Quan apareix un deepfake que involucra la teva organització, l’instint és tractar-lo com una emergència tècnica: trobar el contingut fals, demostrar que és fals i continuar endavant. Aquest instint és comprensible. Tot i que, en la majoria dels casos, també és insuficient. Un pla de resposta davant deepfakes per a equips de comunicació no és principalment una eina de detecció.
És un instrument de gestió de la confiança.
El vídeo o àudio generat per intel·ligència artificial (IA) és el detonant. El que determina el dany real és el que fa (i deixa de fer) la teva organització en les hores següents. Això és una decisió de comunicació, no de ciberseguretat.
Això importa especialment per a les institucions que depenen de la credibilitat: ONG, organismes públics, organitzacions internacionals, grups d’incidència política. Per a elles, un deepfake no és simplement un inconvenient reputacional. És un atac directe a la infraestructura que fa que la seva comunicació importi.
La major part del contingut a la xarxa sobre deepfakes se centra en la detecció: com identificar-los, quines eines fer servir, quins artefactes visuals buscar. Aquest enfocament té sentit per als equips d’IT i seguretat. Per als equips de comunicació, deixa de banda el que és essencial.
Una investigació publicada a Frontiers in Psychology va trobar que l’exposició a deepfakes que mostren fallades institucionals augmenta la desconfiança pública envers el govern, fins i tot després que el contingut hagi estat desmentit. La correcció arriba massa tard, o no arriba en absolut, perquè la impressió emocional ja s’ha format. Aquest és el risc real: no el contingut fals en si, sinó el buit de confiança que obre.
La UNESCO ho va formular amb precisió l’octubre de 2025: els deepfakes amenacen la confiança institucional en la seva base, no com a incidents aïllats, sinó com a símptomes d’una fragilitat més profunda en com les organitzacions produeixen, validen i comparteixen coneixement. La implicació per als equips de comunicació és directa: la resposta no pot ser purament reactiva. Ha d’estar ancorada en alguna cosa en la qual l’audiència ja confia: l’historial de l’organització, la seva transparència i la seva coherència sota pressió.
Per a les institucions que treballen en assumptes delicats —polítiques públiques, acció humanitària, incidència, canvi social— un deepfake comporta un risc específic que les organitzacions comercials enfronten amb menys intensitat: converteix en arma la credibilitat que la mateixa organització ha construït. Un vídeo fet amb IA d’un director executiu corporatiu és perjudicial, però un vídeo creat amb IA d’un director humanitari que apareix contradient els valors declarats de l’organització, o d’un funcionari públic que sembla avalar alguna cosa que no va recolzar, opera en un registre completament diferent.
El dany no depèn de la responsabilitat legal, depèn del control percebut. Les audiències jutgen les organitzacions sobretot per si semblaven tenir la situació sota control. Aquesta percepció es forma en les primeres hores, que és precisament per què un pla de resposta importa més que una eina de detecció.
La manera més pràctica de construir un pla de resposta davant deepfakes és mitjançant una seqüència temporal (decisions diferents pertanyen a fases diferents), i confondre-les sota pressió és on fallen la majoria de les respostes.
Segons investigacions sobre preparació organitzativa, més del 80% de les organitzacions no té cap protocol formal per gestionar incidents de deepfake. Aquesta absència no significa que no es faci res: significa que la improvisació omple el buit. I la improvisació, sota la pressió temporal d’un contingut d’IA que s’està difonent, tendeix a produir els tres errors més comuns: respondre massa ràpid, dir massa, o dir-ho a través de la veu equivocada.
Les primeres dues hores no són per a la comunicació pública. Són per a la claredat interna.
Verifica abans de respondre. Confirmar que el contingut és realment sintètic abans d’actuar no és cautela burocràtica: és la base d’una resposta creïble. Una correcció que es retracta perquè el contingut va resultar ser real és més perjudicial que un primer comunicat tardà.
Contén el relat intern. Designa un únic punt de coordinació. Que diverses persones parlin internament amb enquadraments diferents de la situació és com els missatges contradictoris arriben al públic.
Decideix qui parla i qui no. No tot deepfake requereix la veu més sènior de l’organització. De vegades aquesta escalada amplifica l’incident en lloc de resoldre’l. La decisió de qui parla i a quin nivell és una decisió estratègica, no una opció per defecte.
El primer comunicat públic no necessita ser exhaustiu. Necessita ser precís, serè i coherent en tots els canals que fa servir la teva organització. Un missatge que apareix de manera diferent a la web, a les xarxes socials i en les respostes als mitjans indica desorganització, cosa que en si mateixa ja és un dany a la credibilitat.
Tres elements que tot primer comunicat ha d’incloure sempre: el que saps (només fets confirmats), el que estàs fent (següents passos concrets, no tranquil·litzadors vagues) i on trobar informació actualitzada (una única font de veritat a la qual l’audiència pugui tornar).
El que no ha d’incloure: especulacions sobre qui és responsable, explicacions tècniques sobre com funcionen els deepfakes, o un llenguatge que sobre-escali l’incident.
Al setè dia, la crisi immediata pot haver passat, però la feina de reconstrucció de la confiança no ha acabat. Les obligacions de transparència del Reglament d’IA de la UE, que entren en vigor l’agost de 2026, estableixen que les organitzacions afectades per contingut d’IA tenen responsabilitats de declaració. Més enllà del compliment normatiu, hi ha una raó més fonamental per tancar el cicle: les audiències recorden si les organitzacions van explicar el que va passar i què van canviar com a resultat.
Un relat públic breu —no un llarg post mortem, sinó una declaració clara del que va passar, com va respondre l’organització i què ha posat en marxa— és la diferència entre un incident que erosiona la confiança i un que, ben gestionat, pot reforçar-la.
L’experiència en comunicació institucional de crisi (no específica de deepfakes, però directament aplicable) revela tres errors recurrents que sistemàticament amplien el dany en lloc de contenir-lo.
L’instint de refutar amb detall és comprensible. En la majoria dels casos, també és contraproduent. Repetir el contingut fals, tot i que sigui per negar-lo, augmenta el seu abast. L’enquadrament que funciona no és “aquest vídeo és fals perquè X, Y i Z”, sinó una afirmació clara del que és veritat, sostinguda per evidència creïble, sense donar al contingut artificial més visibilitat de la que ja té.
Canviar la persona que parla en nom de l’organització durant un incident actiu indica desacord intern o pèrdua de control, independentment del motiu real. Les audiències ho interpreten com a inestabilitat. Si el pla de resposta no designa un portaveu clar abans que es produeixi un incident, aquest error és gairebé inevitable.
En absència d’una veu institucional clara, altres veus omplen l’espai: els mitjans, els crítics, el mateix contingut d’IA. El silenci no és neutral; és una abdicació del relat. La pregunta no és si comunicar, sinó com comunicar amb precisió en lloc d’amb pressa.
Només el 32% dels executius creu que la seva organització està preparada per gestionar un incident de deepfake. Aquesta xifra és coherent amb un patró més ampli: les organitzacions planifiquen el risc financer, el reputacional i l’operatiu, però tracten els mitjans d’IA com un problema aliè: una qüestió de ciberseguretat, un assumpte d’IT, una pregunta de moderació de plataformes.
No ho és. És una qüestió de comunicació amb conseqüències institucionals.
Qui té autoritat per activar el pla de resposta? No qui redacta el comunicat, sinó qui té l’autoritat organitzativa per dir “estem davant un incident de deepfake i aquesta és la nostra resposta”. Aquesta autoritat necessita estar designada amb antelació, no negociada sota pressió.
Quina és la teva plantilla de primer comunicat preaprovada? No el missatge definitiu, sinó l’estructura i el to que seguirà qualsevol primer comunicat. Una plantilla revisada en condicions de calma és més coherent que una redactada en els primers noranta minuts d’un incident actiu.
Com protegeixes les persones del teu equip que apareixen al deepfake? Si el deepfake involucra un membre del personal o un soci, i no l’organització en el seu conjunt, el pla de resposta ha d’incloure un compromís clar amb aquesta persona: quin suport rep, com es prioritza la seva seguretat i com la resposta pública de l’organització no augmenta inadvertidament la seva exposició. El marc de transparència del Reglament d’IA de la UE està començant a establir estàndards aquí, però el compromís organitzatiu ha de precedir l’obligació regulatòria.
El panorama tecnològic dels deepfakes no és estable. Només en el primer trimestre de 2025 es van registrar 179 incidents de deepfake, superant el total de tot el 2024. Les eines que fa dos anys requerien experiència tècnica són ara accessibles per a qualsevol persona amb un telèfon mòbil. Un pla de resposta construït per a les condicions de 2023 no serveix per a la realitat de 2026.
La revisió anual no és burocràcia. És el compromís mínim per mantenir el pla operatiu.
Un pla de resposta davant deepfakes no és documentació de gestió de crisi que viu en una carpeta compartida fins que es necessita. És l’evidència visible d’una institució que ha pensat seriosament sobre com funciona la confiança, i el que cal per protegir-la quan està sota atac deliberat.
Les organitzacions que gestionen bé aquests incidents no són les que tenen les eines de detecció més sofisticades. Són les que ja han respost a les preguntes difícils abans que arribi la pressió: qui parla, què diu, com tracta les persones involucrades i què aprèn en públic.
Si estàs treballant en alguna part d’això a la teva organització —la coordinació interna, la qüestió del portaveu, o simplement per on començar— m’alegrarà escoltar en quin punt ets a LinkedIn. T’escolto.
Les institucions continuen dissenyant missatges per a feeds públics mentre les seves audiències prenen decisions en grups de WhatsApp als quals cap algorisme institucional no arriba. El problema no és tècnic. És una pregunta sobre com funciona la confiança quan desapareix la visibilitat i el que queda són relacions.
El teu equip ja fa servir IA, però encara no té regles clares? Aquesta guia pràctica explica com crear una política editorial d’IA en comunicació per decidir què es permet, qui revisa i com declarar-ne l’ús sense posar en risc la confiança.
Una història pot funcionar i, així i tot, fer mal. Aquesta guia pràctica t’ajuda a recopilar i publicar testimonis amb consentiment real, context i dignitat, sense convertir la gent en “material” de comunicació.