En 2026, la firma británica de ingeniería Arup perdió 25 millones de dólares después de que un empleado del departamento financiero de su oficina en Hong Kong realizara una transferencia tras participar en una videollamada en la que todos los asistentes, incluido el director financiero, eran recreaciones generadas mediante inteligencia artificial (IA). Durante la reunión, nadie despertó sospechas. El empleado vio rostros familiares, escuchó voces conocidas, siguió las instrucciones recibidas y todo le pareció real. Este caso demuestra que los deepfakes son hoy un riesgo real para cualquier organización. Ya no hablamos de vídeos borrosos ni de voces robóticas fáciles de identificar, sino de contenidos con un nivel de realismo suficiente para engañar, incluso, a personas atentas y experimentadas.
Según el Foro Económico Mundial, la desinformación generada con inteligencia artificial se ha convertido en el riesgo global más urgente a corto plazo. Desplaza así a amenazas que hasta hace poco lideraban el ranking, como la crisis del coste de la vida -que ocupó el primer puesto en 2023- o los fenómenos meteorológicos extremos, que durante años se disputaron esa posición con los conflictos geopolíticos. La razón es que un vídeo falso de un directivo diciendo algo que nunca dijo, o un audio con su voz autorizando algo que nunca validó, puede causar más daño en una hora que una crisis de reputación tradicional en toda una semana.
Prepararse para este tipo de ataque depende menos de herramientas técnicas y más de tener claro, con anticipación, quién actúa y en qué orden. Ahí es donde entra la comunicación: un trabajo que empieza mucho antes de que aparezca cualquier vídeo falso, cuando todavía hay tiempo para pensar con calma y sin presión.
El primer paso consiste en sentar en la misma mesa a los departamentos de Comunicación, Legal y al equipo responsable de la Seguridad de la Información, algo que hasta hace poco se consideraba opcional y hoy ya no lo es. Utilizar la imagen o la voz de un directivo sin su autorización tiene implicaciones legales concretas que conviene localizar antes de que se produzca el incidente, no una vez que este ya ha ocurrido.
Hay otro paso simple e igual de importante que consiste en decidir con anticipación quién debe recibir el aviso cuando un empleado detecte algo raro. En la práctica, muchas organizaciones no lo definen, así que la primera persona que ve un vídeo sospechoso no sabe a quién avisar ni qué hacer con él, por lo que termina comentándolo en el grupo de la oficina antes que con alguien capaz de actuar. Un canal único y conocido por todos, ya sea un correo, una persona o un proceso simple, basta para que ese primer aviso llegue en minutos y no en horas.
También ayuda tener ya escritas, aunque sea en borrador, las líneas maestras del mensaje para los escenarios más probables: qué se diría si el contenido falso se confirma, qué se comunicaría mientras se verifica y qué se explicaría después. No hace falta redactar el comunicado final, porque cada caso es distinto, pero conviene evitar empezar desde cero mientras un vídeo ya circula. Además, cultivar con anticipación la relación con un grupo reducido de periodistas de confianza forma parte del mismo trabajo, porque ese tipo de relación no se improvisa en mitad de una crisis, sino que se construye con tiempo.
Toda esta preparación sirve de poco si, en el momento en que el vídeo aparece, nadie sabe cómo reaccionar. Detectado el contenido falso, el instinto pide responder de inmediato, pero actuar con rapidez sin haber verificado antes puede ser el error más costoso. Sacar a un directivo a pedir disculpas por algo que no hizo antes de confirmar que el vídeo es falso empeora la situación, ya que se da por cierto el problema y se coloca a esa persona en el centro de una historia aún sin aclarar. Por eso, primero se verifica y después se comunica.
Lo ideal es que la decisión recaiga en un grupo pequeño y definido de antemano que incluya a los departamentos de Comunicación y Legal, además de la máxima autoridad de la empresa. Este equipo debe poder moverse sin necesidad de convocar reuniones ni esperar validaciones, ya que cuantas más personas intervienen en las primeras decisiones, más lento va todo y mayor es el riesgo de filtrar información a medio confirmar, justo lo que alimenta el ruido que se busca evitar.
Además, no todos los casos piden la misma respuesta. Un vídeo que circula en un rincón pequeño de redes sociales, visto por pocas personas, no es lo mismo que uno que ya llegó a medios de comunicación o afecta a la cotización o a las decisiones de clientes e inversores.
En el primer caso conviene vigilar de cerca sin decir nada, porque una respuesta pública a algo que casi nadie vio le da la visibilidad que no tenía. Esperar y seguir vigilando, en lugar de sentir la obligación de decir algo enseguida también es una decisión de comunicación y, con frecuencia, la más acertada. De hecho, el nombre de Arup no se hizo público hasta meses después del incidente, cuando la prensa internacional lo reveló. Un ejemplo real de esa contención deliberada.
En el segundo caso hace falta una respuesta activa e inmediata. Definir con anticipación, según la gravedad, el punto donde se pasa de una postura a otra evita discutirlo en caliente.
Verificado el vídeo y decidido cómo responder queda la parte más delicada: encontrar la manera de desmentirlo sin generar más ruido del que ya existe. Porque desmentir algo no siempre reduce el daño. A veces incluso lo aumenta, haciendo que el silencio estratégico sea en ocasiones una decisión acertada.
No repitas el bulo
Existe un fenómeno estudiado en psicología según el cual, aunque una persona reciba y entienda un desmentido, una parte de su memoria conserva la idea falsa original, sobre todo cuando el desmentido repite la mentira para negarla. Decir «el director general no fue detenido» deja en la memoria de mucha gente las palabras «director general» y «detenido» asociadas durante días, aunque el mensaje dijera lo contrario. Por eso, un desmentido eficaz evita repetir el bulo y va directo al hecho, mostrando dónde estaba esa persona, qué hacía y cuál es la versión cierta, dejando que ese hecho desplace por sí mismo a la versión falsa.
Algo que también ayuda es que el mensaje salga de un único lugar. Cuando distintas personas de la empresa dan versiones ligeramente diferentes del mismo desmentido, la contradicción entre esas versiones sirve a quien creó el contenido falso para sembrar más dudas. Por ello, concentrar el mensaje oficial en un canal y una voz, y hacer que el resto de la organización remita a esa fuente en lugar de improvisar explicaciones propias, evita esa contradicción.
También es importante tener en cuenta que ese desmentido no cierra el asunto de inmediato. Una vez el contenido falso deja de moverse y el mensaje queda establecido, queda trabajo por hacer: sentarse con el equipo a revisar qué funcionó y qué no, si el canal de aviso interno se usó como estaba previsto, si el mensaje llegó a tiempo y dónde se atascó la respuesta. Este tipo de acciones permiten actualizar el protocolo teniendo en cuenta que la próxima vez, si la hay, no será igual.
Asimismo, unas semanas después conviene comprobar que la versión correcta de los hechos sigue siendo la que aparece cuando alguien busca información sobre lo ocurrido.
Cualquier marca con un portavoz reconocible, un directivo con presencia pública o una audiencia que confía en lo que ve y escucha de ella enfrenta este riesgo antes o después. La diferencia entre gestionarlo bien o mal depende de la tecnología de detección que tenga la empresa y, sobre todo, de la comunicación, puesto que es quien decide, qué se dice y cuándo conviene no decir nada.
Del silencio que salva a la respuesta que hunde: así se gestiona (o se destroza) una crisis de reputación