Deepfake: what it is, how to recognise it and what to do when it concerns your company

What is a deepfake and what does the word mean?

Deepfake, co to znaczy w najprostszych słowach? To materiał, który udaje rzeczywistość: twarz, głos lub całą scenę wygenerowaną przez model AI. Słowo „deepfake” nie ma dobrego polskiego tłumaczenia. Dosłownie to „głęboka fałszywka”, na co dzień mówi się po prostu „deepfake” albo „fałszywe nagranie AI”, a angielskie „deepfake meaning” oznacza to samo: syntetyczny materiał, który można wziąć za autentyczny.

A deepfake isn’t a single type of file. It can be a video with a swapped face, a voice recording that sounds like the CEO, a photo of an event that never took place, or even an entire video call with several fake participants. They have one thing in common. The viewer has no reason to suspect they are looking at something artificial.

Alongside deepfakes, simpler manipulations also circulate that don’t require AI at all: a real recording taken out of context, slowed down, or with a changed caption or date. For a communications team, the difference is smaller than it seems, because in both cases you need to establish the original and show it to your audience quickly. The response procedure described below therefore works regardless of whether the fake was made by an AI model or by someone with editing software. We describe how deepfakes fit into the wider picture of AI risks and opportunities in our guide to artificial intelligence for business.

What is a deepfake under the law?

Prawną definicję deepfake znajdziesz w jednym akcie. Unijne rozporządzenie o sztucznej inteligencji (AI Act, art. 3 pkt 60) definiuje deepfake jako wygenerowane lub zmanipulowane przez AI obrazy, treści dźwiękowe lub wideo, które przypominają istniejące osoby, przedmioty, miejsca lub zdarzenia i które odbiorca mógłby niesłusznie uznać za autentyczne.

From 2 August 2026, a company that publishes such material must disclose that it has been artificially generated (Article 50). The European Commission explains that the label must be visible or audible at the viewer’s first contact with the material, with an exception for evidently artistic, satirical or fictional works, where disclosure in a way that doesn’t spoil the experience is enough. We have gathered practical examples of labelling in our article on labelling AI content from 2 August 2026, and we cover the whole regulation in The AI Act in Poland.

How does deepfake technology work?

An AI deepfake is produced by models that learn from many examples what a given person looks and sounds like, and then generate new frames or audio. It used to take hundreds of photos and a powerful computer; today a few recordings from a conference or interview are enough, because the work is done by a ready-made deepfake generator in the browser or a deepfake app on a phone, available to practically anyone.

For a company, there is one conclusion. The material needed to fake the CEO is usually already online: in speeches, interviews, recruitment videos. It can’t be “hidden”, but you can prepare procedures that stop a fake from working. We don’t name specific apps, because using them to impersonate real people breaks the law and platform rules.

Examples of deepfakes that affect companies

The most common examples of deepfakes in business fall into five groups:

• Fake investment ads featuring the likeness of a well-known entrepreneur. The most high-profile Polish case is the dispute between Rafał Brzoska and Omena Mensah and Meta: according to PRoto.pl, on 29 April 2026 the Court of Appeal in Warsaw held the platform liable for such ads.
• A forged transfer instruction. The voice or image of the “CEO” in a conversation with the finance department. As CNN reported in May 2024, an employee of Arup in Hong Kong transferred around USD 25 million after a video call in which all the other participants were generated by AI.
• A fake board statement o zwolnieniach, wycofaniu produktu albo upadłości, rozesłane w mediach społecznościowych. Jak przerwać taką falę, piszemy w tekście o tym, jak zatrzymać fałszywe informacje na temat firmy.
• A manipulated product video, in which the product ‘breaks down’ or ‘explodes’.
• A fake expert. A non-existent person with a generated face who “confirms” false information about the company.

How big is the problem in Poland?

According to Wirtualnemedia.pl on 22 September 2026, NASK detected 16,000 AI-generated ads using the likenesses of more than 450 people over five weeks of monitoring. Earlier, in May, Telix.pl reported 13,200 deepfake ads and 380 likenesses used. In a Quantify survey of 1,000 adult Poles, 66% failed to recognise a fake voice recording, and 58% of employees didn’t know what deepfake content is.

These figures mainly describe advertising scams using well-known names. In a mid-sized company, the risk looks different. The reach is smaller, but the target is more precise: the finance department, the most important client, local media.

Czym jest deepfake z perspektywy działu finansów? Po prostu nowym opakowaniem starego oszustwa „na prezesa”. Zmienia się tylko jedno: głos w słuchawce brzmi przekonująco. Deepfake prezesa nie musi być idealny, bo pracownik słyszy go przez telefon, w pośpiechu i pod presją czasu. Dlatego obrona leży w procedurze, a nie w słuchu.

How can you recognise a deepfake?

No single signal gives certainty, and detection tools err in both directions. In September 2026, NASK presented a tool called DROZD, which analyses image, audio, text and context at the same time; according to Super Biznes on 23 September 2026, it has not yet been announced when and to whom it will be available. Until then, the only certainty comes from confirmation at the source. We have gathered the warning signs in a table:

What to do step by step when a deepfake targets your company

Speed matters. The first hour decides whose version spreads. A full plan for the crisis team, broken down into quarter-hours, is set out in our plan for the first hour of an AI-driven crisis. Ogólne zasady przygotowania, niezależne od AI, zebraliśmy w poradniku, jak zabezpieczyć się przed kryzysem. Below is a short version.

1. STEP 01Secure the evidence

   Screenshots, URLs, dates, view counts, account names. Before anything disappears.

2. STEP 02Confirm at the source

   Ask the person shown in the material whether they were in that place and said those things.

3. STEP 03Report it to the platform

   As impersonation or fraud. For ads, use the ad reporting form.

4. STEP 04Publish a short denial

   On the company website and in your own channels: what is fake, how you know, and where the real information is.

5. STEP 05Inform employees and partners

   Before they find out online. An employee who knows the explanation won’t pass the fake on.

6. STEP 06Check after a week and after a month

   Check what ChatGPT and Gemini say about the matter. Models can keep repeating the false version for a long time if up-to-date sources with an explanation are missing online, so your denial must sit in places the models read: on the company website, in the media and on industry websites.

How much does it cost to protect a company against deepfakes?

Większość zabezpieczeń to procedury, a nie drogie technologie. Budżet zależy od wielkości firmy i od tego, ile osób może stać się celem podszywania się. W małej firmie często wystarczy jedna strona instrukcji dla księgowości i krótkie spotkanie z zarządem, a w dużej dochodzą monitoring, szkolenia w oddziałach i regularne ćwiczenia. Gdy sygnałów jest dużo, pomaga Commwork®AI system: przy nagłym wzroście negatywnych wzmianek ocenia powagę sprawy, zwołuje zespół i podsuwa wstępne oświadczenie, które podpisuje człowiek.

Próg decyzji jest tu prosty. Jeśli w Twojej firmie choć jedna osoba może zlecić przelew na podstawie samego telefonu albo wideorozmowy, zacznij od zasady drugiego kanału jeszcze w tym tygodniu. Kosztuje godzinę spotkania, a zamyka drogę, którą przeszło oszustwo na 25 mln dolarów opisane wyżej.

Dalsze kroki, czyli monitoring, wzory dementi i ćwiczenia, najlepiej zaplanować razem z ludźmi, którzy prowadzili już kryzysy. Jeśli chcesz, żeby ochrona przed deepfake była gotowa, zanim będzie potrzebna, zobacz, jak wygląda crisis management at Commplace.

Wybierając dostawcę monitoringu albo agencję kryzysową, zapytaj o pięć rzeczy:

1. Po ilu minutach od publikacji dostanę alarm o nagraniu z nazwiskiem prezesa?
2. Czy monitoring obejmuje reklamy w sieci, a nie tylko artykuły i posty?
3. Kto u Was ocenia powagę sygnału w nocy i w weekend?
4. Czy przygotujecie wzór dementi, który zarząd zatwierdzi z wyprzedzeniem?
5. Jak zmierzycie czas reakcji podczas ćwiczenia?

Deepfake w firmie, czyli 90 dni przygotowań na przykładzie

To scenariusz poglądowy, a nie historia klienta. Pokazuje, jak rozłożyć przygotowania w czasie, żeby nie sparaliżować zespołu.

Miesiąc pierwszy. Załóżmy, że średnia firma produkcyjna z rozpoznawalnym prezesem spisuje osoby, pod które najłatwiej się podszyć: zarząd, dyrektora finansowego, rzecznika. Księgowość dostaje jednostronicową instrukcję drugiego kanału. Każde polecenie przelewu, które przyszło głosem albo wideo, potwierdza się telefonem na znany numer. Bez wyjątków, także gdy „prezes się spieszy”.

Miesiąc drugi. Rusza alarm na nazwiska zarządu i nazwę firmy. Dział komunikacji przygotowuje dwa wzory komunikatu: krótkie dementi do mediów społecznościowych i informację dla pracowników. Zarząd zatwierdza je z góry, żeby w dniu kryzysu nikt nie szukał podpisu. Równolegle krótkie szkolenie dla zespołu, bo według badania Quantify 58% pracowników nie wiedziało, czym są treści deepfake.

Miesiąc trzeci. Ćwiczenie. Ktoś z zespołu dostaje spreparowany, oznaczony jako ćwiczenie przykład deepfake’a: nagranie „prezesa” ogłaszającego wycofanie produktu. Mierzysz czas od pierwszego sygnału do opublikowania dementi i zapisujesz, co utknęło. Zwykle nie technologia, tylko zgoda: kto może podpisać komunikat, gdy prezes jest w samolocie?

Dlaczego ćwiczenie, a nie kolejna prezentacja? Bo dopiero przy spreparowanym nagraniu wychodzi, że numer telefonu do rzecznika jest nieaktualny, wzór dementi leży w skrzynce osoby na urlopie, a dział obsługi klienta nie wie, co odpowiadać, gdy dzwonią zaniepokojeni odbiorcy. Takich rzeczy nie widać na slajdach. Widać je po kwadransie.

Po ćwiczeniu zostaje lista kontrolna, którą sprawdzaj co kwartał:

• Wiemy, kto w nocy potwierdza albo dementuje nagranie zarządu.
• Żaden przelew nie wychodzi na podstawie samego głosu lub wideo.
• Alarm obejmuje nazwiska zarządu, nazwę firmy i najważniejsze marki.
• Wzór dementi jest zatwierdzony i leży tam, gdzie zespół go znajdzie.
• Pracownicy wiedzą, komu zgłosić podejrzane nagranie.
• Znamy nasz czas reakcji z ostatniego ćwiczenia.

When should you prepare your company for deepfakes?

Ideally before the first incident, and certainly before the periods when a fake has the most power: a launch, a restructuring, an annual general meeting, a transaction or a major industry event. The minimum to start with:

Masz przed sobą walne zgromadzenie albo premierę, a czasu jest mało? Zacznij od dwóch rzeczy, które da się zrobić w tydzień, czyli zasady drugiego kanału i zatwierdzonego wzoru dementi, bo to one skracają pierwszą godzinę, a monitoring, szkolenia i ćwiczenia dołożysz później, gdy najgorętszy okres minie. Reszta poczeka.

• a channel through which the board confirms or denies a recording within minutes,
• a rule: no transfers or decisions based on voice or video alone,
• 24/7 AI media monitoring with alerts set for board members’ names,
• a ready template for an initial statement,
• a deepfake scenario exercise once a quarter.

Can a company legally use deepfakes in marketing?

Generating realistic material in itself isn’t prohibited. The problem starts with publication. From 2 August 2026, deepfakes must be labelled, and using someone else’s likeness requires that person’s consent. A generated “customer” praising a product in an ad, without disclosing that they don’t exist, is misleading, including under the rules on unfair commercial practices.

Planning a campaign with an AI-generated character? Start with our articles on AI advertising and how to label it and on virtual influencers. We map out the wider risks in our article on the risks and ethics of AI in business, and how to build the whole response process is described in the crisis management process in a nutshell.

We prepare companies for AI-driven crises: monitoring, scenarios, statement templates, exercises. See how we handle crisis management at Commplace®.

Mistakes that give fakes the upper hand

Read next