Quienes ya creen en la IA: ¿por qué es tan difícil identificar el contenido generado por IA?

Seguramente has visto (o incluso usado) esta expresión en comentarios e historias: "Ya me lo creía". Aparece debajo de ese video de un animal haciendo algo imposible, esa selfie sospechosamente perfecta en el aeropuerto, ese audio que suena como si alguien famoso estuviera diciendo tonterías. Es el pie de foto perfecto para ese segundo de "¡Uy, casi me lo creo!". Y es gracioso porque es cierto: hoy en día, menos del 1% de las personas pueden identificar correctamente el contenido falso generado por IA, ya sea una foto, un audio o un video.

En esencia, la broma describe una estadística real. Y aquí es donde la cosa se pone seria: en Brasil, el fraude con deepfakes creció un 400 % en 2026, y la IA ya está presente en el 42,5 % de los fraudes financieros registrados en el país, según la Policía Federal. En otras palabras: ese mismo instinto de incredulidad que te hace reír con un vídeo de un gato es también lo que los estafadores explotan para convencer a las empresas de que transfieran dinero.

Pero, ¿de dónde viene ese "Ya lo creía"?

Para ser sinceros, no hay un origen oficialmente catalogado, ni una sola publicación que "inventara" la expresión, al menos no que hayamos podido confirmar. Lo más probable es que sea una de esas frases que surgieron de forma natural, como suele ocurrir en internet en Brasil: alguien la dice en un comentario, se populariza, se convierte en una reacción habitual y, de repente, está por todas partes.

Y tiene todo el sentido que se haya popularizado justo ahora. Vivimos rodeados de contenido generado por IA constantemente, desde el "arte" al estilo Ghibli que inundó Instagram hasta videos hiperrealistas de cosas que nunca sucedieron. Que la IA ya lo crea se ha convertido casi en un reflejo, como ese momento en que lees una noticia extraña y, antes de compartirla, te detienes a pensar: "¿Es esto real?".

El problema es que este reflejo es cada vez menos fiable, no porque nos hayamos distraído más, sino porque lo "generado por la IA" es demasiado bueno.

Los modelos generativos han evolucionado hasta el punto de producir imágenes, vídeos y audios capaces de convencer incluso a quienes ya están acostumbrados a detectar el contenido artificial. Y hay una ironía en ello: cuanto más aprendemos a desconfiar de lo que vemos en internet, más sofisticado debe ser el contenido falso para burlar nuestro filtro, y aun así, lo consigue.

El resultado es una especie de fatiga por desconfianza. Ya no sabemos qué es verdad; en muchos casos, tampoco sabemos si vale la pena confiar en nuestra propia capacidad para distinguir entre ambas. Y este problema ya no se limita a los vídeos virales.

También te puede interesar: El cuello de botella de los agentes de IA en Brasil: no es la tecnología, es la confianza.

¿Por qué casi nadie puede identificar un deepfake hoy en día?

¿Recuerdas cuando podías "captar" una imagen de IA con solo mirar las manos quemadas de siete dedos? Bueno, esos días quedaron atrás. Durante un tiempo, identificar una falsificación digital dependía de buscar errores: manos extrañas, una voz demasiado robótica, movimientos raros, un rostro que no coincidía del todo con el habla. La IA generativa ha eliminado gran parte de estos errores, y los datos del mercado lo confirman inequívocamente: los estudios indican que menos del 1 % de las personas pueden identificar correctamente el contenido falso generado por IA de forma consistente.

Hoy en día, el contenido falso puede ser técnicamente convincente y, sobre todo, contextualmente convincente, y esta segunda característica es la más engañosa. Un vídeo de una persona conocida diciendo una frase absurda aún genera sospechas (aún podemos detectarlo). El problema surge cuando esa misma persona dice algo plausible, dentro de un contexto conocido, usando su propia voz y gestos. Entonces, la dificultad deja de ser percibir una anomalía y se convierte en desconfiar de algo que parece completamente normal. Y desconfiar de lo normal es mucho más difícil (y agotador) que desconfiar de lo extraño.

Lea también: Fraude del Black Friday: cómo proteger su operación

Del meme a la estafa: cómo esto ya se está explotando

Bien, hasta ahora todo va bien, pero esperen, porque la broma tiene un lado serio. Este escenario es muy relevante para la seguridad de la información, ya que la mayoría de los ataques no comienzan con una vulnerabilidad técnica; comienzan con alguien al que se convence de hacer algo. Es el mismo principio que subyace al phishing, la ingeniería social y el fraude de identidad, solo que ahora con un factor de persuasión adicional.

Las cifras de Brasil para 2026 muestran claramente la tendencia:

El apodo «Estafa del CEO 2.0», acuñado por entidades del sector financiero, resume acertadamente el patrón: el delincuente simula la voz (o el vídeo) de un ejecutivo para autorizar una transferencia o conceder acceso. En 2024, un caso muy sonado involucró un intento de fraude mediante audio deepfake que imitaba la voz de un CEO solicitando una transferencia urgente. El intento fracasó únicamente porque un ejecutivo desconfiado formuló una pregunta personal cuya respuesta solo el verdadero CEO podría conocer. En otros casos reportados en todo el mundo, este tipo de verificación simplemente no se llevó a cabo y se confirmaron las pérdidas.

Un delincuente puede utilizar información pública sobre un ejecutivo (una entrevista, un vídeo de LinkedIn, una llamada grabada) para crear un método de comunicación mucho más parecido al que utiliza esa persona en realidad. Puede combinar texto, voz e imagen para crear una solicitud que parezca legítima. Puede usar la urgencia, el contexto y la autoridad para reducir el tiempo que tiene la víctima para cuestionar la solicitud.

Por lo tanto, la tecnología no crea un problema nuevo. Simplemente hace que un problema antiguo (la ingeniería social) sea mucho más acuciante. Y ese es quizás el punto más importante del debate: la principal vulnerabilidad no reside necesariamente en el deepfake en sí, sino en la decisión que intenta provocar.

El límite de "enseñar a la gente a ser más desconfiada"

Cuando surge este tema, surge una reacción natural: capacitar a las personas para identificar contenido generado por IA. Esto sigue siendo importante; los equipos deben conocer las señales más comunes y comprender que la voz y la imagen ya no son prueba suficiente de identidad.

Pero este enfoque tiene un límite claro, y la cifra de "menos del 1%" lo evidencia: si la seguridad depende exclusivamente de que alguien note que un audio en particular "suena extraño", la responsabilidad recae en una capacidad humana que nunca fue diseñada para funcionar como mecanismo de autenticación. El cerebro utiliza el contexto, la familiaridad y los patrones para decidir rápidamente; la mayoría de las veces esto es una ventaja, pero es precisamente esta predictibilidad la que puede ser explotada.

Por lo tanto, el auge de los deepfakes lleva a una conclusión incómoda para las empresas: no basta con enseñar a la gente a desconfiar más. Es necesario crear procesos que no se basen únicamente en su desconfianza.

Seguridad que funciona incluso cuando la estafa parece legítima

Este cambio de perspectiva traslada parte de la responsabilidad del individuo al sistema. En la práctica, esto significa:

• Se requiere una segunda confirmación para transacciones de alto impacto (transferencias, cambios en los datos , concesión de acceso a sistemas críticos), independientemente de lo convincente que pueda parecer la solicitud;
• La autenticación multifactor (MFA) debe ser la norma, no la excepción; la voz y la imagen por sí solas ya no son prueba suficiente de identidad.
• Controles de acceso proporcionales al riesgo, que limitan los privilegios y supervisan comportamientos inusuales;
• Procedimientos formales para cambios delicados con proveedores y socios, que no dependan de que una sola llamada telefónica o mensaje "parezca legítimo".

La lógica es simple: cuanto mayor sea el impacto de una decisión, menos debería depender de una sola prueba de identidad. Una persona puede creer que está hablando con el director ejecutivo, pero una transferencia financiera importante no debería depender únicamente de eso.

¿Qué lugar ocupa la arquitectura de seguridad en esta conversación?

Esta es precisamente la lógica detrás de una arquitectura de Confianza Cero: en lugar de basarse en una sola prueba (la voz familiar, el rostro conocido, el mensaje que "parece" provenir del lugar correcto), el acceso a sistemas críticos requiere autenticación obligatoria antes de cualquier lanzamiento, con MFA y controles que no dependen del juicio humano en el momento del ataque. Es este tipo de capa, la autenticación sólida antes del acceso a la aplicación, y no después de que alguien "confíe en la voz del jefe", la que Skyone Autosky aplica para proteger el acceso a los sistemas empresariales. En cuanto a la monitorización, las herramientas de análisis de amenazas y SOC/SIEM ayudan a identificar comportamientos inusuales incluso cuando la solicitud inicial parecía perfectamente legítima, porque la defensa no puede depender de que alguien "se dé cuenta a tiempo".

Y existe un problema aún mayor: la confianza digital

Quizás el efecto más interesante de la popularización de los deepfakes no sea el aumento de las estafas, sino la erosión de la confianza. Cuando sabemos que se puede clonar una voz, crear una imagen y falsificar un vídeo, empezamos a cuestionar lo que antes se consideraba prueba. Una llamada telefónica puede no ser suficiente. Una foto puede no ser suficiente. Un vídeo puede no ser suficiente.

Esto cambia la dinámica de las empresas que dependen cada vez más de las interacciones digitales. Existe una diferencia importante entre autenticidad y apariencia de autenticidad. El contenido puede parecer perfectamente legítimo y, sin embargo, no serlo. Por lo tanto, la cuestión de la seguridad comienza a cambiar: en lugar de simplemente "¿esto parece cierto?", la pregunta correcta es "¿cómo puedo confirmar que esto es cierto?".

Escrito por Skyone