Deepfake z wizerunkiem prezesa lub marki: procedura zgłaszania i komunikacji

Czym jest deepfake i jak wykorzystuje się go przeciw firmom?

Deepfake to realistyczny obraz, nagranie dźwiękowe lub wideo wygenerowane albo zmanipulowane przez sztuczną inteligencję, które przedstawia istniejące osoby, miejsca lub zdarzenia i może uchodzić za prawdziwe. Dla firm to nie ciekawostka technologiczna, tylko realne ryzyko finansowe i wizerunkowe, które dotyka zarówno duże marki, jak i lokalne przedsiębiorstwa z rozpoznawalnym właścicielem.

Najczęstsze scenariusze w 2026 r.:

• fałszywe reklamy inwestycyjne – wideo, w którym prezes, właściciel lub znana osoba związana z marką „poleca” platformę inwestycyjną lub kryptowaluty,
• sklonowany głos „na prezesa” – telefon lub wiadomość głosowa do księgowości z pilnym poleceniem przelewu,
• fałszywe oświadczenia – nagranie, w którym przedstawiciel firmy mówi coś kompromitującego,
• fałszywe promocje i konkursy – grafika lub wideo z logo i twarzą z kampanii marki, kierujące do strony wyłudzającej dane karty,
• zmanipulowane zdjęcia produktów – „dowody” wady, której produkt nie ma.

Deepfake to szczególny przypadek fałszywych informacji, opisanych szerzej w poradniku o reagowaniu na fake newsy o marce, i jeden ze scenariuszy z przewodnika kryzys w social media. Różni się tym, że często służy do bezpośredniego oszustwa, więc liczy się każda godzina.

Deepfake z wizerunkiem prezesa lub marki – co zrobić w pierwszej godzinie?

W pierwszej godzinie po wykryciu deepfake'a zabezpiecz dowody, zgłoś treść, ostrzeż klientów i uprzedź osoby w firmie, do których oszuści mogą się zwrócić. Kolejność kroków:

1. Zabezpiecz dowody (do 15 minut). Nagraj ekran z całym filmem, zrób zrzuty z nazwą profilu lub reklamodawcy, datą i liczbą reakcji. Zapisz adres treści i adres strony, do której kieruje reklama.
2. Potwierdź fałsz. Upewnij się u osoby przedstawionej na nagraniu, że go nie nagrała i nie udzieliła zgody. Zapisz to potwierdzenie – przyda się w zgłoszeniach.
3. Zgłoś treść platformie (do 30 minut) jako oszustwo lub podszywanie się; poproś 3–5 współpracowników o niezależne zgłoszenia z prywatnych kont. Ścieżki zgłoszeń znajdziesz w tabeli w kolejnej sekcji.
4. Ostrzeż klientów (do 60 minut) postem na oficjalnych profilach i komunikatem na stronie internetowej. Szablon znajdziesz niżej.
5. Uprzedź wewnątrz firmy: finanse (możliwe próby wyłudzenia przelewów), obsługę klienta (pytania „czy to prawda?”), recepcję i asystentów zarządu.
6. Przy próbie wyłudzenia zgłoś incydent do CERT Polska, a gdy doszło do straty – zawiadom policję lub prokuraturę. Jeśli klienci przelali pieniądze, poinformuj ich, by natychmiast skontaktowali się z bankiem.
7. Ustaw monitoring na nazwisko osoby i nazwę marki w połączeniu z frazami „inwestycja”, „zarobek”, „kryptowaluty”, bo fałszywe reklamy zwykle wracają z nowych kont.

Jak zgłosić deepfake na platformach?

Deepfake zgłaszasz platformie przez standardową opcję zgłaszania treści lub reklamy, wybierając kategorię oszustwa, podszywania się albo wprowadzających w błąd treści AI. Przegląd ścieżek (stan na październik 2026 r.; nazwy opcji mogą się różnić w zależności od wersji aplikacji):

Na YouTube warto sprawdzić, czy kanał lub osoba kwalifikuje się do automatycznego wykrywania podobieństwa – w 2026 r. funkcję rozszerzono m.in. na polityków, dziennikarzy, aktorów, sportowców i twórców. Szczegóły opisujemy w tekście o wykrywaniu podobieństwa na YouTube. Jak działa etykieta, którą Meta dodaje do treści wygenerowanych przez AI, wyjaśniamy w artykule o oznaczeniu „Informacje o AI” na Instagramie.

Jeśli platforma odrzuci zgłoszenie, odwołaj się od decyzji: DSA zobowiązuje platformy do uzasadniania decyzji moderacyjnych i umożliwienia odwołania. Jak przygotować zgłoszenie i odwołanie krok po kroku, wyjaśniamy w poradniku o usuwaniu nieprawdziwych treści z platform.

Szablony komunikatów: klienci, pracownicy, media

Szablony komunikatów przygotuj z wyprzedzeniem i dopisz do planu komunikacji kryzysowej, bo w dniu ataku liczy się szybkość.

Ostrzeżenie dla klientów (post i strona www): „Uwaga: w sieci krążą fałszywe reklamy z wizerunkiem [imię i nazwisko, funkcja], wygenerowane przez AI. [Imię i nazwisko] nie poleca żadnych inwestycji, a [nazwa firmy] nie prosi o dane karty ani o przelewy w wiadomościach. Nasze oficjalne profile to: [lista]. Jeśli zobaczysz taką reklamę, zgłoś ją platformie. Jeśli przelałeś(-aś) pieniądze, skontaktuj się natychmiast ze swoim bankiem”.

Komunikat wewnętrzny: „W sieci krąży fałszywe nagranie z [osoba]. Nie udostępniajcie go i nie komentujcie publicznie. Jeśli ktoś zapyta, odsyłajcie do oficjalnego ostrzeżenia [gdzie]. Każde polecenie przelewu lub przekazania danych, które dostaniecie telefonicznie lub w wiadomości głosowej od zarządu, potwierdzajcie oddzwaniając na numer z firmowej książki kontaktów”.

Odpowiedź dla mediów: „Nagranie jest fałszywe i zostało wygenerowane bez wiedzy i zgody [osoba]. Zgłosiliśmy je platformie i odpowiednim instytucjom. Ostrzegamy klientów na naszych oficjalnych kanałach”.

Deepfake głosowy i oszustwo „na prezesa”: procedura wewnętrzna

Najskuteczniejszą ochroną przed oszustwem głosowym „na prezesa” jest procedura, która nie zależy od tego, czy pracownik rozpozna fałszywy głos. Sklonowany głos brzmi coraz przekonująco, a oszuści działają pod presją czasu („przelew musi wyjść w ciągu godziny, nikomu nie mów”).

Zasady, które warto wprowadzić w każdej firmie:

1. Oddzwanianie – każde polecenie przelewu, zmiany numeru konta kontrahenta lub przekazania danych otrzymane telefonicznie, głosowo lub wideo potwierdzasz, dzwoniąc na numer z firmowej książki kontaktów, a nie na numer, z którego przyszło połączenie.
2. Hasło weryfikacyjne – słowo lub pytanie znane tylko zarządowi i działowi finansów, zmieniane co kilka miesięcy.
3. Dwie osoby – przelewy powyżej ustalonej kwoty wymagają akceptacji dwóch osób.
4. Prawo do odmowy – pracownik, który wstrzyma polecenie do czasu weryfikacji, nie ponosi konsekwencji, nawet jeśli polecenie okaże się prawdziwe.
5. Szkolenie raz w roku – z przykładami nagrań i scenariuszem ćwiczenia.

Zasady korzystania z AI w zespole marketingu, w tym kto może publikować nagrania głosu i wizerunku zarządu, opisujemy w tekście AI w zespole social media: zasady.

Co mówi prawo: AI Act, wizerunek i dobra osobiste

Od 2 sierpnia 2026 r. art. 50 AI Act zobowiązuje podmioty publikujące deepfake'i do ujawniania, że treść została wygenerowana lub zmanipulowana przez AI; za naruszenie obowiązków przejrzystości grożą kary do 15 mln euro lub 3% światowego rocznego obrotu. W Polsce nadzór nad stosowaniem przepisów o AI ma sprawować Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI). Oszuści oczywiście nie oznaczają swoich materiałów, ale przepis ma znaczenie dla ciebie w dwóch sytuacjach: gdy sam(a) publikujesz realistyczne treści z AI, np. wygenerowany wizerunek prezesa w kampanii, oraz gdy zgłaszasz platformie nieoznaczony deepfake. Zasady oznaczania opisujemy w poradniku o oznaczaniu treści AI zgodnie z AI Act. Jeśli treści z AI tworzą dla marki twórcy, obowiązki zapisz w umowie – podpowiadamy to w tekście o tym, co AI Act zmienia w umowach z influencerami.

Wobec autorów deepfake'ów najczęściej przydają się:

• prawo do wizerunku – rozpowszechnianie wizerunku osoby wymaga jej zezwolenia (prawo autorskie),
• ochrona dóbr osobistych – osoba przedstawiona w deepfake'u i sama firma mogą żądać zaniechania naruszeń i usunięcia ich skutków,
• prawo karne – podszywanie się pod inną osobę z wykorzystaniem jej wizerunku (art. 190a § 2 Kodeksu karnego) oraz oszustwo, gdy celem jest wyłudzenie pieniędzy,
• RODO – wizerunek i głos to dane osobowe.

Wybór drogi omawiamy w artykule prawo w kryzysie wizerunkowym. Ten tekst nie zastępuje porady prawnej w konkretnej sprawie.

Jak przygotować firmę na deepfake zawczasu?

Firmę przygotujesz na deepfake, zanim do niego dojdzie, dzięki kilku prostym działaniom, które skracają czas reakcji i ułatwiają klientom odróżnienie prawdy od fałszu:

• Lista oficjalnych kanałów na stronie internetowej, w stopce newslettera i w opisie profili.
• Jasna deklaracja: „nie polecamy inwestycji, nie prosimy o dane karty w wiadomościach, konkursy ogłaszamy tylko na tych profilach”.
• Oznaki weryfikacji tam, gdzie mają sens – koszty i korzyści omawiamy w tekście o Meta Verified dla firm.
• Monitoring nazwiska zarządu i nazwy marki z frazami związanymi z inwestycjami i promocjami.
• Zabezpieczone konta – deepfake publikowany z przejętego profilu marki jest najgroźniejszy, dlatego wdróż zasady z poradnika o bezpieczeństwie kont firmowych.
• Procedura i szablony w planie kryzysowym, z osobą odpowiedzialną za zgłoszenia.

Najczęstsze błędy przy reakcji na deepfake

Najczęstsze błędy przy reakcji na deepfake wynikają z bagatelizowania problemu albo z reakcji, która przypadkiem go wzmacnia:

• Czekanie, aż platforma sama usunie reklamę – w tym czasie trafia do tysięcy osób.
• Publikowanie fałszywego nagrania w ostrzeżeniu – zwiększa jego zasięg.
• Brak ostrzeżenia wewnątrz firmy – dział finansów dowiaduje się o problemie po przelewie.
• Jednorazowe zgłoszenie – fałszywe reklamy wracają z nowych kont, potrzebny jest stały monitoring.
• Milczenie wobec klientów, którzy stracili pieniądze – marka nie odpowiada prawnie za oszustwo, ale brak empatii zostaje zapamiętany.
• Własne nieoznaczone treści z AI – firma, która sama publikuje realistyczny wizerunek prezesa wygenerowany przez AI bez oznaczenia, osłabia swoją wiarygodność w walce z fałszerstwami.

Checklista: procedura na wypadek deepfake'a

Procedurę na wypadek deepfake'a wydrukuj i dołącz do planu kryzysowego. Sprawdź, czy masz:

• Wyznaczoną osobę odpowiedzialną za zgłoszenia i jej zastępcę.
• Instrukcję zabezpieczania dowodów: nagranie ekranu, zrzuty, adresy, godzina.
• Listę ścieżek zgłoszeń na platformach, z których korzysta marka.
• Gotowe szablony: ostrzeżenie dla klientów, komunikat wewnętrzny, odpowiedź dla mediów.
• Listę oficjalnych kanałów opublikowaną na stronie internetowej.
• Zasadę oddzwaniania i hasło weryfikacyjne dla działu finansów.
• Kontakt do prawnika i informację, jak zgłosić incydent do CERT Polska.
• Monitoring nazwisk zarządu i marki z frazami „inwestycja”, „zarobek”, „promocja”.
• Zasady oznaczania własnych treści z AI zgodnie z AI Act i regulaminami platform.