Uma captura, uma ata, um áudio ou um vídeo podem conservar aparência documental sem conservar procedência confiável. O AI Incident Database mantém um catálogo público de danos relatados vinculados a sistemas de IA, incluindo casos de falsificação de identidade e conteúdo sintético. O catálogo demonstra existência e permite estudar casos; não mede prevalência. Para o auditor, a consequência é concreta: o conteúdo inicia a revisão e a procedência decide quanto peso ele pode ter.
O alcance do alerta
O marco é o Critério 14 — integridade da evidência — e sua raiz, o Critério 02. Ator, data, critério, escopo e vigência podem constar em um registro fabricado; por isso a revisão visual não basta. Os casos a seguir provam o risco e sua consequência institucional. Não autorizam a estimativa da frequência no mercado nem a presunção de que uma evidência concreta seja sintética.
O processo. A patologia precede a tecnologia
O risco precede a IA generativa
APAS determinou descumprimentos profissionais nas auditorias da Wirecard de 2016 a 2018. A resolução se apoiou em papéis de trabalho, comunicações, depoimentos e informações de terceiros e sancionou a firma e cinco auditores. O processo oficial não autoriza reduzir todo o caso a uma classe de documento; mas prova que a corroboração e os papéis de trabalho fazem parte do problema antes de qualquer deepfake.
A revisão documental teve um limite explícito
Em 2024, Umweltbundesamt rejeitou certificados para oito projetos UER na China por irregularidades. Sete solicitações foram retiradas após objeções legais e técnicas e diante da possibilidade de uma revisão no local. A autoridade deixou uma conclusão direta: a avaliação remota com imagens de satélite ou a revisão em papel de relatórios apresentados nem sempre basta para detectar e provar abuso. Esse limite é transferível ao método; os detalhes do caso não se generalizam.
O conteúdo sintético já faz parte do universo de incidentes
AI Incident Database cataloga incidentes relatados que incluem falsificação de identidade, áudio, imagem e vídeo sintéticos. Sua base muda com novas incorporações e depende de cobertura pública; por isso este relatório não congela uma contagem nem atribui ao registro uma classificação produzida por terceiros. O dado defensável é qualitativo: o auditor já deve contemplar evidência sintética em seu modelo de risco.
Risco de fabricação e controle de procedência
A tabela não atribui minutos nem custos universais. Organiza o risco de alteração e o controle de procedência que corresponde a cada suporte.
| Tipo de evidência | Risco relevante | O que estabelece sua procedência |
|---|---|---|
| Captura de tela ou extrato | Edição, seleção parcial ou geração fora do sistema de origem | Acesso direto do verificador à fonte e registro da consulta |
| PDF com timbre e assinatura | Alteração do conteúdo, da assinatura ou dos metadados | Verificação com o emissor ou o registro público; carimbo de tempo quando o risco o justifica |
| Logs e registros de sistema | Extração seletiva, modificação ou geração posterior ao fato | Custódia técnica, controles de acesso, integridade e correlação com uma fonte independente |
| Áudio e vídeo | Falsificação de identidade, edição ou geração sintética | Canal controlado pelo verificador, captura própria e cadeia de custódia do material recebido |
A constante está na terceira coluna. Acesso ao sistema de origem, captura própria e corroboração independente sustentam o valor probatório quando a aparência do conteúdo já não basta.
A resposta do ofício
O Critério 14 incorpora procedência, integridade e custódia à constatação. Na operação, exige classificar a evidência como capturada pelo verificador, corroborada com fonte independente ou fornecida pela parte interessada. Depois são revisados os metadados e controles de custódia conforme o risco. A diferença entre a data de criação e a data declarada é um sinal; precisa de contexto antes de se tornar uma constatação.
Resta o movimento que muda os relatórios. A evidência-chave que se sustenta apenas na palavra do auditado deixa de fundamentar a constatação e fica pendente de corroboração — e o relatório declara isso com essas palavras. O Critério 02 fecha o marco. O que se afirma se demonstra, e a demonstração alcança agora o suporte que a traz.
Antes de sua próxima auditoria — interna ou externa —, acrescente uma coluna à sua matriz de evidências · procedência. Para cada evidência que tenha peso em uma constatação, registre quem a produziu, em que sistema, que caminho percorreu até a mesa e que proteção teve contra alteração. Defina de antemão que tipos de evidência exigem captura direta do verificador — extratos de sistema, material audiovisual de identidade — e quais aceitam fornecimento com corroboração. O grau de corroboração é declarado no relatório, evidência por evidência.
A síntese é operacional: o registro fornecido sem corroboração tem menos peso que o capturado ou confrontado pelo verificador. O relatório deve declarar essa diferença antes de fundamentar uma conclusão.