Resumindo: se você usa uma companhia com IA no Brasil, não existe uma “lei das companhias com IA”. Existe um conjunto de leis gerais, uma regra nova e forte para menores e um projeto grande de lei da IA que ainda está parado no Congresso. Este artigo separa o que já vale do que ainda é promessa, com a data de cada coisa.
O que já vale, e o que ainda não
A LGPD cuida dos seus dados. A Lei Geral de Proteção de Dados (Lei 13.709/2018) vale para qualquer app que trate dados de pessoas no Brasil, e a Autoridade Nacional de Proteção de Dados (ANPD) é quem a fiscaliza.
O Código de Defesa do Consumidor cuida da cobrança. Assinaturas, créditos e reembolsos caem no CDC (Lei 8.078/1990), como qualquer outro serviço contratado pela internet.
O ECA Digital cuida dos menores. A Lei 15.211/2025, sancionada em setembro de 2025, está em vigor desde 17 de março de 2026. Vale para serviços digitais com probabilidade de serem acessados por menores no Brasil.
Uma lei de 2025 tratou de deepfakes contra mulheres. A Lei 15.123/2025, sancionada em 24 de abril de 2025, aumenta pela metade a pena da violência psicológica contra a mulher (art. 147-B do Código Penal) quando ela é cometida com IA ou outra tecnologia que altera a imagem ou o som da vítima.
O marco legal da IA ainda não é lei. O PL 2338/2023 foi aprovado pelo Senado em 10 de dezembro de 2024 e está na Câmara desde 17 de março de 2025. Uma comissão especial foi instalada em 20 de maio de 2025, mas o projeto aguarda o parecer do relator. Em 24 de agosto de 2026, o relator, o deputado Aguinaldo Ribeiro, disse que a votação fica para depois das eleições de outubro. Várias datas de votação já passaram sem acontecer.
Nos Estados Unidos, o caminho foi outro: Nova York (em vigor desde 5 de novembro de 2025) e a Califórnia (SB 243, em vigor desde 1º de janeiro de 2026) já têm leis escritas só para companhias com IA, e mais de uma dúzia de estados seguiram. Aqui, nada parecido existe ainda; o contexto americano serve só de comparação.
As datas principais. Os itens futuros não têm data marcada.
O que o ECA Digital exige
O ECA Digital é a regra nova que mais mexe com os apps de companhia. Em resumo:
- Verificação de idade confiável. Para conteúdo e serviços inadequados a menores de 18 anos, a autodeclaração não basta (art. 9).
- Contas de adolescentes vinculadas a um responsável. As contas de usuários de até 16 anos precisam estar ligadas à conta de um responsável.
- Sinal de idade nas lojas. As lojas de apps e os sistemas operacionais passam a fornecer um sinal de idade aos aplicativos.
- Proibição de design manipulativo para menores. É o que prevê o Decreto 12.880/2026, de 18 de março de 2026, que regulamenta a lei.
A ANPD fiscaliza o cumprimento e pode advertir e multar. Em 20 de março de 2026, ela publicou uma orientação preliminar e um primeiro cronograma, de “implementação assistida”, começando pelas lojas de apps e pelos sistemas operacionais. As regras finais de verificação de idade e o prazo de adaptação ainda vão ser definidos. Não verificamos os valores das multas, então não vamos citar números.
O governo olhou para as companhias com IA. Em 21 de setembro de 2026, a Secretaria Nacional de Direitos Digitais do Ministério da Justiça, em uma nota técnica, pediu que a ANPD avaliasse os riscos das “companhias com IA” à luz do ECA Digital. A lista tinha 13 apps, entre eles Character.AI, Replika, Nomi, Candy.ai, Kindroid, Chai, Talkie, EVA AI e SpicyChat.AI.
Os pontos levantados foram a idade checada na maioria dos casos só por autodeclaração, o uso compulsivo, o conteúdo inadequado e a criação de perfis dos traços emocionais dos usuários. O ministério também pediu que a Senacon verificasse a publicidade e a monetização. A nota não afirma que houve violação comprovada, e não encontramos nenhuma decisão ou multa da ANPD até agora: o que houve foi um pedido para que ela olhe o caso. A ANPD, por sua vez, incluiu crianças, adolescentes e IA entre os quatro temas prioritários de fiscalização para 2026 e 2027. Essas informações vêm de notícias da imprensa; não conseguimos abrir a nota do ministério.
Quem faz valer cada regra
| Norma | Assunto | Situação | O que se destaca |
|---|---|---|---|
| Lei 15.211/2025 (ECA Digital) | Menores de 18 anos | Em vigor desde 17 mar 2026 | Verificação de idade confiável; ANPD fiscaliza |
| Decreto 12.880/2026 | Regulamenta o ECA Digital | 18 mar 2026 | Proíbe design manipulativo para menores |
| Lei 13.709/2018 (LGPD) | Dados pessoais | Em vigor | Direitos gratuitos; ANPD recebe a petição |
| Lei 8.078/1990 (CDC), art. 49 | Cobrança e arrependimento | Em vigor | 7 dias para desistir de contrato feito pela internet |
| Lei 15.123/2025 | Deepfake contra mulheres | Em vigor desde 24 abr 2025 | Pena da violência psicológica aumenta pela metade |
| PL 2338/2023 | Marco legal da IA | Projeto na Câmara | Ainda não é lei; votação só depois das eleições |
A tabela reflete o que conseguimos verificar até 1º de outubro de 2026. Os textos das leis no Planalto não abriram para nós, então citamos números de artigos e não trechos.
A página da ANPD sobre os direitos dos titulares de dados.
O que você vai notar de verdade
- Mais verificações de idade. O Character.AI removeu o chat aberto para menores de 18 anos em novembro de 2025 e passou a usar sinais de comportamento, verificação de terceiros e, em último caso, documento. Com o ECA Digital em vigor e a autodeclaração deixando de bastar, é razoável esperar que outros apps façam o mesmo aos poucos. As regras finais ainda estão por vir.
- Menos truques de engajamento para menores. O decreto proíbe design manipulativo para menores. Se você é adulto, a diferença deve ser pequena.
- Mais atenção das autoridades. O pedido do Ministério da Justiça à ANPD mostra para onde as coisas caminham, mas não é, por si só, uma acusação.
O que vale é onde você está, e não onde a empresa está registrada: o ECA Digital se aplica a serviços acessíveis por menores no Brasil, e a LGPD, a quem trata dados de pessoas no país.
Seus direitos na prática
Dados e conversas. Pela LGPD (art. 18), você tem direitos gratuitos sobre os seus dados. Para confirmação e acesso, a empresa deve dar uma resposta simplificada na hora ou uma declaração completa em até 15 dias do pedido (art. 19). Para correção, exclusão e portabilidade, a lei fala em atendimento imediato, com o prazo definido em regulamento da ANPD, que não verificamos. Se a empresa não resolver, apresente uma Petição de Titular à ANPD (art. 55-J, V) em gov.br/pt-br/servicos/abrir-requerimento-relacionado-a-lgpd. É gratuito, exige login gov.br e a estimativa de atendimento é de até 30 dias úteis. A petição não pode ser anônima; denúncias anônimas são outro canal. Nossas quatro verificações de privacidade continuam sendo sua melhor ferramenta.
Cobrança. O art. 49 do CDC dá, como regra geral, 7 dias para desistir de contratos feitos fora da loja física, como por telefone ou internet, sem precisar de motivo, com devolução do valor com correção monetária. Não verificamos como isso se aplica a uma assinatura digital de um app estrangeiro, então só afirmamos a regra geral. O Decreto 11.034/2022 (art. 14) exige que o cancelamento possa ser feito por todos os canais usados na contratação, mas ele vale para o atendimento de serviços regulados pelo Executivo federal, como bancos e telefonia; um app estrangeiro provavelmente não está claramente coberto. Se a empresa não resolver, o consumidor.gov.br é gratuito, exige conta gov.br e só vale para empresas que aderiram: a empresa tem 10 dias para responder, e você tem 20 dias para avaliar se foi resolvido. O Procon do seu estado ou município também recebe reclamações. Veja também reembolsos e cancelamentos.
Imagens íntimas e golpes. Divulgar foto ou vídeo de sexo ou nudez sem consentimento é crime pelo art. 218-C do Código Penal, com agravante quando é feito por parceiro ou ex ou para vingança ou humilhação. Não vamos citar a pena porque as fontes divergem. Fora a Lei 15.123/2025, não verificamos outra lei específica sobre conteúdo sexual gerado por IA. Para denunciar, a SaferNet Brasil recebe links em denuncie.org.br, inclusive de forma anônima, e repassa às autoridades.
A escolha dos adultos. As regras que verificamos tratam de menores, de dados e de consumo. Não encontramos nenhuma que restrinja o que adultos fazem com uma companhia com IA.
Fora do Brasil
A Europa chegou lá por outro caminho: a lei de privacidade, e não uma lei de companhias. A autoridade de proteção de dados da Itália multou a Luka Inc., empresa por trás do Replika, em € 5 milhões, em decisão anunciada em maio de 2025. Ela apontou ausência de base legal válida para o tratamento, uma política de privacidade pouco transparente e nenhuma verificação de idade funcionando em um serviço que dizia ser só para adultos. Era a mesma autoridade cuja ordem de fevereiro de 2023 antecedeu a retirada abrupta do roleplay erótico pelo Replika, história contada em quando sua companhia com IA muda da noite para o dia.
O que levar daqui
As regras novas protegem sobretudo os momentos mais delicados: menores de 18 anos e dados pessoais. Para um adulto que usa um app de companhia para ter companhia ou se divertir, a mudança visível é pequena: talvez mais verificações de idade e, aos poucos, mais transparência. A mudança invisível é maior: o governo já olha para esses apps, e a LGPD e o CDC dão a você ferramentas concretas quando algo dá errado.