A mensagem chegou às sete e doze da manhã:
— Você viu o vídeo que estão compartilhando?
Ela ainda não havia terminado o café. Abriu o arquivo sem imaginar que, em poucos segundos, encontraria uma estranha usando o seu rosto.
Era a sua voz. Ou quase. Era o seu sorriso, o movimento discreto dos olhos, a maneira de inclinar a cabeça antes de completar uma frase. A mulher do vídeo parecia conhecer cada detalhe de sua existência. Dizia coisas que ela jamais dissera. Recomendava um investimento fraudulento, prometia lucros impossíveis e orientava as pessoas a acessar uma página e transferir dinheiro.
Tudo era falso.
Menos o dano.
Durante alguns minutos, ela tentou convencer a si mesma de que ninguém acreditaria. O vídeo apresentava pequenas imperfeições: um piscar de olhos ligeiramente atrasado, uma sombra que não acompanhava o movimento do rosto, uma entonação artificial escondida entre as palavras.
Mas a mentira digital não precisa ser perfeita. Precisa apenas parecer verdadeira pelo tempo necessário para ser compartilhada.
Quando ela terminou o café, o vídeo já havia chegado a clientes, parentes e antigos colegas. Alguns perguntavam se sua conta tinha sido invadida. Outros queriam saber se ela realmente participava daquele anúncio. Houve também quem não perguntasse nada e simplesmente acreditasse.
É assim que começa uma das formas mais inquietantes de violência contemporânea: alguém se apropria dos sinais que identificam uma pessoa e fabrica uma versão dela que nunca existiu.
Durante muito tempo, aprendemos que nossa imagem estava no espelho, nas fotografias guardadas em álbuns ou nos retratos colocados sobre a estante. Hoje, ela também está nas redes sociais, nos vídeos curtos, nas chamadas virtuais, nas câmeras de segurança e nos bancos de dados capazes de registrar rostos, vozes, preferências, hábitos e comportamentos.
Nossa presença tornou-se matéria-prima.
Uma fotografia aparentemente inofensiva pode ser alterada por inteligência artificial. A voz enviada em uma mensagem pode ser clonada. Um perfil falso pode conversar com amigos, pedir dinheiro ou comprometer reputações. Um vídeo artificial pode colocar alguém em um lugar onde nunca esteve, defendendo uma ideia que jamais sustentou, anunciando um produto que nunca conheceu ou praticando um ato que nunca aconteceu.
A inteligência artificial não criou a mentira, a fraude ou a difamação. Apenas lhes ofereceu velocidade, escala e uma perturbadora aparência de realidade.
Quando a imagem se torna dado pessoal
Em janeiro de 2026, a Agência Nacional de Proteção de Dados enfrentou diretamente parte desse problema na Nota Técnica nº 1/2026/FIS/CGF/ANPD.
É importante compreender corretamente o alcance do documento. A manifestação não tratou genericamente de toda imagem produzida por inteligência artificial. Ela foi elaborada no contexto específico de denúncias envolvendo o sistema Grok e a criação de conteúdos sintéticos a partir de fotografias de pessoas reais, especialmente conteúdos sexualizados gerados sem consentimento.
Apesar dessa origem concreta, a Nota Técnica estabeleceu premissas relevantes para situações semelhantes.
Segundo a ANPD, um conteúdo sintético gerado por sistema automatizado pode constituir dado pessoal quando se referir, direta ou indiretamente, a pessoa natural identificada ou identificável. A geração, a disponibilização e a disseminação desse conteúdo podem, portanto, caracterizar operações de tratamento submetidas à Lei Geral de Proteção de Dados.
Uma imagem artificial não deixa de interessar ao Direito apenas porque foi produzida por uma máquina.
Quando o conteúdo permite reconhecer, associar ou individualizar alguém, estão em jogo dados pessoais, direitos da personalidade e garantias fundamentais.
A proteção pode ser ainda mais rigorosa quando a atividade envolver o tratamento de dados biométricos vinculados à identificação de uma pessoa natural. Nessa hipótese, incidem as regras restritivas aplicáveis aos dados pessoais sensíveis, especialmente as bases legais previstas no artigo 11 da LGPD.
Isso não significa que toda fotografia seja automaticamente um dado biométrico sensível. Uma fotografia comum pode constituir dado pessoal. Para receber a qualificação específica de dado biométrico sensível, é necessário examinar como ela foi coletada, processada e utilizada, especialmente se houve tratamento técnico destinado à identificação ou autenticação da pessoa.
Essa distinção parece pequena, mas é juridicamente indispensável.
Publicar não é abandonar
Compartilhar uma fotografia em uma rede social não significa entregar a própria imagem para qualquer finalidade.
Publicar não é abandonar.
A fotografia disponível na internet não se transforma em coisa de ninguém. O fato de uma imagem, gravação ou informação estar publicamente acessível não concede autorização irrestrita para que terceiros a utilizem em anúncios, perfis falsos, conteúdos humilhantes, fraudes ou sistemas de inteligência artificial.
Também não significa que toda utilização de dados para treinamento de sistemas seja automaticamente lícita.
Por outro lado, é necessário evitar outra simplificação: o consentimento não é a única base legal prevista na LGPD. A lei admite outras hipóteses capazes de legitimar o tratamento de dados pessoais.
Portanto, nem todo tratamento realizado sem consentimento será necessariamente ilegal. O responsável deverá, entretanto, demonstrar uma base legal adequada, uma finalidade legítima e a observância dos princípios da boa-fé, finalidade, adequação, necessidade, transparência, segurança, prevenção e responsabilização.
Não basta afirmar que os dados estavam disponíveis.
É necessário explicar por que foram utilizados, para qual finalidade, em que extensão, por quanto tempo e com quais medidas de segurança.
O que se rejeita é a ideia de que a presença digital de uma pessoa represente uma licença permanente e universal para explorá-la.
A tecnologia mudou. A dignidade humana, não.
A Constituição Federal protege a intimidade, a vida privada, a honra e a imagem, assegurando o direito à indenização quando houver violação.
O Código Civil também resguarda os direitos da personalidade e permite exigir que cesse a ameaça ou a lesão, sem prejuízo da reparação dos danos materiais e morais.
Essas garantias não surgiram com os algoritmos. Já existiam antes deles.
A inteligência artificial alterou a forma como a violação ocorre, mas não eliminou o direito de defesa da vítima.
O rosto continua pertencendo à pessoa retratada.
A voz continua integrando sua identidade.
A honra não se converte em arquivo público apenas porque alguém aprendeu a reproduzi-la digitalmente.
Afinal, quem pode ser responsabilizado?
A resposta raramente cabe em um único nome.
Em primeiro lugar, poderá responder aquele que criou, encomendou ou dirigiu a produção do conteúdo ilícito. Também poderá ser responsabilizado quem contratou, financiou, patrocinou ou conscientemente disseminou a falsificação, desde que sua participação, sua conduta e o nexo com o dano sejam demonstrados.
Quando o deepfake é utilizado em anúncio fraudulento, podem ser investigados:
o criador da peça;
o anunciante;
a empresa ou pessoa beneficiada;
a agência responsável pela campanha;
os administradores do perfil;
os intermediários que tenham participado conscientemente da fraude;
os destinatários dos valores;
os agentes envolvidos na circulação ou monetização do conteúdo.
Não existe responsabilidade automática de todas as pessoas ou empresas que, de alguma maneira, tiveram contato com o material. A atribuição de responsabilidade depende da conduta, do grau de participação, do dever jurídico descumprido e da relação causal com o dano.
Mas também não existe imunidade automática concedida pela palavra “algoritmo”.
Algoritmos não possuem vontade própria no sentido jurídico. Atrás deles existem decisões humanas e empresariais: escolhas de arquitetura, políticas de segurança, modelos de negócio, mecanismos de recomendação, sistemas de publicidade e critérios de moderação.
Controladores, operadores e agentes de tratamento
No campo da proteção de dados, é necessário distinguir as funções desempenhadas por cada agente.
O controlador é quem toma as decisões referentes ao tratamento dos dados pessoais. O operador realiza o tratamento em nome do controlador.
A responsabilidade de ambos não é automaticamente idêntica.
O controlador poderá responder pelas decisões relacionadas ao tratamento irregular, pela ausência de base legal, pela violação aos princípios da LGPD ou pela insuficiência das medidas de segurança e prevenção.
O operador poderá ser responsabilizado nas hipóteses previstas em lei, especialmente quando descumprir as obrigações da legislação de proteção de dados ou quando não seguir as instruções lícitas fornecidas pelo controlador.
Cada agente deverá responder na medida de sua participação, de suas atribuições e de sua contribuição para o dano.
E a plataforma digital?
A responsabilidade das plataformas exige análise especialmente cuidadosa.
Em 2025, o Supremo Tribunal Federal estabeleceu novos parâmetros para a aplicação do artigo 19 do Marco Civil da Internet, no julgamento dos Temas 533 e 987 da repercussão geral.
A eventual responsabilidade da plataforma dependerá, entre outros fatores:
da natureza do conteúdo;
da forma como ele foi distribuído;
da existência de anúncio ou impulsionamento pago;
da utilização de redes artificiais de distribuição;
da ciência da ilicitude;
das medidas adotadas após a denúncia;
da diligência demonstrada na prevenção e na remoção;
da participação da plataforma na recomendação ou monetização;
do regime jurídico aplicável à espécie de conteúdo.
Segundo os parâmetros fixados pelo STF, há presunção de responsabilidade dos provedores em determinadas hipóteses envolvendo conteúdos ilícitos distribuídos por anúncios, impulsionamentos pagos ou redes artificiais, como robôs e sistemas automatizados de disseminação.
Essa presunção não equivale a uma condenação automática. O provedor poderá afastá-la se demonstrar que atuou diligentemente e em tempo razoável para tornar o conteúdo indisponível.
Outras situações, especialmente aquelas relacionadas a alegações de crimes contra a honra ou a conteúdos cuja ilicitude dependa de avaliação contextual, possuem tratamento jurídico próprio e podem exigir providência judicial específica.
Em matéria de responsabilidade de plataformas, a análise concreta não pode ser substituída por fórmulas genéricas.
Nos anúncios fraudulentos patrocinados, entretanto, há fundamento jurídico particularmente relevante para investigar o papel desempenhado pelo provedor, sobretudo quando a própria estrutura publicitária da plataforma contribuiu para ampliar o alcance e a credibilidade do conteúdo falso.
Uso comercial da imagem e dano presumido
O Superior Tribunal de Justiça consolidou, na Súmula nº 403, o entendimento de que:
“Independe de prova do prejuízo a indenização pela publicação não autorizada de imagem de pessoa com fins econômicos ou comerciais.”
Isso significa que, quando a imagem de alguém é utilizada sem autorização para publicidade, propaganda ou exploração econômica, o dever de indenizar pode decorrer do próprio uso indevido, sem necessidade de a vítima demonstrar concretamente cada consequência sofrida.
A súmula, contudo, não deve ser interpretada como se toda e qualquer publicação não autorizada gerasse automaticamente indenização.
É necessário examinar a finalidade econômica ou comercial, o contexto da divulgação, eventual interesse público, a liberdade de informação e as circunstâncias concretas do caso.
No anúncio fraudulento que utiliza o rosto de terceiro para obter vantagem financeira, o elemento econômico mostra-se particularmente evidente.
O rosto da vítima não foi apenas exposto. Foi transformado em instrumento de convencimento e lucro.
Voz clonada, conversas expostas e perfis falsos
A imagem não é o único elemento sujeito à apropriação digital.
A clonagem de voz pode ser utilizada para pedir transferências, simular emergências familiares, autorizar operações ou enganar pessoas próximas.
Perfis falsos podem copiar fotografias, nomes, profissão e círculo social para criar uma aparência de autenticidade.
Conversas privadas podem ser expostas, editadas ou retiradas de contexto.
Em todos esses casos, será necessário verificar quais direitos foram violados: privacidade, honra, imagem, identidade, sigilo das comunicações, proteção de dados, patrimônio ou confiança nas relações de consumo.
Uma mesma conduta pode gerar repercussões civis, consumeristas, administrativas e, quando houver correspondência com um tipo penal previsto em lei, também criminais.
Não existe um crime genérico aplicável indistintamente a todo deepfake.
A repercussão penal dependerá da finalidade e do modo de execução da conduta. Conforme o caso, os fatos poderão se enquadrar em fraude, falsa identidade, ameaça, perseguição, crimes contra a honra ou outros delitos especificamente previstos na legislação.
Não basta que a conduta seja moralmente condenável. Para haver responsabilidade criminal, é indispensável a correspondência entre o fato praticado e uma figura penal definida em lei.
Decisões automatizadas e o direito de compreender
Nem toda violência algorítmica assume a forma de uma imagem falsa.
Uma pessoa pode ter o crédito recusado, ser excluída de uma seleção profissional, receber tratamento comercial diferente ou ser classificada como risco sem compreender quais dados foram utilizados e quais critérios conduziram ao resultado.
A LGPD assegura ao titular o direito de solicitar a revisão de decisões tomadas unicamente com base no tratamento automatizado de dados pessoais que afetem seus interesses.
Também permite solicitar informações claras e adequadas a respeito dos critérios e procedimentos empregados, resguardados os segredos comercial e industrial.
A legislação não estabelece, em seu texto atual, que toda revisão deverá obrigatoriamente ser realizada por uma pessoa natural. Isso não elimina, porém, a necessidade de um procedimento efetivo, transparente e capaz de permitir a contestação da decisão.
Não se trata de proibir a tecnologia.
Trata-se de impedir que sistemas decidam sobre seres humanos sem lhes oferecer explicação, contestação ou possibilidade real de defesa.
Primeiro, preserve a prova
Quando ocorre a falsificação, a providência mais urgente não é iniciar uma discussão pública com desconhecidos. É preservar a prova.
A vítima deverá registrar, sempre que possível:
o endereço eletrônico da publicação;
o nome e a identificação do perfil;
a data e o horário do acesso;
o conteúdo integral da postagem;
os comentários e compartilhamentos;
os anúncios vinculados;
os números telefônicos envolvidos;
as páginas de destino;
as contas utilizadas para recebimento de valores;
as mensagens e comunicações relacionadas;
os arquivos originais disponíveis;
os metadados que possam ser preservados.
Capturas de tela são úteis, mas podem não ser suficientes isoladamente. É recomendável registrar o contexto completo da publicação, inclusive por gravação de tela, demonstrando o acesso ao perfil, ao endereço eletrônico e ao conteúdo.
A ata notarial, prevista no artigo 384 do Código de Processo Civil, pode reforçar a documentação do fato digital, conferindo fé pública àquilo que foi constatado pelo tabelião.
Ela não é obrigatória em todos os casos e não substitui outros meios de prova. É um instrumento adicional, especialmente importante quando o conteúdo pode ser rapidamente apagado ou alterado.
A internet possui memória longa para a vítima e memória curta para a prova.
Remoção urgente e identificação dos responsáveis
Depois da preservação dos elementos disponíveis, poderão ser requeridas medidas para:
remover ou tornar indisponível o conteúdo;
interromper anúncios e impulsionamentos;
impedir novas publicações idênticas ou equivalentes, quando tecnicamente e juridicamente possível;
preservar registros de acesso e dados eletrônicos;
identificar os responsáveis;
interromper o tratamento irregular de dados;
obter informações sobre a origem e o compartilhamento dos dados;
reparar os danos materiais e morais.
Quando estiverem presentes a probabilidade do direito e o perigo de dano ou risco ao resultado útil do processo, poderá ser requerida tutela de urgência nos termos do artigo 300 do Código de Processo Civil.
O Marco Civil da Internet também prevê mecanismos judiciais para obtenção de registros destinados à formação de conjunto probatório, desde que o pedido seja fundamentado e observe os requisitos legais.
Conforme a natureza do caso, poderão ainda ser cabíveis:
comunicação formal à plataforma;
exercício dos direitos do titular perante o controlador;
reclamação perante a ANPD;
comunicação aos órgãos de defesa do consumidor;
registro de ocorrência;
comunicação às instituições financeiras;
pedido judicial de preservação de provas;
ação indenizatória;
providências criminais, quando houver enquadramento legal específico.
Nos anúncios fraudulentos, é indispensável acompanhar não apenas o vídeo ou a imagem, mas também toda a rota do golpe: a página patrocinada, o perfil anunciante, o domínio eletrônico, os números utilizados, as contas destinatárias e os meios de pagamento.
Muitas vezes, o rosto falsificado é apenas a porta de entrada de uma estrutura fraudulenta muito maior.
A falsidade é digital. A responsabilidade continua humana.
Ao final daquele dia, a mulher do vídeo falso já havia buscado auxílio jurídico. As provas começavam a ser preservadas. As primeiras notificações haviam sido encaminhadas, e as providências para identificação dos envolvidos estavam em curso.
Mas ela ainda olhava para o próprio rosto na tela com desconforto.
Talvez porque tenha percebido que, naquele mundo novo, não basta reconhecer a própria imagem. É necessário defender o direito de continuar sendo autora da própria identidade.
A inteligência artificial pode reproduzir traços, reconstruir vozes, copiar gestos e fabricar movimentos. Pode produzir uma aparência quase perfeita de humanidade.
O que ela não pode fazer é retirar de uma pessoa o direito de declarar:
— Esse rosto é meu. Essa voz é minha. Essas palavras não foram ditas por mim. Essa história não aconteceu.
Quando alguém ultrapassa esse limite, a imagem pode ser artificial, a voz pode ser clonada e o vídeo pode ser sintético.
Mas o sofrimento é real.
E a responsabilidade continua sendo profundamente humana.
Referências
AGÊNCIA NACIONAL DE PROTEÇÃO DE DADOS. Nota Técnica nº 1/2026/FIS/CGF/ANPD: sistema de inteligência artificial Grok: possíveis violações à Lei nº 13.709, de 14 de agosto de 2018. Processo nº 00261.000178/2026-27. Brasília, DF: ANPD, 20 jan. 2026. Disponível em: https://www.gov.br/anpd/pt-br/centrais-de-conteudo/documentos-tecnicos-orientativos/nota-tecnica-no-1-2026-fis-cgf-anpd.pdf/@@display-file/file. Acesso em: 17 jun. 2026.
AGÊNCIA NACIONAL DE PROTEÇÃO DE DADOS. ANPD, MPF e Senacon recomendam que X impeça geração e circulação de conteúdos sexualizados indevidos por meio do Grok. Brasília, DF, 20 jan. 2026. Disponível em: https://www.gov.br/anpd/pt-br/assuntos/noticias/anpd-mpf-e-senacon-recomendam-que-x-impeca-geracao-e-circulacao-de-conteudos-sexualizados-indevidos-por-meio-do-grok. Acesso em: 17 jun. 2026.
BRASIL. Constituição da República Federativa do Brasil de 1988. Brasília, DF: Presidência da República, 1988. Especialmente art. 5º, incisos V, X e LXXIX. Disponível em: https://www.planalto.gov.br/ccivil_03/constituicao/constituicao.htm. Acesso em: 17 jun. 2026.
BRASIL. Lei nº 10.406, de 10 de janeiro de 2002. Institui o Código Civil. Brasília, DF: Presidência da República, 2002. Especialmente arts. 11, 12, 20, 21, 186, 187 e 927. Disponível em: https://www.planalto.gov.br/ccivil_03/leis/2002/l10406compilada.htm. Acesso em: 17 jun. 2026.
BRASIL. Lei nº 12.965, de 23 de abril de 2014. Estabelece princípios, garantias, direitos e deveres para o uso da internet no Brasil. Brasília, DF: Presidência da República, 2014. Especialmente arts. 10, 15, 19 e 22. Disponível em: https://www.planalto.gov.br/ccivil_03/_ato2011-2014/2014/lei/l12965.htm. Acesso em: 17 jun. 2026.
BRASIL. Lei nº 13.105, de 16 de março de 2015. Código de Processo Civil. Brasília, DF: Presidência da República, 2015. Especialmente arts. 300, 381 e 384. Disponível em: https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2015/lei/l13105.htm. Acesso em: 17 jun. 2026.
BRASIL. Lei nº 13.709, de 14 de agosto de 2018. Lei Geral de Proteção de Dados Pessoais — LGPD. Brasília, DF: Presidência da República, 2018. Especialmente arts. 5º, 6º, 7º, 11, 18, 20, 42, 44, 46 e 49. Disponível em: https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/L13709compilado.htm. Acesso em: 17 jun. 2026.
BRASIL. Supremo Tribunal Federal. Tema 533 da repercussão geral: dever de empresa hospedeira de sítio na internet fiscalizar conteúdo publicado e retirá-lo do ar quando considerado ofensivo. Brasília, DF: STF, 2025. Disponível em: https://portal.stf.jus.br/jurisprudenciaRepercussao/verAndamentoProcesso.asp?classeProcesso=RE&incidente=5217273&numeroProcesso=1057258&numeroTema=533. Acesso em: 17 jun. 2026.
BRASIL. Supremo Tribunal Federal. Tema 987 da repercussão geral: constitucionalidade do art. 19 da Lei nº 12.965/2014 e responsabilidade civil dos provedores por conteúdos de terceiros. Brasília, DF: STF, 2025. Disponível em: https://portal.stf.jus.br/jurisprudenciaRepercussao/verAndamentoProcesso.asp?classeProcesso=RE&incidente=5160549&numeroProcesso=1037396&numeroTema=987. Acesso em: 17 jun. 2026.
BRASIL. Superior Tribunal de Justiça. Súmula nº 403. Independe de prova do prejuízo a indenização pela publicação não autorizada de imagem de pessoa com fins econômicos ou comerciais. Brasília, DF: STJ, 28 out. 2009. Disponível em: https://www.stj.jus.br/docs_internet/revista/eletronica/stj-revista-sumulas-2014_38_capSumula403.pdf. Acesso em: 17 jun. 2026.
Juliano Toledo, Advogado, Pedagogo, Pós-graduação em Educação Ambiental e Direito Público, Professor.
Nenhum comentário até o momento.
