A gestão de riscos sistêmicos passa a exigir critérios verificáveis e documentação consistente das decisões de moderação.
Plataformas que intermedeiam conteúdo de terceiros precisam transformar a gestão de riscos sistêmicos em processo verificável. O ponto central deixou de ser apenas remover ou manter uma publicação específica. Agora, importa demonstrar como a empresa identifica riscos, define prioridades e aplica suas próprias regras.
O Decreto nº 12.975/2026 integra o novo ciclo regulamentar do Marco Civil da Internet, ao lado do Decreto nº 12.976/2026. Para os provedores de aplicações, o desafio prático é estruturar governança. Isso inclui critérios de moderação, registros de decisão, controles sobre anúncios e mecanismos de revisão.
Gestão de riscos sistêmicos não se confunde com conteúdo isolado
O art. 16-B do Decreto nº 8.771/2016, incluído pelo Decreto nº 12.975/2026, trata da falha sistêmica na indisponibilização imediata de conteúdos definidos como criminosos. O rol inclui, entre outros, terrorismo, induzimento ao suicídio, discriminação, violência contra mulheres, crimes sexuais contra vulneráveis, tráfico de pessoas e ataques ao Estado Democrático de Direito.
Contudo, o art. 16-B, § 3º, afasta uma conclusão automática. A presença isolada de conteúdo ilícito não caracteriza, por si só, falha sistêmica. Portanto, a autoridade deverá examinar a qualidade e a efetividade das medidas de prevenção ou remoção adotadas pelo provedor.
O art. 16-B, § 1º, apresenta dois parâmetros relevantes. As medidas devem fornecer os mais altos níveis de segurança compatíveis com o tipo de serviço e o estado da técnica. Além disso, devem inibir a circulação massiva dos conteúdos abrangidos pelo dispositivo.
Na prática, a gestão de riscos sistêmicos exige uma visão de conjunto. A empresa deve considerar a escala de distribuição, a velocidade de replicação, os meios de recomendação e a reincidência de contas. Também deve avaliar os riscos ligados a redes artificiais de distribuição.
O art. 16-C reforça essa lógica. Ele determina que os provedores monitorem, identifiquem, avaliem e gerenciem, diligentemente, os riscos sistêmicos criados ou potencializados pelas atividades e pelos conteúdos em circulação. Por isso, métricas de volume, alcance e tempo de resposta ganham importância jurídica.
Critérios para documentar decisões de moderação
A documentação de decisões de moderação deve permitir a reconstrução do caminho decisório. Não basta registrar que determinado conteúdo foi removido. O registro precisa indicar os fatos analisados, a regra aplicada, o contexto considerado e a providência tomada.
Primeiro, o provedor pode criar uma matriz de classificação de riscos. Essa matriz deve relacionar categorias de conteúdo, gravidade potencial, alcance, vulnerabilidade dos usuários atingidos e urgência de resposta. Assim, equipes humanas e sistemas automatizados passam a operar com referências consistentes.
Depois, cada decisão relevante deve formar uma trilha de auditoria. Essa trilha pode reunir a identificação do conteúdo, a data da detecção ou denúncia, a regra interna utilizada e a justificativa concreta. Também convém registrar a participação de ferramentas automatizadas e a revisão humana, quando ocorrerem.
Elementos úteis para a trilha de auditoria
- identificação específica do conteúdo, da conta e do canal de origem;
- classificação do risco e indicação das regras legais ou internas aplicadas;
- dados sobre alcance, replicação, impulsionamento ou rede artificial;
- fundamentação da remoção, manutenção, restrição ou encaminhamento;
- registro de comunicação às partes e de eventual contestação;
- controle de versões das políticas e dos critérios usados na análise.
Além disso, a empresa deve preservar a coerência entre políticas públicas e práticas internas. O art. 20-A exige termos de uso e formas de autorregulação sobre notificações, devido processo e relatórios anuais de transparência. Essas regras devem ser publicadas, acessíveis e periodicamente revisadas.
O art. 20-A, § 2º, atribui importância adicional à autorregulação. Ela pode demonstrar boa-fé na apuração de infrações, quando criar padrões técnicos e de governança voltados à proteção dos usuários. Portanto, políticas genéricas ou desatualizadas tendem a oferecer pouca utilidade probatória.
Notificações exigem decisão fundamentada e comunicação clara
O fluxo de denúncias precisa conciliar agilidade, consistência e possibilidade de revisão. Pelo art. 16-D, a notificação deve identificar a possível conduta ilícita, individualizar o conteúdo e identificar o notificante. Se esses elementos faltarem, a notificação poderá ser nula.
Em seguida, o art. 16-E exige confirmação de recebimento e análise do pedido. Quando remover o conteúdo, o provedor deve informar o fundamento específico e os meios de contestação. Se decidir manter a publicação, deverá comunicar a razão concreta da manutenção.
Por outro lado, o art. 16-G prevê a indisponibilização, após notificação, de conteúdo que configure crime segundo a legislação nacional. Os crimes contra a honra formam exceção expressa. Nesses casos, a responsabilização do provedor continua a depender de ordem judicial específica, nos termos do art. 16-J, inciso I.
O art. 16-G, § 1º, permite a manutenção do conteúdo diante de dúvida razoável sobre seu caráter criminoso. Contudo, a decisão exige análise diligente e fundamentada. A plataforma deve ponderar a dúvida e a gravidade do possível crime, além de comunicar suas razões ao notificante.
Além disso, o art. 16-G, § 2º, exige atenção ao contexto, à liberdade religiosa e às finalidades informativa, educativa, crítica, satírica ou paródica. A compatibilização desses parâmetros com a liberdade de expressão pode suscitar controvérsias judiciais. [VERIFICAR: jurisprudência]
Por isso, formulários padronizados não devem substituir a fundamentação individual quando o caso demandar análise contextual. Respostas automáticas podem servir para o recebimento inicial. Entretanto, decisões sensíveis precisam indicar os critérios aplicados e os elementos efetivamente examinados.
Riscos sistêmicos em anúncios e distribuição artificial
A gestão de riscos sistêmicos também alcança a arquitetura comercial do serviço. O art. 16-K determina medidas adequadas para impedir a contratação de anúncios ou impulsionamentos que configurem crime ou ato ilícito. Logo, a análise não deve começar apenas após a veiculação.
O art. 16-L presume a responsabilidade do provedor quando conteúdo ilícito circular por anúncio, impulsionamento pago ou rede artificial de distribuição. A exclusão depende da comprovação de atuação diligente e em tempo razoável para tornar o conteúdo indisponível.
Assim, controles de aprovação de anunciantes e de monitoramento posterior precisam dialogar com os registros de moderação. A empresa deve conseguir demonstrar quais verificações realizou, quais alertas recebeu e como respondeu. Essa documentação também ajuda a separar falhas pontuais de deficiência estrutural.
Além disso, o art. 16-M exige a guarda, por um ano após o encerramento da veiculação, de informações sobre cada anúncio, impulsionamento e anunciante. O procedimento interno deve definir responsáveis, segurança de acesso e critérios de preservação desses dados.
O Decreto também determina medidas contra redes artificiais de distribuição de conteúdos ilícitos, no art. 16-A, inciso III. Portanto, indícios de coordenação inautêntica, automação abusiva e replicação artificial devem integrar os mapas de risco. A empresa precisa documentar os sinais observados e as providências adotadas.
Governança, supervisão e revisão periódica
O art. 16-B, § 2º, prevê que a autoridade competente avalie a falha sistêmica mediante supervisão e análise periódica. Já o § 4º exige a disponibilização de informações e dados capazes de demonstrar a adoção das medidas necessárias. Dessa forma, a prova de diligência deve existir antes de uma fiscalização.
O art. 19-A atribui à ANPD funções de regulação, fiscalização e apuração de infrações relacionadas aos direitos dos usuários e aos deveres dos provedores. Por isso, estruturas de privacidade, segurança da informação, produto, publicidade e jurídico devem manter fluxos coordenados.
Uma revisão periódica pode examinar indicadores de denúncias, tempos de resposta, reversões de decisão, reincidência e alcance de conteúdos removidos. Também deve testar se os critérios funcionam de modo proporcional entre diferentes tipos de risco. A análise precisa incluir falhas de automação e limites da revisão humana.
Por fim, o art. 16-P admite critérios diferenciados conforme porte econômico, interferência na circulação de conteúdo, estado da técnica e risco do serviço. Essa diferenciação não elimina a necessidade de governança. Ela reforça que os controles devem ser proporcionais, mas demonstráveis.
A redação oficial do Decreto nº 12.975/2026 está disponível no portal de legislação da Presidência da República. A norma ainda admite regulamentações complementares sobre procedimentos e fiscalização.
Em síntese, a conformidade dependerá menos de promessas abstratas e mais de decisões rastreáveis, proporcionais e tecnicamente justificadas. Outros artigos sobre direito empresarial e regulação.
Texto integral: https://www.planalto.gov.br/ccivil_03/_ato2023-2026/2026/decreto/D12975.htm