O que mudou em IA e o que realmente importa

Em 22 de setembro de 2026, a Secretaria Nacional de Direitos Digitais divulgou uma nota técnica sobre aplicativos de companhia por IA e encaminhou o documento à ANPD e à Senacon. A avaliação de 13 serviços disponíveis no Brasil apontou riscos de apego intenso, uso compulsivo, conteúdo inadequado, coleta de dados íntimos e perfilamento emocional. O ECA Digital, em vigor desde março de 2026, já prevê proteção por padrão e gerenciamento de riscos para serviços voltados a menores ou de acesso provável por eles. A nota é preliminar: eventuais apurações ainda precisam ocorrer.

Por que importa. Aplicativos que simulam amizade ou vínculo afetivo usam interação contínua, memória e respostas emocionais, características que podem aumentar o volume e a intimidade dos dados compartilhados. A nota da Sedigi conecta esse desenho a riscos de segurança, privacidade, saúde e práticas comerciais dirigidas a menores. O ponto prático para empresas é avaliar não apenas o modelo, mas a experiência completa: verificação de idade, coleta e retenção de dados, perfilamento, notificações, conteúdo e monetização. A divulgação do mapeamento não significa que os 13 serviços tenham sido condenados ou que exista uma sanção automática.

O Comitê Europeu para a Proteção de Dados colocou em consulta pública, até 30 de outubro de 2026, a versão 1.0 das Orientações 03/2026 sobre raspagem de dados para desenvolver IA generativa. O texto discute base legal, minimização, transparência, precisão e salvaguardas, inclusive quando dados vêm de conjuntos coletados por terceiros. As orientações não criam uma nova lei e ainda podem mudar. O GDPR já se aplica a tratamentos de dados pessoais dentro de seu escopo. A minuta trata de proteção de dados, não resolve por si só questões de direitos autorais.

Por que importa. Empresas que treinam modelos, contratam coleta de dados ou reutilizam bases de terceiros precisam saber de onde vêm os dados pessoais e em que condições foram obtidos. As orientações do EDPB deixam explícito que publicar um dado na internet não elimina as obrigações do GDPR e que a ausência de robots.txt não vale como consentimento. Como o documento está em consulta, empresas com operação europeia ainda podem contribuir antes de 30 de outubro. Para negócios no Brasil, a pauta é útil para revisar fornecedores, contratos e governança de dados quando o serviço ou tratamento também estiver sujeito à legislação europeia.

Publicado em 24 de julho de 2026 e em vigor desde 27 de julho, o Regulamento (UE) 2026/1744 alterou o calendário de aplicação do AI Act. As exigências para sistemas de alto risco do Anexo III passam a valer em 2 de dezembro de 2027; as relativas a sistemas incorporados a produtos regulados do Anexo I, em 2 de agosto de 2028. O adiamento não suspende o restante do regulamento.

Por que importa. Empresas que desenvolvem, fornecem ou usam IA no mercado europeu precisam distinguir quais obrigações já se aplicam e quais ganharam prazo adicional. Confundir o adiamento de partes do regime com uma pausa geral pode levar a decisões de preparação equivocadas.

A ANPD publicou, em 2 de julho de 2026, o primeiro relatório parcial do sandbox regulatório de IA e proteção de dados. O ciclo inicial acompanhou três empresas e preparou a metodologia dos testes. Entre os pontos que serão aprofundados estão arquitetura, fluxos de dados, segurança, transparência, anonimização e produção de evidências.

Por que importa. O documento oferece exemplos concretos das informações necessárias para avaliar sistemas de IA que tratam dados pessoais. Também delimita o estágio do trabalho: é um piloto em andamento, não uma certificação nem uma conclusão sobre a conformidade das empresas.