Intensificação da fiscalização de plataformas digitais, publicidade online e sistemas de IA conversacionais

O Ministério da Justiça e Segurança Pública publicou dois documentos que reforçam a agenda de fiscalização do ambiente digital no Brasil. As medidas tratam, de um lado, da transparência e da rastreabilidade de anúncios e conteúdos impulsionados e, de outro, dos riscos associados aos chamados AI Companions, sistemas de inteligência artificial concebidos para manter interações contínuas e personalizadas com os usuários.

Embora os documentos tenham objetos distintos, ambos evidenciam uma abordagem regulatória mais abrangente, que não se limita ao conteúdo disponibilizado aos usuários. As autoridades passam a examinar também a arquitetura dos serviços, os mecanismos de personalização e engajamento, o tratamento de dados pessoais, a adequação etária da experiência, as práticas de monetização e a capacidade das empresas de demonstrar as medidas preventivas adotadas.

Novas regras para anúncios e impulsionamentos pagos

A Portaria Conjunta SENACON/SEDIGI/SPDIGI nº 3, de 22 de setembro de 2026 ("Portaria Conjunta nº 3") estabelece obrigações aplicáveis aos provedores de aplicações de internet que realizem intermediação de conteúdo gerado por terceiros e que oferecem serviços de anúncios ou impulsionamento pago destinados ao mercado brasileiro, ainda que estejam sediados no exterior. As regras também alcançam os fornecedores de conteúdo publicitário.

A Portaria Conjunta nº 3 procura fortalecer o combate à publicidade enganosa, abusiva ou fraudulenta por meio de três eixos principais:

• identificação dos responsáveis pelos anúncios,
• manutenção de informações que permitam a sua rastreabilidade e
• ampliação do acesso da Secretaria Nacional do Consumidor (SENACON), aos dados necessários à fiscalização.

Registros obrigatórios e repositório público de anúncios

Entre as informações que deverão ser exigidas e conservadas pelos provedores estão

• o conteúdo do anúncio ou impulsionamento;
• a identificação do contratante;
• o período de veiculação;
• os parâmetros utilizados para direcionar ou excluir grupos de destinatários;
• o número estimado de usuários alcançados;
• os endereços eletrônicos associados ao conteúdo; e
• os dados relativos ao pagamento.

Também deverão ser mantidas informações sobre eventual suspensão, remoção ou desativação, bem como sobre notificações recebidas e providências adotadas. Como regra, esses registros deverão ser conservados por pelo menos um ano após o encerramento da veiculação.

Os provedores com mais de um milhão de usuários ativos mensais com conexão à internet no Brasil deverão, ainda, disponibilizar um repositório público de anúncios e impulsionamentos pagos. Esse repositório deverá permitir pesquisa, filtragem, ordenação e recuperação das informações e ser disponibilizado de forma pública, gratuita e não discriminatória, em formato aberto, estruturado, interoperável e legível por máquina. A identificação pública do contratante deverá ocorrer por meio de identificador único anonimizado, sem a exposição do CPF, do CNPJ ou de documento equivalente.

Anúncios financeiros, marketing de influência e vigência

A Portaria Conjunta nº 3 também estabelece controles reforçados para anúncios de produtos e serviços financeiros. Nesses casos, antes da veiculação, o provedor deverá verificar a identidade do contratante, a existência das autorizações regulatórias aplicáveis e a legitimidade do contratante para representar a entidade em nome da qual o anúncio foi contratado. Essa verificação deverá ser revalidada em periodicidade não superior a 12 meses, e a veiculação deverá ser suspensa em caso de inconsistências, perda da autorização necessária ou constatação de prática enganosa, abusiva ou fraudulenta.

Outro ponto relevante diz respeito ao marketing de influência e a outras modalidades de conteúdo patrocinado. Os fornecedores de conteúdo deverão informar, de maneira destacada, simples e facilmente compreensível, a existência de relação material com a pessoa ou empresa beneficiada pela divulgação. Essa informação deverá permanecer visível enquanto o conteúdo estiver disponível e, quando a relação material não estiver limitada a uma publicação específica, também deverá constar do perfil do fornecedor de conteúdo.

As requisições específicas da SENACON deverão ser atendidas no prazo estabelecido, que não poderá ser inferior a cinco dias úteis, salvo em situações de urgência devidamente justificadas. Para esse fim, os provedores deverão manter canal eletrônico próprio para o recebimento das requisições e a transmissão das respostas. O descumprimento da Portaria Conjunta nº 3 poderá resultar na aplicação das sanções previstas no Código de Defesa do Consumidor e no Marco Civil da Internet.

Com exceção das ferramentas destinadas à identificação da relação material na veiculação de conteúdo, que entram em vigor 90 dias após a publicação, as demais disposições produzem efeitos após 30 dias.

Riscos de AI Companions para crianças e adolescentes

A Nota Técnica nº 47/2026/DSPRAD-SEDIGI/SEDIGI/MJ ("Nota Técnica"), por sua vez, examina os riscos associados aos AI Companions, definidos como agentes conversacionais capazes de manter interações contínuas e personalizadas, simular características humanas, recordar informações anteriormente fornecidas e adaptar as respostas ao histórico, às preferências e às reações do usuário.

Esses serviços se distinguem de chatbots convencionais porque sua concepção privilegia a continuidade da interação e a simulação de vínculos sociais ou afetivos. A combinação entre memória persistente, personalização, disponibilidade contínua e responsividade do sistema pode aumentar os riscos de uso problemático, manipulação comportamental, substituição de vínculos humanos, exposição a conteúdos inadequados e tratamento excessivo ou pouco transparente de informações pessoais.

ECA Digital, verificação de idade e transparência da interação

A Nota Técnica parte do entendimento de que os AI Companions podem estar sujeitos à Lei 15.211/2025 ("ECA Digital"), especialmente quando forem direcionados a crianças e adolescentes ou quando o acesso por esse público for provável. A indicação, nos termos de uso, de que determinado serviço se destina exclusivamente a adultos não seria suficiente para afastar a aplicação da legislação caso as características concretas do produto, a facilidade de acesso ou o nível de risco indiquem a probabilidade de utilização por menores de idade.

Nesse contexto, a Nota Técnica destaca que a mera autodeclaração de idade pode ser insuficiente. Para serviços que disponibilizem conteúdo impróprio, inadequado ou proibido para menores de 18 anos, deve ser adotado mecanismo confiável de verificação de idade, acompanhado de medidas efetivas para impedir o acesso indevido. Para os demais serviços de acesso provável por crianças e adolescentes, a aferição etária deve produzir consequências concretas sobre a experiência, como a adaptação dos conteúdos, das funcionalidades, da personalização, da retenção de histórico e das salvaguardas aplicáveis.

A análise também aponta que os fornecedores de agentes conversacionais devem informar, de forma clara, acessível e adequada à idade, que a interação é sintética e automatizada. De acordo com o documento, não seria suficiente incluir uma declaração genérica nos termos de uso. A informação deve permitir que o usuário compreenda que manifestações de amizade, acolhimento, reciprocidade ou preocupação são produzidas por um sistema automatizado.

Além disso, as avaliações de risco não devem se limitar à análise isolada das respostas geradas. Entende-se que devem ser considerados o funcionamento integral do sistema, a memória das conversas, a personalização das respostas, a simulação de características humanas, a duração e a intensidade das interações e os efeitos decorrentes de alterações ou da descontinuação de personagens. As salvaguardas devem ser incorporadas ao desenho do serviço, sem que a responsabilidade pela prevenção seja integralmente transferida aos usuários, pais ou responsáveis.

Manipulação comportamental, uso compulsivo e práticas de monetização

A Nota Técnica dedica atenção especial às funcionalidades que possam interferir na autonomia do usuário ou explorar vulnerabilidades cognitivas, emocionais e etárias. Entre as práticas indicadas como potencialmente problemáticas estão a utilização de inferências emocionais para aprofundar o vínculo com o sistema, prolongar a interação, dificultar o seu encerramento ou desestimular o usuário a buscar apoio de familiares, amigos ou profissionais.

Os fornecedores também devem avaliar se a arquitetura do serviço incentiva o uso excessivo, problemático ou compulsivo. A disponibilidade permanente, as mensagens enviadas sem solicitação do usuário, a ausência de pontos naturais de parada, as notificações de reengajamento e as recompensas vinculadas ao tempo ou ao volume de uso podem atrair deveres específicos de prevenção e mitigação. Entre as medidas mencionadas pela Nota Técnica estão limites adequados à idade, alertas sobre a duração da interação, pausas, pontos claros de encerramento e controles acessíveis de supervisão.

A monetização da relação entre o usuário e o sistema também é tratada como fator de risco. Quando o histórico das interações, as preferências ou os estados emocionais inferidos são utilizados para definir o momento, o conteúdo ou a forma de uma oferta comercial, a prática pode configurar perfilamento ou análise emocional para direcionamento publicitário. O risco é especialmente relevante quando recursos pagos, assinaturas ou funcionalidades adicionais são oferecidos com base no vínculo criado pelo próprio sistema.

Privacidade e proteção de dados pessoais

As interações com AI Companions podem envolver informações sobre saúde, relações familiares, identidade, preferências, experiências pessoais e outros aspectos da vida privada. De acordo com a Nota Técnica, esses dados podem constituir dados pessoais e, conforme o contexto, dados pessoais sensíveis, ficando sujeitos aos princípios e obrigações da Lei Geral de Proteção de Dados Pessoais.

A coleta abrangente de informações íntimas, a retenção prolongada das conversas e o armazenamento de dados para personalização não essencial podem contrariar os princípios da finalidade, adequação, necessidade e transparência, nos termos da LGPD. No caso de crianças e adolescentes, devem ser observados o melhor interesse e a adoção, por padrão, da configuração mais protetiva disponível, conforme o ECA Digital.

A Nota Técnica também destaca a necessidade de mapear e mitigar os riscos decorrentes do tratamento, inclusive mediante a elaboração de relatório de impacto quando as operações realizadas com dados pessoais de crianças e adolescentes ultrapassarem o estritamente necessário à operação do serviço. Esse exame deverá considerar, entre outros elementos, a memória persistente, a construção de perfis comportamentais, a produção de inferências e a utilização dos dados pessoais para personalização, retenção de usuários ou finalidades comerciais.

Pontos principais

Quais empresas estão sujeitas às novas regras de anúncios da Portaria Conjunta nº 3?

A Portaria Conjunta SENACON/SEDIGI/SPDIGI nº 3, de 22 de setembro de 2026 ("Portaria Conjunta nº 3") estabelece obrigações aplicáveis aos provedores de aplicações de internet que realizem intermediação de conteúdo gerado por terceiros e que oferecem serviços de anúncios ou impulsionamento pago destinados ao mercado brasileiro, ainda que estejam sediados no exterior. As regras também alcançam os fornecedores de conteúdo publicitário.

Por quanto tempo as plataformas devem guardar os registros de anúncios e impulsionamentos pagos?

Como regra, esses registros deverão ser conservados por pelo menos um ano após o encerramento da veiculação.

Quais plataformas precisam manter um repositório público de anúncios pagos no Brasil?

Os provedores com mais de um milhão de usuários ativos mensais com conexão à internet no Brasil deverão, ainda, disponibilizar um repositório público de anúncios e impulsionamentos pagos.

O que muda para anúncios de produtos e serviços financeiros em plataformas digitais?

A Portaria Conjunta nº 3 também estabelece controles reforçados para anúncios de produtos e serviços financeiros. Nesses casos, antes da veiculação, o provedor deverá verificar a identidade do contratante, a existência das autorizações regulatórias aplicáveis e a legitimidade do contratante para representar a entidade em nome da qual o anúncio foi contratado. Essa verificação deverá ser revalidada em periodicidade não superior a 12 meses, e a veiculação deverá ser suspensa em caso de inconsistências, perda da autorização necessária ou constatação de prática enganosa, abusiva ou fraudulenta.

Quando as regras da Portaria Conjunta nº 3 passam a produzir efeitos?

Com exceção das ferramentas destinadas à identificação da relação material na veiculação de conteúdo, que entram em vigor 90 dias após a publicação, as demais disposições produzem efeitos após 30 dias.

O ECA Digital se aplica a AI Companions que se declaram exclusivos para adultos?

A Nota Técnica parte do entendimento de que os AI Companions podem estar sujeitos à Lei 15.211/2025 ("ECA Digital"), especialmente quando forem direcionados a crianças e adolescentes ou quando o acesso por esse público for provável. A indicação, nos termos de uso, de que determinado serviço se destina exclusivamente a adultos não seria suficiente para afastar a aplicação da legislação caso as características concretas do produto, a facilidade de acesso ou o nível de risco indiquem a probabilidade de utilização por menores de idade.

A autodeclaração de idade é suficiente para serviços de AI Companions?

Nesse contexto, a Nota Técnica destaca que a mera autodeclaração de idade pode ser insuficiente. Para serviços que disponibilizem conteúdo impróprio, inadequado ou proibido para menores de 18 anos, deve ser adotado mecanismo confiável de verificação de idade, acompanhado de medidas efetivas para impedir o acesso indevido.

Como a LGPD se aplica às conversas mantidas com AI Companions?

As interações com AI Companions podem envolver informações sobre saúde, relações familiares, identidade, preferências, experiências pessoais e outros aspectos da vida privada. De acordo com a Nota Técnica, esses dados podem constituir dados pessoais e, conforme o contexto, dados pessoais sensíveis, ficando sujeitos aos princípios e obrigações da Lei Geral de Proteção de Dados Pessoais.