Plataformas digitais, IA generativa e proteção de vulneráveis: o novo mandato fiscalizatório da ANPD
Introdução
Em 21 de agosto de 2026, a Autoridade Nacional de Proteção de Dados formalizou o que representa, até o momento, a ação de monitoramento de maior escopo institucional já conduzida pela Agência: a abertura de dois processos administrativos para acompanhar como 22 agentes digitais atuam na prevenção de conteúdos criminosos e na proteção de crianças e mulheres no ambiente online [1]. O movimento não é episódico. Ele sinaliza uma inflexão estrutural no papel regulatório da ANPD, que passou a exercer competências que extrapolam a Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018) e alcançam a governança de plataformas enquanto infraestrutura social.
A tese deste artigo é direta: o monitoramento inaugurado em agosto de 2026 consolida um novo ciclo regulatório brasileiro, no qual a ANPD passa a exigir das plataformas não apenas conformidade técnica com regras de privacidade, mas evidências contínuas de que seus mecanismos sistêmicos são adequados para prevenir danos a grupos vulneráveis. Para DPOs, C-levels e jurídicos das empresas envolvidas e do ecossistema digital em geral, compreender a arquitetura normativa desse ciclo é condição para construir respostas defensáveis e evitar sanções.
O escopo deste artigo cobre a base legal do monitoramento, a segmentação dos agentes notificados, a análise concreta das obrigações derivadas e as implicações práticas para a governança corporativa.
Método
Este artigo é uma análise jurídica e regulatória baseada em revisão normativa dos textos legais pertinentes (LGPD, Marco Civil da Internet, Decretos regulamentadores e ECA Digital) e nos atos administrativos públicos da ANPD relativos aos processos nº 00261.005031/2026-23 e nº 00261.005032/2026-78. Não foi realizado levantamento empírico primário. As inferências sobre impacto prático derivam da interpretação sistemática dos dispositivos legais e dos precedentes regulatórios disponíveis.
Resultados e Análise
A arquitetura normativa que habilitou a ação
O monitoramento de agosto de 2026 não poderia ter sido instaurado sob o texto original do Marco Civil da Internet (Lei nº 12.965/2014) e sua regulamentação pelo Decreto nº 8.771/2016. A habilitação formal veio por dois caminhos normativos simultâneos.
O primeiro é o par de Decretos nº 12.975/2026 e nº 12.976/2026, que alteraram a regulamentação do Marco Civil e atribuíram à ANPD competências explícitas de regulação, fiscalização e apuração de infrações relacionadas à atuação de provedores de aplicação de internet [1]. Trata-se de uma expansão material do mandato da Agência: antes restrito ao tratamento de dados pessoais nos termos da LGPD, agora se estende à verificação de como as plataformas estruturam seus mecanismos de governança de conteúdo, desde que esses mecanismos guardem conexão com a proteção de dados e com a integridade dos grupos vulneráveis definidos nas normas.
O segundo vetor normativo é o ECA Digital, vigente desde março de 2026, que estabelece obrigações específicas para provedores de aplicação quanto à proteção de crianças e adolescentes no ambiente digital [1]. O ECA Digital já estava sendo objeto de monitoramento anterior pela ANPD desde junho de 2026, quando a Agência iniciou ações direcionadas a lojas de aplicativos e sites com conteúdo pornográfico [1]. O ciclo de agosto de 2026 amplia esse escopo e incorpora tanto plataformas de comunicação quanto ferramentas de inteligência artificial generativa.
A âncora constitucional desse movimento regulatório está no art. 227 da Constituição Federal, que impõe ao Estado o dever de proteção da criança e do adolescente com absoluta prioridade, e no art. 5º, inciso X, que tutela a intimidade e a vida privada. A LGPD operacionaliza esses mandamentos ao tratar dados de crianças e adolescentes como categoria com proteção reforçada (art. 14), exigindo consentimento específico dos responsáveis e tratamento no melhor interesse do menor. O ECA Digital e os Decretos de 2026 adicionam camadas de exigência procedimental que a LGPD, por ser norma geral, não poderia detalhar sozinha.
Um limite relevante do escopo foi preservado: o art. 16-O, incisos I e II, do Decreto nº 8.771/2016, mantém fora do raio de fiscalização as comunicações privadas, incluindo e-mails e mensagens diretas entre usuários [1]. A ANPD, portanto, não avalia conteúdos individuais ou publicações isoladas. Sua atuação é explicitamente sistêmica: ela examina mecanismos, processos e estruturas organizacionais, não o teor de conversas privadas. Essa distinção é juridicamente relevante porque delimita o que as plataformas precisam comprovar: não a ausência de conteúdo ilícito em suas redes, mas a existência de sistemas funcionais e proporcionais para preveni-lo e mitigá-lo.
A segmentação dos grupos monitorados e suas implicações
A divisão dos 22 agentes em dois grupos reflete uma lógica regulatória precisa, não uma classificação administrativa arbitrária.
O Grupo 1 reúne 13 plataformas e aplicativos de mensagem com canais ou grupos públicos: Instagram, Facebook, WhatsApp (Canais públicos), Telegram (Canais e Grupos públicos), TikTok, X, Discord, YouTube, Kwai, LinkedIn, Snapchat, Pinterest e Reddit [1]. O denominador comum é a capacidade de difusão em escala de conteúdos para audiências amplas, inclusive menores de idade. A ANPD está verificando, para esse grupo, se existem mecanismos efetivos de prevenção à distribuição de conteúdo criminoso, em especial material que envolva exploração sexual infantil (CSAM) e violência de gênero.
O Grupo 2 abrange 9 lojas de aplicativos e ferramentas de IA generativa: App Store, Google Play Store, Copilot, Claude, DeepSeek, Gemini, ChatGPT, Meta AI e Perplexity [1]. Aqui, o foco específico inclui as salvaguardas contra geração, edição, manipulação ou modificação de conteúdo íntimo com uso de inteligência artificial, o que a legislação brasileira e internacional denomina genericamente de deepfakes íntimos não consensuais [1]. A inclusão das lojas de aplicativos é particularmente significativa porque estabelece responsabilidade em nível de distribuição: não apenas quem cria a ferramenta, mas quem a disponibiliza para download precisa demonstrar que verificou e monitora os riscos associados.
Sob a LGPD, a distinção entre controlador e operador (arts. 5º, VI e VII) torna-se central para esse grupo: uma loja de aplicativos pode ser caracterizada como controladora independente quando decide os critérios de curadoria e aprovação dos apps, o que a expõe integralmente ao art. 46, que exige medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas. A falha em curar adequadamente aplicativos que geram ou disseminam conteúdo íntimo manipulado pode configurar violação direta desse dispositivo.
As obrigações concretas derivadas do monitoramento
As empresas notificadas têm até 10 dias úteis, contados da ciência da notificação, para responder aos questionamentos formulados pela ANPD [1]. Esse prazo é exíguo para organizações sem governança maturada, mas é adequado para quem mantém documentação contínua de suas políticas, processos e medidas técnicas.
As obrigações subjacentes ao monitoramento podem ser agrupadas em três camadas.
A primeira é a camada de processos e mecanismos internos. As plataformas precisam demonstrar que dispõem de procedimentos operacionais para detectar, reportar e remover conteúdo que viole direitos de crianças e adolescentes e que envolva violência de gênero. O art. 46 da LGPD exige medidas técnicas e administrativas adequadas; o ECA Digital e os Decretos de 2026 especificam o conteúdo mínimo dessas medidas no contexto das plataformas. A ausência de documentação formal desses processos é, por si só, um indicador de risco regulatório, independentemente de ter ocorrido um incidente concreto.
A segunda camada é a de governança de IA. Para o Grupo 2, a ANPD está verificando como as ferramentas de IA generativa são configuradas para impedir a geração ou manipulação de conteúdo íntimo não consensual [1]. Isso traduz-se, na prática, em exigências sobre filtros de saída, políticas de uso aceitável com mecanismos de enforcement, processos de red teaming, e rastreabilidade das decisões de design que limitam ou permitem determinados usos. O art. 20 da LGPD, que trata de decisões automatizadas, e o art. 9º, que exige transparência sobre a lógica do tratamento, fornecem o substrato jurídico para essas exigências, ainda que precisem ser lidos em conjunto com os Decretos de 2026.
A terceira camada é a de notificação e resposta a incidentes. O art. 48 da LGPD obriga o controlador a comunicar à ANPD e aos titulares afetados a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante. No contexto de plataformas que lidam com dados de crianças e com conteúdo íntimo manipulado, o limiar de relevância do incidente é substancialmente mais baixo do que em contextos de dados comerciais comuns: qualquer violação que exponha menor de idade ou que resulte na disseminação não consensual de conteúdo íntimo reúne os elementos para acionar o dever de notificação. Plataformas sem processos estruturados de resposta a incidentes correm o risco de descumprir o prazo implícito de notificação oportuna, o que agrava a responsabilidade perante a Agência.
A posição das ferramentas de IA generativa: um novo front regulatório
A inclusão de Copilot, Claude, DeepSeek, Gemini, ChatGPT, Meta AI e Perplexity no Grupo 2 representa o primeiro reconhecimento formal pela ANPD de que ferramentas de IA generativa são agentes regulados no contexto de proteção de grupos vulneráveis, não apenas desenvolvedores sujeitos à LGPD enquanto empresas processadoras de dados.
Essa distinção é relevante porque altera a natureza da obrigação. Uma empresa de software que processa dados de seus funcionários está sujeita à LGPD como qualquer controladora. Mas uma ferramenta de IA generativa disponível ao público, capaz de produzir conteúdo fotorrealístico ou textual potencialmente lesivo, enfrenta obrigações adicionais relacionadas ao design do produto em si: as salvaguardas precisam estar incorporadas à arquitetura da ferramenta, não apenas à política de privacidade da empresa que a desenvolve.
Os Decretos nº 12.975/2026 e nº 12.976/2026 são o instrumento que formaliza essa responsabilidade [1]. Do ponto de vista da teoria da responsabilidade civil, a combinação desses decretos com o art. 927, parágrafo único, do Código Civil, que prevê responsabilidade objetiva para atividades de risco por natureza, cria um ambiente em que a ausência de salvaguardas técnicas adequadas pode ser tratada como negligência estrutural, com ônus de prova invertido para a plataforma.
Discussão
Para o DPO e o time de privacidade
O DPO das empresas notificadas enfrenta um problema imediato e um problema estrutural. O imediato é a resposta ao questionário da ANPD dentro dos 10 dias úteis [1]. Para isso, é necessário acionar rapidamente a documentação existente sobre mecanismos de prevenção a conteúdo ilícito, registros de treinamentos de moderação, logs de acionamento de canais de denúncia e relatórios de incidentes anteriores. A ausência de qualquer desses elementos é uma lacuna que precisará ser reconhecida e explicada na resposta.
O problema estrutural é mais profundo: o monitoramento da ANPD não é um evento pontual. A Agência sinalizou, ao abrir dois processos formais simultâneos cobrindo 22 agentes, que pretende exercer fiscalização contínua e comparativa sobre esse segmento. Plataformas que não constroem capacidade de evidência contínua, incluindo registros auditáveis de suas políticas e de sua operação efetiva, estarão em posição defensável apenas na primeira notificação. Na segunda, a ausência de melhoria documentada agravará a análise regulatória.
O Relatório de Impacto à Proteção de Dados Pessoais (RIPD), exigido pelo art. 38 da LGPD para tratamentos de alto risco e para dados de crianças e adolescentes (conforme o art. 14), é o instrumento mais adequado para capturar e documentar as análises de risco associadas aos mecanismos de moderação de conteúdo. DPOs que ainda não conduziram RIPDs específicos para os fluxos que envolvem menores de idade precisam priorizar esse gap.
Para o C-level e o jurídico
A expansão do mandato da ANPD por via dos Decretos de 2026 cria um risco regulatório que não estava precificado no modelo de negócios de muitas plataformas que operam no Brasil. Até 2025, a exposição regulatória dessas empresas concentrava-se na LGPD enquanto lei de dados pessoais. Com a atribuição de competências sobre provedores de aplicação, a ANPD passa a poder instaurar processos sancionatórios sobre a governança de conteúdo das plataformas, um espectro muito mais amplo.
Do ponto de vista jurídico, a questão central para o contencioso preventivo é o standard de diligência exigido. A ANPD adotou explicitamente uma abordagem sistêmica: ela não avalia conteúdos individuais, mas mecanismos, processos e estruturas [1]. Isso significa que a defesa das plataformas não pode ser construída na ausência de incidentes concretos. A defesa precisa demonstrar a adequação dos sistemas em vigor, a proporcionalidade das medidas adotadas em relação ao risco identificado, e a existência de processos de revisão e melhoria contínua.
Para empresas que ainda não têm um programa estruturado de governança de privacidade e proteção de dados, o ciclo de monitoramento iniciado em 2026 representa o ponto de inflexão a partir do qual a ausência de programa se torna um passivo regulatório explícito, não uma lacuna tolerada. A ANPD tem competência para aplicar sanções que incluem advertência, multa de até 2% do faturamento no Brasil limitada a R$ 50 milhões por infração, e publicização da infração, nos termos do art. 52 da LGPD. A publicização, em particular, carrega custo reputacional que pode superar o financeiro para plataformas cujo modelo depende de confiança do usuário.
A relevância do posicionamento da LGPD2U
O ciclo regulatório inaugurado em agosto de 2026 evidencia que conformidade pontual, o modelo de adequação à LGPD como projeto com início e fim, é estruturalmente inadequada para o ambiente regulatório atual. A ANPD está exercendo fiscalização contínua e comparativa. O que ela busca nas respostas das 22 plataformas notificadas são evidências de governança viva: políticas que são efetivamente aplicadas, processos que são auditados, e incidentes que são gerenciados com rastreabilidade.
Serviços gerenciados de privacidade, que produzem evidências contínuas para auditoria e mantêm os programas de proteção de dados operacionalmente ativos ao longo do tempo, correspondem exatamente ao que o novo ciclo regulatório exige. A diferença entre uma plataforma capaz de responder ao questionário da ANPD em 10 dias úteis com documentação robusta e uma que precisa reconstituir registros de última hora não é tecnológica: é de modelo de governança.
Bibliografia
[1] Autoridade Nacional de Proteção de Dados (ANPD). "ANPD avalia como plataformas digitais atuam para prevenir conteúdos criminosos e proteger crianças e mulheres na internet." Nota oficial, 21 ago. 2026. https://www.gov.br/anpd/pt-br/assuntos/noticias/anpd-avalia-como-plataformas-digitais-atuam-para-prevenir-conteudos-criminosos-e-proteger-criancas-e-mulheres-na-internet [2] Brasil. Lei nº 13.709, de 14 de agosto de 2018. Lei Geral de Proteção de Dados Pessoais (LGPD). https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm [3] Brasil. Lei nº 12.965, de 23 de abril de 2014. Marco Civil da Internet. https://www.planalto.gov.br/ccivil_03/_ato2011-2014/2014/lei/l12965.htm [4] Brasil. Decreto nº 8.771, de 11 de maio de 2016. Regulamenta a Lei nº 12.965/2014 (Marco Civil da Internet). https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2016/decreto/d8771.htm [5] Brasil. Constituição da República Federativa do Brasil, de 5 de outubro de 1988. Art. 227 (proteção da criança e do adolescente) e art. 5º, inciso X (intimidade e vida privada). https://www.planalto.gov.br/ccivil_03/constituicao/constituicao.htm [6] Brasil. Lei nº 8.069, de 13 de julho de 1990. Estatuto da Criança e do Adolescente (ECA), com redação dada pelo ECA Digital (vigência a partir de março de 2026). https://www.planalto.gov.br/ccivil_03/leis/l8069.htm [7] Brasil. Código Civil (Lei nº 10.406, de 10 de janeiro de 2002). Art. 927, parágrafo único (responsabilidade objetiva por atividade de risco). https://www.planalto.gov.br/ccivil_03/leis/2002/l10406compilada.htm