Estafes amb IA: què diuen els casos documentats i què no diuen les xifres

Quan es parla d'estafes amb intel·ligència artificial, la conversa acaba gairebé sempre al mateix lloc: una persona gran que rep una trucada amb la veu clonada d'un nét. És un risc real i ja el vaig tractar en un altre article, amb les regles pràctiques per tallar-lo.

Però si mirem els casos que han acabat en detencions i en notes de premsa oficials, el retrat és bastant diferent del que suggereix aquesta conversa. I convé mirar-ho, perquè creure't el retrat equivocat és exactament el que et deixa exposat.

El cas espanyol més documentat

L'operació Coinblack-Wendimine, anunciada el 7 d'abril de 2025 per la Policia Nacional i la Guàrdia Civil de manera conjunta, va acabar amb sis detinguts a la província d'Alacant. La xifra: 19 milions d'euros estafats i 208 delictes de frau esclarits.

La investigació va arrencar dos anys abans, quan un home de Granada va denunciar que li havien estafat 624.000 euros. Un sol denunciant.

El paper de la IA era el que ja et pots imaginar: anuncis fabricats amb personatges coneguts espanyols recomanant invertir en criptomonedes. Cares i veus conegudes donant credibilitat a una plataforma que no existia.

Ara, el detall que gairebé no s'explica i que és el més important de tot:

> Les víctimes no es van seleccionar a l'atzar. Es van seleccionar amb algorismes que buscaven perfils concrets.

Això canvia la naturalesa del problema. No es tracta d'una xarxa que llança l'ham a l'aire i espera que hi caigui algú despistat. Es tracta d'una xarxa que et busca a tu perquè el teu perfil encaixa: tens capacitat d'inversió, has mostrat interès en algun producte financer, tens una edat i uns hàbits digitals determinats. La IA no només fabricava el vídeo, també triava a qui ensenyar-lo.

La segona estafa, a les mateixes víctimes

Aquesta part del cas Coinblack-Wendimine hauria de ser molt més coneguda del que és.

En una tercera fase del frau, les persones que ja havien denunciat a la Guàrdia Civil o a la Policia Nacional van rebre comunicacions de suposats agents d'Europol o d'advocats britànics dient-los que havien "recuperat" els seus diners i que només calia pagar uns impostos per rebre'ls.

Moltes hi van tornar a caure.

Val la pena aturar-s'hi un segon. Aquestes eren persones que ja sabien que havien estat estafades, que ja havien fet el pas de denunciar, i que tot i així van tornar a pagar. No per ingenuïtat: per l'esperança de recuperar el que havien perdut, que és una palanca emocional molt més forta que la cobdícia inicial.

Regla pràctica: si algú et contacta sense que tu l'hagis buscat dient que ha recuperat els teus diners i que només falta pagar uns impostos o una taxa per alliberar-los, és la segona estafa. Ni Europol ni la policia no cobren per retornar-te diners estafats. Cosa diferent és que siguis tu qui contracta un advocat pel teu compte: allà una provisió de fons és normal i legítima.

I la gent gran? El que les dades diuen de veritat

Aquí he de ser honest amb tu, encara que sigui incòmode, perquè afecta un marc que jo mateix he fet servir.

La idea que la gent gran és la víctima principal de les estafes amb IA no la sosté cap estadística oficial. Ho he anat a comprovar:

• A Espanya, ni l'Informe sobre la Cibercriminalitat del Ministeri de l'Interior ni les estadístiques d'incidents de l'INCIBE publiquen el desglossament per edat de les víctimes de frau. Simplement no hi és. No es pot afirmar ni desmentir amb dades espanyoles.
• Als Estats Units, l'FBI sí que publica dades per trams d'edat, i els majors de 60 anys són els que declaren més pèrdues econòmiques. Però amb dos matisos que ho canvien tot: aquestes dades són de frau ciberassistit en general, no de frau amb IA en particular, i la major pèrdua econòmica pot venir simplement de tenir més estalvis, no de caure-hi més sovint.

Dit clar: hi ha prou evidència per dir que la gent gran perd més diners en frau digital i que és un grup a protegir. No n'hi ha per dir que sigui el blanc principal de les estafes fetes amb IA.

I el cas Coinblack-Wendimine apunta en una altra direcció: les víctimes eren inversors seleccionats per perfil. Gent amb diners per moure i criteri per decidir on posar-los.

Per què importa aquesta correcció? Perquè si al teu equip o a la teva família circula la idea que això "va de gent gran", tothom que no es consideri gran baixa la guàrdia. I un directiu financer de 45 anys que autoritza una transferència després d'una videotrucada és exactament el perfil que aquestes xarxes busquen.

Els tres mecanismes, en una línia cadascun

• Veu clonada. Amb una mostra breu d'àudio, prou per enganyar per telèfon en una urgència fingida. La pressa és l'arma; la veu és només l'esquer.
• Vídeo fals. La cara i la veu d'algú conegut o d'una autoritat donant credibilitat a una inversió o a una instrucció.
• Missatges impecables. El phishing ja no té faltes ni frases estranyes. Sembla del banc, de l'administració o del teu proveïdor.

Si el que busques són les regles concretes per protegir una persona gran del primer cas, les vaig escriure aquí: [com protegir la gent gran de les estafes amb veu clonada](/ca/blog/ia-gent-gran-estafes-veu-clonada).

Què canvia el 2 d'agost de 2026

Hi ha una data immediata que afecta les empreses, i molt poca gent l'està mirant.

A partir del 2 d'agost de 2026 s'apliquen les obligacions de transparència de l'article 50 del Reglament Europeu d'IA. Ara bé, val la pena precisar a qui obliguen i a què, perquè es llegeix molt que "tot el contingut fet amb IA s'haurà d'etiquetar" i això no és el que diu el text.

El detall fi, perquè aquí es diu molta cosa inexacta: de les quatre obligacions de l'article 50, l'única que ha rebut un ajornament és la del marcatge llegible per màquina (article 50.2), que amb el paquet Digital Omnibus passaria al 2 de desembre de 2026. Però aquest paquet, a data de juny de 2026, era un acord polític provisional encara no adoptat formalment. Si l'adopció s'endarrereix més enllà del 2 d'agost, aquesta obligació torna a la data original. Les altres tres, inclosa la que afecta els deepfakes, s'apliquen el 2 d'agost sense canvis.

L'incompliment entra dins del règim sancionador del reglament, que en aquest bloc arriba fins als 15 milions d'euros o el 3% de la facturació mundial.

Traduït a què et toca a tu:

• Si tens un xatbot al web, has de deixar clar que qui respon és una IA (article 50.1). Aquesta és la que afecta més PIMEs i la que més es passa per alt.
• Si publiques deepfakes, o text generat amb IA sobre assumptes d'interès públic, has de dir-ho (article 50.4).
• El marcatge llegible per màquina (article 50.2) recau sobre qui proveeix el sistema generatiu, no sobre tu per fer servir una eina de tercers.

El que no diu el reglament és que hagis d'etiquetar cada text de màrqueting o cada correu intern redactat amb ajuda d'IA. Ho vaig desglossar a la guia d'[AI Act per a PIMEs](/ca/recursos/ai-act-pimes).

Què faria jo a la teva organització

Res d'això es resol comprant una eina. Es resol amb dues coses:

Un procediment de verificació que no depengui de reconèixer una veu o una cara. Una paraula de seguretat acordada amb la família. Per a l'empresa: doble confirmació per un canal diferent per a qualsevol ordre de pagament, sense excepcions per jerarquia. Si el director financer et truca demanant urgència, el procediment es compleix igualment. Precisament perquè és urgent.

Formació que expliqui el mecanisme, no una llista de senyals. Les llistes de "com detectar un deepfake" caduquen cada sis mesos. El criteri, no. Qui entén que la pressa i l'autoritat són l'arma real, i que la veu és només l'embolcall, aguanta davant d'una tècnica que encara no existeix.

A IAescola treballem aquests dos punts amb equips d'empresa, amb ajuntaments i centres cívics per a públic general, i amb centres educatius. El contingut s'adapta al perfil: el que necessita un equip financer no és el que necessita un casal.

Si vols valorar-ho per a la teva organització, [parlem-ne sense compromís](/ca/contacte).

---

Fonts: Ministeri de l'Interior i Policia Nacional, operació Coinblack-Wendimine (7 d'abril de 2025). Comissió Nacional del Mercat de Valors, advertència sobre suplantació de personatges públics i vídeos manipulats (desembre de 2023). FBI Internet Crime Complaint Center, dades de pèrdues per trams d'edat. Comissió Europea, obligacions de transparència de l'article 50 del Reglament d'IA. Les dades espanyoles de cibercriminalitat consultades no publiquen desglossament per edat de les víctimes.