ECA Digital: Lei nº 15.211/2025

Por Eduardo Froelich | Março 2026

No dia 17 de março de 2026, entrou em vigor a Lei nº 15.211/2025, o chamado ECA Digital. Hoje, o governo assinou três decretos regulamentando a lei e anunciou um edital de R$ 100 milhões via Finep para startups que desenvolvam soluções de IA conectadas ao tema.

Se você trabalha com tecnologia no Brasil, isso vai chegar na sua sprint mais cedo do que você imagina.

O que é o ECA Digital, em termos práticos

Esqueça o jurídico por um segundo. O ECA Digital é a primeira lei brasileira a propor regras e punições diretamente aplicáveis às plataformas digitais, com foco na proteção de crianças e adolescentes no ambiente online. [CNN]

Na prática, a lei cria obrigações diretas para empresas de tecnologia e amplia instrumentos de proteção já previstos no Estatuto da Criança e do Adolescente para o ambiente online, reduzindo riscos como exploração sexual, exposição a conteúdos nocivos, publicidade abusiva e coleta indevida de dados. [Congresso em Foco]

Até ontem, grande parte dessas proteções dependia da boa vontade das próprias plataformas ou da supervisão das famílias. Agora não. Agora é lei, com fiscalização da ANPD e multas de até R$ 50 milhões por infração, além da possibilidade de suspensão das atividades da plataforma no Brasil. [HostMídia]

Os problemas técnicos que isso cria

Problema 1: verificação de idade real

A autodeclaração deixa de ser suficiente. Passam a existir obrigações de mecanismos mais robustos de aferição de idade, em sintonia com o tipo de risco que determinado ambiente digital oferece. [desinformante]

Isso parece simples, mas esconde uma armadilha séria. Pedir RG ou biometria facial de toda criança que quer assistir um vídeo cria um banco de dados de alto valor para atacantes, um honeypot centralizado com documentos de menores. Isso é trocar um problema regulatório por um problema de segurança muito maior.

A saída técnica mais elegante que está ganhando força é o uso de Zero-Knowledge Proofs (ZKP) combinado com integração via Gov.br. A ideia central é simples: a plataforma recebe apenas um booleano

is_over_13 = true

sem nunca tocar no documento original. A prova criptográfica garante que a afirmação é verdadeira sem revelar os dados que a sustentam. Os dados coletados só podem ser usados para a verificação etária, não podendo servir para fins comerciais ou personalização de conteúdo [Camara]. Então qualquer arquitetura que minimize o que a plataforma realmente vê já está um passo à frente na compliance.

Implementar isso de forma fluida via API, com baixa fricção no onboarding, é provavelmente o produto de maior valor que pode sair desse momento regulatório.

Problema 2: moderação de conteúdo em escala

As plataformas deverão identificar e remover conteúdos relacionados à exploração sexual, aliciamento e outras formas de violência contra menores, além de adotar medidas para conter assédio, cyberbullying e incentivo à automutilação. [desinformante]

Moderar conteúdo manualmente é uma batalha perdida em escala, e qualquer plataforma com milhões de usuários jovens já sabe disso. É aqui que LLMs entram como infraestrutura.

Problema 3: relatórios de transparência obrigatórios

Plataformas com mais de 1 milhão de usuários jovens no Brasil deverão publicar relatórios semestrais sobre seus sistemas de moderação e proteção, em português e de forma pública. [Congresso em Foco]

Gerar isso manualmente, com consistência e precisão jurídica, é inviável na maioria dos times. Precisa de sistema.

Problema 4: design seguro por padrão

Antes de lançar qualquer funcionalidade que possa ser acessada por menores, as empresas são obrigadas a realizar um relatório técnico identificando quais riscos o produto oferece à saúde mental, à privacidade e à segurança física dos jovens. [HostMídia]

Isso é a Avaliação de Impacto de Proteção de Dados e Direitos (AIPD). Um teste de segurança infantil obrigatório antes de qualquer deploy como pré-requisito legal.

Como LLMs podem ajudar

1. Classificação e moderação de conteúdo

Modelos de linguagem entendem contexto. Diferente de filtros por palavras-chave (facilmente burlados com erros ortográficos propositais ou eufemismos ), um LLM consegue avaliar se uma conversa tem padrões de aliciamento, se um conteúdo normaliza violência, ou se uma interação tem características suspeitas mesmo quando as palavras individuais parecem inofensivas.

Um pipeline típico: ingestão do conteúdo → chunking → classificação com few-shot → scoring de risco → fila de revisão humana para casos ambíguos. O modelo não substitui o revisor humano nos casos de borda, mas reduz o volume que chega até ele drasticamente.

Exemplo de prompt de classificação:

Você é um sistema de moderação de conteúdo para proteção de menores. Analise a mensagem abaixo considerando o contexto cultural brasileiro.

Mensagem: [CONTEÚDO]

Responda em JSON: { "risco": "baixo | médio | alto", "categoria": "violência | sexual | grooming | bullying | automutilação | nenhum", "trecho_gatilho": "parte específica que motivou a classificação", "justificativa": "max 2 linhas" }

O campo trecho_gatilho não está ali por acaso , ele é o começo da rastreabilidade que a lei exige. Toda decisão automatizada precisa ser auditável por um humano, e uma justificativa vaga gerada pelo modelo não serve juridicamente.

2. Detecção de padrões de grooming em janelas temporais

Aqui o LLM brilha de um jeito que filtros simples nunca vão conseguir. Detectar uma mensagem isolada problemática é relativamente fácil. Difícil é detectar grooming , que ocorre ao longo de dias, em conversas que parecem normais individualmente, mas revelam um padrão de aproximação gradual quando analisadas em sequência.

Linguagem de isolamento ("não conta pra ninguém"), escalada de intimidade fora do padrão esperado, pedidos de troca de canal ("me manda no WhatsApp") , cada um desses sinais sozinho pode parecer ruído. Juntos, numa análise de janela temporal, constroem um padrão.

Um sistema eficaz aqui combina análise de threads completas com scoring acumulativo por sessão. O LLM avalia a conversa como um todo, não mensagem por mensagem. Tecnicamente é RAG com histórico estruturado, dentro do que a maioria dos times de ML consegue implementar hoje.

3. Geração automatizada de relatórios de compliance

Um LLM pode pegar dados estruturados de moderação, número de denúncias, categorias, tempo de resposta, ações tomadas, e gerar narrativas em português claro, no formato exigido pela lei, com consistência e sem custo de redação manual. Para uma plataforma com dezenas de milhares de eventos de moderação por mês, isso é uma economia real de tempo e risco jurídico.

O cuidado aqui é um só: o modelo não pode inventar estatísticas. O sistema precisa de dados reais como entrada e o output precisa ser validado antes de ir pra qualquer relatório público. Alucinação de dado estatístico em documento legal é um problema de outra ordem.

Os limites

O contexto cultural brasileiro é inegociável. Modelos pré-treinados majoritariamente em inglês têm performance significativamente diferente em português brasileiro coloquial, especialmente em gírias regionais. Uma conversa de aliciamento em linguagem da periferia de São Paulo ou do Rio pode passar completamente despercebida por um modelo sem fine-tuning local. Desenvolvedores que criarem datasets curados de gírias brasileiras para detecção de padrões de risco têm uma vantagem competitiva real sobre soluções genéricas de OpenAI ou Anthropic. Esse dado não existe ainda de forma pública e curada, quem construir isso primeiro define o padrão.

Falsos positivos têm custo alto. Em proteção infantil, um falso negativo (conteúdo perigoso não detectado) é obviamente grave. Mas um falso positivo sistemático (conteúdo legítimo removido em escala) também tem consequências: processo por censura, perda de confiança do usuário, e potencial questionamento regulatório. Calibrar esse tradeoff exige dados rotulados de qualidade e interação cuidadosa.

Rastreabilidade não é opcional. Se um sistema automatizado toma uma decisão que afeta um usuário, remoção de conteúdo, suspensão de conta, a justificativa precisa ser real e auditável. Não uma narrativa gerada pelo modelo. Isso significa arquitetar logs de raciocínio persistentes: salvar não só o output, mas os trechos do conteúdo que ativaram a classificação, o score de cada categoria, e o contexto que foi passado ao modelo. É trabalho de engenharia.

A janela de oportunidade

O edital de R$ 100 milhões via Finep tem como objetivo apoiar pequenos e médios desenvolvedores de soluções baseadas em IA para efetivar a proteção de crianças e adolescentes no ambiente digital. [GOV.BR]

Isso é dinheiro público sendo direcionado para resolver exatamente os problemas técnicos descritos acima. E o mercado de compliance com o ECA Digital vai existir independente do edital, porque nenhuma empresa quer carregar o risco de R$ 50 milhões por infração.

O mercado de Safety Tech no Brasil está essencialmente em branco. As soluções existentes são estrangeiras, treinadas em outros contextos culturais e linguísticos, e caras. Tem espaço, e demanda real, para soluções brasileiras que entendam o contexto local.

O que você pode fazer agora

Se você é dev ou cientista de dados: explore modelos open-source de classificação de conteúdo com datasets de hate speech em português, existem alguns públicos no Hugging Face. Leia o texto completo da Lei 15.211/2025. É burocrático, mas é onde estão os requisitos técnicos. Fique de olho na regulamentação complementar da ANPD, ela vai definir os padrões técnicos aceitos para verificação de idade.

Se você está pensando em produto: acompanhe as chamadas em finep.gov.br e defina qual problema específico você quer resolver, verificação de identidade, moderação, relatórios de compliance, controle parental inteligente. São mercados diferentes com arquiteturas diferentes.

A lei entrou em vigor recentemente. São muitas possibilidades.