Deepfakes, fraude corporativo y lo que el derecho uruguayo permite hacer

Un riesgo que ya llegó a la región 

En enero de 2024, un empleado del área financiera de la multinacional Arup transfirió  25,6 millones de dólares a estafadores. Creía estar en una videollamada con su director  financiero y colegas. Todos eran deepfakes generados por inteligencia artificial.  

El caso no fue aislado: las cifras globales dan cuenta de estafas que aumentaron un  700% en 2025, la pérdida promedio por incidente supera los USD 280.000, y más del  55% de las empresas reportó pérdidas financieras atribuibles a fraude de voz o video  con IA en los últimos 12 meses. La mediana empresa es el blanco preferido: estructuras  jerárquicas más planas, menos instancias de control, mayor velocidad en la toma de  decisiones. 

No siempre el desenlace es ese. En julio de 2024, un ejecutivo de Ferrari recibió por  WhatsApp, desde un número desconocido, una serie de mensajes que aparentaban  provenir de su CEO: mencionaban una adquisición confidencial en curso, lo urgían a  firmar de inmediato un acuerdo de confidencialidad y aseguraban que el regulador y la  bolsa italiana ya habían sido informados. A los mensajes siguió una llamada telefónica  con la voz clonada del CEO, que reproducía con precisión hasta su acento del sur de  Italia. El ejecutivo, sin embargo, percibió leves irregularidades en la entonación y, para  verificar la identidad del interlocutor, le preguntó por el título de un libro que Vigna le  había recomendado días antes. El estafador no supo responder y cortó la comunicación.  Una pregunta simple evitó un fraude millonario: el reverso exacto del caso Arup, y la  mejor ilustración de que la verificación independiente funciona. 

Cómo funciona el ataque 

El esquema más frecuente es conocido como fraude del CEO: alguien que simula ser  el máximo directivo de la empresa instruye a un subordinado (habitualmente del área  financiera o de administración) a realizar una transferencia urgente y confidencial. En su versión tradicional era un correo con remitente falsificado. En 2026, es una llamada  telefónica con voz sintética indistinguible del original, o directamente una videollamada  con avatar en tiempo real. 

Los atacantes no improvisan. Recopilan previamente grabaciones del ejecutivo  disponibles en LinkedIn, apariciones en conferencias, entrevistas en podcasts o videos  institucionales. Con eso basta para clonar la voz con herramientas de acceso libre. El  empleado recibe una instrucción de alguien cuya voz reconoce, en un contexto de  urgencia que inhibe la verificación. El resultado es predecible. El propio caso Ferrari  muestra el patrón completo: un canal inusual, una operación secreta y una presión de  tiempo pensada para que nadie se detenga a confirmar. 

El derecho uruguayo: qué herramientas existen hoy 

La Ley N° 20.327 de Ciberdelitos incorporó al Código Penal el delito de fraude informático  (artículo 347 BIS), que alcanza tanto a quien mediante estratagemas o engaños  artificiosos induce en error para obtener información, como a quien realiza  manipulaciones informáticas para ejecutar transferencias o pagos no consentidos en  perjuicio de otro. La misma ley tipificó la suplantación de identidad y el acceso ilegítimo  a sistemas informáticos, habilitando la persecución penal de los responsables.  Complementariamente, el marco de la Ley N° 18.331 de protección de datos personales  impone obligaciones a quienes traten datos biométricos (incluyendo patrones de voz) sin  consentimiento del titular. 

En el plano de la responsabilidad civil, el artículo 1319 del Código Civil y la doctrina  consolidada en materia de daño extracontractual permiten reclamar reparación  patrimonial por el perjuicio sufrido, cuando se acredita el hecho ilícito, el daño y el nexo  causal. La dificultad no está en la norma: está en la prueba, en la velocidad con que se  actúa tras el incidente, y en la correcta identificación del responsable, que en la mayoría  de los casos está fuera del territorio uruguayo. 

La acción judicial posterior contra los estafadores (que en muchos casos operan desde  jurisdicciones extranjeras) enfrenta obstáculos probatorios y de competencia que hacen  imprescindible actuar con rapidez desde el primer momento. 

Medidas de prevención a nivel de empresa 

El litigio posterior al fraude es posible y en muchos casos exitoso. Pero el costo  (económico, reputacional y operativo) de llegar a ese punto es siempre superior al de la  prevención. Desde el punto de vista jurídico, hay tres medidas concretas que toda  empresa debe implementar: 

- Protocolo de verificación fuera de banda. Ninguna instrucción de pago por encima  de un umbral determinado (que la empresa debe fijar por escrito) debe ejecutarse sin  verificación independiente del canal original: una llamada de retorno al número  conocido del ejecutivo, por ejemplo. Es lo que salvó a Ferrari.  

- Cláusulas contractuales de ciberfraude. Los contratos con proveedores, clientes y  entidades financieras deben prever expresamente el régimen de responsabilidad ante instrucciones de pago fraudulentas, incluyendo el plazo y canal de notificación ante  un incidente. Un contrato bien redactado puede marcar la diferencia entre recuperar  el dinero y perderlo definitivamente. 

- Documentación del incidente desde el primer momento. Si el fraude ocurre, la  empresa debe preservar de inmediato toda evidencia digital: registros de llamadas,  metadatos, correos, capturas. La cadena de custodia de esa prueba es lo que  sostiene o destruye el caso judicial.  

Cierre: el derecho no espera pero tampoco improvisa 

El deepfake corporativo es un riesgo presente, con casos documentados en la región y  en el mundo, y con herramientas legales disponibles en Uruguay para enfrentarlo. La  pregunta no es si su empresa puede ser víctima. La pregunta es si, cuando ocurra, va a  estar en condiciones de actuar con rapidez, con prueba suficiente y con asesoramiento  que conozca tanto la tecnología como el derecho aplicable. 

Litigar este tipo de casos requiere dominio simultáneo del derecho penal informático, la  responsabilidad civil, la prueba digital y los mecanismos de cooperación internacional.  La diferencia entre recuperar el daño y asumirlo como pérdida depende, en gran medida,  de las decisiones que se toman en las primeras horas.