Cuando aparece un deepfake que involucra a tu organización, el instinto es tratarlo como una emergencia técnica: encontrar el contenido falso, demostrar que es falso y seguir adelante. Ese instinto es comprensible. Aunque, en la mayoría de los casos, también es insuficiente. Un plan de respuesta ante deepfakes para equipos de comunicación no es principalmente una herramienta de detección.
Es un instrumento de gestión de la confianza.
El vídeo o audio creado con inteligencia artificial (IA) es el detonante. Lo que determina el daño real es lo que tu organización hace (y deja de hacer) en las horas siguientes. Eso es una decisión de comunicación, no de ciberseguridad.
Esto importa especialmente para las instituciones que dependen de la credibilidad: ONGs, organismos públicos, organizaciones internacionales, grupos de incidencia política. Para ellas, un deepfake no es solo un inconveniente reputacional. Es un ataque directo a la infraestructura que hace que su comunicación importe.
La mayor parte del contenido en la red sobre deepfakes se centra en la detección: cómo identificarlos, qué herramientas usar, qué artefactos visuales buscar. Ese enfoque tiene sentido para los equipos de IT y seguridad. Para los equipos de comunicación, pasa por alto lo esencial.
Una investigación publicada en Frontiers in Psychology encontró que la exposición a deepfakes que muestran fallos institucionales aumenta la desconfianza pública en el gobierno, incluso después de que el contenido sea desmentido. La corrección llega demasiado tarde, o no llega en absoluto, porque la impresión emocional ya se ha formado. Este es el riesgo real: no el contenido falso en sí, sino el vacío de confianza que abre.
La UNESCO lo formuló con precisión en octubre de 2025: los deepfakes amenazan la confianza institucional en su base, no como incidentes aislados, sino como síntomas de una fragilidad más profunda en cómo las organizaciones producen, validan y comparten conocimiento. La implicación para los equipos de comunicación es directa: la respuesta no puede ser puramente reactiva. Tiene que estar anclada en algo que la audiencia ya confía: el historial de la organización, su transparencia y su coherencia bajo presión.
Para las instituciones que trabajan en asuntos sensibles —políticas públicas, acción humanitaria, incidencia, cambio social— un deepfake conlleva un riesgo específico que las organizaciones comerciales enfrentan con menos intensidad: convierte en arma la credibilidad que la propia organización ha construido. Un vídeo de IA de un director ejecutivo corporativo es dañino, pero un vídeo de IA de un director humanitario que aparece contradiciendo los valores declarados de la organización, o de un funcionario público que parece respaldar algo que no apoyó, opera en un registro completamente distinto.
El daño no depende de la responsabilidad legal, depende del control percibido. Las audiencias juzgan a las organizaciones sobre todo por si parecían tener la situación bajo control. Esa percepción se forma en las primeras horas, que es precisamente por qué un plan de respuesta importa más que una herramienta de detección.
La manera más práctica de construir un plan de respuesta ante deepfakes es mediante una secuencia temporal (distintas decisiones pertenecen a distintas fases), y confundirlas bajo presión es donde la mayoría de las respuestas fallan.
Según investigaciones sobre preparación organizativa, más del 80% de las organizaciones no tiene ningún protocolo formal para gestionar incidentes de deepfake. Esa ausencia no significa que no se haga nada: significa que la improvisación llena el vacío. Y la improvisación, bajo la presión temporal de un contenido artificial que se está difundiendo, tiende a producir los tres errores más comunes: responder demasiado rápido, decir demasiado, o decirlo a través de la voz equivocada.
Las primeras dos horas no son para la comunicación pública. Son para la claridad interna.
Verifica antes de responder. Confirmar que el contenido es realmente de IA antes de actuar no es cautela burocrática: es la base de una respuesta creíble. Una corrección que se retracta porque el contenido resultó ser real es más dañina que un primer comunicado tardío.
Contén el relato interno. Designa un único punto de coordinación. Que varias personas hablen internamente con encuadres distintos de la situación es como los mensajes contradictorios llegan al público.
Decide quién habla y quién no. No todo deepfake requiere la voz más senior de la organización. A veces esa escalada amplifica el incidente en lugar de resolverlo. La decisión de quién habla y a qué nivel es una decisión estratégica, no una opción por defecto.
El primer comunicado público no necesita ser exhaustivo. Necesita ser preciso, sereno y coherente en todos los canales que usa tu organización. Un mensaje que aparece de forma diferente en la web, en las redes sociales y en las respuestas a los medios señala desorganización, lo que es en sí mismo un daño a la credibilidad.
Tres elementos que todo primer comunicado debe incluir siempre: lo que sabes (solo hechos confirmados), lo que estás haciendo (próximos pasos concretos, no vagas tranquilizaciones) y dónde encontrar información actualizada (una fuente única de verdad a la que tu audiencia pueda volver).
Lo que no debe incluir: especulaciones sobre quién es responsable, explicaciones técnicas sobre cómo funcionan los deepfakes, o un lenguaje que sobre-escale el incidente.
Al séptimo día, la crisis inmediata puede haber pasado, pero el trabajo de reconstrucción de confianza no ha terminado. Las obligaciones de transparencia del Reglamento de IA de la UE, que entran en vigor en agosto de 2026, establecen que las organizaciones afectadas por contenido artificial tienen responsabilidades de declaración. Más allá del cumplimiento normativo, hay una razón más fundamental para cerrar el ciclo: las audiencias recuerdan si las organizaciones explicaron lo que ocurrió y qué cambiaron como resultado.
Un relato público breve —no un largo post-mortem, sino una declaración clara de lo que ocurrió, cómo respondió la organización y qué ha puesto en marcha— es la diferencia entre un incidente que erosiona la confianza y uno que, bien gestionado, puede reforzarla.
La experiencia en comunicación institucional de crisis (no específica de deepfakes, pero directamente aplicable), revela tres errores recurrentes que sistemáticamente amplifican el daño en lugar de contenerlo.
El instinto de refutar en detalle es comprensible. En la mayoría de los casos, también es contraproducente. Repetir el contenido falso, aunque sea para negarlo, aumenta su alcance. El encuadre que funciona no es «este vídeo es falso porque X, Y y Z», sino una afirmación clara de lo que es verdad, respaldada por evidencia creíble, sin darle al contenido de IA más visibilidad de la que ya tiene.
Cambiar a la persona que habla en nombre de la organización durante un incidente activo señala desacuerdo interno o pérdida de control, independientemente del motivo real. Las audiencias lo interpretan como inestabilidad. Si el plan de respuesta no designa un portavoz claro antes de que ocurra un incidente, este error es casi inevitable.
En ausencia de una voz institucional clara, otras voces llenan el espacio: los medios, los críticos, el propio contenido sintético. El silencio no es neutral; es una abdicación del relato. La pregunta no es si comunicar, sino cómo comunicar con precisión en lugar de con prisa.
Solo el 32% de los ejecutivos cree que su organización está preparada para gestionar un incidente de deepfake. Esa cifra es coherente con un patrón más amplio: las organizaciones planifican el riesgo financiero, el reputacional y el operativo, pero tratan los medios artificiales como un problema ajeno: una cuestión de ciberseguridad, un asunto de IT, una pregunta de moderación de plataformas.
No lo es. Es una cuestión de comunicación con consecuencias institucionales.
¿Quién tiene autoridad para activar el plan de respuesta? No quién redacta el comunicado, sino quién tiene la autoridad organizativa para decir «estamos ante un incidente de deepfake y esta es nuestra respuesta». Esa autoridad necesita estar designada con antelación, no negociada bajo presión.
¿Cuál es tu plantilla de primer comunicado pre-aprobada? No el mensaje definitivo, sino la estructura y el tono que seguirá cualquier primer comunicado. Una plantilla revisada en condiciones de calma es más coherente que una redactada en los primeros noventa minutos de un incidente activo.
¿Cómo proteges a las personas de tu equipo que aparecen en el deepfake? Si el deepfake involucra a un miembro del personal o a un socio, y no a la organización en su conjunto, el plan de respuesta debe incluir un compromiso claro con esa persona: qué apoyo recibe, cómo se prioriza su seguridad y cómo la respuesta pública de la organización no aumenta inadvertidamente su exposición. El marco de transparencia del Reglamento de IA de la UE está comenzando a establecer estándares aquí, pero el compromiso organizativo debe preceder a la obligación regulatoria.
El panorama tecnológico de los deepfakes no es estable. Solo en el primer trimestre de 2025 se registraron 179 incidentes de deepfake, superando el total de todo 2024. Las herramientas que hace dos años requerían experiencia técnica son ahora accesibles para cualquier persona con un teléfono móvil. Un plan de respuesta construido para las condiciones de 2023 no sirve para la realidad de 2026.
La revisión anual no es burocracia. Es el compromiso mínimo para mantener el plan operativo.
Un plan de respuesta ante deepfakes no es documentación de gestión de crisis que vive en una carpeta compartida hasta que se necesita. Es la evidencia visible de una institución que ha pensado en serio sobre cómo funciona la confianza, y lo que se necesita para protegerla cuando está bajo ataque deliberado.
Las organizaciones que gestionan bien estos incidentes no son las que tienen las herramientas de detección más sofisticadas. Son las que ya han respondido las preguntas difíciles antes de que llegue la presión: quién habla, qué dice, cómo trata a las personas involucradas y qué aprende en público.
Si estás trabajando en alguna parte de esto en tu organización —la coordinación interna, la cuestión del portavoz, o simplemente por dónde empezar— me alegraría escuchar en qué punto estás en LinkedIn. Te leo.
El AI Act para equipos de comunicación va mucho más allá de aprender a utilizar herramientas. Esta guía explica las obligaciones de 2026 y cómo convertirlas en criterios claros de uso, revisión y transparencia.
Explicar una decisión pública no va de sonar impecable. Va de mostrar criterios, límites y retorno para que pueda entenderse como razonable y responsable.
Una campaña puede tener un mensaje responsable y distribuirse mediante una experiencia que presiona. La confianza también se diseña.