Deepfake prezesa i przelew z rachunku spółki: bank, autoryzacja i odpowiedzialność

Oszustwo z głosem prezesa nie rozstrzyga jeszcze o autoryzacji

Telefon imitujący głos członka zarządu może skłonić dział księgowości do natychmiastowej zapłaty na nowy rachunek „kontrahenta”. W takim zdarzeniu należy odróżnić trzy zagadnienia: przestępstwo osoby podszywającej się pod prezesa, autoryzację transakcji w stosunku z bankiem oraz odpowiedzialność wewnątrz spółki. Sam fakt wykorzystania sztucznej inteligencji nie przesądza wyniku żadnego z tych postępowań.

Autoryzowana transakcja wywołana oszustwem

Art. 40 ustawy o usługach płatniczych wiąże autoryzację ze zgodą płatnika wyrażoną w sposób uzgodniony z dostawcą. Jeżeli umocowana osoba sama zatwierdziła przelew po otrzymaniu fałszywej instrukcji, sytuacja różni się od przejęcia dostępu do bankowości i wykonania operacji bez zgody płatnika. Błąd co do tożsamości rozmówcy i brak zgody na samą operację nie są pojęciami tożsamymi. Rozróżnienie jest istotne dla reklamacji bankowej, lecz wymaga analizy umowy, procedury autoryzacji i konkretnego przebiegu zdarzenia.

Rachunek firmowy i granice ustawowej ochrony

Co do zasady art. 45 reguluje ciężar dowodu autoryzacji, a art. 46 ust. 1 określa obowiązek zwrotu kwoty transakcji nieautoryzowanej z ustawowymi wyjątkami. Jednak art. 33 pozwala bankowi i użytkownikowi niebędącemu konsumentem uzgodnić wyłączenie m.in. art. 45 oraz art. 46 ust. 2–5, a także inny termin zgłoszenia niż w art. 44 ust. 2. Nie należy zatem mechanicznie stosować schematów sporów konsumenckich do rachunku spółki. Podstawą opinii musi być aktualny regulamin banku, umowa rachunku i dokumentacja uprawnień użytkowników.

Dowody syntetycznego głosu i przebiegu płatności

Pierwszeństwo mają oryginalne pliki rozmów, historia połączeń, wiadomości wraz z nagłówkami, dokumenty zmiany rachunku odbiorcy, potwierdzenia przelewów i logi uwierzytelnienia. Przekazanie nagrania przez komunikator może zmienić jego parametry, dlatego trzeba odnotować urządzenie i metodę eksportu. Analiza fonoskopijna lub badanie syntetyczności nagrania może uzupełniać materiał, lecz automatyczna ocena „wygenerowane przez AI” nie zastępuje ustalenia pochodzenia i integralności dowodu.

Rola zarządu i działu finansowego

Wewnętrzna odpowiedzialność nie powstaje automatycznie wskutek utraty środków. Znaczenie mają granice umocowania, limity płatności, procedura zmiany rachunku dostawcy, obowiązek weryfikacji poleceń poza kanałem komunikacji wykorzystywanym przez sprawcę oraz wiedza o wcześniejszych próbach ataku. Należy oddzielić analizę standardu staranności pracownika od obowiązków organizacyjnych zarządu, a następnie od roszczeń wobec banku i sprawców.

Pierwsze czynności po wykryciu incydentu

Należy niezwłocznie zawiadomić bank, podjąć próbę zatrzymania lub odzyskania środków, zablokować zagrożone dostępy, zabezpieczyć korespondencję i logi oraz zawiadomić właściwe organy. Reklamacja powinna wskazywać, kto inicjował i zatwierdził przelew, a nie ograniczać się do samego stwierdzenia „oszustwo AI”. Jeżeli ujawniono dane osobowe, trzeba odrębnie ocenić ewentualne obowiązki z RODO; podrobiony telefon nie stanowi sam przez się dowodu naruszenia ochrony danych.

Konkluzja i standard zapobiegania

Zmiana rachunku odbiorcy powinna być potwierdzana niezależnym, wcześniej znanym kanałem. Dla nietypowych płatności warto wprowadzić dodatkową autoryzację i zachować udokumentowaną ścieżkę decyzji. W sporze po incydencie decyduje dokładne odtworzenie mechanizmu operacji oraz treści umowy, nie sama atrakcyjność technologicznej etykiety deepfake.