deepfake és un vídeo, àudio o imatge generat per IA que imita de manera convincent una persona real.

Aquesta avaluació és un exemple d'un patró més ampli. Una comprovació dissenyada per comparar una cara amb un document assumeix que la cara a la càmera pertany a una persona viva. Els models generatius van trencar aquesta suposició, i la van trencar de manera barata: l'eina que produeix un efecte cinematogràfic pot produir un client sintètic, i la comprovació no pot distingir-ho només mirant.

La resposta de la Unió Europea va arribar dins de la seva llei general d'intel·ligència artificial, en lloc d'una llei de frau. El Reglament (UE) 2024/1689, la Llei d'IA, és la primera llei d'IA completa d'un regulador important. La major part del seu pes recau en sistemes d'alt risc: dispositius mèdics, eines de contractació, puntuació de crèdit. També comporta un conjunt d'obligacions de transparència, a l'article 50, dirigides a les eines generatives ordinàries que tothom utilitza ara. Aquestes obligacions s'apliquen a partir del 2 d'agost de 2026.

L'elecció de disseny que cal destacar és on recau l'obligació. La Llei no prohibeix els deepfakes. Requereix que l'eina marqui el que crea i que l'usuari reveli el que desplega. La raó declarada per la Comissió Europea és un dret a saber, registrat per la comissària responsable quan es va publicar el Codi de Conducta de suport el 10 de juny de 2026.

Els europeus tenen dret a saber si el que veuen, senten o llegeixen ha estat fet o alterat per la IA, especialment quan aquest contingut pot configurar el debat públic. La transparència és la manera com protegim la confiança.

Henna Virkkunen, Vicepresidenta Executiva de Sobirania Tecnològica, Seguretat i Democràcia, Comissió Europea. Declaració del 10 de juny de 2026

L'article 50 divideix la feina: els proveïdors marquen, els usuaris revelen

L'article 50 del Reglament (UE) 2024/1689 imposa dues obligacions principals a dos actors diferents. Un proveïdor, l'empresa que construeix o subministra un sistema d'IA generativa, ha de garantir que les seves sortides "estiguin marcades en un format llegible per màquina i siguin detectables com a generades o manipulades artificialment". Un usuari, qui utilitza el sistema, ha de revelar un deepfake com a artificial.

L'obligació del proveïdor és la infraestructura. El marcatge s'ha d'incorporar al propi sistema, i la Llei demana que les solucions tècniques siguin "efectives, interoperables, robustes i fiables en la mesura que sigui tècnicament factible". "Llegible per màquina" és la frase clau: la marca està destinada al programari, de manera que altres sistemes puguin detectar contingut sintètic sense que un humà l'hagi d'examinar. La Llei no prescriu una tecnologia. La filigrana i les metadades de procedència són els dos candidats en què ha convergit el treball dels estàndards de la indústria.

L'obligació de l'usuari és la visible. Qui publica un deepfake ha de dir que el contingut és artificial, "com a molt tard en el moment de la primera interacció o exposició". Dues obligacions addicionals completen el conjunt. Els sistemes que parlen amb persones, com els chatbots, s'han d'identificar com a IA, tret que sigui obvi, i les empreses que realitzen reconeixement d'emocions o categorització biomètrica de persones els han de notificar.

Cada obligació comporta excepcions, i val la pena llegir-les. El marcatge no és obligatori quan la IA realitza "una funció d'assistència per a l'edició estàndard", de manera que un retoc fotogràfic no és un deepfake. Els usos autoritzats per llei per detectar o investigar delictes estan exempts en general. L'art rep una atenció inusual: quan un deepfake forma part d'una obra "evidentment artística, creativa, satírica, fictícia o anàloga", la divulgació només cal que es faci d'una manera "que no dificulti la visualització o el gaudi de l'obra". El text escrit per IA sobre qüestions d'interès públic s'ha de divulgar, tret que un editor humà l'hagi revisat i algú tingui la responsabilitat editorial.

El preu de l'incompliment es fixa a l'article 99(4): multes de fins a 15 milions d'euros o el 3% de la facturació anual total mundial, la que sigui superior. Aquest és el nivell mitjà de la Llei, per sota dels 35 milions d'euros i el 7% reservats per a pràctiques prohibides i per sobre del nivell de l'1% per subministrar informació enganyosa. La implementació recau en les autoritats nacionals de vigilància del mercat, els organismes dels estats membres que controlen les normes dels productes.

La Llei arriba per etapes, i el 2 d'agost de 2026 va ser la principal

L'article 113 del Reglament (UE) 2024/1689 escalona l'entrada en vigor de la llei. Les prohibicions de pràctiques d'IA prohibides es van aplicar a partir del 2 de febrer de 2025; les obligacions per als models d'IA de propòsit general a partir del 2 d'agost de 2025. El reglament en el seu conjunt, inclòs l'article 50, s'aplica a partir del 2 d'agost de 2026. Una categoria d'obligació d'alt risc segueix el 2 d'agost de 2027.

Una qüestió transicional per a l'obligació de marcatge específicament. Segons l'orientació de la Comissió Europea, un sistema generatiu ja comercialitzat abans del 2 d'agost de 2026 té fins al 2 de desembre de 2026 per complir amb el requisit de marcatge llegible per màquina, i el contingut generat abans del 2 d'agost no necessita una etiqueta retroactiva. Les obligacions de divulgació per part dels usuaris no tenen aquesta gràcia. S'apliquen a partir del 2 d'agost.

Els textos de suport van arribar just abans de la data límit. La Comissió va publicar el Codi de Conducta voluntari sobre el marcatge i l'etiquetatge de contingut generat per IA el 10 de juny de 2026; signar-lo és una manera de demostrar el compliment, tot i que "altres mitjans equivalentment adequats" continuen sent oberts. Les directrius de la Comissió que aclareixen l'abast i donen exemples pràctics l'acompanyen.

Data	Norma	Estat
1 d'agost de 2024	La Llei d'IA entra en vigor — Reglament (UE) 2024/1689, publicat al Diari Oficial el 12 de juliol de 2024, en vigor el vintè dia posterior.	Aprovat
2 de febrer de 2025	Prohibides les pràctiques prohibides — S'apliquen els capítols I i II: puntuació social, certes pràctiques de manipulació i scraping.	Aprovat
2 d'agost de 2025	Obligacions dels models d'IA de propòsit general — El capítol V s'aplica als proveïdors de models de propòsit general comercialitzats a partir d'aquesta data.	Aprovat
10 de juny de 2026	Publicat el Codi de Conducta — Codi voluntari sobre el marcatge i l'etiquetatge de contingut generat per IA; comunicat de premsa de la Comissió IP/26/1328.	Aprovat
2 d'agost de 2026	S'aplica l'article 50 — El reglament en el seu conjunt s'aplica. Les obligacions de marcatge, divulgació de deepfakes, identificació de chatbots i notificació de reconeixement d'emocions estan en vigor. Multes de fins a 15 milions d'euros o el 3%.	En vigor
2 de desembre de 2026	Finalitza el període de gràcia de marcatge — Els sistemes comercialitzats abans del 2 d'agost de 2026 han de complir amb l'obligació de marcatge llegible per màquina, segons l'orientació de la Comissió.	Properament
2 d'agost de 2027	S'apliquen les obligacions d'alt risc de l'article 6(1) — L'última part: classificació d'alt risc per a productes sota la legislació de seguretat de la UE existent.	Properament

La mateixa Llei es nega a qualificar la verificació d'identitat d'alt risc

L'Annex III del Reglament (UE) 2024/1689 enumera la identificació biomètrica remota entre els usos d'IA d'alt risc, i després traça un límit. La llista "no inclourà sistemes d'IA destinats a ser utilitzats per a la verificació biomètrica l'única finalitat de la qual sigui confirmar que una persona física específica és la persona que diu ser". Una comprovació d'identitat 1:1 no es troba a la llista d'alt risc.

La distinció que van fer els redactors és entre buscar i confirmar. Un sistema d'identificació biomètrica remota escaneja cares contra una base de dades per esbrinar qui és algú, normalment sense la seva implicació. Això és d'alt risc, amb tot l'aparell d'avaluació de la conformitat que segueix. Una comprovació de verificació biomètrica respon a una pregunta més estreta: és aquesta persona la propietària d'aquest passaport, d'aquest compte, d'aquesta afirmació? La persona es presenta i afirma una identitat; el sistema la confirma o la denega. Això queda fora de l'entrada.

El límit és una línia d'abast, no una exempció de la llei. Un proveïdor de verificació encara respon a la resta de la Llei on s'aplica, a la llei de protecció de dades i a les normes sectorials de cada client al qual serveix. I la Llei manté fermament dues utilitzacions veïnes a la llista d'alt risc, el reconeixement d'emocions i la categorització biomètrica per atributs sensibles, ambdues també comporten obligacions de divulgació de l'article 50 quan es despleguen.

Llegit juntament amb les obligacions d'etiquetatge, el mapa de la Llei de la comprovació d'identitat és simètric. L'eina generativa que pot fabricar una cara ha de marcar la seva sortida. L'eina de verificació que confirma una cara es deixa fora de la llista d'alt risc per fer la seva feina. Tant el document que el deepfake ataca com la comprovació que el llegeix són, en l'esquema de la Llei, infraestructures que val la pena mantenir llegibles. L'altre nou llibre de normes d'identitat d'Europa fa la mateixa aposta des de la direcció oposada: la regulació contra el blanqueig de capitals accepta un document o una identitat electrònica com a rutes alternatives de verificació i es nega a classificar-les.

Una obligació d'etiquetatge vincula els que compleixen, i aquesta és la pregunta oberta que comporta

L'article 50, en vigor des del 2 d'agost de 2026, no impedeix que un defraudador generi un deepfake. Una persona que utilitza vídeo sintètic per defraudar un banc ja estava cometent delictes i no respectarà una obligació d'etiquetatge. El que la norma construeix és una infraestructura de procedència, portada per la majoria compliant d'eines.

Els reguladors han utilitzat aquesta estructura abans: posar l'obligació on realment es pot obtenir el compliment, de manera que l'absència del senyal esperat esdevingui informativa. Si els sistemes generatius principals marquen la seva sortida de manera llegible per màquina, el contingut sintètic sense marcar esdevé l'anomalia, i el programari receptor té alguna cosa per comprovar. L'avaluació de la Gambling Commission sobre la IA a ambdós costats de la comprovació d'identitat descrivia el costat atacant; l'article 50 és el primer intent de fer que aquest costat s'anunciï.

Per a un equip de compliment o frau, les conseqüències són concretes però, de moment, modestes. Les marques estan destinades a les màquines, de manera que les pipelines de verificació obtenen un nou senyal per llegir un cop s'estableixi el treball dels estàndards; el Codi de Conducta és on s'està produint aquesta convergència. Les empreses que despleguen IA generativa en la comunicació amb el client tenen les seves pròpies obligacions de divulgació a partir del 2 d'agost. I les comprovacions d'identitat continuen funcionant exactament com abans, perquè el règim d'etiquetatge assumeix que l'atacant més important no etiquetarà.

La qüestió de la proporcionalitat subjacent és la de sempre, amb un nou vestit. L'obligació recau en cada proveïdor i usuari compliant de la Unió; el dany el fan actors que la ignoraran. Si la infraestructura de procedència justifica aquesta distribució de l'esforç és una pregunta que les pròpies excepcions de la Llei reconeixen sense resoldre, i les primeres decisions d'aplicació segons l'article 99(4) mostraran com les autoritats nacionals la valoren. Encara no n'hi ha cap. La norma té vuit dies.

Punts clau

Les obligacions estan en vigor.

L'article 50 del Reglament (UE) 2024/1689 s'aplica a partir del 2 d'agost de 2026: marcatge llegible per màquina per als proveïdors, divulgació de deepfakes per als usuaris, identificació de chatbots i avís per al reconeixement d'emocions.

Existeix un període de gràcia.

Els sistemes al mercat abans del 2 d'agost de 2026 tenen fins al 2 de desembre de 2026 per complir amb l'obligació de marcatge, segons l'orientació de la Comissió. Les obligacions de divulgació no tenen gràcia.

El nivell de multa és de 15 milions o 3%.

L'article 99(4) estableix el límit màxim per a les infraccions de transparència en 15 milions d'euros o el 3% de la facturació mundial, el que sigui superior, aplicat per les autoritats nacionals de vigilància del mercat.

La verificació no està a la llista d'alt risc.

L'Annex III exclou la verificació biomètrica 1:1, la comprovació que confirma una identitat declarada, de l'entrada d'identificació biomètrica remota. El reconeixement d'emocions roman a la llista.

La norma construeix un senyal, no un escut.

Els defraudadors no etiquetaran els seus deepfakes. El valor, si arriba, és que la sortida principal marcada fa que el tipus sense marcar destaqui per a les màquines que comproven.

On encaixa Didit: comprovacions d'identitat sota la pressió dels deepfakes

Les obligacions de l'article 50 recauen en els proveïdors i usuaris de sistemes d'IA generativa. Realitzar una comprovació KYC (coneix el teu client) és un paper diferent, i comprar la verificació no fa que ningú compleixi amb la Llei d'IA. Si la vostra empresa desplega eines generatives en la comunicació amb el client, les obligacions de divulgació anteriors són vostres. El que aborda una pipeline de verificació és l'altra cara del problema que descriu aquesta publicació: el client sintètic que arriba a l'onboarding.

Els mòduls es corresponen amb l'atac. Passive Liveness a 0,10 $ per comprovació prova que una persona viva, no un vídeo reproduït o generat, es troba davant de la càmera. Face Match (1:1) a 0,05 $ per comprovació és precisament la confirmació que descriu l'Annex III: compara la captura en viu amb el retrat del document per confirmar que la persona és qui diu ser. ID Verification a 0,15 $ per comprovació llegeix i valida el document en si, i on el document porta un xip, NFC Reading a 0,15 $ per comprovació extreu dades signades criptogràficament que una falsificació presentada en pantalla no pot proporcionar. Els preus actuals es troben a la pàgina de preus.

El que us queda és el judici que la Llei deixa deliberadament en vigor. La vostra avaluació de riscos decideix quines comprovacions veu un client, i els vostres processos decideixen què passa quan una falla. Cap mòdul de proveïdor llegeix encara les marques llegibles per màquina de l'article 50, perquè els estàndards tècnics encara estan convergint. Quan s'estableixin, el contingut marcat esdevé un senyal més que una pipeline pot provar. Fins aleshores, la vivacitat i les dades del xip són les defenses operatives.

Preguntes freqüents

Quan van entrar en vigor les normes d'etiquetatge de deepfakes de la Llei d'IA de la UE?

El 2 d'agost de 2026. L'article 113 del Reglament (UE) 2024/1689 estableix que el reglament s'aplica a partir d'aquesta data, i les obligacions de transparència de l'article 50 s'apliquen amb ell. Existeix una transició: segons l'orientació de la Comissió Europea, els sistemes comercialitzats abans del 2 d'agost de 2026 tenen fins al 2 de desembre de 2026 per complir amb l'obligació de marcatge llegible per màquina.

Què defineix la Llei d'IA com a deepfake?

L'article 3(60) del Reglament (UE) 2024/1689 defineix un deepfake com a "contingut d'imatge, àudio o vídeo generat o manipulat per IA que s'assembla a persones, objectes, llocs, entitats o esdeveniments existents i que semblaria falsament autèntic o verídic a una persona".

Quines són les sancions per incomplir l'article 50 de la Llei d'IA?

Segons l'article 99(4) del Reglament (UE) 2024/1689, l'incompliment de les obligacions de transparència de l'article 50 comporta multes administratives de fins a 15 milions d'euros o, per a una empresa, fins al 3% de la facturació anual total mundial de l'exercici financer precedent, la que sigui superior.

La Llei d'IA tracta la verificació d'identitat com a IA d'alt risc?

No la verificació un a un. L'Annex III enumera els sistemes d'identificació biomètrica remota com a d'alt risc, però estableix que això "no inclourà sistemes d'IA destinats a ser utilitzats per a la verificació biomètrica l'única finalitat de la qual sigui confirmar que una persona física específica és la persona que diu ser". Els sistemes de reconeixement d'emocions es troben a la llista d'alt risc.

El Codi de Conducta sobre l'etiquetatge de contingut d'IA és obligatori?

No. La Comissió Europea va publicar el Codi de Conducta sobre el marcatge i l'etiquetatge de contingut generat per IA el 10 de juny de 2026 com una eina voluntària. Signar-lo és una manera de demostrar el compliment de les obligacions de marcatge i etiquetatge de l'article 50; els proveïdors poden utilitzar, en canvi, mitjans alternatius equivalentment adequats.

Lectures relacionades

• La IA ja es troba a ambdós costats de la comprovació d'identitat en el joc — L'avaluació de riscos del regulador del Regne Unit del 30 de juliol anomena els deepfakes als quals s'adreça aquesta norma d'etiquetatge.
• La llei de la UE permet que passin cinc anys abans de tornar a comprovar qui és el propietari d'un client — L'altre instrument d'identitat de la UE, redactat amb el mateix patró de dates esglaonades.
• Àsia està traslladant el cost de les comprovacions d'identitat febles als bancs i plataformes — El Japó està retirant la verificació per càrrega de fotos a mesura que els deepfakes superen les comprovacions de documents.
• AMLR Article 26: amb quina freqüència s'ha de tornar a comprovar? — Què espera la UE després de l'onboarding, de la mateixa generació de llibres de normes.

Fonts

1. Reglament (UE) 2024/1689 que estableix normes harmonitzades sobre intel·ligència artificial — Parlament Europeu i Consell · EUR-Lex · Articles 3(60), 50, 99, 113 i Annex III · s'aplica a partir del 2 d'agost de 2026
2. La Comissió publica el Codi de Conducta sobre el marcatge i l'etiquetatge de contingut generat per IA — Comunicat de premsa de la Comissió Europea IP/26/1328 · 10 de juny de 2026 · font de la declaració de Virkkunen
3. Directrius sobre les obligacions de transparència per als proveïdors i usuaris de certs sistemes d'IA — Comissió Europea · pàgina de política actualitzada el 6 d'agost de 2026
4. Obligacions de transparència segons l'article 50 de la Llei d'IA — Preguntes freqüents de la Comissió Europea · font per a la transició del 2 de desembre de 2026 i l'assignació d'aplicació
5. Codi de Conducta sobre la Transparència del Contingut Generat per IA — Comissió Europea · ruta de compliment voluntari per a les obligacions de marcatge i etiquetatge

Qui va escriure això

Tuan Nguyen — Creixement · Didit

Escriu sobre verificació d'identitat, frau i compliment a Didit.

Última revisió el 10 d'agost de 2026 segons les fonts anteriors